[发明专利]工控网络流量异常检测方法、装置及系统

说明书

本申请涉及一种工控网络流量异常检测方法、装置及系统，涉及网络安全技术领域，对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；按顺序依次获取携带时间戳的符号序列中的符号，并输入预先构建的异常检测模型进行异常检测；如果检测到当前获取的所述符号序列中的符号属于已知符号，则输入到对应的子周期DFA模型；根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果。可以解决目前针对SCADA系统的语义攻击，对工业设备或工业生产造成破坏的问题。

技术领域

本申请涉及工控网络流量异常检测方法、装置及系统，属于网络安全技术领域。

背景技术

SCADA(Supervisory ControlAnd DataAcquisition，数据采集与监视控制) 系统被用于监视和控制关键基础设施，例如废水分配设施，天然气生产系统和发电站。SCADA系统主要是通过HMI和PLC间的通信来实现，HMI根据业务需求按照一定逻辑定期向PLC发送相关指令，PLC根据接收的指令内容访问现场设备的信息并将信息返回给HMI，HMI接收到返回信息后对信息进行呈现以达到监视控制的目的。在实际工业生产中，存在明确的周期行为和操作顺序，因此SCADA流量在业务逻辑上也存在高周期性。

SCADA流量的周期类型分为：轮询周期和定时周期，轮询周期指SCADA 系统按照工业生产的业务逻辑依次执行一系列指令，多用于从现场设备中检索数据。定时周期是SCADA系统每隔固定时间执行某类操作，常用于调整现场设备状态。在HMI和PLC通信通道中可能存在多个轮询周期和多个定时周期混合的情况。对于更加复杂的情况，例如，假设HMI和PLC间的通信采用多线程的体系结构，每个线程都负责独立任务，线程间并发运行。在这种情况下，工控系统中的流量是多路复用的，即某个流量可能出现在多种周期模式中。

互联网化带来便利的同时也带来了很多安全威胁，在真实的工业生产中， SCADA系统除了面对传统的网络攻击，如功能码异常、DoS(Denial ofservice)、缓冲区溢出等攻击外，还要面临一种专门针对SCADA系统的语义攻击。攻击者对工业生产流程和物理设备有着详细的了解，可以通过构造一组看似“合法”的消息序列来有针对性地对工业设备或者工业生产造成破坏。

发明内容

本申请提供了一种工控网络流量异常检测方法、装置及系统，可以解决目前针对SCADA系统的语义攻击，对工业设备或工业生产造成破坏的问题。

本申请提供如下技术方案：

第一方面，提供了一种工控网络流量异常检测方法，一种工控网络流量异常检测方法，包括：

对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；

对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；

按顺序依次获取携带时间戳的符号序列中的符号，并输入预先构建的异常检测模型进行异常检测；

如果检测到当前获取的所述符号序列中的符号属于已知符号，则输入到对应的子周期DFA模型；所述子周期DFA模型为对工控网络流量数据对应的符号序列进行分类得到多个子周期对应的符号集合后，对每个所述子周期内的符号集合按照状态转移关系建立DFA模型得到的；

根据子周期DFA模型接收所述符号后的状态转移结果，确定异常检测结果。

第二方面，提供了一种工控网络流量异常检测装置，包括

报文匹配模块，用于对工控网络流量数据中的请求报文和响应报文组成的报文对进行匹配；

映射模块，用于对匹配成功的所述报文对转换为携带时间戳的符号序列，所述符号序列中的每个符号指示一个唯一状态事件；