CN110401662B - 一种工控设备指纹识别方法、存储介质 - Google Patents

Abstract

本发明公开了一种工控设备指纹识别方法，涉及工控设备指纹识别技术领域，其包括以下步骤：S100，构建工控设备指纹信息库，该工控设备指纹信息库包括多种工控设备的至少如下信息：设备厂商、设备型号、网络流量特征；S200，通过镜像口采集待识别工控设备网络的流量数据，提取出待识别工控设备中的网络流量特征；S300，将步骤S200所得与工控设备指纹信息库相匹配，完成工控设备指纹的识别，本发明的有益效果是：通过镜像ICS系统中的流量，对不同工控设备分别分析其不同协议的网络流量特征，然后通过与工控设备指纹信息库做对比，识别该工控设备的具体厂家，型号等信息，在工作时对ICS系统网络没有任何影响，所以对ICS系统运作不会造成不利因素。

Description

一种工控设备指纹识别方法、存储介质

技术领域

本发明涉及工控设备指纹识别技术领域，具体是一种工控设备指纹识别方法、存储介质。

背景技术

指纹识别是利用不同信息描述运行于网络中的设备或者软件的一种技术。工控设备指纹被用来远程识别ICS网络中的的工控设备，包括设备的厂家、品牌、运行软件(及其相关的软件版本号)等信息。当前的工控设备指纹识别技术主要采用主动发送协议探测报文，根据设备回复的协议包来识别工控设备指纹。通常，主动式指纹识别成功识别工控设备的概率更大些。这是因为主动式识别意味着收集所有生成工控设备指纹所需要的信息。

工控设备指纹识别技术应用于ICS网络的过程中有可利用的优势同时也伴随着挑战。ICS系统组件相对于常规互联网有着其固有的特性和缺陷。相较于传统信息网络，ICS系统中工控设备具有长生命周期，且网络拓扑稳定，流量规律性较强。工控设备供应商的私有协议是一把双刃剑,私有协议允许检测者对ICS系统进行定位或者识别特定设备，而相对私有协议做报文分析因没有协议文档说明，而显得很困难。

所以，主动式工控设备指纹识别并不是任何时候都能够起作用，探测扫描更易造成网络繁忙，且易导致ICS系统(Industry Control System，工业控制系统)故障。例如，在SCADA系统(Supervisory Control And Data Acquisition，数据采集与监视控制系统)中，主动式扫描可能造成系统过载。主动式扫描会使设备处理的报文数量增长，工控设备如PLC(Programmable Logic Controller，可编程逻辑控制器)和RTU(Remote Terminal Unit，远程终端控制系统)无法支持超出的流量，从而导致正常请求无法响应。

