CN112671553A

CN112671553A - 基于主被动探测的工控网络拓扑图生成方法

Info

Publication number: CN112671553A
Application number: CN202011344215.7A
Authority: CN
Inventors: 吴丹; 曾斌; 陈勋
Original assignee: China Electronic Technology Cyber Security Co Ltd
Current assignee: China Electronic Technology Cyber Security Co Ltd
Priority date: 2020-11-26
Filing date: 2020-11-26
Publication date: 2021-04-16

Abstract

本发明公开了一种基于主被动探测的工控网络拓扑图生成方法，包括步骤：S1，通过被动探测的方式抓取网络流量数据，对流量数据进行解析及格式化处理，并保存至数据库；S2，把流量数据中的IP提供给主动探测；S3，主动探测首先进行存活扫描，记录当前存活的IP和端口；S4，将当前存活的IP和端口通过工控协议脚本进行扫描，同时进行路由跟踪，将扫描结果和路由信息进行解析和格式化处理，并保存至数据库；S5，根据用户的过滤条件从数据库中取出数据用以绘制拓扑图等；本发明能针对所在的网络环境生成详细路由的网络拓扑图，可以通过拓扑图，找到故障节点，快速准确地解决网络问题，便于更好的管理和优化网络提供途径。

Description

基于主被动探测的工控网络拓扑图生成方法

技术领域

本发明涉及工控自动化领域，更为具体的，涉及一种基于主被动探测的工控网络拓扑图生成方法。

背景技术

随着信息时代的到来，计算机网络已经成为人们生活和工作中不可或缺的一部分。为了保障用户的权益，对计算机网络运行的可靠性和安全性的重视程度以及网络管理的要求越来越高。与此同时，在这日益壮大的网络规模中，网络线路的部署呈现出多元化、复杂化，这给网络管理工作带来了极大的难度。

在工业控制领域，随着工控自动化技术的发展，一方面，这对工控企业来说是一次前所未有的机遇，工控系统从以前单一、封闭的网络环境转移到互联网的浪潮，不仅节约了企业的成本还提升了工控系统的工作效率。另一方面，这也是一次巨大的挑战，互联网环境复杂多变，无时无刻都面临着外部环境的恶意攻击、木马植入等网络威胁，网络安全即使出现一个小失误也可能导致严重后果，让个人乃至企业都遭受重创。因此，在网络管理工作上严格要求，将威胁扼杀在源头，是工控领域的一项重任。

现有工控网络拓扑图生成技术，基本上都是呈现的端到端的链路，没有把端与端连线的具体路由路径标注出来，而在庞大的网络系统环境中，网段设备多种多样，在没有详细路由信息的情况下，需要花费大量的时间和精力去排查故障出现在哪一网段，总是事倍功半。

发明内容

本发明的目的在于克服现有技术的不足，提供一种基于主被动探测的工控网络拓扑图生成方法，能针对所在的网络环境生成详细路由的网络拓扑图，可以通过拓扑图，找到故障节点，快速准确地解决网络问题，便于更好的管理和优化网络提供途径等。

本发明的目的是通过以下方案实现的：

基于主被动探测的工控网络拓扑图生成方法，包括步骤：

S1，通过被动探测的方式抓取网络流量数据，对流量数据进行解析及格式化处理，并保存至数据库；

S2，把流量数据中的IP提供给主动探测；

S3，主动探测首先进行存活扫描，记录当前存活的IP和端口；

S4，将当前存活的IP和端口通过工控协议脚本进行扫描，同时进行路由跟踪，将扫描结果和路由信息进行解析和格式化处理，并保存至数据库；

S5，根据用户的过滤条件从数据库中取出数据用以绘制拓扑图。

进一步地，步骤S1包括：

S11，使用多线程方式调用抓包函数，爬取当前网络报文数据；

S12，对获取的报文数据进行解析，从中获取源IP、目的IP、源端口、目的端口、协议名称、负载信息、时间戳信息，并将这些数据按照项目需求统一格式化，将格式化后的数据保存在数据库中。

