CN112600793A - 一种基于机器学习的物联网设备分类识别方法及系统 - Google Patents

Abstract

本发明涉及一种基于机器学习的物联网设备分类识别方法及系统。所述分类识别方法包括获取已知类型的物联网设备的指纹；利用所述物联网设备的类型对所述物联网设备的指纹进行标注；利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合；获取待识别的物联网设备的指纹；利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。本发明通过在安全网关的基础上提供一种自动化的、可处理未知类型设备的物联网终端设备智能分类机制，方便进行网络管理。

Description

一种基于机器学习的物联网设备分类识别方法及系统

技术领域

本发明涉及计算机网络技术领域，特别是涉及一种基于机器学习的物联网设备分类识别方法及系统。

背景技术

物联网是基于互联网、广播电视网、传统电信网等信息承载体，让所有能够被独立寻址的普通物理对象实现互联互通的网络。随着物联网的迅速发展及基础设施通信系统的IP化，海量设备通过网络互联将成为趋势，在公安、交警、电力能源等行业中，大量IP摄像机、探测器、RFID等物联网终端已经大规模部署在城市的各个角落，当今社会已经逐渐进入物联网时代。物联网前端设备大量分散在无人值守的环境下，极易被黑客利用，进而渗透到整个网络，导致核心业务系统无法正常运行、大量保密信息被窃取。因此，建立完善的物联网管控机制是物联网安全体系建设的重要内容。

由于物联网环境的特殊性，导致物联网终端类型多种多样，万物互联也导致物联网终端的数量也远超传统网络终端数量，而不同类型的物联网终端面临的安全威胁也不尽相同。所以，如何对物联网终端设备进行有效的识别的分类，成为物联网安全管理的重要问题。

目前常见的物联网设备识别分类技术，主要通过人工总结分析设备指纹(即设备在通信中表现的属性及行为，如IP地址、开放端口、报文头部字段等)，对给定设备种类的特征进行总结并构造指纹库，通过将待分类设备与指纹库进行比对来进行分类。此类方法存在耗费大量人工、无法识别分类新设备等问题。

发明内容

本发明的目的是提供一种基于机器学习的物联网设备分类识别方法及系统，通过在安全网关的基础上提供一种自动化的、可处理未知类型设备的物联网终端设备智能分类机制，方便进行网络管理。

为实现上述目的，本发明提供了如下方案：

一种基于机器学习的物联网设备分类识别方法，包括：

获取已知类型的物联网设备的指纹；所述物联网设备的指纹为从所述物联网设备网络流量中截获的报文的特征信息；所述特征信息包括：链路层是否为ARP协议、链路层是否为LLC协议、网络层是否为IP协议、网络层是否为ICMP协议、网络层是否为ICMPv6协议、网络层是否为EAPoL协议、传输层是否为TCP协议、传输层是否为UDP协议、应用层是否为HTTP协议、应用层是否为HTTPS协议、应用层是否为DHCP协议、应用层是否为BOOTP协议、应用层是否为SSDP协议、应用层是否为DNS协议、应用层是否为MDNS协议、应用层是否为NTP协议、IP报文头部Padding字段值、IP报文头部RouterAlert字段值、IP报文长度、截至目前所述物联网设备的报文中出现的不同目的IP地址计数、源端口号、目的端口号以及设备应用层操作系统信息；

利用所述物联网设备的类型对所述物联网设备的指纹进行标注；

利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合；

获取待识别的物联网设备的指纹；

利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。

可选的，所述获取已知类型的物联网设备的指纹，具体包括：

从第一次捕获的所述已知类型的物联网设备中截获多个报文；

从所述报文中提取特征信息；

根据所述特征信息确定所述已知类型的物联网设备的指纹；

将所述已知类型的物联网设备的MAC地址作为所述已知类型的物联网设备的指纹的唯一标识；

将所述指纹进行存储。

可选的，所述利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合，具体包括：

以所述标注后的物联网设备的指纹为正面样例，以未被标注的物联网设备的指纹为反面样例；所述未被标注的物联网设备的指纹为所述物联网设备的类型为未知；

从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本；

从所述N个训练样本中选取M个属性，进行决策树学习，并返回所述从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本的步骤，得到T个决策树；

