CN112995115A - 一种物联网安全态势感知方法及装置 - Google Patents

Abstract

本发明实施例公开了一种物联网安全态势感知方法及装置，以解决现有安全态势感知方法适用性低以及感知结果的准确性低的问题。该方法包括：获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；拓扑结构包括多个网络节点；第一数据包特征信息包括数据特征信息和/或网络行为特征信息；根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息；确定各网络节点的安全等级；及，基于拓扑结构及第二数据包特征信息，确定各网络节点的第一安全态势值；根据安全等级及第一安全态势值，确定物联网的第二安全态势值。该技术方案通过上述综合因素对物联网的整体安全态势进行评估，使得感知范围更加全面，感知结果更加准确。

Description

一种物联网安全态势感知方法及装置

技术领域

本发明涉及网络安全技术领域，尤其涉及一种物联网安全态势感知方法及装置。

背景技术

目前态势感知方法主要为数据融合态势评估方法，该方法主要是针对不同安全设备产生的海量、异构信息进行信息融合及不确定信息的推理，从而获得宏观网络安全状况。并且，研究人员将数据融合态势评估方法与神经网络、博弈原理、马尔可夫等理论相结合，进一步优化了评估结果。但对于物联网领域(如工业物联网)却无一种可行的安全态势感知方案。

发明内容

本发明实施例提供一种物联网安全态势感知方法及装置，以解决现有安全态势感知方法适用性低以及感知结果的准确性低的问题。

为解决上述技术问题，本发明实施例是这样实现的：

第一方面，本发明实施例提供了一种物联网安全态势感知方法，包括：

获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；拓扑结构包括多个网络节点；第一数据包特征信息包括数据特征信息和/或网络行为特征信息；

根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息；

确定各网络节点的安全等级；及，基于拓扑结构及第二数据包特征信息，确定各网络节点的第一安全态势值；

根据安全等级及第一安全态势值，确定物联网的第二安全态势值。

第二方面，本发明实施例还提供了一种物联网安全态势感知装置，包括：

获取模块，用于获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；拓扑结构包括多个网络节点；第一数据包特征信息包括数据特征信息和/或网络行为特征信息；

第一确定模块，用于根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息；

第二确定模块，用于确定各网络节点的安全等级；及，基于拓扑结构及第二数据包特征信息，确定各网络节点的第一安全态势值；

第三确定模块，用于根据安全等级及第一安全态势值，确定物联网的第二安全态势值。

第三方面，本发明实施例还提供了一种物联网安全态势感知设备，包括：

存储器，存储有计算机程序指令；

处理器，当计算机程序指令被处理器执行时实现如上述第一方面所述的物联网安全态势感知方法。

第四方面，本发明实施例还提供了一种计算机可读存储介质，计算机可读存储介质包括指令，当指令在计算机上运行时，使得计算机执行如上述第一方面所述的物联网安全态势感知方法。

在本发明实施例中，通过物联网的拓扑结构及目标时段内的第一数据包特征信息，确定拓扑结构中各网络节点分别对应的第二数据包特征信息，并确定各网络节点的安全等级，结合拓扑结构及第二数据包特征信息，进一步确定各网络节点的第一安全态势值，从而根据各网络节点的安全等级及第一安全态势值，确定物联网的第二安全态势值。可见，该技术方案能够根据物联网的拓扑结构、拓扑结构中各网络节点的安全等级及各网络节点的安全态势值的综合因素对物联网的整体安全态势进行评估，从而使感知范围更加全面，提高了感知结果的准确性；且适用于多种具有拓扑结构的物联网领域，提升了安全态势感知方法的适用性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是本发明的一个实施例中一种物联网安全态势感知方法的示意性流程图。

图2是本发明的另一个实施例中一种物联网安全态势感知方法的示意性流程图。

图3是本发明的一个实施例中一种物联网安全态势感知装置的结构示意图。

图4是本发明的一个实施例中一种物联网安全态势感知设备的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

图1是本发明的一个实施例中一种物联网安全态势感知方法的示意性流程图。图1的方法可包括：

S102，获取物联网的拓扑结构及在目标时段内的第一数据包特征信息。

其中，拓扑结构包括多个网络节点。第一数据包特征信息包括该多个网络节点的数据特征信息和/或网络行为特征信息。数据特征信息可包括该多个网络节点的互联网协议(Internet Protocol，IP)、端口号、在目标时段内收发的各数据包的生存时间值(TimeTo Live，TTL)、数据包的类型、数据包的内容关键字等。网络行为特征信息可包括该多个网络节点对应的数据包平均长度、确认(Acknowledge character，ACK)包占数据包的比例、同步序列编号(Synchronize Sequence Numbers，SYN)包占数据包的比例、控制报文协议(Internet Control Message Protocol，ICMP)包数量、丢包率、流入包数量、流出包数量、流入包的来源节点、流出包的目标节点等。

