[发明专利]一种工控网络流量异常检测方法、系统、装置和可读介质

权利要求书

1.一种工控网络流量异常检测方法，其特征在于，包括：

对工控网络环境中的交换机镜像流量进行解析，获取所述镜像流量的解析结果和所述解析结果对应的系统时间；

根据所述解析结果对应的系统时间确定第一样本集和第二样本集，定义学习时间段，校验所述系统时间是否处于所述学习时间段内；

若所述系统时间处于所述学习时间段内，则将所述系统时间和所述系统时间对应的解析结果归入所述第一样本集；

若所述系统时间处于所述学习时间段外，则将所述系统时间和所述系统时间对应的解析结果归入所述第二样本集；

学习所述第一样本集，获得流量阈值结果集，所述流量阈值结果集为键值数据结构；

将所述第一样本集中的系统时间格式化，获取分钟值，将所述分钟值写入所述键值数据结构的主键；

将所述第一样本集中所述分钟值相同的对应地址信息写入所述键值数据结构的主键对应的子键；

根据所述系统时间计算所述第一样本集中的解析结果，获取每一分钟内的解析结果中相同地址信息对应数据信息的第一累加值，将所述第一累加值写入所述键值数据结构的子键对应的键值；

根据所述主键、子键和键值进行键值数据结构封装，获得所述流量阈值结果集；

将所述第二样本集代入所述流量阈值结果集进行比对，根据比对结果判断工控网络流量是否异常。

2.如权利要求1所述的方法，其特征在于，所述解析结果包括地址信息和所述地址信息对应的流量信息，所述地址信息包括源地址、目的地址、目的端口和网络协议，所述流量信息包括发送流量、接收流量、发送包数、接收包数。

3.如权利要求1所述的方法，其特征在于，所述根据所述主键、子键和键值进行键值数据结构封装，获得所述流量阈值结果集之前，包括以下步骤：

将分钟值相同，且地址信息相同的所有第一累加值的平均值写入对应的键值。

4.如权利要求1所述的方法，其特征在于，将所述第二样本集代入所述流量阈值结果集进行比对，根据比对结果判断工控网络流量是否异常，包括：

计算所述第二样本集当前分钟的解析结果，获得相同地址信息对应数据信息的第二累加值；

根据所述第二样本集的系统时间和地址信息，从所述流量阈值结果集中选取对应的主键、子键和键值，将所述键值与所述第二累加值比较；

若所述第二累加值大于所述键值的最大值，或小于所述键值的最小值，则所述工控网络流量异常；

若所述第二累加值小于等于所述键值的最大值，且大于等于所述键值的最小值，则所述工控网络流量正常。

5.如权利要求1所述的方法，其特征在于，在所述将所述第二样本集代入所述流量阈值结果集进行比对，根据比对结果判断工控网络流量是否异常之前，所述方法还包括以下步骤：

修正所述流量阈值结果集，调整所述键值的最大值和最小值。