根据所述T个决策树得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

可选的，所述利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别，具体包括：

判断所述待识别的物联网设备的指纹是否被所述二元分类器集合识别；

若所述待识别的物联网设备的指纹只被第i个二元分类器识别，则所述待识别的物联网设备的类型为第i个二元分类器对应的类型；

若所述待识别的物联网设备的指纹被多个二元分类器识别，则计算所述待识别的物联网设备的指纹与多个所述二元分类器对应的指纹的差异度；

将差异度最小的二元分类器对应的类型作为所述待识别的物联网设备的类型；

若所述待识别的物联网设备的指纹不能被所有的二元分类器识别，则将所述待识别的物联网设备作为新的类型，返回利用所述物联网设备的类型对所述物联网设备的指纹进行标注的步骤。

一种基于机器学习的物联网设备分类识别系统，包括：

已知类型的物联网设备的指纹获取模块，用于获取已知类型的物联网设备的指纹；所述物联网设备的指纹为从所述物联网设备网络流量中截获的报文的特征信息；所述特征信息包括：链路层是否为ARP协议、链路层是否为LLC协议、网络层是否为IP协议、网络层是否为ICMP协议、网络层是否为ICMPv6协议、网络层是否为EAPoL协议、传输层是否为TCP协议、传输层是否为UDP协议、应用层是否为HTTP协议、应用层是否为HTTPS协议、应用层是否为DHCP协议、应用层是否为BOOTP协议、应用层是否为SSDP协议、应用层是否为DNS协议、应用层是否为MDNS协议、应用层是否为NTP协议、IP报文头部Padding字段值、IP报文头部RouterAlert字段值、IP报文长度、截至目前所述物联网设备的报文中出现的不同目的IP地址计数、源端口号、目的端口号以及设备应用层操作系统信息；

指纹标注模块，用于利用所述物联网设备的类型对所述物联网设备的指纹进行标注；

二元分类器集合确定模块，用于利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合；

待识别的物联网设备的指纹获取模块，用于获取待识别的物联网设备的指纹；

指纹进识别模块，用于利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。

可选的，所述已知类型的物联网设备的指纹获取模块具体包括：

报文截获单元，用于从第一次捕获的所述已知类型的物联网设备中截获多个报文；

特征信息提取单元，用于从所述报文中提取特征信息；

物联网设备的指纹确定单元，用于根据所述特征信息确定所述已知类型的物联网设备的指纹；

指纹的唯一标识确定单元，用于将所述已知类型的物联网设备的MAC地址作为所述已知类型的物联网设备的指纹的唯一标识；

指纹存储单元，用于将所述指纹进行存储。

可选的，所述二元分类器集合确定模块具体包括：

训练样本集确定单元，用于以所述标注后的物联网设备的指纹为正面样例，以未被标注的物联网设备的指纹为反面样例；所述未被标注的物联网设备的指纹为所述物联网设备的类型为未知；

训练样本获取单元，用于从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本；

决策树确定单元，用于从所述N个训练样本中选取M个属性，进行决策树学习，并返回所述从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本的步骤，得到T个决策树；

二元分类器集合确定单元，用于根据所述T个决策树得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

可选的，所述指纹进识别模块具体包括：

判断单元，用于判断所述待识别的物联网设备的指纹是否被所述二元分类器集合识别；

第一识别结果确定单元，用于若所述待识别的物联网设备的指纹只被第i个二元分类器识别，则所述待识别的物联网设备的类型为第i个二元分类器对应的类型；

差异度确定单元，用于若所述待识别的物联网设备的指纹被多个二元分类器识别，则计算所述待识别的物联网设备的指纹与多个所述二元分类器对应的指纹的差异度；

第二识别结果确定单元，用于将差异度最小的二元分类器对应的类型作为所述待识别的物联网设备的类型；

第三识别结果确定单元，用于若所述待识别的物联网设备的指纹不能被所有的二元分类器识别，则将所述待识别的物联网设备作为新的类型，返回利用所述物联网设备的类型对所述物联网设备的指纹进行标注的步骤。

