[发明专利]一种基于网络流量实时检测工控主机状态的方法

摘要

目前工控环境具有封闭性、网络结构混杂、设备多样化老龄化等问题，工控环境的实时性是工控环境最重要的因素。一但出现不能及时检测到某个主机或者终端执行设备停止运行、非法连接外部网络、入侵攻击的情况，不仅会对工业生产造成巨大经济损失，而且及有可能对人员造成意外伤害。提出一种基于网络流量检测工控主机状态的方法，来对主机在线状态、主机非法外联、主机遭受网络攻击的情况进行实时检测分析，避免给工业生产及人员造成不必要的损失。

主权项

1.一种基于网络流量实时检测工控主机状态的方法，分为主机状态检测知识库模块、流量采集模块、流量分析模块、告警模块，方法实现主要包含以下步骤：步骤一：在监测审计设备上对要检测的主机建立状态知识库，分别配置主机在线状态检测规则库、主机非法外联状态检测规则库和主机网络攻击规则库(避免在多台主机部署及维护防护软件)；步骤去二：采用旁路接入方式，对要检测的所有主机流量进行镜像配置（避免对网络或主机造成资源消耗）；步骤三：流量采集，对流量数据包进行获取，主要涉及抓包、解包等操作，只将和主机关联的数据包送往流量分析模块(可以提高主机流量分析效率)；步骤四：流量分析，采取多线程和多模匹配算法对数据包流量进行实时分析，并与主机知识库里面的规则进行匹配，分析主机在线状态、主机非法外联、主机网络攻击的状态；步骤四：告警分析，当检测到主机离线、主机非法访问外部网络、主机被入侵攻击时，进行实时告警。