CN106302397A - 一种基于设备指纹的设备识别系统 - Google Patents

Abstract

本发明属于网络准入控制技术领域，具体涉及一种基于设备指纹的设备识别系统，其中，设备指纹信息包括设备的硬件信息、操作系统信息和应用服务信息；该系统包括：设备指纹库，设备发现模块、设备指纹采集模块、设备指纹处理模块、设备指纹匹配模块和人工识别模块，所述设备指纹信息包括设备的MAC OUI硬件信息、操作系统信息和为端口列表的应用服务信息；所述指纹库的格式为：MAC OUI，操作系统信息，端口列表，设备类型；设备指纹采集模块其包括：操作系统指纹信息和端口指纹信息。该系统不但可以通过设备类型对网络设备进行网络准入控制，对不同的设备制定不同的安全策略，而且可以防止设备的伪装，保护企业网络的安全。

Description

一种基于设备指纹的设备识别系统

技术领域

本发明属于网络准入控制技术领域，具体涉及一种基于设备指纹的设备识别系统。

背景技术

随着科技的进步，网络中接入设备的数量和种类也越来越多，已经不单单是我们常见的个人电脑等设备，比如移动设备，哑终端设备等已经是一个企业不可或缺的办公设备，这些设备的出现给一个企业带来了极大的便利，使得工作的效率更加的高效。但是，这些非PC设备的加入除了给企业网络带来便利的同时，也给网络的安全造成了一定的威胁，因为在传统的网络准入控制技术中，都是要求PC设备安装客户端，通过客户端对设备进行安检，如果PC设备符合制定的安全规范，则可以接入网络，否则直接拒绝PC设备接入网络，或者对PC设备进行身份认证，如果认证通过，则PC设备可以接入网络，否则拒绝PC设备接入网络，通过这种网络准入的方法达到保护网络安全的目的。而哑终端设备，比如网络打印机，网络摄像头等是无法安装客户端和进行身份认证的，因此这些设备默认就可以之间接入网络，因此，这些设备也成为了网络安全的盲点，比如，攻击者可以人为的把攻击设备的IP和MAC地址设置为哑终端的IP和MAC地址，这样就伪装成了一个哑终端直接接入网络，潜在安全风险极大。因此，如何设计一种设备类型进行网络准入控制成为本领域亟需解决的技术问题。

发明内容

本发明针对现有技术的不足，提出了一种基于设备指纹的设备识别系统，该系统不但可以通过设备类型对网络设备进行网络准入控制，对不同的设备制定不同的安全策略，而且可以防止设备的伪装，保护企业网络的安全。

为解决上述技术问题，本发明采取的技术方案为：

一种基于设备指纹的设备识别系统，其中，设备指纹信息包括设备的MAC OUI硬件信息、操作系统信息和为端口列表的应用服务信息；其特征在于，包括：设备指纹库，所述设备指纹库用于匹配获取的设备指纹信息；设备发现模块，用于截获终端发送到所述识别系统的报文信息，通过分析报文信息，创建终端节点，并记录终端信息，其中，所述终端信息包括IP地址和MAC地址；设备指纹采集模块，用于采集设备的指纹信息，其包括：操作系统指纹信息和端口指纹信息；设备指纹处理模块，用于处理设备指纹的原始信息，对MAC地址、操作系统信息和端口列表信息的处理，其中，MAC地址处理：提取MAC地址的前3个字节的信息，该信息代表了该 MAC地址所属的厂商信息，即MAC OUI；操作系统信息处理：通过把获取到的操作系统的指纹信息到操作系统指纹库中进行匹配，如果匹配成功，则获取到设备安装的具体的操作系统类型，如果匹配不成功，则说明操作系统指纹库中没有该指纹信息；端口列表信息处理：把该设备的端口组合成一个端口列表，把该端口列表作为该设备的端口列表信息指纹；设备指纹匹配模块：用于匹配设备的指纹，在设备指纹库中查询该设备的指纹信息，如果匹配了设备指纹库中的某条指纹，则把该设备的设备类型标识为成功匹配的设备类型，如果没有匹配成功，该设备的指纹信息将由人工识别模块处理；人工识别模块，用于处理未成功识别的设备类型，如果某个设备的指纹信息在设备指纹库中没有匹配成功，人工识别模块将会通知系统管理员，把该指纹设置为具体的某类设备类型，并把该指纹信息和设备类型加入到所述设备指纹库中。

