CN114201753B - 一种基于业务行为的工业生产网络数据分析方法 - Google Patents

Abstract

本发明涉及一种基于业务行为的工业生产网络数据分析方法，采用oo分析方法进行数据建模，将人类不易理解的二进制网络数据特征，以网络元数据做最小单元，映射成业务行为，实现了网络数据特征的拆分；并从业务行为的角度出发，定义业务行为白名单，根据网络元数据的关联，转回程序易识别的网络数据特征白名单，实现了网络数据特征的组合和依赖关系的处理；设计方法解决了网络数据白名单可以从业务行为的角度来定义，具有可读性，并且实现了网络数据特征白名单的有效覆盖，在设备和网络协议都有限的工业生产网络上，提供了对网络数据进行白名单控制的算法支撑。

Description

一种基于业务行为的工业生产网络数据分析方法

技术领域

本发明涉及一种基于业务行为的工业生产网络数据分析方法，属于工业网络数据分析技术领域。

背景技术

工业生产网络目前大多数处于一个一个独立的“孤岛”，处于“孤岛”状态的网络，其网络安全性一直被忽略。随着利用信息化技术促进产业变革的发展，工业网络互联成为一种必然的趋势，工业生产网络的安全问题也随之浮出水面。工业生产网络起初追求生产效率、忽视网络安全，导致现有的工业生产网络安全及其脆弱。相对于互联网，工业生产网络带来的风险和损失都会远远超出互联网络，解决其网络安全问题成为其联网的一个必要前提。所以现在的工业生产网络也开始加强其网络安全，一些网络安全的厂商也开始对工业生产网络的安全进行产品适配，这些产品也会比传统的互联网安全性更高，对于防范已知的网络安全问题都有着不错的表现，但对于未知和零day风险的反应则相对滞后。

传统的互联网，其复杂性和不停的发展决定了未知的风险始终存在，网络行为存在不可预知性，新的安全问题会不停的随着技术发展而显现。相比之下，工业生产网络的网络行为则相对简单。使用传统的安全产品，其思路是基于黑名单的逻辑，发现已知或有潜在风险的网络行为进行封控，但对于未知的风险则无法有效防范。对于网络行为简单的工业生产网络如果采用白名单的逻辑，对于符合白名单的网络行为的放行，不符合白名单网路行为进行禁止，则能有效的防范未知的网络安全风险。传统安全产品的网络行为分析是以网络数据特征识别做为基础，特征识别可以分为范围特征和完全匹配特征，范围特征存在识别错误可能，完全匹配特征存在特征稍有变化，则无法识别；并且特征识别中构建特征库是一项繁重而复杂的工作，需要大量抓取网络数据包进行经验分析，这种基于经验的处理方式常常会导致名单的有效性和覆盖面存在缺失，构建黑名单的有效性常常会出现错误或者缺失，因为互联网的网络行为的复杂性白名单的构建更为复杂。

对于这种白名单安全控制模式的实现，存在许多的技术难题：如何通过复杂的网络数据有效提取网络行为，并转换成人类可以理解的业务行为；如何区分网络行为的依赖关系，并生成工业生产网路的网路行为的白名单；现有技术对此均未有很好的解决方案。

发明内容

本发明所要解决的技术问题是提供一种基于业务行为的工业生产网络数据分析方法，采用全新设计数据分析方法，能够高效获得工业生产网络的白名单数据，并由此提高工业生产网络数据监测的准确性。

本发明为了解决上述技术问题采用以下技术方案：本发明设计了一种基于业务行为的工业生产网络数据分析方法，用于构建目标工业生产网络的白名单数据集，实现对目标工业生产网络中数据的比对，首先初始化目标工业生产网络的白名单数据集包括网络元数据集与业务行为集，且初始化网络元数据集与业务行为集均为空集；然后执行如下步骤A至步骤B，获得目标工业生产网络的白名单数据集的更新：

步骤A. 统计目标工业生产网络在其工作时间范围内所涉及各类网络元数据的数量，包括终端IP的数量、终端MAC的数量、网络协议类型的数量、应用协议类型的数量、各应用协议指令类型的数量，进而确定各类网络元数据分别所对应独热编码的位数，然后进入步骤B；

步骤B. 按预设第一周期，周期执行如下步骤C至步骤G，更新目标工业生产网络白名单数据集中的网络元数据集与业务行为集；

步骤C. 抓取目标工业生产网络对应正确工作状态下各个二进制数据串形式的网络数据包，解析获得各个网络行为数据，并提取全部网络行为数据中非重复的各网络元数据、以及各网络元数据分别所对应的二进制数据串特征，各网络元数据包括终端IP、终端MAC、网络协议类型、应用协议、应用协议指令，然后进入步骤D；

