CN111866030A - 一种拟态边缘网关的工业协议识别装置及方法 - Google Patents

Abstract

本发明公开了一种拟态边缘网关的工业协议识别装置及方法，装置包括一组执行体，执行体包括控制模块、功能模块、管理模块，控制模块从外部设备获取控制报文，通过解析控制报文对功能模块进行控制和配置，功能模块根据配置接收并统计数据报文，当统计结果发生变化时，通过管理模块将统计结果发送至外部设备；方法包括：S1，控制模块从外部设备获取控制报文；S2，控制模块通过解析控制报文对功能模块进行控制和配置；S3，功能模块根据配置接收并统计数据报文；S4，当功能模块的统计结果发生变化时，通过管理模块将统计结果发送至外部设备。

Description

一种拟态边缘网关的工业协议识别装置及方法

技术领域

本发明涉及网络通讯技术领域，尤其是涉及了一种拟态边缘网关的工业协议识别装置及方法。

背景技术

工业边缘网关在工业互联网中起到承上启下的关键作用，上连云平台，下接工业控制系统，在“端到云”的数据传输方向上，实现对工业现场数据的采集、监控与时间敏感传输，具备对设备各种通信协议解析能力、数据缓存和边缘计算能力，还可解析总线和工业无线协议，最终将数据上送云平台；在“云到端”的数据传输方向上，还支持将云平台训练模型部署到边缘节点的功能，支持工业系统远程控制等功能。同时网络空间正面临着严峻的安全形势，存在大量针对网络空间的恶意攻击事件，另外网络系统复杂，不可避免的存在漏洞，因此网络空间既有来自外部威胁，又与内部安全漏洞问题相互交织，安全风险严峻复杂。在新的网络空间安全形势下，基于先验知识的传统防御手段难以应对各种攻击，需要转变防御思路，定义新的防御边界，巩固防线纵深，从被动迈向内生安全的主动防御。

拟态边缘网关通过拟态系统实现内生安全，同时基于对内容分析的需求，边缘网关需要能识别出进入工控领域的各种工业协议报文，以提前发现未知非法操作的报文。由于拟态边缘网关上存在多个执行体，所以远端设备无法通过远程模式登录到特定的执行体上控制该执行体的工业协议识别装置开关和其它配置。且传统的工业协议识别软件协议识别内容和协议识别方法都是紧密耦合，导致工程人员增加一种新的工业协议难度较大。

发明内容

为解决现有技术的不足，实现工业协议识别在拟态网关设备上快速部署目的，本发明采用如下的技术方案：

一种拟态边缘网关的工业协议识别装置，包括一组执行体，其特征在于执行体包括控制模块、功能模块、管理模块，控制模块从外部设备获取控制报文，通过解析控制报文获取配置文件，控制功能模块的开启和关闭，并将配置文件发送给功能模块，功能模块通过解析出配置文件中的网络接口获取数据报文并统计数据报文，当统计结果发生变化时，通过管理模块将统计结果发送至外部设备。由于所有执行体对外呈现的是一个执行体，所以外部设备无法通过远程登录到拟态边缘网关系统的特定执行体上，对该执行体上的工业协议识别软件进行配置和开关控制，而通过本申请所述识别装置，以一种基于报文控制的模式，来达到远程控制和配置工业协议识别装置的目的。

所述控制模块包括套接字，套接字用于监听所有物理接口，套接字绑定特定端口号，用于获取与特定端口号匹配的控制报文。外部用户或者管理员可以通过外部设备从任何接口对执行体发送控制报文，所有的接口都可以作为管理口使用，使用起来更加灵活。

所述配置文件还包括工业协议名和对应的识别内容，所述功能模块包括识别链表，功能模块将工业协议名和对应的识别内容保存至识别链表，并为工业协议名初始化对应的统计值，将接收到的数据报文内容与识别内容做比较，如果内容匹配，则比较识别链表之前是否存在与当前识别内容相同的工业协议同名，如果存在，则对识别链表中最靠前的同名工业协议名对应的统计值递增一次，否则对当前工业协议名对应的统计值递增一次，对于一个协议多个识别内容，即匹配规则，把所有统计结果都统计到第一个工业协议上，可以避免重复，如果内容不匹配，则查询识别链表是否为空，不为空时继续执行后续匹配，为空时获取下一个数据报文的进行匹配。相较传统的定时周期查询，无法统计前一个查询周期开始到现在工业协议识别功能模块的统计结果，管理模块在功能模块中的数据变化时才接收更新数据，避免频繁查询，节省资源；同时，将协议内容和协议识别工作进行解耦，协议内容可以在配置文件中进行填写，协议识别开发人员可以不用了解协议识别原理，只要提取协议识别内容，并填写到配置文件即可，提高了开发新的工业协议识别的工作效率。