发明人发现，根据本发明实施例的该系统，不但可以通过设备类型对网络设备进行网络准入控制，对不同的设备制定不同的安全策略，而且可以防止设备的伪装，保护企业网络的安全。

根据本发明的实施例，所述MAC地址的前3个字节是IEEE为各厂商分配的MAC地址段。

根据本发明的实施例，所述操作系统信息为操作系统类型，操作系统的TCP/IP协议栈为操作系统信息指纹。

根据本发明的实施例，所述应用服务信息为设备上处于开放的端口列表。

根据本发明的实施例，所述设备指纹库的格式为：MAC OUI，操作系统信息，端口列表，设备类型。

根据本发明的实施例，所述操作系统信息处理中，对于这类操作系统指纹库中没有的操作系统指纹信息，通过对其进行HASH算法处理，得到一个MD5值，把该MD5作为该操作系统的最终指纹信息。

在本发明的另一方面，提供了一种利用前面所述系统进行设备识别的方法，根据本发明的实施例，包括以下步骤：

（1）在所述识别系统上存储了一份设备指纹库，用于匹配获取的设备指纹；

（2）当设备接入网络后，所述识别系统将会发现该设备，然后会对该设备进行指纹信息的提取，通过提取的指纹信息与所述设备指纹库的信息进行匹配处理；

（3）当提取到的设备指纹信息与设备指纹库的信息匹配成功时，就会识别出该设备的具体设备类型；如果没有匹配成功，该设备指纹信息将交由管理员，由管理员给该未识别的指纹信息指定一个设备类型，并把该指纹信息和设备类型加入到设备指纹库中，当某个攻击终端想伪造该终端入网时，将会被设备识别系统拒绝。

本发明至少具有以下有益效果：

（1）可以通过设备类型对网络设备进行网络准入控制，对不同的设备制定不同的安全策略；

（2）可以防止设备的伪装，保护企业网络的安全。

附图说明

图1为本发明设备识别系统拓扑图。

图2为本发明设备发现模块流程图。

图3为本发明设备指纹采集模块流程图。

图4为本发明设备指纹匹配模块流程图。

图5为本发明设备识别系统功能模块示意图。

具体实施方式

为了使本领域技术人员更好地理解本发明的技术方案，下面结合具体实施例对本发明作进一步的详细说明。下面描述的实施例是示例性的，仅用于解释本发明，而不能理解为对本发明的限制。实施例中未注明具体技术或条件的，按照本领域内的文献所描述的技术或条件或者按照产品说明书进行。

本发明提出了一种基于设备指纹的设备识别系统，根据本发明的实施例，包括：设备指纹信息，所述设备指纹信息包括设备的硬件信息、操作系统信息和应用服务信息，所述设备识别系统通过把硬件层指纹，操作系统层指纹和应用层指纹的叠加组合，就能精确识别出设备的类型；设备指纹库，所述指纹库的格式为：MAC OUI，操作系统信息，端口列表，设备类型，用于匹配获取的设备指纹信息；图5为本发明设备识别系统功能模块示意图，具体参照图5所示。

设备发现模块，图2为本发明设备发现模块流程图，参照图2所示，根据本发明的实施例，截获终端发送到所述识别系统的报文信息，通过分析报文信息，根据所述IP地址和查找该终端是否存在，如果查找结果为存在，则结束本模块，如果查找结果为不存在，则创建终端节点，并记录该终端的信息，其中，终端信息包括IP地址和MAC地址，然后结束本模块。

