CN113542268B - 基于网络链路获取单个工控协议流量的方法 - Google Patents

Abstract

本发明公开了基于网络链路获取单个工控协议流量的方法，包括，通过对工控协议数据包的分析，在设备上记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小，计算网络设备互联实时流量；所述设备IP分为：源IP和目的IP；所述源IP为访问来源设备IP，所述目的IP为被访问设备IP；所述记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小的方法为：在设备存储器中建立数组来分别记录所述源IP、所述源IP的设备发出的数据包的数量和大小、目的IP和所述目的IP的设备收到的数据包的数量和大小。

Description

基于网络链路获取单个工控协议流量的方法

技术领域

本申请涉及工业网络领域，尤其涉及基于网络链路获取单个工控协议流量的方法。

背景技术

网络威胁分析主要集中于单个数据包内容分析，但是工控网络协议不包含用户信息，只包含大量的设备参数信息。因此，对于工业协议应用数据包分析方法效果并不好。工业网络协议数据量大小是基本稳定的，如果发生攻击行为，协议数据包可能会异常增大或减小，对工业协议流量大小的分析是威胁分析的重要手段，因此，本发明主要解决工业网络环境中基于网络链路获取单个工业协议流量大小，实时监控网络链路异常。

如何设计工业网络环境中对单个工业协议流量大小检测，实时监控单个工业协议流量大小分析成为研究的重点。

通过对国内外论文、学术会议、科技文献、专利等等数据库的检索发现：第一，网略威胁的分析集中于单个数据包内容；第二，工控网略协议包含大量的设备参数信息，不包含用户信息；第三，如果发生攻击行为，数据包大小会发生异常变化。所以针对工控环境下基于时间窗口的获取单个工控协议流量大小的方法还处于探索阶段。

公开号为CN109862045B公开一种基于SDN的工业控制系统动态防御方法及装置，主要步骤包括：软件定义白名单协议模块采用偏移量机器学习分类方法自动识别工控私有协议，软件定义服务端口模块对工控协议高危端口进行混淆欺骗，软件定义纵深防御模块采用虚拟化安全引擎服务编排技术动态调度工业控制系统通信网络流量实现多层防御。

目前现有技术存在以下问题：

1、工控环境被攻击时不能监测单个流量情况；

2、工控环境下流量大小检测，及实时监控单个协议流量大小。

发明内容

有鉴于此，本发明提供一种基于网络链路获取单个工控协议流量的方法，包括：通过对工控协议数据包的分析，在设备上记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小，计算网络设备互联实时流量；

所述设备IP分为：源IP和目的IP；所述源IP为访问来源设备IP，所述目的IP为被访问设备IP；

所述记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小的方法为：在设备存储器中建立数组来分别记录所述源IP、所述源IP的设备发出的数据包的数量和大小、目的IP和所述目的IP的设备收到的数据包的数量和大小。

