CN110532756A - 一种系统指纹识别方法、装置、电子设备及存储介质 - Google Patents

Abstract

本发明实施例提供一种系统指纹识别方法、装置、电子设备及存储介质，方法包括：获取客户端与服务器之间的流量数据；从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。本发明实施例避免了对指纹数据库的依赖，提高了操作系统信息的识别率。

Description

一种系统指纹识别方法、装置、电子设备及存储介质

技术领域

本发明涉及通信技术领域，尤其涉及一种系统指纹识别方法、装置、电子设备及存储介质。

背景技术

操作系统是网络资产的基本信息之一，历年来，操作系统漏洞频出，不同的操作系统类型以及版本，存在的漏洞不同。由于操作系统类型和版本等敏感信息能够帮助判断网络资产漏洞情况，因此识别操作系统型号以及版本信息是计算机安全领域主要关注的问题之一。

目前主要通过操作系统指纹识别技术来识别操作系统型号以及版本。操作系统指纹识别技术主要是通过分析客户端和远程主机通信的单个TCP/IP包的一些特征进行判断。TCP协议中一些参数值依赖于特定的操作系统实现，因此现有方法主要通过分析TCP/IP包头部的一些参数，如：初始包大小，初始生存时间值(time to live，TTL)，窗口尺寸和最大分割尺寸等。

其中，指纹识别技术主要分为两类：主动识别式和被动识别式。其中被动识别式是指不主动向远程主机发送数据包，而仅仅通过现有的流量的数据包并进行分析的过程，这种方式不需要和远程主机进行交互。

但是被动式的指纹识别方法由于无法主动和远程主机交互，导致获取信息有限，进而导致识别精度比主动式指纹识别方法更低。同时，现有被动式指纹识别方法需要将嗅探到的TCP/IP包的头部特征和已标记的特征数据库进行精确匹配，因此指纹数据库需要不断更新，否则无法对新的操作系统进行识别。

综上所述，现有技术中被动式的指纹识别方式存在过度依赖现有指纹数据库的问题。

发明内容

本发明实施例提供一种系统指纹识别方法、装置、电子设备及存储介质，以解决现有技术中被动式的指纹识别方式存在的过度依赖现有指纹数据库，识别率较低的问题。

针对上述问题，第一方面，本发明实施例提供一种系统指纹识别方法，所述方法包括：

获取客户端与服务器之间的流量数据；

从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；

根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

第二方面，本发明实施例提供一种系统指纹识别装置，所述装置包括：

第一获取模块，用于获取客户端与服务器之间的流量数据；

第二获取模块，用于从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；

确定模块，用于根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

第三方面，本发明实施例提供一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述的系统指纹识别方法的步骤。

第四方面，本发明实施例提供一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时实现所述的系统指纹识别方法的步骤。

本发明实施例提供的系统指纹识别方法、装置、电子设备及存储介质，在获取到客户端与服务器之间的流量数据之后，从流量数据中提取TCP/IP数据包，并从TCP/IP数据包中提取特征数据，然后根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息，实现了通过预先训练得到的系统识别模型，对客户端的操作系统信息进行识别，省略了将特征数据与指纹数据库的匹配过程，从而避免了被动式的系统指纹识别方式中对指纹数据库的依赖，避免了在特征数据与预设指纹数据库不匹配时，不能对操作系统信息进行识别的问题，增加了操作系统信息的识别率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1表示本发明实施例中系统指纹识别方法的步骤流程图；

图2表示本发明实施例中系统指纹识别装置的结构框图；

图3表示本发明实施中电子设备的结构框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1所示，为本发明实施例中系统指纹识别方法的步骤流程图，该方法包括如下步骤：

步骤101：获取客户端与服务器之间的流量数据。

在本步骤中，具体的，在获取客户端和服务器之间的流量数据时，可以通过流量分光设备实施捕获客户端与服务器通信过程中的流量数据。

步骤102：从流量数据中提取TCP/IP数据包，并从TCP/IP数据包中提取特征数据。

在本步骤中，具体的，在获取到流量数据之后，可以从流量数据中捕获与客户端操作系统相关的TCP/IP数据包，然后从TCP/IP数据包中提取特征数据。具体的，从TCP/IP数据包中提取的特征数据可以包括TCP/IP数据包的包头总长度、TCP数据窗口大小、生存时间值(简称TTL)和不允许分割标识符(D)、TCP选项等。当然，在此需要说明的是，在此并不具体限定特征数据的具体内容。

