CN109391700A - 基于深度流量感知的物联网安全云平台 - Google Patents

Abstract

本发明公开了基于深度流量感知的物联网安全云平台，其包括：设置在物联网连接层和业务应用层之间的功能单元，其中，所述功能单元包括：深度内容感知引擎，其用于识别当前数据包的业务属性，按业务类别二次提取特征字段的特征参数进行分类统计分析，具体步骤包括：步骤一，提取网络流量的IP层、传输层及部分应用层关键信息，匹配应用特征库，识别当前流量的协议类别；步骤二，在当前协议类别下，提取网络流量的业务数据特征，构建数据载荷的量化分布模型；步骤三，基于上述业务数据特征，识别出未知流量数据包的特征字段并提取特征字段的字段值，记录其变化量并输出。本发明在关键内容识别的基础上增加了分类方法，深度解析物联网流量的各种行为参数，有效保障物联网系统的网络安全。

Description

基于深度流量感知的物联网安全云平台

技术领域

本发明属于网络安全防护技术领域，涉及一种基于深度流量感知的物联网安全云平台。

背景技术

随着物联网迅猛发展，安全问题成了产业发展的痛点。例如，黑客通过入侵并控制安全防护不强的物联网设备，可以发起大规模拒绝服务攻击，在多个国家都造成不同程度的影响。发展物联网是我国抢占新一轮经济科技发展制高点的国家战略，没有安全保障，物联网产业的发展将伴随着巨大风险。物联网是互联网的延伸，因此物联网的安全也是互联网安全的延伸。但是物联网的安全既构建在互联网的安全上，也有因为其业务环境和特有的体系架构以及产业落地形态而具有自身的特点，总的来说物联网安全比互联网安全更复杂。一个有效的物联网安全解决方案不仅要具备传统互联网的安全检测和防御能力，更要能够感知物联网应用场景下的业务行为，还要能够良好兼容物联网系统的体系架构。迄今为止，尚无成熟的类似解决方案。

发明内容

要改变上述现状，本发明提供一种基于深度流量感知的物联网安全云平台，其基于DCR(Deep Content Recognition)深度内容感知技术，在关键内容识别的基础上增加了分类方法，深度解析物联网流量的各种行为参数,并通过机器学习构建物联网流量安全模型，可以实时、有效检测物联网设备、云平台和远程操控App发生的各种网络异常或攻击行为，及时发送安全预警或联动防御引擎进行实时防御，有效保障物联网系统的网络安全。

本发明的一个目的是解决至少上述问题和/或缺陷，并提供至少后面将说明的优点。

本发明的其它优点、目标和特征将部分通过下面的说明体现，部分还将通过对本发明的研究和实践而为本领域的技术人员所理解。

本发明提供一种基于深度流量感知的物联网安全云平台，其包括：设置在物联网连接层和业务应用层之间的功能单元，其中，所述功能单元包括：

深度内容感知引擎，其用于识别当前数据包的业务属性，按业务类别二次提取特征字段的特征参数进行分类统计分析，具体步骤包括：

步骤一，提取网络流量的IP层、传输层及部分应用层关键信息，匹配应用特征库，识别当前流量的协议类别；

步骤二，在当前协议类别下，提取网络流量的业务数据特征，构建数据载荷的量化分布模型；

步骤三，基于上述业务数据特征，识别出未知流量数据包的特征字段并提取特征字段的字段值，记录其变化量并输出。

优选的是，所述功能单元还包括：

智能分析数据平台，其接收所述深度内容感知引擎输出的变化量，判断所述变化量是否超出预设阈值，是则，发出预警信号；

联动模块，其接收所述预警信号，生产访问控制规则或预警信息；

防御引擎，其接收访问控制规则或者预警信息，用于隔离异常物联网终端。

优选的是，所述功能单元向下通过IoT API接口与连接处互联，向上通过普通网络接口与业务应用层平台相连。

优选的是，所述功能单元还包括：

管理模块，其用于通过https协议实现图形化管理或通过SSH协议实现命令行管理；

以及审计模块，其用于记录平台发现的异常或攻击行为、防御引擎执行的防御结果，

并能够根据IP、时间、类型要素生成审计报表。

优选的是，所述深度内容感知引擎的操作流程如下：

Step1:提取网络流量的IP层、传输层及部分应用层关键信息，比对应用特征库，是否存在当前流量的协议类别，是则进行Step2；否则生产新的应用协议并存储应用特征库；