进一步地，步骤S2包括：

S21，把步骤S1中获取到的目的IP和源IP进行去重处理；

S22，将步骤S21处理后的IP数据存放在Redis缓存当中以供主动探测调用。

进一步地，步骤S3包括：

S31，主动探测从Redis缓存中获取IP数据，并进行TCP和UDP端口存活扫描；

S32，TCP端口使用MASSCAN进行扫描，UDP端口使用NMAP进行扫描；

S33，将扫描结果以IP、端口、TCP/UDP、存活时间的形式存放在Redis缓存中，多个端口之间隔开，同时保存在本地数据库中。

进一步地，步骤S4包括：

S41，采用协程的方式调用工控协议脚本进行扫描；

S42，扫描时，同步开启路由跟踪任务，获取路由信息，并对这些数据进行解析，提取关键信息，内容包括生存时间TTL、往返时间RTT、主机节点信息、获取路由时间，然后对这些数据进行格式化处理并保存在数据库中；

S43，工控协议扫描完成后，若发现资产，则对相应的报文数据进行解析，提取该资产关键信息，然后对这些数据进行格式化处理并保存在数据库中；

S44，存储数据时，资产的路由信息与资产详情信息使用关联存储，并保持一一对应的关系。

进一步地，步骤S5中绘制的拓扑图，包括资产详细路由节点信息、IP、端口、设备名称、设备类型、设备型号、协议名称、厂商、设备详情、版本号、序列号中的任一种或多种。

进一步地，用户的过滤条件包括指定时间段、某一具体资产、某一类型的资产、指定区域、指定厂商、指定端口中的任一种，后台接收到过滤条件中指定关键字后，在数据库中查询出符合要求的资产并将数据返回给前端，前端根据返回数据进行拓扑图的绘制。

进一步地，步骤S43中，资产关键信息包括的资产IP、端口、设备名称、设备类型、设备型号、协议名称、厂商、设备详情、版本号、序列号、发现时间中的一种或多种。

本发明的有益效果是：

(1)本发明能针对所在的网络环境生成详细路由的网络拓扑图，可以通过拓扑图，找到故障节点，快速准确地解决网络问题，便于更好的管理和优化网络提供途径。具体的，通过生成的网络拓扑图实时呈现工控网络中所有的通信节点和链路，全方位掌握工控网络的设备、协议及其工作状态，有利于工控企业对整个工控网络的管理和优化，在降低企业人工成本、财务成本的同时大幅度提升了网络管理工作的效率，为工控自动化技术的发展和进步奠定了坚实的基础。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本发明的方法流程图；

图2为应用本发明实施例方案绘制的工控网络路由拓扑图。

具体实施方式

本说明书中所有实施例公开的所有特征(包括任何附加权利要求、摘要和附图)，或隐含公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合和/或扩展、替换。

如图1，2所示，基于主被动探测的工控网络拓扑图生成方法，包括步骤：

S2，把流量数据中的IP提供给主动探测；

S3，主动探测首先进行存活扫描，记录当前存活的IP和端口；

进一步地，步骤S1包括：

进一步地，步骤S2包括：

S21，把步骤S1中获取到的目的IP和源IP进行去重处理；

进一步地，步骤S3包括：

S32，TCP端口使用MASSCAN进行扫描，UDP端口使用NMAP进行扫描；

进一步地，步骤S4包括：

S41，采用协程的方式调用工控协议脚本进行扫描；

在本发明的实施例中，本发明基于主被动探测的工控网络拓扑图生成方法具体步骤如下：

1)通过被动探测的方式抓取网络流量数据，对流量数据进行解析及格式化处理，并保存至数据库：

a)使用多线程方式调用抓包函数爬取当前网络报文数据；

b)对获取的报文数据进行解析，从中获取源IP、目的IP、源端口、目的端口、协议名称、负载信息、时间戳等信息，并将这些数据按照项目需求统一格式化，将数据保存在数据库中。