这样，通过从客户端与服务器之间的流量数据中提取TCP/IP数据包，并从TCP/IP数据包中提取特征数据，即获取与客户端操作系统相关的特征数据，使得能够根据获取到的特征数据，对客户端的操作系统信息进行识别。

步骤103：根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息。

在本步骤中，具体的，本实施例预先训练得到系统识别模型，此时可以根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息。

具体的，操作系统信息包括操作系统型号信息和版本信息。

这样使得能够通过系统识别模型，根据与客户端的操作系统相对应的特征数据，对操作系统信息进行识别，省略了将特征数据与指纹数据库的匹配过程，从而避免了被动式的系统指纹识别方式中对指纹数据库的依赖，避免了在特征数据与预设指纹数据库不匹配时，不能对操作系统信息进行识别的问题，增加了操作系统信息的识别率。

本发明实施例通过在获取到客户端与服务器之间的流量数据时，从流量数据中提取TCP/IP数据包，并从TCP/IP数据包中提取特征数据，并根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息，省略了将特征数据与指纹数据库的匹配过程，从而避免了被动式的系统指纹识别方式中对指纹数据库的依赖，避免了在特征数据与预设指纹数据库不匹配时，不能对操作系统信息进行识别的问题，增加了操作系统信息的识别率。

进一步地，特征数据包括SYN、ACK和FIN参数数据。这样，通过将SYN、ACK和FIN参数数据均作为特征数据，实现了将同一会话，即三次握手中的多个包相关联，增加了系统指纹识别时所提取的特征数据的多样性和完整性，提高了系统指纹识别的精度。

进一步地，在根据所述特征数据和预先训练的系统识别模型，确定所述客户端的操作系统信息之前，可以将所述TCP/IP数据包的包头转换为p0f格式。这样，通过将TCP/IP数据包的包头转换为p0f格式，为TCP/IP数据包内的特征数据与预设指纹数据库或者系统识别模型的匹配提供了便利。

此外，进一步地，在根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息之前，还可以检测预设指纹数据库中是否存在与所述特征数据相匹配的相应特征数据；当所述预设指纹数据库中不存在所述相应特征数据，或者所述预设指纹数据库中存在所述相应特征数据，且所述特征数据与所述相应特征数据之间的匹配度低于预设阈值时，进入所述根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息的步骤。

具体的，预设指纹数据库中预先设置有多个操作系统信息与相应特征数据之间的对应关系。这样，使得在通过系统识别模型，根据特征数据，对客户端的操作系统信息进行识别之前，可以先通过预设指纹数据库对客户端的操作系统信息进行匹配识别，从而使得能够实现特征数据的精确匹配，即能够保证所识别到的操作系统信息的准确性。

此时，具体的，若预设指纹数据库中不存在相应特征数据，或者预设指纹数据库中存在相应特征数据，且特征数据与相应特征数据之间的匹配度低于预设阈值，则说明通过预设指纹数据库不能实现特征数据的匹配或者精确匹配，即此时不能够通过预设指纹数据库准确的识别到操作系统信息，此时可以根据特征数据，通过预先训练得到的系统识别模型，对客户端的操作系统信息进行识别，从而实现了在预设指纹数据库不能对操作系统信息进行识别的情况下，通过系统识别模型对操作系统信息的识别，避免了操作系统信息识别过度依赖预设指纹数据库的问题，提高了操作系统信息的识别率。

此外，具体的，在当特征数据与预设指纹数据库中相应特征数据之间的匹配度高于预设阈值时，可以直接通过预设指纹数据库，得到与特征数据相对应的操作系统信息。

当然，在此需要说明的是，预设阈值的具体数值可以根据实际情况进行限定，在此并不具体限定预设阈值的具体数值。

这样，通过在根据系统识别模型对操作系统信息进行识别之前，先通过预设指纹数据库对操作系统信息进行识别，实现了操作系统信息的多个阶段的识别过程，在保证了识别得到的操作系统信息的准确度的同时，增加了操作系统信息的识别率。

此外，进一步地，在根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息之前，还包括训练所述系统识别模型。其中，训练所述系统识别模型，包括：获取多个已知操作系统信息的目标客户端产生的训练数据；其中，所述训练数据包括从TCP/IP数据包中提取的特征数据；根据预先建立的所述训练数据与操作系统信息之间的对应关系，通过决策树算法，对所述训练数据进行训练，得到所述系统识别模型。