根据本发明提供的具体实施例，本发明公开了以下技术效果：

本发明所提供的一种基于机器学习的物联网设备分类识别方法及系统，通过一种对接入安全网关的物联网设备进行指纹提取的方法，用以表示物联网设备的特征信息。利用已知类型的物联网设备的指纹作为训练样例，针对每个物联网设备类型分别训练二元分类器。当新的物联网设备接入目标网络并产生通信流量，本发明能够提取该设备的指纹，并利用获得的二元分类器对其进行智能分类识别。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明所提供的一种基于机器学习的物联网设备分类识别方法流程示意图；

图2为本发明所提供的一种基于机器学习的物联网设备分类识别方法总体流程示意图；

图3为本发明所提供的一种基于机器学习的物联网设备分类识别方法中的一个特定物联网设备特征的指纹矩阵示意图；

图4为本发明所提供的一种基于机器学习的物联网设备分类识别方法中对待识别的样本进行分类识别的流程示意图；

图5为本发明所提供的一种基于机器学习的物联网设备分类识别系统结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的目的是提供一种基于机器学习的物联网设备分类识别方法及系统，通过在安全网关的基础上提供一种自动化的、可处理未知类型设备的物联网终端设备智能分类机制，方便进行网络管理。

为使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图和具体实施方式对本发明作进一步详细的说明。

图1为本发明所提供的一种基于机器学习的物联网设备分类识别方法流程示意图和图2为本发明所提供的一种基于机器学习的物联网设备分类识别方法总体流程示意图，如图1和图2所示，本发明所提供的一种基于机器学习的物联网设备分类识别方法，包括：

S101，获取已知类型的物联网设备的指纹；所述物联网设备的指纹为从所述物联网设备网络流量中截获的报文的特征信息；所述特征信息包括：链路层是否为ARP协议、链路层是否为LLC协议、网络层是否为IP协议、网络层是否为ICMP协议、网络层是否为ICMPv6协议、网络层是否为EAPoL协议、传输层是否为TCP协议、传输层是否为UDP协议、应用层是否为HTTP协议、应用层是否为HTTPS协议、应用层是否为DHCP协议、应用层是否为BOOTP协议、应用层是否为SSDP协议、应用层是否为DNS协议、应用层是否为MDNS协议、应用层是否为NTP协议、IP报文头部Padding字段值、IP报文头部RouterAlert字段值、IP报文长度、截至目前所述物联网设备的报文中出现的不同目的IP地址计数、源端口号、目的端口号以及设备应用层操作系统信息。

其中，物联网设备类型包括iKettle2智能水壶、SmarterCoffee智能咖啡机、D-Link摄像头、Ednet摄像头、Edimax摄像头、D-Link门窗传感器、D-Link智能开关、Hue智能开关、WeMo智能开关、WeMo智能插座。

S101具体包括：

从第一次捕获的所述已知类型的物联网设备中截获多个报文{p₁,p₂,…p_n}。

从所述报文中提取特征信息{f_1,i,f_2,i,…f_23,i}。

根据所述特征信息确定所述已知类型的物联网设备的指纹。

将所述已知类型的物联网设备的MAC地址作为所述已知类型的物联网设备的指纹的唯一标识。

将所述指纹进行存储。

如图3所示，以每个报文对应一列，每个特征信息对应一行，构造一个23×n矩阵，作为物联网设备“指纹”F：

S102，利用所述物联网设备的类型对所述物联网设备的指纹进行标注。定义已知的设备类型：{D₁,D₂,...,D_l}，人工对少量设备指纹按照已知设备类型进行标注，定义已知类型的指纹集合为S，其中被识别为类型D_i的子集为

类型不为D_i的子集记为

S103，利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。二元分类器集合为{C₁,C₂,…,C_l}，即为二元随机森林分类器模型。

S103具体包括：

以所述标注后的物联网设备的指纹为正面样例，以未被标注的物联网设备的指纹为反面样例；所述未被标注的物联网设备的指纹为所述物联网设备的类型为未知。

从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本。

从所述N个训练样本中选取M个属性，进行决策树学习，并返回所述从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本的步骤，得到T个决策树。