优选的，所述数组为二维数组。

优选的，由于网络连接分为源IP的设备和目的IP的设备，且具有双向性，所以，要在所述源IP的设备存储器中建立一个出栈数组和一个入栈数组。

优选的，所述源IP的出栈数组为二维数组，所述源IP的入栈数组为二维数组。

优选的，所述源IP的出栈数组的第一维向量记录所述目的IP的地址，所述源IP的出栈数组的第二维向量记录所述源IP的设备发出的数据包的大小。

优选的，由于网络连接分为源IP的设备和目的IP的设备，且具有双向性，所以，要在所述目的IP的设备存储器中建立一个出栈数组和一个入栈数组。

优选的，所述目的IP的出栈数组为二维数组，所述目的IP的入栈数组为二维数组。

优选的，所述目的IP的入栈数组的第一维向量记录所述源IP的地址，所述目的IP的出栈数组的第二维向量记录所述目的IP的设备收到的数据包的大小。

优选的，所述出栈数组的出栈方法为：

对出栈数据包进行协议检验，如果协议检验正确，出栈数据包进入出栈数组；

出栈数据包进入出栈数组后，检验出栈数据包IP是否有记录存在：如果存在，累加出栈数据包流量；如果不存在，创建出栈数据包IP记录，并记录出栈数据包流量大小；

计算所有出栈数据包流量。

优选的，所述入栈数组的入栈方法为：

对入栈数据包进行协议检验，如果协议检验正确，入栈数据包进入入栈数组；

入栈数据包进入入栈数组后，检验入栈数据包IP是否有记录存在：如果存在，累加入栈数据包流量；如果不存在，创建入栈数据包IP记录，并记录入栈数据包流量大小；

计算所有入栈数据包流量。

本申请实施例提供的上述技术方案与现有技术相比具有如下优点：

本申请实施例提供的该方法，在工控环境中，实现安全流量数据通过正向安全隔离设备，将采集流量传输到安全区分析服务器。分析服务器在时间窗口下，能够针对特有情况进行捕获单个工控协议流量，并且针对时间窗口获取的工控协议流量，进行有针对性地分析处理。在工控环境被攻击时，能够主动对于单个工业协议流量进行检测监控。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是本发明实施例提供的入栈流程图；

图2是本发明实施例提供的出栈流程图；

图3是本发明实施例提供的数据包传输示意图；

图4是本发明实施例提供的PLC流量监测拓扑。

具体实施方式

为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。

需要说明的是，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

实施例1：

本申请实施例提供的基于网络链路获取单个工控协议流量的方法，

包括：通过对工控协议数据包的分析，在设备上记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小，计算网络设备互联实时流量；

所述设备IP分为：源IP和目的IP；所述源IP为访问来源设备IP，所述目的IP为被访问设备IP；

所述记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小的方法为：在设备存储器中建立数组来分别记录所述源IP、所述源IP的设备发出的数据包的数量和大小、目的IP和所述目的IP的设备收到的数据包的数量和大小；所述数组为二维数组；

由于网络连接分为源IP的设备和目的IP的设备，且具有双向性，所以，要在所述源IP的设备存储器中建立一个出栈数组和一个入栈数组；

所述源IP的出栈数组为二维数组，所述源IP的入栈数组为二维数组；

所述源IP的出栈数组的第一维向量记录所述目的IP的地址，所述源IP的出栈数组的第二维向量记录所述源IP的设备发出的数据包的大小；

如图2所示所述出栈数组的出栈方法为：

对出栈数据包进行协议检验，如果协议检验正确，出栈数据包进入出栈数组；

出栈数据包进入出栈数组后，检验出栈数据包IP是否有记录存在：如果存在，累加出栈数据包流量；如果不存在，创建出栈数据包IP记录，并记录出栈数据包流量大小；

计算所有出栈数据包流量；

由于网络连接分为源IP的设备和目的IP的设备，且具有双向性，所以，要在所述目的IP的设备存储器中建立一个出栈数组和一个入栈数组；

所述目的IP的出栈数组为二维数组，所述目的IP的入栈数组为二维数组；

所述目的IP的入栈数组的第一维向量记录所述源IP的地址，所述目的IP的出栈数组的第二维向量记录所述目的IP的设备收到的数据包的大小；

如图1所示所述入栈数组的入栈方法为：

对入栈数据包进行协议检验，如果协议检验正确，入栈数据包进入入栈数组；

入栈数据包进入入栈数组后，检验入栈数据包IP是否有记录存在：如果存在，累加入栈数据包流量；如果不存在，创建入栈数据包IP记录，并记录入栈数据包流量大小；

计算所有入栈数据包流量。

实施例2：

如图3所示网络中存在一个A设备的IP(192.168.1.1)和一个B设备的IP(192.168.1.2)，此时将生成设备A的一个出栈二维数组和入栈二维数组，B设备的一个出栈二维数组和入栈二维数组。

当B设备访问A设备时，当协议包数据匹配特定协议P的特征(如S7Comm协议的协议类型字段标志为0x32)时，A设备的入栈二维数组将产生如下记录：

十进制IP(来源IP)	包的大小(B)
		3232235777(192.168.1.2)	1024

设备B的出栈数据将产生如下记录：

十进制IP(目的IP)	包的大小(B)
		3232235777(192.168.1.1)	1024

当B设备持续访问A设备时，数据包的大小统计将会累加。

每当有一个新的设备访问A设备时，设备A的入栈记录将逐渐增加。当A设备主动访问其他设备时，设备A的出栈记录将不断更新。最终效果举例如下：

入栈记录：

十进制IP(来源IP)	包的大小(B)
		3232235777(192.168.1.2)	3534625673
3232235777(192.168.1.3)	523657
		3232235777(192.168.1.4)	23451526