Step2:在当前协议类别下，比对该类协议的数据报文确定数据载荷的量化分布模型，提取出网络流量的业务数据特征；

Step3:依据已有业务数据特征，对未知流量数据载荷中的特定字段的键值进行提取，记录键值的变化量，比对变化量，如高于目标阈值则判定为攻击行为，触发系统报警和控制措施。

优选的是，所述量化分布模型为针对特定字段内容的流量变化规律。

优选的是，所述目标阈值为系统预设。

优选的是，所述深度内容感知引擎的检测包括：基于“特征字”的识别：识别不同协议的特定的端口、特定的字符串或者特定的bit序列；

应用层网关识别：应用层网关先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出相应的业务流；

行为模式识别：基于对终端已经实施的行为进行分析，判断出用户正在进行的动作或者即将实施的动作。

本发明还提供了基于深度流量感知的物联网安全云平台的防御方法，其包括以下步骤：

步骤一，物联网设备通过IoT API接入安全云平台，

步骤二，深度内容感知引擎进行解包分析，将基于业务分析的特征值输出至智能分析数据平台；

步骤三，智能分析数据平台通过机器学习和异常行为安全模型决断数据包的安全性，如果判定为异常或攻击行为，可触发联动模块生成访问控制规则或只生成预警信息，访问控制规则被自动写入防御引擎模块，从而隔离有问题的物联网终端；若无异常，数据包bypass防御模块，经由网络接口上联至应用平台。

本发明所述基于深度流量感知的物联网安全云平台，其采用DCR(深度流量感知)技术比传统的DPI等检测技术更“聪明”，不仅可以解析数据，还可以感知数据包的业务属性,例如DCR需要识别出哪些是命令控制的数据包序列，并提取出载荷中的命令、参数值，哪些是数据上报数据包序列，并提取出上报数据的值，据此进行分类统计。DCR(深度流量感知)技术在已有DPI技术的基础上,进行两层以上的深度分析，第一层旨在分析数据包的业务属性，再在此基础上按类别二次提取相关特征参数，以达到感知业务行为的目的。所以DCR技术的检测结果更准确，尤其是在物联网应用场景下，对安全检测技术的创新具有一定的开创意义。

本发明采用公有云和私有云的部署模式，在业务应用层与连接层直接构筑一道虚拟的安全防线，接入简便，而且用户安全成本大大降低。用户只需通过为物联网应用设置网络代理就可以将物联网设备接入本发明所述安全云平台，本发明所述安全云平台于物联网安全体系架构中的连接层和应用层之间,向下通过IoT API接口与连接层互联，向上通过普通网络接口与应用层平台相连。本发明所述基于深度流量感知的物联网安全云平台是多组功能和架构完全相同的功能单元组成，彼此之间互为冗余备份，也能够实现负载均衡，系统架构具有良好的稳定性和可扩展性。

附图说明

图1为本发明其中一个实施例中所述基于深度流量感知的物联网安全云平台的结构示意图；

图2为本发明其中一个实施例中所述DCR引擎的流程框图；

图3为本发明其中一个实施例中所述DCR引擎的技术原理图。

具体实施方式

下面结合附图对本发明做进一步的详细说明，以令本领域技术人员参照说明书文字能够据以实施。

应当理解，本文所使用的诸如“具有”、“包含”以及“包括”术语并不配出一个或多个其它元件或其组合的存在或添加。

如图1所示，本发明所述基于深度流量感知的物联网安全云平台，其包括：设置在物联网连接层和业务应用层之间的功能单元，其中，所述功能单元包括：

深度内容感知引擎(DCR引擎)，其用于识别当前数据包的业务属性，按业务类别二次提取特征字段的特征参数进行分类统计分析，如图2所示，具体步骤包括：

步骤一，提取网络流量的IP层、传输层及部分应用层关键信息，匹配应用特征库，识别当前流量的协议类别；

步骤二，在当前协议类别下，提取网络流量的业务数据特征，构建数据载荷的量化分布模型；

步骤三，基于上述业务数据特征，识别出未知流量数据包的特征字段并提取特征字段的字段值，记录其变化量并输出。如图3所示，所述DCR引擎不仅可以解析数据，还可以感知数据包的业务属性，例如DCR可以识别出哪些是命令控制的数据包序列，并提取出载荷中的命令、参数值，哪些是数据上报数据包序列，并提取出上报数据的值，据此进行分类统计。所述DCR引擎在深度识别数据包中的关键内容的基础上,进行两层以上的深度分析，第一层旨在分析数据包的业务属性，再在此基础上按类别二次提取相关特征参数，以达到感知业务行为的目的。

