[发明专利]一种KNXnet/IP协议入侵检测方法、装置、设备及介质

权利要求书

1.一种KNXnet/IP协议入侵检测方法，其特征在于，包括：

获取目标网络系统的KNXnet/IP协议数据包；

解析出所述KNXnet/IP协议数据包中的服务类型字段，得到对应的服务类型；所述服务类型字段为所述KNXnet/IP协议数据包中KNXnet协议数据的head头中的字段；

根据所述服务类型对所述KNXnet/IP协议数据包继续解析，得到解析后的所述KNXnet/IP协议数据包；

利用所述KNXnet/IP协议数据包对应的五元组和目标标识筛选出解析后的所述KNXnet/IP协议数据包中的会话组，得到对应的会话数据；

利用预设检测策略对所述会话数据进行匹配，若所述会话数据与所述预设检测策略不匹配，则判定所述目标网络系统存在入侵风险；所述预设检测策略为与所述KNXnet协议数据的目标关键字段对应的检测策略；

其中，所述方法还包括根据所述服务类型确定所述预设检测策略。

2.根据权利要求1所述的KNXnet/IP协议入侵检测方法，其特征在于，所述获取目标网络系统的KNXnet/IP协议数据包，包括：

采集所述目标网络系统中的流量数据；

利用预设端口号对所述流量数据进行过滤，得到对应的所述KNXnet/IP协议数据包。

3.根据权利要求1所述的KNXnet/IP协议入侵检测方法，其特征在于，还包括：

利用五元组匹配策略对所述KNXnet/IP协议数据包进行匹配，若所述KNXnet/IP协议数据包与所述五元组匹配策略无法匹配，则生成对应的五元组级别告警，若所述KNXnet/IP协议数据包与所述五元组匹配策略匹配，则进入根据所述服务类型对所述KNXnet/IP协议数据包继续解析的步骤，以利用预设检测策略对所述会话数据进行匹配。

4.根据权利要求3所述的KNXnet/IP协议入侵检测方法，其特征在于，还包括：

根据所述服务类型确定所述五元组匹配策略。

5.根据权利要求1所述的KNXnet/IP协议入侵检测方法，其特征在于，还包括：

所述预设检测策略支持用于对所述预设检测策略以及所述会话数据进行匹配的比较操作字符。

6.根据权利要求1至5任一项所述的KNXnet/IP协议入侵检测方法，其特征在于，所述判定所述目标网络系统存在入侵风险之后，还包括：

根据匹配结果向用户终端发送对应等级的告警信息。

7.一种KNXnet/IP协议入侵检测装置，其特征在于，包括：

协议数据包获取模块，用于获取目标网络系统的KNXnet/IP协议数据包；

第一数据解析模块，解析出所述KNXnet/IP协议数据包中的服务类型字段，得到对应的服务类型；所述服务类型字段为所述KNXnet/IP协议数据包中KNXnet协议数据的head头中的字段；

第二数据解析模块，用于根据所述服务类型对所述KNXnet/IP协议数据包继续解析，得到解析后的所述KNXnet/IP协议数据包；

会话数据获取模块，用于利用所述KNXnet/IP协议数据包对应的五元组和目标标识筛选出解析后的所述KNXnet/IP协议数据包中的会话组，得到对应的会话数据；

会话数据检测模块，用于利用预设检测策略对所述会话数据进行匹配，若所述会话数据与所述预设检测策略不匹配，则判定所述目标网络系统存在入侵风险；所述预设检测策略为与所述KNXnet协议数据的目标关键字段对应的检测策略；

所述KNXnet/IP协议入侵检测装置，还包括预设检测策略确定模块，用于根据所述服务类型确定所述预设检测策略。

8.根据权利要求7所述的KNXnet/IP协议入侵检测装置，其特征在于，所述协议数据包获取模块，包括：

数据采集子模块，用于采集所述目标网络系统中的流量数据；

数据过滤子模块，用于利用预设端口号对所述流量数据进行过滤，得到对应的所述KNXnet/IP协议数据包。