具体的，训练数据同样为从p0f格式的TCP/IP数据包中获取。

当然，训练数据同样包括TCP/IP数据包的包头总长度、TCP数据窗口大小、生存时间值(简称TTL)和不允许分割标识符(D)、TCP选项等。即特征数据与训练数据应当保持一致。

这样，通过决策树算法，对已知操作系统信息的目标客户端产生的训练数据进行训练，得到系统识别模型，使得能够通过已经训练好的系统识别模型，并根据获取到的特征数据，对特征数据所对应的客户端的操作系统信息进行识别，从而实现了在不依赖指纹数据库的前提下，对操作系统信息的识别过程，提高了操作系统信息的识别率。

另外，进一步地，在根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息时，可以将所述特征数据输入至所述系统识别模型中，通过所述系统识别模型对所述特征数据进行分析，得到所述客户端的操作系统信息；其中，所述操作系统信息包括操作系统型号信息和版本信息。这样，通过将与客户端操作系统对应的特征数据输入至预先训练号的系统识别模型中，使得能够通过系统识别模型，对输入的特征数据进行分析，从而得到并输出分析结果，即得到操作系统的系统型号信息和版本信息，实现了通过系统识别模型对操作系统信息的识别过程，避免了操作系统信息识别对指纹数据库的依赖，使得在指纹数据库不能对操作系统信息进行识别时，同样能够得到操作系统信息，增加了操作系统信息的识别率。

本实施例通过从获取到的客户端与服务器之间的流量数据中提取TCP/IP数据包，并从TCP/IP数据包中提取特征数据，然后根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息，实现了通过预先训练得到的系统识别模型，对客户端的操作系统信息进行识别，省略了将特征数据与指纹数据库的匹配过程，从而避免了被动式的系统指纹识别方式中对指纹数据库的依赖，避免了在特征数据与预设指纹数据库不匹配时，不能对操作系统信息进行识别的问题，增加了操作系统信息的识别率。

此外，如图2所示，为本发明实施例中系统指纹识别装置的结构框图，所述装置包括：

第一获取模块201，用于获取客户端与服务器之间的流量数据；

第二获取模块202，用于从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；

确定模块203，用于根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

这样，本实施例提供的系统指纹识别装置，通过第一获取模块201获取客户端与服务器之间的流量数据，且第二获取模块202从第一获取模块201获取的所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据，最后确定模块203根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息，省略了将特征数据与指纹数据库的匹配过程，从而避免了被动式的系统指纹识别方式中对指纹数据库的依赖，避免了在特征数据与指纹数据库不匹配时，不能对操作系统信息进行识别的问题，增加了操作系统信息的识别率。

可选地，所述特征数据包括SYN、ACK和FIN参数数据。

可选地，所述装置还包括：

检测模块，用于检测预设指纹数据库中是否存在与所述特征数据相匹配的相应特征数据；

执行模块，用于当所述预设指纹数据库中不存在所述相应特征数据，或者所述预设指纹数据库中存在所述相应特征数据，且所述特征数据与所述相应特征数据之间的匹配度低于预设阈值时，触发所述确定模块，以根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

可选地，所述装置还包括：

转换模块，用于将所述TCP/IP数据包的包头转换为p0f格式。

可选地，所述装置还包括：

训练模块，用于训练所述系统识别模型；其中，

所述训练模块包括：

获取单元，用于获取多个已知操作系统信息的目标客户端产生的训练数据；其中，所述训练数据包括从TCP/IP数据包中提取的特征数据；

训练单元，用于根据预先建立的所述训练数据与操作系统信息之间的对应关系，通过决策树算法，对所述训练数据进行训练，得到系统识别模型。

可选地，所述确定模块用于，将所述特征数据输入至所述系统识别模型中，通过所述系统识别模型对所述特征数据进行分析，得到所述客户端的操作系统信息；其中，所述操作系统信息包括操作系统型号信息和版本信息。

这样，本实施例提供的系统指纹识别装置，从获取到的客户端与服务器之间的流量数据中提取TCP/IP数据包，并从TCP/IP数据包中提取特征数据，然后根据特征数据和预先训练得到的系统识别模型，确定客户端的操作系统信息，实现了通过预先训练得到的系统识别模型，对客户端的操作系统信息进行识别，省略了将特征数据与指纹数据库的匹配过程，从而避免了被动式的系统指纹识别方式中对指纹数据库的依赖，避免了在特征数据与预设指纹数据库不匹配时，不能对操作系统信息进行识别的问题，增加了操作系统信息的识别率。