一种拟态边缘网关的工业协议识别方法，包括如下步骤：

S1，控制模块从外部设备获取控制报文；

S2，控制模块通过解析控制报文获取配置文件，控制功能模块的开启和关闭，并将配置文件发送给功能模块；

S3，功能模块通过解析出配置文件中的网络接口获取数据报文并统计数据报文；

S4，当功能模块的统计结果发生变化时，通过管理模块将统计结果发送至外部设备。

由于所有执行体对外呈现的是一个执行体，所以外部设备无法通过远程登录到拟态边缘网关系统的特定执行体上，对该执行体上的工业协议识别软件进行配置和开关控制，而通过本申请所述识别装置，以一种基于报文控制的模式，来达到远程控制和配置工业协议识别装置的目的。

所述S1，控制模块创建套接字，用于监听所有物理接口，套接字绑定特定端口号，用于获取与特定端口号匹配的控制报文。外部用户或者管理员可以通过外部设备从任何接口对执行体发送控制报文，所有的接口都可以作为管理口使用，使用起来更加灵活。

功能模块通过解析出配置文件中的网络接口从二层协议栈中复制原始数据报文。二层原始数据报文包含以太报文的所有信息，只有包含所有信息解析分析的内容才完整，而数据报文与功能模块分别处于内核空间和用户空间，因此从内核空间的二层协议栈中复制原始报文至用户空间的功能模块，功能模块才能获取最完整的数据报文，且通过复制不影响系统的正常功能。

所述S3，功能模块将配置文件中的工业协议名和对应的识别内容保存至识别链表，并为工业协议名初始化对应的统计值，将接收到的数据报文内容与识别内容做比较，如果内容匹配，则比较识别链表之前是否存在与当前识别内容相同的工业协议名，如果存在，则对识别链表中最靠前的同名工业协议名对应的统计值递增一次，否则对当前工业协议名对应的统计值递增一次，对于一个协议多个识别内容，即匹配规则，把所有统计结果都统计到第一个工业协议上，可以避免重复，如果内容不匹配，则查询识别链表是否为空，不为空时继续执行后续匹配，为空时获取下一个数据报文的进行匹配。相较传统的定时周期查询，无法统计前一个查询周期开始到现在工业协议识别功能模块的统计结果，管理模块在功能模块中的数据变化时才接收更新数据，避免频繁查询，节省资源；同时，将协议内容和协议识别工作进行解耦，协议内容可以在配置文件中进行填写，协议识别开发人员可以不用了解协议识别原理，只要提取协议识别内容，并填写到配置文件即可，提高了开发新的工业协议识别的工作效率。

本发明的优势和有益效果在于：

本申请能够基于报文控制模式，通过报文命令对协议识别软件进行控制，解决拟态边缘网关设备无法通过远程控制和配置协议识别装置的问题，同时，通过文本的方式将协议内容和协议识别工作进行解耦，协议识别开发人员可以不用了解协议识别原理，只要提取协议识别内容，并填写到配置文件即可，解决工程人员无法增减所需要识别的工业协议的问题，提高了开发新的工业协议识别的工作效率。

附图说明

图1是传统拟态系统工作原理图。

图2是本发明的拟态系统工作原理程图。

图3是本发明中工业协议识别功能模块和工业协议识别管理模块工作流程图。

图4是本发明中工业协议识别功能模块报文处理的流程图。

具体实施方式

以下结合附图对本发明的具体实施方式进行详细说明。应当理解的是，此处所描述的具体实施方式仅用于说明和解释本发明，并不用于限制本发明。

如图1所示，传统的拟态边缘网关系统主要包括输入代理模块、执行体和输出代理模块，输入代理模块将输入的报文分发给每个执行体，执行体接收到报文后将报文传递给应用程序，同时将报文通过输出代理模块输出一份归一化的报文。由于所有执行体对外呈现的是一个执行体，所以外部无法通过远程登录到拟态边缘网关系统的特定执行体上，对该执行体上的工业协议识别软件进行配置和开关控制。