步骤D. 以一个网络行为数据对应一个业务行为数据，根据各网络行为数据中的各网络元数据，获得各网络行为数据分别对应如下向量格式的业务行为数据；

[源IP,源MAC,源PORT,网络协议类型][时间戳][目标IP,目标MAC,目标PORT,网络协议类型][应用协议类型，应用协议指令，应用协议数据负载]

即获得各个业务行为数据，然后进入步骤E；

步骤E. 根据各类网络元数据分别所对应独热编码的位数，针对所获全部网络行为数据中非重复的各网络元数据，获得该各网络元数据分别所对应的独热编码，构成该各网络元数据、该各网络元数据分别所对应二进制数据串特征、该各网络元数据分别所对应独热编码三者之间一一对应的映射关系，并以网络元数据集中各网络元数据为依据，应用去重方式加入网络元数据集中，实现网络元数据集的更新，然后进入步骤F；

步骤F. 根据网络元数据集中各网络元数据、以及与之一一对应的二进制数据串特征、独热编码，分别针对各个业务行为数据，分别针对业务行为数据中的各网络元数据，执行二进制数据串特征与独热编码的转换，获得业务行为数据所对应的二进制数据串特征向量、以及独热编码向量，即获得各个业务行为数据、各个业务行为数据分别所对应的二进制数据串特征向量、各个业务行为数据分别所对应的独热编码向量三者之间一一对应的映射关系，然后进入步骤G；

步骤G. 将所获各个业务行为数据、各个业务行为数据分别所对应的二进制数据串特征向量、各个业务行为数据分别所对应的独热编码向量三者之间一一对应的映射关系，以业务行为集中各业务行为数据为依据，应用去重方式加入业务行为集中，实现业务行为集的更新。

作为本发明的一种优选技术方案，所述步骤D中，基于所获各个业务行为数据，还包括：针对所获各个业务行为数据中各个彼此间非绑定的网络元数据，按照业务行为数据的向量格式进行枚举组合，更新获得各个业务行为数据，然后进入步骤E。

作为本发明的一种优选技术方案：按预设第二周期，周期首先初始化目标工业生产网络的白名单数据集包括网络元数据集与业务行为集，且初始化网络元数据集与业务行为集均为空集；然后执行如下步骤A至步骤B，获得目标工业生产网络的白名单数据集的更新，其中，预设第二周期大于所述预设第一周期。

作为本发明的一种优选技术方案：所述基于步骤A至步骤B所获目标工业生产网络的白名单数据集，存储于所述目标工业生产网络中相应的各个业务终端上，并且各个业务终端分别针对其所存储的白名单数据集，剔除其中与其业务终端无关的网络元数据、业务行为数据、以及相应的二进制数据串特征、二进制数据串特征向量、独热编码、独热编码向量，更新存储白名单数据集。

与上述相对应，本发明设计了相对应的一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述一种基于业务行为的工业生产网络数据分析方法的步骤。

以及相应设计了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述一种基于业务行为的工业生产网络数据分析方法的步骤。

本发明所述一种基于业务行为的工业生产网络数据分析方法，采用以上技术方案与现有技术相比，具有以下技术效果：

本发明所设计基于业务行为的工业生产网络数据分析方法，采用oo分析方法进行数据建模，将人类不易理解的二进制网络数据特征，以网络元数据做最小单元，映射成业务行为，实现了网络数据特征的拆分；并从业务行为的角度出发，定义业务行为白名单，根据网络元数据的关联，转回程序易识别的网络数据特征白名单，实现了网络数据特征的组合和依赖关系的处理；设计方法解决了网络数据白名单可以从业务行为的角度来定义，具有可读性，并且实现了网络数据特征白名单的有效覆盖，在设备和网络协议都有限的工业生产网络上，提供了对网络数据进行白名单控制的算法支撑。

附图说明

图1是本发明所设计基于业务行为的工业生产网络数据分析方法的模块结构图。

具体实施方式

下面结合说明书附图对本发明的具体实施方式作进一步详细的说明。

本发明所设计一种基于业务行为的工业生产网络数据分析方法，用于构建目标工业生产网络的白名单数据集，实现对目标工业生产网络中数据的比对；实际应用当中，如图1所示，按预设第二周期，周期首先初始化目标工业生产网络的白名单数据集包括网络元数据集与业务行为集，且初始化网络元数据集与业务行为集均为空集；然后执行如下步骤A至步骤B，获得目标工业生产网络的白名单数据集的更新，其中，预设第二周期大于所述预设第一周期。