根据所述T个决策树得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

S104，获取待识别的物联网设备的指纹。

S105，利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。

如图4所示，S105具体包括：

判断所述待识别的物联网设备的指纹是否被所述二元分类器集合识别。

若所述待识别的物联网设备的指纹只被第i个二元分类器识别，则所述待识别的物联网设备的类型为第i个二元分类器对应的类型。

若所述待识别的物联网设备的指纹被多个二元分类器识别，则计算所述待识别的物联网设备的指纹与多个所述二元分类器对应的指纹的差异度。即有多个分类器

接受F，n₁,n₂,…n_h∈[1,l]且各不相同，则分别从每个

中选择等量的已知类型指纹

使用Damerau-Levenshtein编辑距离计算F与

中每个指纹的差异度，将指纹矩阵视作一个单词，矩阵的每一列(即每个报文)视作一个字符，若两个字符(即两个报文对应的列向量)每个对应元素都相同，则认为两个字符相同，两个单词的编辑距离，由其中一个单词转换至另一个需要的修改、插入、删除字符操作的次数表示。计算F与每个

中每个指纹的差异度总和，将F识别为总和最小的类型，结束分类识别过程。

将差异度最小的二元分类器对应的类型作为所述待识别的物联网设备的类型。

若所述待识别的物联网设备的指纹不能被所有的二元分类器识别，则将所述待识别的物联网设备作为新的类型，返回利用所述物联网设备的类型对所述物联网设备的指纹进行标注的步骤。

本发明采用真实物联网环境对所提方法进行验证，物联网环境中包括10类物联网设备，设备间通信采用Wi-Fi网络。收集了的连续3天内的网络流量，从中提取540个设备指纹构成数据集。按经验，本发明使用10折交叉验证法，将数据集随机分成10份，使用其中9份进行训练而用另外一份做测试，该过程重复10次，每次的测试数据不同。

表1为本发明提出的物联网设备智能分类识别方法的测试结果，从表1中可以看出，使用本发明所提方法，实现了精准的物联网资产智能分类识别。表1如下：

表1

图5为本发明所提供的一种基于机器学习的物联网设备分类识别系统结构示意图，如图5所示，本发明所提供的一种基于机器学习的物联网设备分类识别系统，包括：已知类型的物联网设备的指纹获取模块501、指纹标注模块502、二元分类器集合确定模块503、待识别的物联网设备的指纹获取模块504和指纹进识别模块505。

已知类型的物联网设备的指纹获取模块501用于获取已知类型的物联网设备的指纹；所述物联网设备的指纹为从所述物联网设备网络流量中截获的报文的特征信息；所述特征信息包括：链路层是否为ARP协议、链路层是否为LLC协议、网络层是否为IP协议、网络层是否为ICMP协议、网络层是否为ICMPv6协议、网络层是否为EAPoL协议、传输层是否为TCP协议、传输层是否为UDP协议、应用层是否为HTTP协议、应用层是否为HTTPS协议、应用层是否为DHCP协议、应用层是否为BOOTP协议、应用层是否为SSDP协议、应用层是否为DNS协议、应用层是否为MDNS协议、应用层是否为NTP协议、IP报文头部Padding字段值、IP报文头部RouterAlert字段值、IP报文长度、截至目前所述物联网设备的报文中出现的不同目的IP地址计数、源端口号、目的端口号以及设备应用层操作系统信息。

指纹标注模块502用于利用所述物联网设备的类型对所述物联网设备的指纹进行标注。

二元分类器集合确定模块503用于利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

待识别的物联网设备的指纹获取模块504用于获取待识别的物联网设备的指纹。

指纹进识别模块505用于利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。

所述已知类型的物联网设备的指纹获取模块501具体包括：报文截获单元、特征信息提取单元、物联网设备的指纹确定单元、指纹的唯一标识确定单元和指纹存储单元。

报文截获单元用于从第一次捕获的所述已知类型的物联网设备中截获多个报文。

特征信息提取单元用于从所述报文中提取特征信息。

物联网设备的指纹确定单元用于根据所述特征信息确定所述已知类型的物联网设备的指纹。

指纹的唯一标识确定单元用于将所述已知类型的物联网设备的MAC地址作为所述已知类型的物联网设备的指纹的唯一标识。

指纹存储单元用于将所述指纹进行存储。

所述二元分类器集合确定模块503具体包括：训练样本集确定单元、训练样本获取单元、决策树确定单元和二元分类器集合确定单元。

训练样本集确定单元用于以所述标注后的物联网设备的指纹为正面样例，以未被标注的物联网设备的指纹为反面样例；所述未被标注的物联网设备的指纹为所述物联网设备的类型为未知。