在其中一个实施例中，如图1所示，所述功能单元还包括：

智能分析数据平台，其接收所述深度内容感知引擎输出的变化量，判断所述变化量是否超出预设阈值，是则，发出预警信号；所述智能分析数据平台根据业务属性分别预设对用于物联网业务类别的变化量最高阈值，当所述变化量超出预设阈值时，则发出预警信号。当所述变化量没有超出预设阈值时，持续进行监控。

联动模块，其接收所述预警信号，生产访问控制规则或预警信息；所述联动模块针对发现的异常行为或网络攻击，可以选择通过智能分析数据平台发布预警信息，由用户人工进行干预，也可以直接驱动智能防御引擎，下发阻拦网络行为的安全策略，实现自动防御。

防御引擎，其接收访问控制规则或者预警信息，用于隔离异常物联网终端。所述防御引擎本质上是一台防火墙，但不需要人工配置规则，可以接收联动模块下发的指令，自动生成防御规则，拦截异常或攻击行为。

在其中一个实施例中，如图1所示，所述功能单元向下通过IoT API接口与连接处互联，向上通过普通网络接口与业务应用层平台相连。所述功能单元例如多组功能和架构完全相同，且彼此之间互为冗余备份。本发明所述物联网安全云平台向上连接各种物联网场景下的业务应用平台，向下需要支持各种物联网设备和智能终端的接入，需要提供标准化接口。本发明例如采用NAT和PAT技术在网络层实现该部分功能。

在其中一个实施例中，如图1所示，所述功能单元还包括：

管理模块，其用于通过https协议实现图形化管理或通过SSH协议实现命令行管理；

以及审计模块，其用于记录平台发现的异常或攻击行为、防御引擎执行的防御结果，并能够根据IP、时间、类型要素生成审计报表。所述管理模块主要提供系统运维后台和配置界面，通过https协议实现图形化管理或通过SSH协议实现命令行管理。审计模块主要记录平台发现的异常或攻击行为、防御引擎执行的防御结果，并能够根据IP、时间、类型等要素生成审计报表，方便系统管理员或监管部门及时掌握系统安全态势和敏感安全事件。

在其中一个实施例中，如图2所示，所述深度内容感知引擎的操作流程如下：

Step1:提取网络流量的IP层、传输层及部分应用层关键信息，比对应用特征库，是否存在当前流量的协议类别，是则进行Step2；否则生产新的应用协议并存储应用特征库；

Step2:在当前协议类别下，比对该类协议的数据报文确定数据载荷的量化分布模型，提取出网络流量的业务数据特征；

Step3:依据已有业务数据特征，对未知流量数据载荷中的特定字段的键值进行提取，记录键值的变化量，比对变化量，如高于目标阈值则判定为攻击行为，触发系统报警和控制措施。所述智智能分析数据平台通过持续记录和统计DCR引擎上传的各种业务类别参数，实时进行量化，生成矢量数据，并绘制网络行为曲面图。通过有监督学习正常业务行为数据就可以绘制安全的网络行为曲面图，亦即业务网络白环境。然后将实际待检测网络行为矢量与网络白环境进行差分，生成网络行为异常指数系统，并结合阈值理论可以检测异常网络行为或攻击行为。

在其中一个实施例中，所述量化分布模型为针对特定字段内容的流量变化规律。

在其中一个实施例中，所述目标阈值为系统预设。所述目标阈值可根据业务类型设置不同的数值，例如针对空气净化器、冰箱等智能家居，可针对温度或者湿度等特定字段的目标阈值可设置为10％-30％。

在其中一个实施例中，所述深度内容感知引擎的检测包括：基于“特征字”的识别：识别不同协议的特定的端口、特定的字符串或者特定的bit序列；不同的应用通常依赖于不同的协议，而不同的协议都有其特殊的“指纹”，这些“指纹”例如为特定的端口、特定的字符串或者特定的bit序列；

应用层网关识别：应用层网关先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出相应的业务流；某些业务的控制流和业务流是分离的，业务流没有任何特征。应用层网关需要先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出相应的业务流。

行为模式识别：基于对终端已经实施的行为进行分析，判断出用户正在进行的动作或者即将实施的动作。

本发明还提供了基于深度流量感知的物联网安全云平台的防御方法，其包括以下步骤：

步骤一，物联网设备通过IoT API接入安全云平台，

步骤二，深度内容感知引擎进行解包分析，将基于业务分析的特征值输出至智能分析数据平台；

步骤三，智能分析数据平台通过机器学习和异常行为安全模型决断数据包的安全性，如果判定为异常或攻击行为，可触发联动模块生成访问控制规则或只生成预警信息，访问控制规则被自动写入防御引擎模块，从而隔离有问题的物联网终端；若无异常，数据包bypass防御模块，经由网络接口上联至应用平台。