步骤A. 统计目标工业生产网络在其工作时间范围内所涉及各类网络元数据的数量，包括终端IP的数量、终端MAC的数量、网络协议类型的数量、应用协议类型的数量、各应用协议指令类型的数量，进而确定各类网络元数据分别所对应独热编码的位数，然后进入步骤B。

步骤B. 按预设第一周期，周期执行如下步骤C至步骤G，更新目标工业生产网络白名单数据集中的网络元数据集与业务行为集。

并且在实际应用中，由于在实际的工业生产网络中，一个业务系统只会部署在某一台或某几台设备上，这样业务行为数据和网络元数据就形成约束关系，因此基于步骤A至步骤B所获目标工业生产网络的白名单数据集，存储于所述目标工业生产网络中相应的各个业务终端上，并且各个业务终端分别针对其所存储的白名单数据集，剔除其中与其业务终端无关的网络元数据、业务行为数据、以及相应的二进制数据串特征、二进制数据串特征向量、独热编码、独热编码向量，更新存储白名单数据集。

步骤C. 抓取目标工业生产网络对应正确工作状态下各个二进制数据串形式的网络数据包，解析获得各个网络行为数据，并提取全部网络行为数据中非重复的各网络元数据、以及各网络元数据分别所对应的二进制数据串特征，各网络元数据为网络数据包中不可拆分的最小数据单元，包括终端IP、终端MAC、网络协议类型、应用协议、应用协议指令，然后进入步骤D。

应用中，由于网络数据包为由源IP、源MAC、源端口、目标IP、目标MAC、目标端口、时间戳、数据负载组成的TCP/IP数据包，因此对其进行抓取，并进行解析获得各个网络行为数据，以及进而提取全部网络行为数据中非重复的各网络元数据、以及各网络元数据分别所对应的二进制数据串特征；网络行为数据为网络中某台设备向另外一台设备采用某一协议发送一条请求或着应答，可以由一条或多条网路数据包组成。

业务行为数据是业务行为主体向一个或多个业务行为客体发送一条业务指令，或者业务行为客体向业务行为主体返回处理一条业务指令的结果，可以抽象为业务行为主体（客体）在某一时间点向业务行为客体（主体）发送一条业务指令（指令处理结果），用网络数据来标识一个业务主体（客体）可以表述为：[IP,MAC,PORT,网络协议类型、应用协议类型]的组合，即某台设备上通过某一网络端口与其他系统进行网络交换的主体（客体），通过这种方式将业务行为主体（客体）和网络元数据的组合进行关联。业务发生的时间则对应网络元数据时间戳，业务行为数据则表示为[应用协议类型，应用协议指令，应用协议数据负载]的组合.一条业务行为数据则可以用网络元数据表示为[源IP,源MAC,源PORT,网络协议类型][时间戳][目标IP,目标MAC,目标PORT,网络协议类型][应用协议类型，应用协议指令，应用协议数据负载]的一维向量,通过这种方式，可以把人类难以理解的二进制网路数据特征拆分成以网络元数据为最小单元，因此继续执行如下步骤D。

步骤D. 以一个网络行为数据对应一个业务行为数据，根据各网络行为数据中的各网络元数据，获得各网络行为数据分别对应如下向量格式的业务行为数据；

[源IP,源MAC,源PORT,网络协议类型][时间戳][目标IP,目标MAC,目标PORT,网络协议类型][应用协议类型，应用协议指令，应用协议数据负载]

即获得各个业务行为数据，由于通过抓取网络数据包所获各个业务行为数据不能完全覆盖高网络中所有的业务行为，因此必须要对该所获各个业务行为数据进行全面覆盖性扩展,即然后针对所获各个业务行为数据中各个彼此间非绑定的网络元数据，按照业务行为数据的向量格式进行枚举组合，更新获得各个业务行为数据，然后进入步骤E。

关于这里对所获各个业务行为数据进行枚举组合的操作过程中，由于有些网络元数据是一一绑定的关系，如IP和MAC、网络协议类型和应用协议类型,对于绑定关系的网络元数据，即是彼此间绑定的网络元数据，则枚举组合的操作过程中对此不处理，而是对所获各个业务行为数据中各个彼此间非绑定的网络元数据，按照业务行为数据的向量格式进行枚举组合，更新获得各个业务行为数据。