第一数据包特征信息可通过对网络数据进行监测得到。目标时段可为需要确定安全态势值的时间段。

例如，若需要确定某天中午11点至12点之间物联网的安全态势值，则需要获取该天中午11点至12点之间的第一数据包特征信息。

其中，物联网可为任一种具有拓扑结构的物联网，例如工业物联网。由于工业物联网中的设备、各设备之间的相互关系、所面对的客户群以及所提供的服务都是有限且固定的。因此，根据这种有限且固定的特性，可以为工业物联网中的各设备、客户、各设备之间以及设备与客户之间的关系构建拓扑结构图。通过该拓扑结构图可知工业物联网中各节点(包括设备以及用户)之间的物理关系。

S104，根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息。

可选的，第一数据包特征信息中包括各网络节点的标识信息(如IP地址)及带有所述标识信息的各网络节点的数据包特征信息。基于此，可根据拓扑结构中的各网络节点的标识信息与数据包特征信息之间的对应关系，将第一数据包特征信息进行划分，得到各网络节点的数据包特征信息(即第二数据包特征信息)。

S106，确定各网络节点的安全等级；及，基于拓扑结构及第二数据包特征信息，确定各网络节点的第一安全态势值。

本实施例中，可通过对拓扑结构中各网络节点进行安全漏洞扫描，得到各网络节点的安全漏洞信息，并根据预设的安全漏洞信息与安全等级之间的映射关系，确定出各网络节点的安全等级，进一步得到各网络节点的安全等级集合。

其中，安全漏洞信息可通过多种类型的信息表征，如安全漏洞个数、安全分数、安全漏洞类型等。安全等级也可通过多种类型表征，如不同数字或不同字母等代表不同的安全等级。

假设安全漏洞信息为安全漏洞个数，安全等级为数字形式，且包括1～10十个等级，预设的安全漏洞信息与安全等级之间的映射关系中，安全漏洞个数为0时对应的安全等级为10，每增加一个安全漏洞对应减少1级安全等级，当一个网络节点中有5个安全漏洞时，该网络节点的安全等级为5级。

例如，安全等级集合用B表示，那么对于具有n个网络节点的拓扑结构，其安全等级集合B＝{B1，B2，…，Bn}，Bn为网络节点n的安全等级。

S108，根据安全等级及第一安全态势值，确定物联网的第二安全态势值。

在本发明实施例中，通过物联网的拓扑结构及目标时段内的第一数据包特征信息，确定拓扑结构中各网络节点分别对应的第二数据包特征信息，并确定各网络节点的安全等级，结合拓扑结构及第二数据包特征信息，进一步确定各网络节点的第一安全态势值，从而根据各网络节点的安全等级及第一安全态势值，确定物联网的第二安全态势值。可见，该技术方案能够根据物联网的拓扑结构、拓扑结构中各网络节点的安全等级及各网络节点的安全态势值的综合因素对物联网的整体安全态势进行评估，从而使感知范围更加全面，提高了感知结果的准确性；且适用于多种具有拓扑结构的物联网领域，提升了安全态势感知方法的适用性。

在一个实施例中，数据特征信息可包括各网络节点的互联网协议、端口号、在目标时段内收发的各数据包的生存时间值、数据包的类型、数据包的内容关键字等。

其中，在目标时段内收发的各数据包的生存时间值，即在需要确定安全态势值的时间段内各网络节点收发的各数据包的生存时间值。数据包按不同划分因子可划分为不同的类型。例如，可按功能将数据包划分为确认包、返回包等类型，按是否含有数据将数据包划分为有数据的包、无数据的包，按数据类型将数据包划分为确认包、消息通知包等类型。

网络行为特征信息可包括各网络节点对应的数据包平均长度、确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包数量、丢包率、流入包数量、流出包数量、流入包的来源节点、流出包的目标节点等。

其中，流入包的来源节点为该数据包的上一个流出节点，流出包的目标节点为该数据包的下一个流入节点。

在本实施例中，能够通过监测物联网的网络数据得到数据特征信息及网络行为特征信息，为后续第二安全态势值的确定提供了数据基础。

在一个实施例中，针对待确定的第一节点，可根据拓扑结构，分别确定除第一节点之外的其它各第二节点与第一节点之间的连接级别，进而根据连接级别及第二数据包特征信息，确定第一节点的第一安全态势值。依据此方法，可确定出各网络节点的第一安全态势值。