设备指纹采集模块，图3为本发明设备指纹采集模块流程图，参照图3所示，根据本发明的实施例，用于采集设备的指纹信息，其包括：操作系统指纹信息和端口指纹信息；其中，所述识别系统先进行端口扫描处理，记录设备处于开放的端口值，获取TCP协议特征、UDP协议特征和ICMP协议特征，根据所述TCP协议特征、UDP协议特征和ICMP协议特征在所述操作系统指纹库中进行匹配操作，如果匹配成功，则设置该设备的操作系统类型，结束本模块，如果匹配失败，则对操作系统指纹信息做HASH算法处理，结束本模块。

设备指纹处理模块，用于处理设备指纹的原始信息，对MAC地址、操作系统信息和端口列表信息的处理。

设备指纹匹配模块，图4为本发明设备指纹匹配模块流程图，参照图4所述，用于匹配设备的指纹，根据本发明的实施例，先读取设备指纹信息，然后在设备指纹库中查找该设备的指纹信息，如果匹配了设备指纹库中的某条指纹，则把该设备的设备类型标识为成功匹配的设备类型，结束本模块，如果没有匹配成功，该设备的指纹信息将由人工识别模块处理，把设备指纹信息与设备类型的对应关系保存到设备识别数据库中，设置设备的设备类型，结束本模块。

人工识别模块，用于处理未成功识别的设备类型，如果某个设备的指纹信息在设备指纹库中没有匹配成功，人工识别模块将会通知系统管理员，把该指纹设置为具体的某类设备类型，并把该指纹信息和设备类型加入到所述设备指纹库中。

发明人发现，根据本发明实施例的该系统，不但可以通过设备类型对网络设备进行网络准入控制，对不同的设备制定不同的安全策略，而且可以防止设备的伪装，保护企业网络的安全。

根据本发明的实施例，图1为本发明设备识别系统拓扑图，参照图1所示，具体包括若干终端设备，交换机和设备识别系统。

（1）当终端设备接入网络时，它的报文信息被所述设备识别系统截取；

（2）所述设备识别系统会对该终端设备进行扫描以获取设备指纹信息；

（3）所述设备识别系统识别出该设备的类型后，会在系统中记录该设备的类型；

（4）当某个攻击终端想伪造该终端入网时，将会被设备识别系统拒绝。

根据本发明的实施例，所述硬件信息的具体种类不受限制，根据本发明的一些实施例，本发明为MAC OUI，即MAC地址厂商的信息；所述MAC地址处理：通过抓取设备发送的报文信息，提取报文以太网头部的源MAC地址，对于MAC地址，因为MAC地址的前3个字节是IEEE为各厂商分配的MAC地址段，所以设备识别系统只提取它的前3个字节的信息。

根据本发明的实施例，所述操作系统信息的具体种类不受限制，根据本发明的一些实施例，本发明所述操作系统信息为操作系统类型，本发明可以为Windows7、WindowsXP、Windows8或Red Hat Linux的一种或多种；对于每种不同的操作系统，或者同一种操作系统的不同版本来说，它的TCP/IP协议栈、的实现方式都有很大的不同，因此，只要找出操作系统的TCP/IP协议栈的不同，这些不同的特征就是操作系统的指纹信息。

根据本发明的实施例，所述操作系统信息处理：通过把获取到的操作系统的指纹信息到操作系统指纹库中进行匹配，如果匹配成功，则获取到设备安装的具体的操作系统类型，如果匹配不成功，则说明操作系统指纹库中没有该指纹信息，对于这类操作系统指纹库中没有的操作系统指纹信息，通过对其进行HASH算法处理，得到一个MD5值，把该MD5作为该操作系统的最终指纹信息。

根据本发明的实施例，对于不同的设备，都会运行着不同的服务，即分配给该应用服务的端口是处于开放状态的，通过获取这些开放的端口，然后把这些处于开放状态的端口值组合成一个端口列表，这个端口列表就是该设备的应用服务指纹信息。