如图2所示，本申请是采用的拟态边缘网关的工业协议识别装置及方法，其执行体包括工业协议识别控制模块、工业协议识别功能模块和工业协议识别管理模块，通过工业协议识别控制模块对工业协议识别功能模块进行控制和配置，例如控制协议识别功能的开关、配置采集流量的物理端口等，工业协议识别功能模块根据工业协议识别控制模块指定的端口，识别和统计该接口下工业协议报文。

拟态边缘网关上的所有执行体启动后，会启动工业协议识别控制模块，即启动一个守护进程，守护进程会创建UDP类型的套接字（绑定特定的端口号），该套接字会监听执行体上的所有物理接口，物理接口是拟态系统的物理网口（如路由器上的网络接口），监听所有物理网口的好处是外部用户或者管理员可以从任何接口对执行体发送控制报文，这样所有的接口都可以作为管理口使用，使用起来更加灵活。

当输入代理接收到控制报文之后（守护进程特定端口号的UDP报文）会将该报文分发给所有执行体。在拟态系统中，执行体上应用（如工业协议识别装置）无法感知到输出/输出代理，输入/输出代理也不会感知到执行体上的应用，输入代理收到报文后不做任何处理会直接将报文分发给各个执行体，执行体（如linux操作系统）收到报文后会在网络协议栈处理中判定该报文是否有应用接收，如果有（如守护进程接收的报文与该报文的物理端口MAC、IP地址、UDP端口号等都匹配），则执行体上的操作系统网络协议栈会将该报文数据内容传递给该应用（如守护进程）。

执行体上的守护进程会解析该控制报文的内容，控制工业协议识别功能模块的启动和关闭，获取工业协议识别功能模块启动时所监听的物理端口。当工业协议识别功能模块将识别结果发送给工业协议识别管理模块后，工业协议识别管理模块通过报文方式发送给远端设备，即将识别到的工业协议名和其统计结果发送给外部设备。从而以一种基于报文控制的模式，来达到远程控制和配置工业协议识别装置的目的。

如图3所示，当守护进程接收到外部发送过来的启动报文后，守护进程会解析启动报文中的配置文件，然后启动工业协议识别功能模块，并将配置文件（例如需要获取报文的网络接口等）发送给工业协议识别功能模块，工业协议识别功能模块启动后，开始从配置文件指定的网络接口接收报文，由于工业协议识别功能模块、工业协议识别管理模块都是在用户空间的应用进程，但最原始的报文是在内核空间的二层协议栈中，二层原始数据报文包含以太报文的所有信息，如二层以太头、三层IP头信息等，只有包含所有信息解析分析的内容才完整，如POWERLINK协议是基于二层的工业协议，其识别是通过二层的以太类型进行判定的，因此需要将指定网络接口的二层协议栈中的原始报文复制一份给用户空间的工业协议识别功能模块，工业协议识别功能模块对报文做解析、识别和统计，同时不影响系统的正常功能，传统的拟态系统不对报文做解析、识别和统计，当识别统计结果有变化时将统计结果发送给工业协议识别管理模块。

如图4所示，工业协议识别功能模块启动后，会读取并解析配置文件，将解析到的工业协议名和对应的识别内容存储到识别链表中，然后将所有需要识别的工业协议的统计值，即报文个数都初始化为0（存在重名的工业协议只统计第一个），随后，开始从配置文件指定的网络接口获取报文，每接收到一个报文，都会将报文内容和识别链表中的识别内容做比较，如果完全匹配，则比较识别链表之前是否存在与当前识别内容对应的工业协议同名的识别内容，如果存在（表示该工业协议存在多条匹配规则），则对最靠前的同名工业协议的统计值加1，即对第一个同名工业协议对应的报文个数加1，否则当前识别内容对应的工业协议的统计值加1，即报文个数加1。对于一个协议多个匹配规则的，把所有统计结果都统计到第一个上，可以避免重复。如果内容匹配不成功，查询当前匹配的识别链表是否为空，如果不为空表示后面还有匹配规则，则继续执行之后的匹配。如果为空表示所有匹配规则都已比较完毕，代表该报文不是需要识别的报文，则开始下一个报文的匹配。当报文的统计结果发生变化时，工业协议识别功能模块会将统计结果值发送给工业协议识别管理模块。