出栈记录：

十进制IP(目的IP)	包的大小(B)
		3232235777(192.168.1.2)	15456543
3232235777(192.168.1.3)	978675
		3232235777(192.168.1.4)	8645667568

单位时间内获取设备A的出栈记录和入栈记录，即可计算设备A于特定协议的网络访问流量大小。比如在10时10分10秒获取一次出栈记录，10时10分11秒获取一次出栈记录，根据十进制IP进行比对包的大小，即可获取设备A访问其他所有设备的协议P的流量大小。

实施例3：

如图4所示，基于本发明提供PLC流量监测拓扑功能，通过对工业网络流量分析，发现网络内的PLC设备，并将其绘制到拓扑上，通过历史数据学习，确定单个PLC流量大小历史活动区间，并手动调整范围区间大小。

例如，PLC4通过历史流量大小学习，发现最大峰值流量为20KB/s，最低为5KB/s，通过设置LOW＝5KB/s，设置HIGH＝20KB/s，系统基于本发明实时获取PLC4流量大小，当流量大于HIGH时，突出显示“异常增大”，当流量低于LOW时，显示“异常减小”，从而达到流量监控的目的。

假设第一次读取设备A到设备B访问的流量协议为P的出栈数据包大小为Cpab1，第二次读取设备A关于流量协议P的出栈数据包大小为Cpab2；第一次读取出栈时间为Tpab1(s)，第二次读取出栈时间为Tpab2(s)，则设备出栈流量大小计算方法为：

Spa1(设备A关于流量P流量大小)＝(Cpab2-Cpab1)/(Tpab2-Tpab1)/1024(KB/s)

假设读取设备A关于协议P的目的设备B上关于设备A的入栈流量大小，第一次读取流量大小和时间分别记为Cpba1核Tpba1，第二次读取流量大小核时间分别记为Cpba2和Tpba2，则设备流量会话损失比为：

Cost(Pab)＝((Cpab2-Cpab1)/(Tpab2-Tpab1)/1024)-((Cpba2-Cpba1)/(Tpba2-Tpba1)/1024)(KB/s)

以上所述仅是本发明的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本发明的保护范围。

Claims (3)

1.基于网络链路获取单个工控协议流量的方法，其特征在于，

包括：

通过对工控协议数据包的分析，在设备上记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小，计算网络设备互联实时流量；

所述设备IP分为：源IP和目的IP；所述源IP为访问来源设备IP，所述目的IP为被访问设备IP；

所述记录设备IP和统计设备单个协议单位时间内的数据包的数量和大小的方法为：在设备存储器中建立数组来分别记录所述源IP、所述源IP的设备发出的数据包的数量和大小、目的IP和所述目的IP的设备收到的数据包的数量和大小；

所述数组为二维数组；在所述源IP的设备存储器中建立一个出栈数组和一个入栈数组；

所述源IP的出栈数组为二维数组，所述源IP的入栈数组为二维数组；

所述源IP的出栈数组的第一维向量记录所述目的IP的地址，所述源IP的出栈数组的第二维向量记录所述源IP的设备发出的数据包的大小；在所述目的IP的设备存储器中建立一个出栈数组和一个入栈数组；

所述目的IP的出栈数组为二维数组，所述目的IP的入栈数组为二维数组；

所述目的IP的入栈数组的第一维向量记录所述源IP的地址，所述目的IP的出栈数组的第二维向量记录所述目的IP的设备收到的数据包的大小。

2.根据权利要求1所述的基于网络链路获取单个工控协议流量的方法，其特征在于，

所述出栈数组的出栈方法为：

对出栈数据包进行协议检验，如果协议检验正确，出栈数据包进入出栈数组；

出栈数据包进入出栈数组后，检验出栈数据包IP是否有记录存在：如果存在，累加出栈数据包流量；

如果不存在，创建出栈数据包IP记录，并记录出栈数据包流量大小；

计算所有出栈数据包流量。

3.根据权利要求1所述的基于网络链路获取单个工控协议流量的方法，其特征在于，

所述入栈数组的入栈方法为：

对入栈数据包进行协议检验，如果协议检验正确，入栈数据包进入入栈数组；

入栈数据包进入入栈数组后，检验入栈数据包IP是否有记录存在：如果存在，累加入栈数据包流量；如果不存在，创建入栈数据包IP记录，并记录入栈数据包流量大小；

计算所有入栈数据包流量。