工控网络设备访问量动态学习告警方法、系统及设备与流程

本技术涉及工控网络安全监测，具体而言，涉及一种工控网络设备访问量动态学习告警方法、系统及设备。

背景技术：

1、工控网络承载着工业生产核心设备的通信与数据传输，其运行稳定性直接关联生产安全。目前，工控网络中常用的网安设备可上报设备会话数据，但现有技术多采用固定阈值对访问量进行监测，未结合设备实际运行的访问量规律动态调整阈值，难以适配工控网络中不同设备的差异化访问场景。此外，现有技术缺乏针对多类网安设备会话数据的联合学习机制，无法精准捕捉设备访问量的正常波动规律，且学习与监测的频率、周期不可灵活配置，适配性差，难以满足工控网络中不同重要等级设备的监测需求。

2、针对上述问题，现有技术亟需改进。

技术实现思路

1、本技术的目的在于提供一种工控网络设备访问量动态学习告警方法、系统及设备，具有能够实现多源异构数据动态清洗、工况自适应基线生成及双维度分级精准告警的优点。

2、第一方面，本技术提供了一种工控网络设备访问量动态学习告警方法，包括：

3、获取目标工控设备的设备属性信息和当前工况状态，所述设备属性信息包括网络拓扑位置和生产环节关联标识；

4、根据所述设备属性信息和所述当前工况状态，从至少两类网安设备获取所述目标工控设备在预设学习周期内的历史会话数据，所述历史会话数据包含访问流量及工控协议操作数据；

5、对所述历史会话数据进行时间对齐并剔除异常源数据，得到有效源数据；

6、按预设统计频率对有效源数据分段统计，得到多个子周期的访问量统计序列及操作行为统计序列，根据各子周期波动程度分配稳定性权重并加权融合，生成访问量基线及操作行为基线；

7、在所述预设学习周期结束后，按所述统计频率采集实时会话数据，将实时访问流量与访问量基线比对得到访问量偏差，将实时工控协议操作数据与操作行为基线比对得到操作行为偏差；

8、根据所述访问量偏差与所述操作行为偏差执行异常告警，所述异常告警包括普通告警、可疑告警及安全事件告警。

9、进一步，所述获取所述目标工控设备在预设学习周期内的历史会话数据，包括：

10、根据所述网络拓扑位置，确定所述目标工控设备在工控网络中的部署层级，并根据所述部署层级确定所述预设学习周期的时长，其中部署于网络汇聚位置的设备的预设学习周期短于部署于网络接入位置的设备的预设学习周期；

11、根据所述生产环节关联标识，确定所述预设统计频率的采集间隔，其中与关键生产环节关联的设备的采集间隔短于与非关键生产环节关联的设备的采集间隔；

12、根据所述当前工况状态，从至少两类网安设备分别获取运行状态、停机状态、维护状态及调试状态下的历史会话数据。

13、进一步，所述对所述历史会话数据进行时间对齐并剔除异常源数据，包括：

14、将各网安设备上报的历史会话数据按照所述预设统计频率进行时间分片，建立同一时刻不同源数据之间的访问量比对关系；

15、计算同一时刻各源访问量之间的最大差值与平均值的比值，得到离散比例；当所述离散比例超过预设冲突门限时，确定该时刻存在源间冲突；

16、根据各网安设备在所述预设学习周期内的历史数据一致率确定可信度评分，在存在源间冲突的时刻，剔除可信度评分低于预设评分阈值的网安设备所上报的数据。

17、进一步，所述根据各子周期波动程度分配稳定性权重并加权融合，包括：

18、按所述预设统计频率对有效源数据进行分段统计，得到多个子周期各自的访问量统计序列及操作行为统计序列；

19、对每个子周期内的访问量统计序列，计算其标准差与算术平均值的比值，得到该子周期的波动系数；

20、根据所述波动系数的大小，将各子周期划分为不同稳定性等级；

21、为不同稳定性等级分配对应的稳定性权重，其中波动系数越小的子周期，其稳定性权重越高；

22、根据所述稳定性权重，将所述多个子周期的访问量统计序列加权融合，并将所述多个子周期的操作行为统计序列加权融合。

23、进一步，所述生成访问量基线及操作行为基线，包括：

24、分别对运行状态、停机状态、维护状态及调试状态下的多个子周期的访问量统计序列及操作行为统计序列执行所述加权融合，生成各工况状态各自对应的访问量基线及操作行为基线；