相较传统的定时周期查询，工业协议识别管理模块中的统计结果值都是工业协议识别功能模块前一个周期获取的最新统计结果，而从前一个查询周期开始到现在工业协议识别功能模块的统计结果统计不到，只能在下一个查询周期到时才能获取到。与定时周期查寻的方法相比，本方法采用变化时同步方法，类似发布订阅的机制，工业协议识别管理模块只有在工业协议识别功能模块中数据变化后才接收更新数据，在保证工业协议识别管理模块中协议统计结果和工业协议识别功能模块中的结果是一致的同时，避免频繁查询，节省资源。同时，该方法协议内容在配置文件中进行填写，协议识别开发人员可以不用了解协议识别原理，只要提取协议识别内容，并填写到配置文件即可，提高了开发新的工业协议识别的工作效率。

本识别装置可以应用于工业协议及子协议的识别和统计，也可以应用到普通边缘网关设备上。

以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明实施例技术方案的范围。

Claims (7)

1.一种拟态边缘网关的工业协议识别装置，包括一组执行体，其特征在于执行体包括控制模块、功能模块、管理模块，控制模块从外部设备获取控制报文，通过解析控制报文获取配置文件，控制功能模块的开启和关闭，并将配置文件发送给功能模块，功能模块通过解析出配置文件中的网络接口获取数据报文并统计数据报文，当统计结果发生变化时，通过管理模块将统计结果发送至外部设备。

2.如权利要求1所述的一种拟态边缘网关的工业协议识别装置，其特征在于所述控制模块包括套接字，套接字用于监听所有物理接口，套接字绑定特定端口号，用于获取与特定端口号匹配的控制报文。

3.如权利要求1所述的一种拟态边缘网关的工业协议识别装置，其特征在于所述配置文件还包括工业协议名和对应的识别内容，所述功能模块包括识别链表，功能模块将工业协议名和对应的识别内容保存至识别链表，并为工业协议名初始化对应的统计值，将接收到的数据报文内容与识别内容做比较，如果内容匹配，则比较识别链表之前是否存在与当前识别内容相同的工业协议同名，如果存在，则对识别链表中最靠前的同名工业协议名对应的统计值递增一次，否则对当前工业协议名对应的统计值递增一次，如果内容不匹配，则查询识别链表是否为空，不为空时继续执行后续匹配，为空时获取下一个数据报文的进行匹配。

4.一种拟态边缘网关的工业协议识别方法，其特征在于包括如下步骤：

S1，控制模块从外部设备获取控制报文；

S2，控制模块通过解析控制报文获取配置文件，控制功能模块的开启和关闭，并将配置文件发送给功能模块；

S3，功能模块通过解析出配置文件中的网络接口获取数据报文并统计数据报文；

S4，当功能模块的统计结果发生变化时，通过管理模块将统计结果发送至外部设备。

5.如权利要求4所述的一种拟态边缘网关的工业协议识别方法，其特征在于所述S1，控制模块创建套接字，用于监听所有物理接口，套接字绑定特定端口号，用于获取与特定端口号匹配的控制报文。

6.如权利要求4所述的一种拟态边缘网关的工业协议识别方法，其特征在于功能模块通过解析出配置文件中的网络接口从二层协议栈中复制原始数据报文。

7.如权利要求4所述的一种拟态边缘网关的工业协议识别方法，其特征在于所述S3，功能模块将配置文件中的工业协议名和对应的识别内容保存至识别链表，并为工业协议名初始化对应的统计值，将接收到的数据报文内容与识别内容做比较，如果内容匹配，则比较识别链表之前是否存在与当前识别内容相同的工业协议名，如果存在，则对识别链表中最靠前的同名工业协议名对应的统计值递增一次，否则对当前工业协议名对应的统计值递增一次，如果内容不匹配，则查询识别链表是否为空，不为空时继续执行后续匹配，为空时获取下一个数据报文的进行匹配。

Images