发明内容

本发明的目的在于提供一种工控设备指纹识别方法、存储介质，以解决上述背景技术中提出的问题。

为实现上述目的，本发明提供如下技术方案：

一种工控设备指纹识别方法，包括以下步骤：

S100，构建工控设备指纹信息库，该工控设备指纹信息库包括多种工控设备的至少如下信息：

设备厂商、设备型号、网络流量特征；

S200，通过镜像口采集待识别工控设备网络中的流量数据，提取出待识别工控设备的网络流量特征；

S300，将步骤S200所得与工控设备指纹信息库相匹配，完成工控设备指纹的识别。

作为本发明进一步的方案：步骤S300中，若步骤S200所得与工控设备指纹信息库匹配失败，则将该工控设备的信息更新至工控设备指纹信息库中。

作为本发明再进一步的方案：所述网络流量特征包括OUI信息、协议种类和每种协议的流量速率和报文响应频率。

作为本发明再进一步的方案：步骤S200中，待识别工控设备的网络流量特征的获取方法包括以下步骤：

S201，通过镜像口采集ICS系统网络流量数据；

S202，对网络流量数据中的MAC地址进行分类，将源MAC地址或目的MAC地址一致的网络流量汇总形成数据集，该数据集即表示某个工控设备在进行指纹识别时的总流量；

S203，分别识别每个工控设备的流量数据，根据不同的协议分开统计，计算该工控设备的某种协议在这段时间内的流量速率和报文的响应频率。

作为本发明再进一步的方案：步骤S300中，对OUI信息、协议种类、每种协议的流量速率和报文响应频率进行依次匹配。

作为本发明再进一步的方案：步骤S300中，工控设备指纹的识别方法包括以下步骤：

S301，在对工控设备进行指纹识别时，首先根据该工控设备的MAC地址提取出该工控设备的OUI，在工控设备指纹信息库中匹配该OUI，获得匹配结果；

S302，若不存在匹配条目，则匹配失败；

若工控设备指纹信息库存在匹配条目，将该工控设备每种协议的流量速率和报文的响应频率与工控设备指纹信息库中对应协议的流量速率和报文响应频率进行对比；

S303，当每种协议中流量速率和报文响应频率的差值均处在设定的阈值内时，则匹配成功；否则，匹配失败。

一种存储介质，其上存储有程序，所述程序被处理器执行时实现所述工控设备指纹识别方法的步骤。

与现有技术相比，本发明的有益效果是：通过镜像ICS系统中的流量，对不同工控设备分别分析其不同协议的网络流量特征，然后通过与工控设备指纹信息库做对比，识别该工控设备的具体厂家，型号等信息，由于流量是镜像ICS系统获得的，因此其在工作时对ICS系统网络没有任何影响，所以对ICS系统运作不会造成不利因素。

附图说明

图1为一种工控设备指纹识别方法中网络流量特征获取的流程图。

图2为一种工控设备指纹识别方法中匹配过程的流程图。

图3为一种工控设备指纹识别方法的流程图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本公开相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本实施例公开的一些方面相一致的装置和方法的例子。

实施例1

请参阅图1～3，本发明实施例中，一种工控设备指纹识别方法，包括以下步骤：

S100，构建工控设备指纹信息库，该工控设备指纹信息库包括多种工控设备的至少如下信息：

设备厂商、设备型号、网络流量特征(即OUI信息、协议种类和每种协议的流量速率和报文响应频率)；

S200，通过镜像口采集待识别工控设备网络中的流量数据，提取出待识别工控设备中的网络流量特征(即OUI信息、协议种类和每种协议的流量速率和报文响应频率)，本步骤是通过镜像的方式来获得工控设备的流量数据，其在工作时对ICS系统网络没有任何影响，所以对ICS系统运作不会造成不利因素；

具体的来说，其首先通过镜像口采集ICS系统网络流量数据，然后对网络流量数据中的MAC地址进行分类，将源MAC地址或目的MAC地址一致的网络流量汇总形成数据集，该数据集即表示某个工控设备在进行指纹识别时的总流量；再分别识别每个工控设备的流量数据，根据不同的协议分开统计，计算该工控设备的某种协议在这段时间内的流量速率和报文的响应频率；

此处，需要特别说明，本发明适用于二层交换网络，这样工控设备原始的MAC地址不会改变。

S300，将步骤S200所得与工控设备指纹信息库相匹配，即OUI信息、协议种类、每种协议的流量速率和报文响应频率的依次匹配，完成工控设备指纹的识别；当然，如果此处识别未成功的话，那么表明工控设备指纹信息库内没有储存该工控设备的相关信息，所以在此处，通过人工干预，将该工控设备的信息更新至工控设备指纹信息库中，即将其作为未知设备添加到工控设备指纹信息库中，随着时间的推移，其丰富程度越大，那么识别成功率就越高。

具体的来说，其匹配过程如下：

在对工控设备进行指纹识别时，首先根据该工控设备的MAC地址提取出该工控设备的OUI(Organizationally Unique Identifier，即组织唯一标识符，网卡中MAC地址的前三个字节，表明了网卡的制造商)，在工控设备指纹信息库中匹配该OUI，获得匹配结果；

若不存在匹配条目，则匹配失败，此时，通过人工干预，将该工控设备的信息更新至工控设备指纹信息库中；

若工控设备指纹信息库存在匹配条目，将该工控设备每种协议的流量速率和报文的响应频率与工控设备指纹信息库中对应协议的流量速率和报文响应频率进行对比；

当每种协议中流量速率和报文响应频率的差值均处在设定的阈值内时，则匹配成功，判断是否是工控设备指纹信息库中最后一条协议(即所有协议是否匹配完成)，如果是，则匹配结束，如果不是，继续下一条协议的匹配；