2)把流量数据中的IP提供给主动探测：

a)将1)中获取到的目的IP和源IP进行去重处理；

b)将处理后的IP数据存放在Redis缓存当中以供主动探测调用。

3)主动探测首先进行存活扫描，记录当前存活的IP和端口：

a)主动探测从Redis缓存中获取IP数据，并针对1--65535端口号进行TCP和UDP端口存活扫描；

b)TCP端口使用MASSCAN进行扫描，UDP端口使用NMAP进行扫描；

c)将扫描结果以IP、端口、TCP/UDP、存活时间的形式存放在Redis缓存中，多个端口之间用逗号隔开，同时保存在本地数据库中。

4)将当前存活的IP和端口通过工控协议脚本进行扫描，同时进行路由跟踪，将扫描结果和路由信息进行解析和格式化处理，并保存至数据库：

a)采用协程的方式调用工控协议脚本进行扫描；

b)扫描时，同步开启路由跟踪任务，获取路由信息，并对这些数据进行解析，提取关键信息，内容包括生存时间TTL、往返时间RTT、主机节点信息、获取路由时间，最后对这些数据进行格式化处理并保存在数据库中；

c)工控协议扫描完成后，若发现资产，则对相应的报文数据进行解析，提取该资产的IP、端口、设备名称、设备类型、设备型号、协议名称、厂商、设备详情、版本号、序列号、发现时间等关键信息，最后对这些数据进行格式化处理并保存在数据库中；

d)存储数据时，资产的路由信息应当与资产详情信息使用关联存储，保持一一对应的关系。

5)根据用户的过滤条件从数据库中取出数据用以绘制拓扑图：

a)拓扑图中应包含资产详细路由节点信息、IP、端口、设备名称、设备类型、设备型号、协议名称、厂商、设备详情、版本号、序列号等，具体呈现形式可参照图2所示的工控网络路由拓扑图来绘制，其中每个资产都以资产的类型直观呈现，若用户想查看该资产的详细信息，则将鼠标置于该类型之上，系统就会将该资产的详细信息全部展开；

b)用户的筛选条件可以是指定时间段、某一具体资产、某一类型的资产、指定区域、指定厂商、指定端口等等，后台接收到指定关键字后去数据库中查询出符合要求的资产并将数据返回给前端，前端根据返回数据进行拓扑图的绘制。

基于主被动探测的工控网络拓扑图生成方法的工作原理如图1所示，工控网络路由拓扑图如图2所示。

在本发明的实施例中，通过抓取流量数据，被动获取网络中的IP、端口、协议名称、负载信息、时间戳等数据，将获取的IP用于工控协议主动探测并记录路由，获取相应的设备名称、设备类型、设备型号、协议、厂商、版本号、路由数据(TTL、RTT、主机信息)、发现时间等信息。将主动探测和被动探测获取的原始数据进行汇总、解析、格式化处理并存储在数据库中，最后根据用户的过滤条件用于绘制网络拓扑图。

本发明功能如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，在一台计算机设备(可以是个人计算机，服务器，或者网络设备等)以及相应的软件中执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、或者光盘等各种可以存储程序代码的介质，进行测试或者实际的数据在程序实现中存在于只读存储器(Random Access Memory，RAM)、随机存取存储器(Random Access Memory，RAM)等。

Claims

1.基于主被动探测的工控网络拓扑图生成方法，其特征在于，包括步骤：

S2，把流量数据中的IP提供给主动探测；

S3，主动探测首先进行存活扫描，记录当前存活的IP和端口；

2.根据权利要求1所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，步骤S1包括：

3.根据权利要求1所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，步骤S2包括：

S21，把步骤S1中获取到的目的IP和源IP进行去重处理；

4.根据权利要求1所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，步骤S3包括：

S32，TCP端口使用MASSCAN进行扫描，UDP端口使用NMAP进行扫描；

5.根据权利要求1所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，步骤S4包括：

S41，采用协程的方式调用工控协议脚本进行扫描；

6.根据权利要求1所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，步骤S5中绘制的拓扑图，包括资产详细路由节点信息、IP、端口、设备名称、设备类型、设备型号、协议名称、厂商、设备详情、版本号、序列号中的任一种或多种。

7.根据权利要求6所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，用户的过滤条件包括指定时间段、某一具体资产、某一类型的资产、指定区域、指定厂商、指定端口中的任一种，后台接收到过滤条件中指定关键字后，在数据库中查询出符合要求的资产并将数据返回给前端，前端根据返回数据进行拓扑图的绘制。

8.根据权利要求5所述的基于主被动探测的工控网络拓扑图生成方法，其特征在于，步骤S43中，资产关键信息包括的资产IP、端口、设备名称、设备类型、设备型号、协议名称、厂商、设备详情、版本号、序列号、发现时间中的一种或多种。