步骤E. 根据各类网络元数据分别所对应独热编码的位数，针对所获全部网络行为数据中非重复的各网络元数据，获得该各网络元数据分别所对应的独热编码，构成该各网络元数据、该各网络元数据分别所对应二进制数据串特征、该各网络元数据分别所对应独热编码三者之间一一对应的映射关系，并以网络元数据集中各网络元数据为依据，应用去重方式加入网络元数据集中，实现网络元数据集的更新，然后进入步骤F。

应用中，诸如IP的数量不超过2的N次方，则IP的独热编码记为IP[0,..,1,..0]，其中0和1的总个数为N,同样MAC、PORT、网络协议类型、应用协议类型、应用协议指令均可采用独热编码。

对于所获各个业务行为数据，通过组合和依赖关系生成的网路数据特征，并映射成人类可以理解的业务行为；同时以网络元数据作为基本单元，对特征进行拆分、组合、关联和依赖，能有效识别靠经验获得之外的有效网络数据特征。为了方便后续的计算，我们将业务行为数据的向量形式以网络元数据为单元进行独热编码(one-hot)，即继续执行如下步骤F。

步骤F. 根据网络元数据集中各网络元数据、以及与之一一对应的二进制数据串特征、独热编码，分别针对各个业务行为数据，分别针对业务行为数据中的各网络元数据，执行二进制数据串特征与独热编码的转换，获得业务行为数据所对应的二进制数据串特征向量、以及独热编码向量，即获得各个业务行为数据、各个业务行为数据分别所对应的二进制数据串特征向量、各个业务行为数据分别所对应的独热编码向量三者之间一一对应的映射关系，然后进入步骤G。

关于对业务行为数据进行独热编码的转换的过程中，由于时间戳和应用协议负载由于数值范围大，不适合采用独热编码。则这里具体执行时间戳采用年、月、日、时、分、秒分别采用独热编码来实现，并且由于应用协议负载不影响分析业务行为，则忽略并删除关于应用协议负载对独热编码的转换，最终表述业务行为数据的一维向量记为{源IP[0,..,1,..0],源MAC[0,..,1,..0],源PORT[0,..,1,..0],网络协议类型[0,..,1,..0]年[0,..,1,..0],月[0,..,1,..0],日[0,..,1,..0],时[0,..,1,..0],分[0,..,1,..0],秒[0,..,1,..0],目标IP[0,..,1,..0],目标MAC[0,..,1,..0],目标PORT[0,..,1,..0],网络协议类型[0,..,1,..0],应用协议类型[0,..,1,..0],应用协议指令[0,..,1,..0]}。

步骤G. 将所获各个业务行为数据、各个业务行为数据分别所对应的二进制数据串特征向量、各个业务行为数据分别所对应的独热编码向量三者之间一一对应的映射关系，以业务行为集中各业务行为数据为依据，应用去重方式加入业务行为集中，实现业务行为集的更新。

通过上述所设计基于业务行为的工业生产网络数据分析方法的应用，则能成功的将网络特征进行拆分和组合，从业务行为的分析角度实现网络数据白名单的全覆盖，避免了靠经验获取网络数据特征的片面性。

实际应用中，对于当工业生产网络中加入新的网络设备，或者加入新的业务系统，这时候工业生产网络所对应的白名单数据集就需要更新了，即上述所提及在按预设第二周期，周期执行上述所设计方法。

将上述所设计基于业务行为的工业生产网络数据分析方法，应用于实际当中，本发明进一步设计了相对应的一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述一种基于业务行为的工业生产网络数据分析方法的步骤。

同时相应设计了一种计算机可读存储介质，其上存储有计算机程序，所述计算机程序被处理器执行时实现所述一种基于业务行为的工业生产网络数据分析方法的步骤。

上述技术方案所设计基于业务行为的工业生产网络数据分析方法，采用oo分析方法进行数据建模，将人类不易理解的二进制网络数据特征，以网络元数据做最小单元，映射成业务行为，实现了网络数据特征的拆分；并从业务行为的角度出发，定义业务行为白名单，根据网络元数据的关联，转回程序易识别的网络数据特征白名单，实现了网络数据特征的组合和依赖关系的处理；设计方法解决了网络数据白名单可以从业务行为的角度来定义，具有可读性，并且实现了网络数据特征白名单的有效覆盖，在设备和网络协议都有限的工业生产网络上，提供了对网络数据进行白名单控制的算法支撑。

上面结合附图对本发明的实施方式作了详细说明，但是本发明并不限于上述实施方式，在本领域普通技术人员所具备的知识范围内，还可以在不脱离本发明宗旨的前提下做出各种变化。

