CN107995226A - 一种基于被动流量的设备指纹识别方法 - Google Patents

Abstract

本发明涉及一种基于被动流量的设备指纹识别方法，采用以下步骤：（1）接入网络设备；（2）对获取的网络流量进行数据解析，获取到网络流量之后，对其进行分层拆包解析，获取可以进行识别的信息，分析模块可以将其中的特征提取出来，形成系统的指纹特征；（3）提取特征：解析之后的数据包，变为一系列协议特征数据和用户数据，通过对协议特征数据进行收集，并对用户数据综合进行行为分析，分别形成协议特征数据和行为特征数据，综合提取出设备指纹。本发明的有益效果：非侵入式信息获取；响应速度快；可以进行行为特征分析。

Description

一种基于被动流量的设备指纹识别方法

技术领域

本发明涉及一种设备指纹的识别方法，特别一种基于被动流量的设备指纹识别方法。

背景技术

近年来网络发展规模越来越大，网络中的接入设备、传输设备和主机数量以接近指数的速率增长，尤其是物联网系统中设备类型复杂，设备也难以集中接入。随着设备数量的增长和反侵入意识的不断增强，传统的依赖于主动侵入式的设备指纹获取方式已经越来越难以获取准确的信息。而被动式指纹提取方式通过对网络数据流量进行分层信息提取，并结合设备网络活动的行为综合分析，从而提取出设备指纹。其中，设备指纹是指可以用于唯一标识出该设备的设备特征或者独特的设备标识。

传统的主动式指纹技术大多通过侵入式的方式获取设备的信息，存在以下缺陷：

1.部分探测方式需要安装客户端，难以适应复杂的网络环境。

2.随着用户的反侵入意识和相关反侵入产品的增强，越来越多的主动指纹探测难以有效获取设备信息。

3.只能获取部分预置的特征类型，难以结合设备行为特征进行分析，难以适应复杂的网络应用环境。

发明内容

本发表的目的在于提供一种基于被动流量的设备指纹识别方法，采用纯被动网络数据分析获取设备指纹，无需安装客户端，不会对网络造成侵入影响，适应各种复杂的网络环境；同时结合设备协议特征和行为特种综合分析，获取的设备指纹更准确、更适应复杂的应用环境。

本发明的技术方案是通过以下措施来实现的：

本发明公开了一种基于被动流量的设备指纹识别方法，其特征在于采用以下步骤

（1）接入网络设备，在网络的汇聚或核心交换机上通过配置端口镜像，将网络数据包镜像到本系统，获取网络流量；

（2）对获取的网络流量进行数据解析

获取到网络流量之后，对其进行分层拆包解析，获取可以进行识别的信息，分析模块可以将其中的特征提取出来，形成系统的指纹特征；

（3）提取特征

解析之后的数据包，变为一系列协议特征数据和用户数据，通过对协议特征数据进行收集，并对用户数据综合进行行为分析，分别形成协议特征数据和行为特征数据，综合提取出设备指纹。

上述的识别方法，优选的：所述步骤1中获取网络流量的方式为：通过配置交换机端口镜像间接获取网络流量，或者，通过将设备作为网络设备接入，从而直接获取到网络流量。

上述的识别方法，优选的：所述步骤2中所述的解析分为链路层解析和网络层解析；所述的链路层解析包括ICMP包的解析、IP包的解析和ARP包的解析；所述的网络层解析包括TCP包的解析和UDP包的解析。

上述的识别方法，优选的：所述步骤2所述的分层拆包解析是对网络数据包进行OSI七层模型的逐层分析，获取其所有的网络特征标识。

上述的识别方法，优选的：所述步骤3中，所述的协议特征数据为应用协议所携带的特征值，包括有操作系统、协议、工具、用户环境所使用的语言、字体；所述的行为特征数据为用户使用所述工具的网络活动，包括用户访问的网站、用户的id、访问网络的时段。

