[发明专利]一种基于工业网络的数据报文检测方法及装置

摘要

本发明实施例提供了一种基于工业网络的数据报文检测方法及装置，该方法适用于包含至少一个过滤板卡和至少一个存储板卡的交换设备，该方法中，交换设备接收网络侧发送的数据报文，根据接收所述数据报文的端口查询自身保存的端口映射列表；根据查询结果将所述数据报文重定向到该接收端口对应的过滤板卡，并将所述数据报文镜像到该接收端口对应的存储板卡进行存储；过滤板卡根据过滤结果，确定是否转发所述数据报文。由于在本发明实施例中通过将数据报文镜像到过滤板卡进行存储，因此，可以通过对过滤掉的数据报文进行安全分析，防止有效数据流失，并及时发现新的攻击手段，从而提高工业网络的可靠性。

主权项

1.一种基于工业网络的数据报文检测方法，其特征在于，该方法适用于包含至少一个过滤板卡和至少一个存储板卡的交换设备，该方法包括：/n接收网络侧发送的数据报文，根据接收所述数据报文的端口查询自身保存的端口映射列表；/n根据查询结果将所述数据报文重定向到该接收端口对应的过滤板卡，并将所述数据报文镜像到该接收端口对应的存储板卡进行存储；/n过滤板卡接收到所述数据报文，提取所述数据报文的关键字信息，根据自身保存的白名单和病毒数据库，对所述数据报文进行过滤；/n并根据过滤结果，确定是否转发所述数据报文；/n当在自身保存的白名单和病毒数据库中均未查找到所述关键字信息时，将数据报文总计数器加一，判断单位时间内总计数器的数值是否超过设定的阈值，当确定单位时间内总计数器的数值超过设定的阈值时，将所述数据报文丢弃，并上报超限告警；/n当确定单位时间内总计数器的数值未超过设定的阈值时，确定所述数据报文的类型，在自身保存的数据类型映射列表查找是否包含该类型；/n当查找所述类型时，将所述类型的计数器加一，判断所述类型的计数器是否超过设定的阈值；/n当判定结果为是时，将所述数据报文丢弃，并上报超限告警；/n当判定所述类型的计数器不超过设定的阈值时，直接丢弃所述数据报文。/n