[发明专利]一种基于工控网络流量的安全态势感知系统

权利要求书

1.一种基于工控网络流量的安全态势感知系统，其特征在于：所述安全态势感知系统包括：工控网络流量收集模块（10），网络流量代理转发模块（20），流量数据存储模块（30），异常检测模块（40），配置管理模块（50），安全态势可视化模块（60），建模与算法更新模块（70）；

所述工控网络流量收集模块（10）用于在上位机中收集、解析并发送待处理数据，其中，待处理数据从工控网络流量数据中提取，包括数据报文本身信息、报文协议信息和解析的协议字段信息；

所述网络流量代理转发模块（20）接收已解析的流量数据，筛选不需要的协议数据，将短时间内的流量数据聚合处理后发送给流量数据存储模块（30）和异常检测模块（40），减少冗余数据，缓解存储模块负担；

所述网络流量代理转发模块（20）用于缓存已解析的协议数据到缓冲池中，对协议数据进行预处理，即对短时间内大量重复数据进行聚合处理，防止对存储模块造成较大的写入压力；

所述网络流量代理转发模块（20）还会实现异步线程，将聚合处理后的数据转发到流量数据存储模块（30）；

所述流量数据存储模块（30）存储聚合处理后的工控网络流量数据，使用数据分片的方式搭建分布式存储集群，实现工控网络数据持久化和备份；

所述异常检测模块（40）使用不同分类的算法对数据特征进行异常检测计算，将异常结果上报报警接口，并将计算结果反馈给流量数据存储模块（30）以便数据持久化，其中，所述不同分类的算法至少包括：基于密度的异常检测方法、基于聚类的异常检测方法、基于邻接的异常检测方法、基于统计的异常检测方法；

所述配置管理模块（50）定义需要使用的异常检测算法以及报警规则，其中异常检测算法需要配置数据源特征、使用的算法和算法参数规则；所述配置管理模块（50）包括数据配置单元（51）和算法配置单元（52），其中：

所述数据配置单元（51）用来配置每次异常检测任务需要获取的数据项，包括数据源、数据类型、数据时间窗口、使用的数据特征字段；

所述算法配置单元（52）用来配置每次异常检测使用的算法，包括算法分类、每个分类下具体使用的算法、算法本身的参数以及算法投票决定异常数据的阈值；

所述安全态势可视化模块（60）读取数据流量存储模块的数据，综合展示已有流量数据和异常检测模块（40）反馈的计算结果，可视化当前工控网络的安全态势；

所述建模与算法更新模块（70）对已收集的正常与异常工控网络流量数据建立高阶模型，通过训练高阶模型更新异常检测算法使用的参数，提高异常检测模块（40）的识别准确率。

2.如权利要求1所述的基于工控网络流量的安全态势感知系统，其特征在于，所述工控网络流量收集模块（10），具体还包括协议解析单元（11）以及数据发送单元（12）；

所述协议解析单元（11）用于提取并识别流量数据使用的协议，解析工业网络中的不同协议字段，将所有字段信息和流量本身的报文信息整理为统一的标准数据格式；

所述数据发送单元（12）收集整理已解析的标准流量数据，定时将已处理的数据打包发送到网络流量代理转发模块（20）。

3.如权利要求1所述的基于工控网络流量的安全态势感知系统，其特征在于，所述流量数据存储模块（30）有以下特征：

使用分片的方式存储网络流量数据块，每个分片保存固定大小的流量数据，且每个分片都存在备份，保留在不同的服务器中；同时为新增流量数据建立倒排索引，支持对工控网络流量数据按字段快速检索和全文字段检索。

4.如权利要求1所述的基于工控网络流量的安全态势感知系统，其特征在于，所述安全态势可视化模块（60）能够综合展示已存储的流量数据，使用自定义图表控制台的方式展示已存储的工控网络流量数据，对工控网络流量本身进行可视化监控；综合展示异常检测模块（40）的检测结果，结合已有的流量数据展示和定位检测出的异常数据，建立检测结果与流量数据间的可视化联系。

5.如权利要求1所述的基于工控网络流量的安全态势感知系统，其特征在于，所述建模与算法更新模块（70），具体还包括复杂建模单元（71）和参数更新单元，其中：

复杂建模单元（71）对已有的正常流量数据和异常流量数据集合建立高阶复杂模型，使用已有的流量数据和异常检测算法检测模型的适用性；参数更新单元（72）利用已建立的高阶复杂模型异步更新异常检测模块（40）各类算法的具体参数，更新过程不影响异常检测模块（40）正常运转。