被动指纹识别的基础是网络流量，只有获取到网络流量，才能对其内容进行深入解析并提取其中的设备标识信息和行为特征，从而综合为设备指纹。

本方案关键点在于通过对网络数据包的深入解析和特征分析，从而汇总出设备的各项特征，从而综合形成设备指纹。设备指纹的提取关键在于数据包的解析过程和对解析后数据的分析和提取，所以本方案的关键点在于数据包解析和特征信息提取过程。

本发明的有益效果：

1.非侵入式信息获取，所有信息的获取都是通过被动数据分析而来，不会对现有网络环境造成影响，也不会受到防火墙、ids等设备的影响

2.响应速度快，对于设备发生伪冒的情况，可以迅速识别出设备的特征变化，从而快速提出报警。

3.行为特征分析，通过被动数据分析，可以获取设备网络活动的行为特征，这是主动指纹所难以达到的。

4.现有一网络，想要对网络中的设备进行唯一的标识，通过本方案可以方便的达成。在网络的汇聚或核心交换机上通过配置端口镜像，将网络数据包镜像到本系统。经过系统对网络数据包的解析和分析汇总，可以获取每个网络设备的设备指纹，从而可以唯一的标识出网络设备。对于网络中存在的冒用等情况，可以迅速且准确的提出报警。

附图说明

图1为本发明具体实施例的流程图。

具体实施方式

下面结合具体实施例来详细说明本专利的识别方法和效果。如图1所示。

1.流量获取

端口镜像（port Mirroring）功能是通过在交换机或路由器上，将一个或多个源端口的数据流量转发到某一个指定端口来实现对网络的监听，指定端口称之为“镜像端口”或“目的端口”，在不严重影响源端口正常吞吐流量的情况下，可以通过镜像端口对网络的流量进行监控分析。在企业中用镜像功能，可以很好地对企业内部的网络数据进行监控管理，在网络出故障的时候，可以快速地定位故障。

市面上大多数的网管型交换机均支持端口镜像功能，因而非常利于部署。而且该技术已经成熟稳定，可以在不改变网络结构的情况下实现对网络的数据监听，部署起来可靠稳定，即使设备出现故障也不会对网络造成大规模影响。

在网络中的网管型交换机上部署好端口镜像之后，便可以将流经该交换机的网络数据拷贝至服务器，服务器进而可以对这些网络包进行数据解析。

2.数据解析

系统获取到网络流量之后，便是对其进行分层拆包解析，获取可以进行识别的信息。本方案通过对网络数据包进行OSI七层模型的逐层分析，获取其所有的网络特征标识。例如，通过对网络层的解析，可以获取到源IP地址、目标IP地址、TTL、传输层协议类型等信息。通过对传输层解析，可以获取到服务端口等信息。以TCP包为例，解析后的数据结构如下所示：

struct PacketDataTcp

{

PacketDataIp *pd_ip; // 网络层信息

uint32_t payload_len;

uint16_t port_src; // 源端口号

uint16_t port_dst; // 目标端口号

uint32_t seq; // 序列号

uint32_t seq_ack; // 响应序列号

uint8_t tcphdr_len; // tcp头长度，包含选项

bool urg; // urg flag

bool ack; // ack flag

bool psh; // psh flag

bool rst; // rst flag

bool syn; // syn flag

bool fin; // fin flag

uint16_t window; // window

uint16_t window_actual; // window和windowscale计算后的结果

//bool checksum_ok; // 校验和是否正确

uint16_t urg_ptr; // 紧急指针

uint8_t opt_len; // tcp选项长度

uint8_t opt_count; // tcp选项个数

bool bad_opt; // tcp选项中存在错误

bool bad_opt_eol; // tcp选项EOL错误

vector<uint8_t> opt_types; // tcp选项类型列表

uint8_t opt_eol; // EOL选项个数

uint16_t opt_mss; // MSS大小

uint8_t opt_wscale; // WINDOW SCALE大小

uint32_t opt_ts_val; // 时间戳

uint32_t opt_ts_ecr; // 响应时间戳

bool opt_sack_permitted; // 支持SACK

uint32_t opt_sack; // SACK个数(一个为一组left + right)