Claims (6)

1.一种基于业务行为的工业生产网络数据分析方法，用于构建目标工业生产网络的白名单数据集，实现对目标工业生产网络中数据的比对，其特征在于：首先初始化目标工业生产网络的白名单数据集包括网络元数据集与业务行为集，且初始化网络元数据集与业务行为集均为空集；然后执行如下步骤A至步骤B，获得目标工业生产网络的白名单数据集的更新：

步骤A. 统计目标工业生产网络在其工作时间范围内所涉及各类网络元数据的数量，包括终端IP的数量、终端MAC的数量、网络协议类型的数量、应用协议类型的数量、各应用协议指令类型的数量，进而确定各类网络元数据分别所对应独热编码的位数，然后进入步骤B；

步骤B. 按预设第一周期，周期执行如下步骤C至步骤G，更新目标工业生产网络白名单数据集中的网络元数据集与业务行为集；

步骤C. 抓取目标工业生产网络对应正确工作状态下各个二进制数据串形式的网络数据包，解析获得各个网络行为数据，并提取全部网络行为数据中非重复的各网络元数据、以及各网络元数据分别所对应的二进制数据串特征，各网络元数据包括终端IP、终端MAC、网络协议类型、应用协议、应用协议指令，然后进入步骤D；

步骤D. 以一个网络行为数据对应一个业务行为数据，根据各网络行为数据中的各网络元数据，获得各网络行为数据分别对应如下向量格式的业务行为数据；

[源IP,源MAC,源PORT,网络协议类型][时间戳][目标IP,目标MAC,目标PORT,网络协议类型][应用协议类型，应用协议指令，应用协议数据负载]

即获得各个业务行为数据，然后进入步骤E；

步骤E. 根据各类网络元数据分别所对应独热编码的位数，针对所获全部网络行为数据中非重复的各网络元数据，获得该各网络元数据分别所对应的独热编码，构成该各网络元数据、该各网络元数据分别所对应二进制数据串特征、该各网络元数据分别所对应独热编码三者之间一一对应的映射关系，并以网络元数据集中各网络元数据为依据，应用去重方式加入网络元数据集中，实现网络元数据集的更新，然后进入步骤F；

步骤F. 根据网络元数据集中各网络元数据、以及与之一一对应的二进制数据串特征、独热编码，分别针对各个业务行为数据，分别针对业务行为数据中的各网络元数据，执行二进制数据串特征与独热编码的转换，获得业务行为数据所对应的二进制数据串特征向量、以及独热编码向量，即获得各个业务行为数据、各个业务行为数据分别所对应的二进制数据串特征向量、各个业务行为数据分别所对应的独热编码向量三者之间一一对应的映射关系，然后进入步骤G；

步骤G. 将所获各个业务行为数据、各个业务行为数据分别所对应的二进制数据串特征向量、各个业务行为数据分别所对应的独热编码向量三者之间一一对应的映射关系，以业务行为集中各业务行为数据为依据，应用去重方式加入业务行为集中，实现业务行为集的更新。

2.根据权利要求1所述一种基于业务行为的工业生产网络数据分析方法，其特征在于，所述步骤D中，基于所获各个业务行为数据，还包括：针对所获各个业务行为数据中各个彼此间非绑定的网络元数据，按照业务行为数据的向量格式进行枚举组合，更新获得各个业务行为数据，然后进入步骤E。

3.根据权利要求1或2所述一种基于业务行为的工业生产网络数据分析方法，其特征在于：按预设第二周期，周期首先初始化目标工业生产网络的白名单数据集包括网络元数据集与业务行为集，且初始化网络元数据集与业务行为集均为空集；然后执行如下步骤A至步骤B，获得目标工业生产网络的白名单数据集的更新，其中，预设第二周期大于所述预设第一周期。

4.根据权利要求1所述一种基于业务行为的工业生产网络数据分析方法，其特征在于：所述基于步骤A至步骤B所获目标工业生产网络的白名单数据集，存储于所述目标工业生产网络中相应的各个业务终端上，并且各个业务终端分别针对其所存储的白名单数据集，剔除其中与其业务终端无关的网络元数据、业务行为数据、以及相应的二进制数据串特征、二进制数据串特征向量、独热编码、独热编码向量，更新存储白名单数据集。

5.一种计算机设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现权利要求1至4中任一项所述一种基于业务行为的工业生产网络数据分析方法的步骤。

6.一种计算机可读存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现权利要求1至4中任一项所述一种基于业务行为的工业生产网络数据分析方法的步骤。

Images