在本发明的另一方面，本发明提供了一种利用所述的系统进行设备识别的方法，根据本发明的实施例，包括以下步骤：

（1）在所述识别系统上存储了一份设备指纹库，用于匹配获取的设备指纹。

根据本发明的实施例，所述指纹库的格式为：MAC OUI，操作系统信息，端口列表，设备类型，用于匹配获取的设备指纹信息。

设备发现模块，图2为本发明设备发现模块流程图，参照图2所示，根据本发明的实施例，截获终端发送到所述识别系统的报文信息，通过分析报文信息，根据所述IP地址和查找该终端是否存在，如果查找结果为存在，则结束本模块，如果查找结果为不存在，则创建终端节点，并记录该终端的信息，其中，终端信息包括IP地址和MAC地址，然后结束本模块。

根据本发明的实施例，所述硬件信息的具体种类不受限制，根据本发明的一些实施例，本发明为MAC OUI，即MAC地址厂商的信息；所述MAC地址处理：通过抓取设备发送的报文信息，提取报文以太网头部的源MAC地址，对于MAC地址，因为MAC地址的前3个字节是IEEE为各厂商分配的MAC地址段，所以设备识别系统只提取它的前3个字节的信息。

（2）当设备接入网络后，所述识别系统将会发现该设备，然后会对该设备进行指纹信息的提取，通过提取的指纹信息与所述设备指纹库的信息进行匹配处理。

设备指纹采集模块，图3为本发明设备指纹采集模块流程图，参照图3所示，根据本发明的实施例，用于采集设备的指纹信息，其包括：操作系统指纹信息和端口指纹信息；其中，所述识别系统先进行端口扫描处理，记录设备处于开放的端口值，获取TCP协议特征、UDP协议特征和ICMP协议特征，根据所述TCP协议特征、UDP协议特征和ICMP协议特征在所述操作系统指纹库中进行匹配操作，如果匹配成功，则设置该设备的操作系统类型，结束本模块，如果匹配失败，则对操作系统指纹信息做HASH算法处理，结束本模块。

设备指纹处理模块，用于处理设备指纹的原始信息，对MAC地址、操作系统信息和端口列表信息的处理。

设备指纹匹配模块，图4为本发明设备指纹匹配模块流程图，参照图4所述，用于匹配设备的指纹，根据本发明的实施例，先读取设备指纹信息，然后在设备指纹库中查找该设备的指纹信息，如果匹配了设备指纹库中的某条指纹，则把该设备的设备类型标识为成功匹配的设备类型，结束本模块，如果没有匹配成功，该设备的指纹信息将由人工识别模块处理，把设备指纹信息与设备类型的对应关系保存到设备识别数据库中，设置设备的设备类型，结束本模块。

（3）当提取到的设备指纹信息与设备指纹库的信息匹配成功时，就会识别出该设备的具体设备类型；如果没有匹配成功，该设备指纹信息将交由管理员，由管理员给该未识别的指纹信息指定一个设备类型，并把该指纹信息和设备类型加入到设备指纹库中，当某个攻击终端想伪造该终端入网时，将会被设备识别系统拒绝。

人工识别模块，用于处理未成功识别的设备类型，如果某个设备的指纹信息在设备指纹库中没有匹配成功，人工识别模块将会通知系统管理员，把该指纹设置为具体的某类设备类型，并把该指纹信息和设备类型加入到所述设备指纹库中。

根据本发明的实施例，所述操作系统信息处理：通过把获取到的操作系统的指纹信息到操作系统指纹库中进行匹配，如果匹配成功，则获取到设备安装的具体的操作系统类型，如果匹配不成功，则说明操作系统指纹库中没有该指纹信息，对于这类操作系统指纹库中没有的操作系统指纹信息，通过对其进行HASH算法处理，得到一个MD5值，把该MD5作为该操作系统的最终指纹信息。