};

一个TCP包经过解析，就变为以上可以直接进行分析的数据结构，其中包含了大量系统协议栈的特征信息，分析模块可以将其中的特征提取出来，形成系统的指纹特征。

3.提取特征

数据包经过解析之后，变为一系列协议特征数据和用户数据。通过对协议特征数据进行收集，并对用户数据综合进行行为分析，综合提取出设备指纹。

a.协议特征

主要包括应用协议所携带的特征值。例如对于http协议，用户的浏览器客户端类型、用户环境所使用的语言、字体等信息，均为特征信息。这些信息综合起来就构成了用户设备的使用环境信息。

b.行为特征

如果协议特征是环境，那么行为特征就是人物。协议特征标识出了用户所以用的操作系统、协议、工具等信息，而行为特征就标识出了用户使用这些工具做了什么网络活动。比如，同样对于http，用户访问了哪些网站、都采用哪些用户id、经常在每天的哪个时段访问网络等，这些单个的特征对于设备标识没有多大的意义，只有将一段时间的行为信息综合起来，经过机器学习等方式提取出一段时间的综合特征才有意义。而经过不断的机器学习，行为特征的判别也会随着时间的增长更加准确。

4.设备指纹应用

提取出设备指纹之后，系统便可以利用设备指纹对网络内设备的合法性进行验证。设备指纹像是人类的DNA一样，特征数量庞大而且难以模拟。通过前后设备指纹的特征进行对比，可以判断设备是否发生了伪冒替换，这在网络安全方面具有重大意义。

例如，在视频监控网络中，摄像机分布在城市各个路口，而且设备类型和数量都很多，非常难以监控。如果存在不法人员利用摄像机的网线冒用接入监控网络，会对监控网络造成很大的风险。当非法人员通过一个笔记本替换网络摄像机接入网络时，如果其修改了笔记本的ip和mac地址，传统的交换机mac地址绑定和网络防火墙等防御手段便失去了防护作用。然而，本系统提取的设备指纹包含出ip和mac地址外的大量信息，如系统网络协议栈的时间戳信息等，这些信息非常难以伪装。因而本系统仍然可以发现该ip的设备指纹前后发生了重大差异，存在设备冒用的情况，进而可以向网络运维人员发出报警。

Claims (5)

1.一种基于被动流量的设备指纹识别方法，其特征在于采用以下步骤

（1）接入网络设备，在网络的汇聚或核心交换机上通过配置端口镜像，将网络数据包镜像到本系统，获取网络流量；

（2）对获取的网络流量进行数据解析

获取到网络流量之后，对其进行分层拆包解析，获取可以进行识别的信息，分析模块可以将其中的特征提取出来，形成系统的指纹特征；

（3）提取特征

解析之后的数据包，变为一系列协议特征数据和用户数据，通过对协议特征数据进行收集，并对用户数据综合进行行为分析，分别形成协议特征数据和行为特征数据，综合提取出设备指纹。

2.根据权利要求1所述的识别方法，其特征在于：所述步骤1中获取网络流量的方式为：通过配置交换机端口镜像间接获取网络流量，或者，通过将设备作为网络设备接入，从而直接获取到网络流量。

3.根据权利要求1所述的识别方法，其特征在于：所述步骤2中所述的解析分为链路层解析和网络层解析；所述的链路层解析包括ICMP包的解析、IP包的解析和ARP包的解析；所述的网络层解析包括TCP包的解析和UDP包的解析。

4.根据权利要求1所述的识别方法，其特征在于：所述步骤2所述的分层拆包解析是对网络数据包进行OSI七层模型的逐层分析，获取其所有的网络特征标识。

5.根据权利要求1所述的识别方法，其特征在于：所述步骤3中，所述的协议特征数据为应用协议所携带的特征值，包括有操作系统、协议、工具、用户环境所使用的语言、字体；所述的行为特征数据为用户使用所述工具的网络活动，包括用户访问的网站、用户的id、访问网络的时段。