在此需要说明的是，本发明实施例中可以通过硬件处理器(hardware processor)来实现相关功能模块，并能达到相同的技术效果，在此不在进行赘述。

在本发明的又一实施例中，提供了一种电子设备，如图3所示，所述电子设备包括存储器(memory)301、处理器(processor)302以及存储在存储器301上并可在处理器302上运行的计算机程序。其中，所述存储器301、处理器302通过总线303完成相互间的通信。所述处理器302用于调用所述存储器301中的程序指令，以执行如下方法：获取客户端与服务器之间的流量数据；从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

本发明实施例提供的电子设备，可执行系统指纹识别方法中的具体步骤，并能够达到相同的技术效果，在此不再对此进行具体介绍。

此外，上述的存储器301中的程序指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

在本发明的又一实施例中，提供了一种非暂态计算机可读存储介质，其上存储有计算机程序，该计算机程序被处理器执行时以执行如下方法：获取客户端与服务器之间的流量数据；从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

本发明实施例提供的非暂态计算机可读存储介质，可执行系统指纹识别方法中的具体步骤，并能够达到相同的技术效果，在此不再对此进行具体介绍。

在本发明的又一实施例中，提供了一种计算机程序产品，所述计算机程序产品包括存储在非暂态计算机可读存储介质上的计算机程序，所述计算机程序包括程序指令，当所述程序指令被计算机执行时以执行如下方法：获取客户端与服务器之间的流量数据；从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

本发明实施例提供的计算机程序产品，可执行系统指纹识别方法中的具体步骤，并能够达到相同的技术效果，在此不再对此进行具体介绍。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims (10)

1.一种系统指纹识别方法，其特征在于，包括：

获取客户端与服务器之间的流量数据；

从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；

根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

2.根据权利要求1所述的方法，其特征在于，所述特征数据包括SYN、ACK和FIN参数数据。

3.根据权利要求1所述的方法，其特征在于，所述根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息之前，所述方法还包括：

检测预设指纹数据库中是否存在与所述特征数据相匹配的相应特征数据；

当所述预设指纹数据库中不存在所述相应特征数据，或者所述预设指纹数据库中存在所述相应特征数据，且所述特征数据与所述相应特征数据之间的匹配度低于预设阈值时，进入所述根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息的步骤。

4.根据权利要求1所述的方法，其特征在于，所述根据所述特征数据和预先训练的系统识别模型，确定所述客户端的操作系统信息之前，所述方法还包括：

将所述TCP/IP数据包的包头转换为p0f格式。

5.根据权利要求1所述的方法，其特征在于，所述根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息之前，所述方法还包括：

训练所述系统识别模型；其中，

所述训练所述系统识别模型，包括：

获取多个已知操作系统信息的目标客户端产生的训练数据；其中，所述训练数据包括从TCP/IP数据包中提取的特征数据；

根据预先建立的所述训练数据与操作系统信息之间的对应关系，通过决策树算法，对所述训练数据进行训练，得到所述系统识别模型。

6.根据权利要求1所述的方法，其特征在于，所述根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息，包括：

将所述特征数据输入至所述系统识别模型中，通过所述系统识别模型对所述特征数据进行分析，得到所述客户端的操作系统信息；其中，所述操作系统信息包括操作系统型号信息和版本信息。

7.一种系统指纹识别装置，其特征在于，所述装置包括：

第一获取模块，用于获取客户端与服务器之间的流量数据；

第二获取模块，用于从所述流量数据中提取TCP/IP数据包，并从所述TCP/IP数据包中提取特征数据；

确定模块，用于根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

8.根据权利要求7所述的装置，其特征在于，所述装置还包括：

检测模块，用于检测预设指纹数据库中是否存在与所述特征数据相匹配的相应特征数据；

执行模块，用于当所述预设指纹数据库中不存在所述相应特征数据，或者所述预设指纹数据库中存在所述相应特征数据，且所述特征数据与所述相应特征数据之间的匹配度低于预设阈值时，触发所述确定模块，以根据所述特征数据和预先训练得到的系统识别模型，确定所述客户端的操作系统信息。

9.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至6中任一项所述的系统指纹识别方法的步骤。

10.一种非暂态计算机可读存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求1至6任一项所述的系统指纹识别方法的步骤。