25、在实时监测时，获取所述目标工控设备的实时工况状态，根据所述实时工况状态调用对应工况状态的基线进行比对。

26、进一步，在所述预设学习周期结束后，按所述统计频率采集实时会话数据，还包括：

27、在所述预设学习周期结束后的历史时段内，统计各工况状态下的访问量基线及操作行为基线的变化方向及变化幅度，得到基线变化规律；

28、当实时访问流量偏离对应工况状态的基线但未触发告警时，或当实时工控协议操作数据偏离对应工况状态的基线但未触发告警时，判断所述偏离的增减方向是否与所述基线变化规律中的变化方向相同；

29、若相同，则根据所述偏离幅度调整对应工况状态下的基线数值；若不相同，则不调整基线数值。

30、进一步，所述执行异常告警，包括：

31、根据所述访问量基线中的基线数值，计算访问量的上偏差阈值及下偏差阈值，当实时访问流量高于所述基线数值与所述上偏差阈值之和，或低于所述基线数值与所述下偏差阈值之差时，确定访问量偏差超出阈值；

32、根据所述操作行为基线中的比例标准值及频率标准值，计算操作行为偏差的允许波动阈值，当实时工控协议操作数据中的读操作与写操作比例关系偏离所述比例标准值超过所述允许波动阈值，或特定功能码的出现频率偏离所述频率标准值超过所述允许波动阈值时，确定操作行为偏差超出阈值；

33、当所述访问量偏差超出阈值且所述操作行为偏差未超出阈值时，记录普通告警；当所述访问量偏差未超出阈值且所述操作行为偏差超出阈值时，记录可疑告警；当二者均超出阈值时，记录安全事件告警并推送至运维平台。

34、进一步，所述记录普通告警、可疑告警或安全事件告警并推送之后，还包括：

35、为所述普通告警及所述可疑告警分别设置告警置信度积分；

36、监测同一目标工控设备在预设时间窗口内的告警触发记录，根据所述普通告警的触发次数，累加其告警置信度积分；

37、当所述普通告警的告警置信度积分超过第一升级阈值时，将所述普通告警升级为所述可疑告警；

38、根据所述可疑告警的触发记录，累加其告警置信度积分；当所述可疑告警的告警置信度积分超过第二升级阈值时，将所述可疑告警升级为所述安全事件告警。

39、第二方面，本实施例还提出一种工控网络设备访问量动态学习告警系统，用于执行第一方面所述的方法，其特征在于，包括：

40、第一获取模块，获取目标工控设备的设备属性信息和当前工况状态，所述设备属性信息包括网络拓扑位置和生产环节关联标识  ；

41、第二获取模块，根据所述设备属性信息和所述当前工况状态，从至少两类网安设备获取所述目标工控设备在预设学习周期内的历史会话数据，所述历史会话数据包含访问流量及工控协议操作数据；

42、剔除模块，对所述历史会话数据进行时间对齐并剔除异常源数据，得到有效源数据；

43、基线生成模块，按预设统计频率对有效源数据分段统计，得到多个子周期的访问量统计序列及操作行为统计序列，根据各子周期波动程度分配稳定性权重并加权融合，生成访问量基线及操作行为基线；

44、偏差模块，在所述预设学习周期结束后，按所述统计频率采集实时会话数据，将实时访问流量与访问量基线比对得到访问量偏差，将实时工控协议操作数据与操作行为基线比对得到操作行为偏差；

45、告警模块，根据所述访问量偏差与所述操作行为偏差执行异常告警，所述异常告警包括普通告警、可疑告警及安全事件告警。

46、第三方面，本实施例还提出一种电子设备，所述电子设备包括：一个或多个处理器，存储器，所述存储器用于存储一个或多个计算机程序；其特征在于，所述计算机程序被配置成由所述一个或多个处理器执行，所述程序包括用于执行第一方面所述的工控网络设备访问量动态学习告警方法步骤。

47、由上可知，本技术提供的一种工控网络设备访问量动态学习告警方法、系统及设备，通过引入设备属性信息及当前工况状态差异化配置学习参数，基于多源网安设备历史数据一致率进行冲突检测与可信度评分以剔除异常源数据，采用子周期波动系数分级赋权融合生成双维度基线，并依据访问量偏差与操作行为偏差的组合状态执行三级差异化告警，解决了现有技术中阈值僵化、适配性差、告警精准度低的问题，具有能够实现多源异构数据动态清洗、工况自适应基线生成及双维度分级精准告警的优点。