(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111386618.2 (22)申请日 2021.11.22 (71)申请人 广东电网有限责任公司 地址 510030 广东省广州市越秀区东 风东 路757号 申请人 广东电网有限责任公司电力调度控 制中心 (72)发明人 黄浩　杨云帆　古振威　卢建刚　 朱文　 (74)专利代理 机构 华进联合专利商标代理有限 公司 44224 代理人 袁武 (51)Int.Cl. H04L 9/40(2022.01) (54)发明名称 基于数据流分析的非法外联监测方法、 装 置、 计算机设备 (57)摘要 本申请涉及基于数据流分析的非法外联监 测方法、 装置、 计算机设备。 所述方法包括： 获取 所监测内部网络中的内网通信数据进行数据特 征检测， 确定待处理的异常内网设备； 根据异常 内网设备的第一通信数据构建第一信息流处理 模型， 基于第一信息流处理模型， 确定第一网络 操作信息； 根据异常内网设备的第二通信数据构 建第二信息流处理模型， 基于第二信息流通信模 型， 确定第二网络操作信息； 若第一网络操作信 息与第二网络操作信息的相似程度满足第一预 设条件， 获取异常内网设备的访问信息检测结 果； 若访问信息检测结果满足第二预设条件， 对 异常内网设备 发送通信告警信息， 以控制异常内 网设备执行安全通信恢复操作。 采用本方法能够 提升内网安全 控制效率。 权利要求书2页 说明书11页 附图3页 CN 114244571 A 2022.03.25 CN 114244571 A 1.一种基于数据流分析的非法外联监测方法， 其特 征在于， 所述方法包括： 获取所监测内部网络中的内网通信数据， 对所述内网通信数据进行数据特征检测， 确 定待处理的异常内网设备； 根据所述异常内网设备的第 一通信数据构建第 一信息流处理模型， 并基于所述第 一信 息流处理模型， 确定第一网络操作信息； 根据所述异常内网设备的第 二通信数据构建第 二信息流处理模型， 并基于所述第 二信 息流通信模型， 确定第二网络操作信息； 若所述第一网络操作信 息与所述第二网络操作信 息的相似程度满足第 一预设条件， 获 取所述异常内网设备的访问信息检测结果； 若所述访问信息检测结果满足第二预设条件， 对所述异常内网设备发送通信告警信 息， 以控制所述异常内网设备 执行安全通信恢复操作。 2.根据权利要求1所述的方法， 其特征在于， 所述根据所述异常内网设备的第 一通信数 据构建第一信息流处 理模型， 包括： 获取针对所述异常内网设备的数据处理区分信 息， 并基于所述数据处理区分信 息建立 数据发送 代理和数据接收代理， 以进行追踪处 理； 将所述数据发送代理绑定至所述异常内网设备的发送节点， 并将所述数据接收代理绑 定至所述异常内网设备的接收节点； 连接所述数据发送 代理和所述数据发送 代理， 得到所述第一信息流处 理模型。 3.根据权利要求2所述的方法， 其特征在于， 所述基于所述数据处理区分信 息建立数据 发送代理和数据接收代理， 以进行追踪处 理， 包括： 确定针对所述发送节点与 所述接收节点的节点链路信 息； 所述节点链路信 息包括节点 间的多个链路以及各 所述链路的信息队列长度； 根据所述节点间的多个链路确定各节点之间的相互位置， 并基于所述各节点之间的相 互位置对各 所述链路的信息队列进行监视 。 4.根据权利要求1所述的方法， 其特征在于， 所述根据所述异常内网设备的第 二通信数 据构建第二信息流处 理模型， 包括： 基于所述第 二通信数据中的联网请求信 令， 确定针对所述异常内网设备的联网接入关 系； 所述联网接入关系通过本地接入操作和核心网鉴权操作建立； 采用所述联网接入关系构建所述第二信息流处 理模型。 5.根据权利要求1所述的方法， 其特征在于， 所述对所述异常内网设备发送通信告警信 息， 以控制所述异常内网设备 执行安全通信恢复操作， 包括： 基于所述通信告警信 息中的通信连接断开指令， 停止所述异常内网设备的当前通信连 接； 所述当前通信连接包括无线连接和有 线连接。 6.根据权利要求1至 5任一项所述的方法， 其特 征在于， 还 包括： 若检测到已执行安全通信恢复操作的内网设备， 再次接入异常网络访 问业务， 确定所 述内网设备的设备代码； 基于所述设备代码， 模拟访问所述内网设备对应的无线连接和有 线连接。 7.一种基于数据流分析的非法外联监测装置， 其特 征在于， 所述装置包括： 内网数据获取模块， 用于获取所监测内部网络中的内网通信数据， 对所述内网通信数权　利　要　求　书 1/2 页 2 CN 114244571 A 2据进行数据特征检测， 确定待处 理的异常内网设备； 第一通信数据处理模块， 用于根据 所述异常内网设备的第 一通信数据构建第 一信息流 处理模型， 并基于所述第一信息流处 理模型， 确定第一网络操作信息； 第二通信数据处理模块， 用于根据 所述异常内网设备的第 二通信数据构建第 二信息流 处理模型， 并基于所述第二信息流 通信模型， 确定第二网络操作信息； 异常通信判断模块， 用于若所述第 一网络操作信 息与所述第二网络操作信 息的相似程 度满足第一预设条件， 获取 所述异常内网设备的访问信息检测结果； 通信告警模块， 用于若所述访 问信息检测结果满足第二预设条件， 对所述异常内网设 备发送通信告警信息， 以控制所述异常内网设备 执行安全通信恢复操作。 8.一种计算机设备， 包括存储器和处理器， 所述存储器存储有计算机程序， 其特征在 于， 所述处 理器执行所述计算机程序时实现权利要求1至 6中任一项所述的方法的步骤。 9.一种计算机可读存储介质， 其上存储有计算机程序， 其特征在于， 所述计算机程序被 处理器执行时实现权利要求1至 6中任一项所述的方法的步骤。 10.一种计算机程序产品， 包括计算机程序， 其特征在于， 该计算机程序被处理器执行 时实现权利要求1至 6中任一项所述的方法的步骤。权　利　要　求　书 2/2 页 3 CN 114244571 A 3