发明人发现，根据本发明实施例的该系统，不但可以通过设备类型对网络设备进行网络准入控制，对不同的设备制定不同的安全策略，而且可以防止设备的伪装，保护企业网络的安全。

在本说明书的描述中，参考术语“一个实施例”、“一些实施例”、“示意性实施例”、“示例”、“具体示例”或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

尽管上面已经示出和描述了本发明的实施例，可以理解的是，上述实施例是示例性的，不能理解为对本发明的限制，本领域的普通技术人员在本发明的范围内可以对上述实施例进行变化、修改、替换和变型，同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处。

Claims (7)

1.一种基于设备指纹的设备识别系统，其中，

设备指纹信息包括设备的MAC OUI硬件信息、操作系统信息和为端口列表的应用服务信息；其特征在于，包括：

设备指纹库，所述设备指纹库用于匹配获取的设备指纹信息；

设备发现模块，用于截获终端发送到所述识别系统的报文信息，通过分析报文信息，创建终端节点，并记录终端信息，其中，所述终端信息包括IP地址和MAC地址；

设备指纹采集模块，用于采集设备的指纹信息，其包括：操作系统指纹信息和端口指纹信息；

设备指纹处理模块，用于处理设备指纹的原始信息，对MAC地址、操作系统信息和端口列表信息的处理，其中，MAC地址处理：提取MAC地址的前3个字节的信息，该信息代表了该MAC地址所属的厂商信息，即MAC OUI；操作系统信息处理：通过把获取到的操作系统的指纹信息到操作系统指纹库中进行匹配，如果匹配成功，则获取到设备安装的具体的操作系统类型，如果匹配不成功，则说明操作系统指纹库中没有该指纹信息；端口列表信息处理：把该设备的端口组合成一个端口列表，把该端口列表作为该设备的端口列表信息指纹；

设备指纹匹配模块：用于匹配设备的指纹，在设备指纹库中查询该设备的指纹信息，如果匹配了设备指纹库中的某条指纹，则把该设备的设备类型标识为成功匹配的设备类型，如果没有匹配成功，该设备的指纹信息将由人工识别模块处理；

人工识别模块，用于处理未成功识别的设备类型，如果某个设备的指纹信息在设备指纹库中没有匹配成功，人工识别模块将会通知系统管理员，把该指纹设置为具体的某类设备类型，并把该指纹信息和设备类型加入到所述设备指纹库中。

2.根据权利要求1所述的系统，其特征在于，所述MAC地址的前3个字节是IEEE为各厂商分配的MAC地址段。

3.根据权利要求1所述的系统，其特征在于，所述操作系统信息为操作系统类型，操作系统的TCP/IP协议栈为操作系统信息指纹。

4.根据权利要求1所述的系统，其特征在于，所述应用服务信息为设备上处于开放的端口列表。

5. 根据权利要求1所述的系统，其特征在于，所述设备指纹库的格式为：MAC OUI，操作系统信息，端口列表，设备类型。

6.根据权利要求1所述的系统，其特征在于，所述操作系统信息处理中，对于这类操作系统指纹库中没有的操作系统指纹信息，通过对其进行HASH算法处理，得到一个MD5值，把该MD5作为该操作系统的最终指纹信息。

7.一种利用所述权利要求1-6中任一项所述的系统进行设备识别的方法，其特征在于，包括以下步骤：

（1）在所述识别系统上存储了一份设备指纹库，用于匹配获取的设备指纹；

（2）当设备接入网络后，所述识别系统将会发现该设备，然后会对该设备进行指纹信息的提取，通过提取的指纹信息与所述设备指纹库的信息进行匹配处理；

（3）当提取到的设备指纹信息与设备指纹库的信息匹配成功时，就会识别出该设备的具体设备类型；如果没有匹配成功，该设备指纹信息将交由管理员，由管理员给该未识别的指纹信息指定一个设备类型，并把该指纹信息和设备类型加入到设备指纹库中，当某个攻击终端想伪造该终端入网时，将会被设备识别系统拒绝。