用户只需通过为物联网应用设置网络代理就可以将物联网设备接入本发明所述物联网安全云平台，所述物联网安全云平台提取网络流量参数上传至智能分析数据平台，分析处理后生成行为异常预警和防御指令，并将指令先发至物联网安全云平台或现场的G网关，执行防御操作，形成一个数据提取—检测—预警—防御的安全闭环。

尽管本发明的实施方案已公开如上，但其并不仅仅限于说明书和实施方式中所列运用，它完全可以被适用于各种适合本发明的领域，对于熟悉本领域的人员而言，可容易地实现另外的修改，因此在不背离权利要求及等同范围所限定的一般概念下，本发明并不限于特定的细节和这里示出与描述的图例。

Claims (9)

1.基于深度流量感知的物联网安全云平台，其特征在于，包括：设置在物联网连接层和业务应用层之间的功能单元，其中，所述功能单元包括：

深度内容感知引擎，其用于识别当前数据包的业务属性，按业务类别二次提取特征字段的特征参数进行分类统计分析，具体步骤包括：

步骤一，提取网络流量的IP层、传输层及部分应用层关键信息，匹配应用特征库，识别当前流量的协议类别；

步骤二，在当前协议类别下，提取网络流量的业务数据特征，构建数据载荷的量化分布模型；

步骤三，基于上述业务数据特征，识别出未知流量数据包的特征字段并提取特征字段的字段值，记录其变化量并输出。

2.如权利要求1所述的基于深度流量感知的物联网安全云平台，其特征在于，所述功能单元还包括：

智能分析数据平台，其接收所述深度内容感知引擎输出的变化量，判断所述变化量是否超出预设阈值，是则，发出预警信号；

联动模块，其接收所述预警信号，生产访问控制规则或预警信息；

防御引擎，其接收访问控制规则或者预警信息，用于隔离异常物联网终端。

3.如权利要求1所述的基于智能行为分析的安全网关，其特征在于，所述功能单元向下通过IoT API接口与连接处互联，向上通过普通网络接口与业务应用层平台相连。

4.如权利要求2所述的基于深度流量感知的物联网安全云平台，其特征在于，所述功能单元还包括：管理模块，其用于通过https协议实现图形化管理或通过SSH协议实现命令行管理；

以及审计模块，其用于记录平台发现的异常或攻击行为、防御引擎执行的防御结果，

并能够根据IP、时间、类型要素生成审计报表。

5.如权利要求1所述的基于深度流量感知的物联网安全云平台，其特征在于，所述深度内容感知引擎的操作流程如下：

Step1:提取网络流量的IP层、传输层及部分应用层关键信息，比对应用特征库，是否存在当前流量的协议类别，是则进行Step2；否则生产新的应用协议并存储应用特征库；

Step2:在当前协议类别下，比对该类协议的数据报文确定数据载荷的量化分布模型，提取出网络流量的业务数据特征；

Step3:依据已有业务数据特征，对未知流量数据载荷中的特定字段的键值进行提取，记录键值的变化量，比对变化量，如高于目标阈值则判定为攻击行为，触发系统报警和控制措施。

6.如权利要求5所述的基于深度流量感知的物联网安全云平台，其特征在于，所述量化分布模型为针对特定字段内容的流量变化规律。

7.如权利要求5所述的基于深度流量感知的物联网安全云平台，其特征在于，所述目标阈值为系统预设。

8.如权利要求5所述的基于深度流量感知的物联网安全云平台，其特征在于，所述深度内容感知引擎的检测包括：基于“特征字”的识别：识别不同协议的特定的端口、特定的字符串或者特定的bit序列；

应用层网关识别：应用层网关先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出相应的业务流；

行为模式识别：基于对终端已经实施的行为进行分析，判断出用户正在进行的动作或者即将实施的动作。

9.如权利要求1-8任一项所述基于深度流量感知的物联网安全云平台的防御方法，其特征在于：包括以下步骤：

步骤一，物联网设备通过IoT API接入安全云平台，

步骤二，深度内容感知引擎进行解包分析，将基于业务分析的特征值输出至智能分析数据平台；

步骤三，智能分析数据平台通过机器学习和异常行为安全模型决断数据包的安全性，如果判定为异常或攻击行为，可触发联动模块生成访问控制规则或只生成预警信息，访问控制规则被自动写入防御引擎模块，从而隔离有问题的物联网终端；若无异常，数据包bypass防御模块，经由网络接口上联至应用平台。