训练样本获取单元用于从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本。

决策树确定单元用于从所述N个训练样本中选取M个属性，进行决策树学习，并返回所述从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本的步骤，得到T个决策树。

二元分类器集合确定单元用于根据所述T个决策树得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

所述指纹进识别模块505具体包括：判断单元、第一识别结果确定单元、差异度确定单元、第二识别结果确定单元和第三识别结果确定单元。

判断单元用于判断所述待识别的物联网设备的指纹是否被所述二元分类器集合识别。

第一识别结果确定单元用于若所述待识别的物联网设备的指纹只被第i个二元分类器识别，则所述待识别的物联网设备的类型为第i个二元分类器对应的类型。

差异度确定单元用于若所述待识别的物联网设备的指纹被多个二元分类器识别，则计算所述待识别的物联网设备的指纹与多个所述二元分类器对应的指纹的差异度。

第二识别结果确定单元用于将差异度最小的二元分类器对应的类型作为所述待识别的物联网设备的类型。

第三识别结果确定单元用于若所述待识别的物联网设备的指纹不能被所有的二元分类器识别，则将所述待识别的物联网设备作为新的类型，返回利用所述物联网设备的类型对所述物联网设备的指纹进行标注的步骤。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的系统而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

本文中应用了具体个例对本发明的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本发明的方法及其核心思想；同时，对于本领域的一般技术人员，依据本发明的思想，在具体实施方式及应用范围上均会有改变之处。综上所述，本说明书内容不应理解为对本发明的限制。

Claims (8)

1.一种基于机器学习的物联网设备分类识别方法，其特征在于，包括：

获取已知类型的物联网设备的指纹；所述物联网设备的指纹为从所述物联网设备网络流量中截获的报文的特征信息；所述特征信息包括：链路层是否为ARP协议、链路层是否为LLC协议、网络层是否为IP协议、网络层是否为ICMP协议、网络层是否为ICMPv6协议、网络层是否为EAPoL协议、传输层是否为TCP协议、传输层是否为UDP协议、应用层是否为HTTP协议、应用层是否为HTTPS协议、应用层是否为DHCP协议、应用层是否为BOOTP协议、应用层是否为SSDP协议、应用层是否为DNS协议、应用层是否为MDNS协议、应用层是否为NTP协议、IP报文头部Padding字段值、IP报文头部RouterAlert字段值、IP报文长度、截至目前所述物联网设备的报文中出现的不同目的IP地址计数、源端口号、目的端口号以及设备应用层操作系统信息；

利用所述物联网设备的类型对所述物联网设备的指纹进行标注；

利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合；

获取待识别的物联网设备的指纹；

利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。

2.根据权利要求1所述的一种基于机器学习的物联网设备分类识别方法，其特征在于，所述获取已知类型的物联网设备的指纹，具体包括：

从第一次捕获的所述已知类型的物联网设备中截获多个报文；

从所述报文中提取特征信息；

根据所述特征信息确定所述已知类型的物联网设备的指纹；

将所述已知类型的物联网设备的MAC地址作为所述已知类型的物联网设备的指纹的唯一标识；

将所述指纹进行存储。

3.根据权利要求1所述的一种基于机器学习的物联网设备分类识别方法，其特征在于，所述利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合，具体包括：

以所述标注后的物联网设备的指纹为正面样例，以未被标注的物联网设备的指纹为反面样例；所述未被标注的物联网设备的指纹为所述物联网设备的类型为未知；

从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本；

从所述N个训练样本中选取M个属性，进行决策树学习，并返回所述从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本的步骤，得到T个决策树；

根据所述T个决策树得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

4.根据权利要求1所述的一种基于机器学习的物联网设备分类识别方法，其特征在于，所述利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别，具体包括：

判断所述待识别的物联网设备的指纹是否被所述二元分类器集合识别；

若所述待识别的物联网设备的指纹只被第i个二元分类器识别，则所述待识别的物联网设备的类型为第i个二元分类器对应的类型；

若所述待识别的物联网设备的指纹被多个二元分类器识别，则计算所述待识别的物联网设备的指纹与多个所述二元分类器对应的指纹的差异度；

将差异度最小的二元分类器对应的类型作为所述待识别的物联网设备的类型；

若所述待识别的物联网设备的指纹不能被所有的二元分类器识别，则将所述待识别的物联网设备作为新的类型，返回利用所述物联网设备的类型对所述物联网设备的指纹进行标注的步骤。