否则，匹配失败，此时，通过人工干预，将该工控设备的信息更新至工控设备指纹信息库中。

定义待识别工控设备的流量速率和报文响应频率分别为Sn和Fn，工控设备指纹信息库中的流量速率和报文响应频率分别为S和F，在对比时，当S*90％≤Sn≤S*110％且F*90％≤Fn≤F*110％时，即差值在±10％的范围内时，认为两者匹配成功。

实施例2

本发明实施例中，还提出了一种存储介质，其上存储有程序，所述程序被处理器执行时实现所述工控设备指纹识别方法的步骤。

需要特别说明的是，本技术方案中，通过镜像ICS系统中的流量，对不同工控设备分别分析其不同协议的网络流量特征，然后通过与工控设备指纹信息库做对比，识别该工控设备的具体厂家，型号等信息，由于流量是镜像ICS系统获得的，因此其在工作时对ICS系统网络没有任何影响，所以对ICS系统运作不会造成不利因素。

本领域技术人员在考虑说明书及实施例处的公开后，将容易想到本公开的其它实施方案。本申请旨在涵盖本公开的任何变型、用途或者适应性变化，这些变型、用途或者适应性变化遵循本公开的一般性原理并包括本公开未公开的本技术领域中的公知常识或惯用技术手段。说明书和实施例仅被视为示例性的，本公开的真正范围和精神由权利要求指出。

应当理解的是，本公开并不局限于上面已经描述并在附图中示出的精确结构，并且可以在不脱离其范围进行各种修改和改变。本公开的范围仅由所附的权利要求来限制。

Claims (2)

1.一种工控设备指纹识别方法，其特征在于，包括以下步骤：

S100，构建工控设备指纹信息库，该工控设备指纹信息库包括多种工控设备的至少如下信息：设备厂商、设备型号、网络流量特征；

S200，通过镜像口采集待识别工控设备网络中的流量数据，提取出待识别工控设备的网络流量特征；

S300，将步骤S200所得与工控设备指纹信息库相匹配，完成工控设备指纹的识别；

所述网络流量特征包括OUI信息、协议种类和每种协议的流量速率和报文响应频率；

步骤S300中，对OUI信息、协议种类、每种协议的流量速率和报文响应频率进行依次匹配；

步骤S300中，工控设备指纹的识别方法包括以下步骤：

S301，在对工控设备进行指纹识别时，首先根据该工控设备的MAC地址提取出该工控设备的OUI，在工控设备指纹信息库中匹配该OUI，获得匹配结果；

S302，若不存在匹配条目，则匹配失败；若工控设备指纹信息库存在匹配条目，将该工控设备每种协议的流量速率和报文的响应频率与工控设备指纹信息库中对应协议的流量速率和报文响应频率进行对比；定义待识别工控设备的流量速率和报文响应频率分别为Sn和Fn，工控设备指纹信息库中的流量速率和报文响应频率分别为S和F，在对比时，当S*90％≤Sn≤S*110％且F*90％≤Fn≤F*110％时，即差值在±10％的范围内时，认为两者匹配成功；

S303，当每种协议中流量速率和报文响应频率的差值均处在设定的阈值内时，则匹配成功；否则，匹配失败；

步骤S300中，若步骤S200所得与工控设备指纹信息库匹配失败，则将该工控设备的信息更新至工控设备指纹信息库中；

步骤S200中，待识别工控设备的网络流量特征的获取方法包括以下步骤：

S201，通过镜像口采集ICS系统网络流量数据；

S202，对网络流量数据中的MAC地址进行分类，将源MAC地址或目的MAC地址一致的网络流量汇总形成数据集，该数据集即表示某个工控设备在进行指纹识别时的总流量；

S203，分别识别每个工控设备的流量数据，根据不同的协议分开统计，计算该工控设备的某种协议在这段时间内的流量速率和报文的响应频率。

2.一种存储介质，其特征在于，其上存储有程序，所述程序被处理器执行时实现如权利要求1所述工控设备指纹识别方法的步骤。

Images