5.一种基于机器学习的物联网设备分类识别系统，其特征在于，包括：

已知类型的物联网设备的指纹获取模块，用于获取已知类型的物联网设备的指纹；所述物联网设备的指纹为从所述物联网设备网络流量中截获的报文的特征信息；所述特征信息包括：链路层是否为ARP协议、链路层是否为LLC协议、网络层是否为IP协议、网络层是否为ICMP协议、网络层是否为ICMPv6协议、网络层是否为EAPoL协议、传输层是否为TCP协议、传输层是否为UDP协议、应用层是否为HTTP协议、应用层是否为HTTPS协议、应用层是否为DHCP协议、应用层是否为BOOTP协议、应用层是否为SSDP协议、应用层是否为DNS协议、应用层是否为MDNS协议、应用层是否为NTP协议、IP报文头部Padding字段值、IP报文头部RouterAlert字段值、IP报文长度、截至目前所述物联网设备的报文中出现的不同目的IP地址计数、源端口号、目的端口号以及设备应用层操作系统信息；

指纹标注模块，用于利用所述物联网设备的类型对所述物联网设备的指纹进行标注；

二元分类器集合确定模块，用于利用每一标注后的物联网设备的指纹进行机器学习，对相应的物联网设备的类型进行二元随机森林模型学习，得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合；

待识别的物联网设备的指纹获取模块，用于获取待识别的物联网设备的指纹；

指纹进识别模块，用于利用所述二元分类器集合对所述待识别的物联网设备的指纹进行识别。

6.根据权利要求5所述的一种基于机器学习的物联网设备分类识别系统，其特征在于，所述已知类型的物联网设备的指纹获取模块具体包括：

报文截获单元，用于从第一次捕获的所述已知类型的物联网设备中截获多个报文；

特征信息提取单元，用于从所述报文中提取特征信息；

物联网设备的指纹确定单元，用于根据所述特征信息确定所述已知类型的物联网设备的指纹；

指纹的唯一标识确定单元，用于将所述已知类型的物联网设备的MAC地址作为所述已知类型的物联网设备的指纹的唯一标识；

指纹存储单元，用于将所述指纹进行存储。

7.根据权利要求5所述的一种基于机器学习的物联网设备分类识别系统，其特征在于，所述二元分类器集合确定模块具体包括：

训练样本集确定单元，用于以所述标注后的物联网设备的指纹为正面样例，以未被标注的物联网设备的指纹为反面样例；所述未被标注的物联网设备的指纹为所述物联网设备的类型为未知；

训练样本获取单元，用于从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本；

决策树确定单元，用于从所述N个训练样本中选取M个属性，进行决策树学习，并返回所述从所述正面样例和反面样例构成的训练样本集中随机且有放回的获取N个训练样本的步骤，得到T个决策树；

二元分类器集合确定单元，用于根据所述T个决策树得到以物联网设备的指纹为输入，以物联网设备的类型为输出的二元分类器集合。

8.根据权利要求5所述的一种基于机器学习的物联网设备分类识别系统，其特征在于，所述指纹进识别模块具体包括：

判断单元，用于判断所述待识别的物联网设备的指纹是否被所述二元分类器集合识别；

第一识别结果确定单元，用于若所述待识别的物联网设备的指纹只被第i个二元分类器识别，则所述待识别的物联网设备的类型为第i个二元分类器对应的类型；

差异度确定单元，用于若所述待识别的物联网设备的指纹被多个二元分类器识别，则计算所述待识别的物联网设备的指纹与多个所述二元分类器对应的指纹的差异度；

第二识别结果确定单元，用于将差异度最小的二元分类器对应的类型作为所述待识别的物联网设备的类型；

第三识别结果确定单元，用于若所述待识别的物联网设备的指纹不能被所有的二元分类器识别，则将所述待识别的物联网设备作为新的类型，返回利用所述物联网设备的类型对所述物联网设备的指纹进行标注的步骤。

Images