其中，连接级别与对应节点之间的最短链路长度正相关。根据拓扑结构，确定各第二节点与第一节点之间的连接级别时，可首先确定第二节点与第一节点之间的最短链路，进而将该链路上的所有节点数(包括第二节点和第一节点)-1的值确定为第二节点的连接级别。

例如，确定第二节点i与第一节点n之间的连接级别Dni时，可首先确定第二节点i与第一节点n之间的最短链路，进而将该链路上的所有节点数(包括第二节点i和第一节点n)-1的值确定为第二节点i的连接级别Dni。

若第二节点i与第一节点n之间无链路，则第二节点i与第一节点n之间的连接级别为0；若第二节点i与第一节点n直接连接，则第二节点i与第一节点n之间的连接级别为1；若第二节点i与第一节点n通过节点x连接，由于第二节点i与第一节点n之间的最短链路包含第二节点i、第一节点n以及节点x这3个节点，因此第二节点i与第一节点n之间的连接级别为3-1＝2。

在本实施例中，能够根据物联网的拓扑结构，确定除第一节点之外的其它各第二节点与第一节点之间的连接级别，使得确定出的连接级别的结果更加准确，为后续计算提供了更加可靠的数据基础。

在确定出各第二节点与第一节点的连接级别后，可根据连接级别、各网络节点对应的每个流入包的来源节点的第一相似度之和、各网络节点对应的每个流出包的目标节点的第二相似度之和、各网络节点对应的流入包数量和流出包数量及各网络节点的流入权重和流出权重，确定第一节点的第一安全态势值。以下详细说明如何确定出第一相似度之和、第二相似度之和、流入包数量和流出包数量及流入权重和流出权重。

在一个实施例中，可通过计算网络节点的尺度因子与网络节点对应的每个流入包的来源节点的尺度因子的乘积，作为网络节点对应的每个流入包的来源节点的第一相似度，并对各第一相似度进行求和运算，得到各网络节点对应的每个流入包的来源节点的第一相似度之和。

其中，尺度因子为网络节点的入度与出度的比值。

例如，可首先确定第一节点n的尺度因子及与第一节点n对应的每个流入包的来源节点tn的尺度因子：

再确定第一节点n对应的流入包的来源节点tn的第一相似度：第一节点n的尺度因子*来源节点tn的尺度因子。对各第一相似度进行求和运算，可得到第一节点n对应的每个流入包的来源节点的第一相似度之和。

根据上述对第一节点n对应的流入包的来源节点的第一相似度的计算方法，可确定第二节点i对应的流入包的来源节点ti的第一相似度为第二节点i的尺度因子*来源节点ti的尺度因子。对各第一相似度进行求和运算，可得到第二节点i对应的每个流入包的来源节点的第一相似度之和。

在一个实施例中，可通过计算网络节点的尺度因子与网络节点对应的每个流出包的目标节点的尺度因子的乘积，作为网络节点对应的每个流出包的目标节点的第二相似度，并对各第二相似度进行求和运算，得到各网络节点对应的每个流出包的目标节点的第二相似度之和。

根据上述对第一节点n对应的流入包的来源节点的第一相似度的计算方法，可确定第一节点n对应的流出包的目标节点fn的第二相似度为第一节点n的尺度因子*目标节点fn的尺度因子。对各第二相似度进行求和运算，可得到第一节点n对应的每个流出包的目标节点的第二相似度之和。还可确定第二节点i对应的流出包的目标节点fi的第二相似度为第二节点i的尺度因子*目标节点fi的尺度因子。对各第二相似度进行求和运算，可得到第二节点i对应的每个流出包的目标节点的第二相似度之和。

在上述实施例中，能够通过计算得到各网络节点对应的每个流入包的来源节点的第一相似度之和，及，各网络节点对应的每个流出包的目标节点的第二相似度之和，使得确定出的数据更加可靠。

在一个实施例中，根据网络节点对应的流入包数量和流出包数量，可确定网络节点的流入权重和流出权重。

其中，流入权重与流入包数量正相关，流出权重与流出包数量正相关。流入权重与流出权重之和为1。

沿用上述举例，Wn1是第一节点n的流入权重，Wn2是第一节点n的流出权重，这两个权重是基于第一节点n本身的流入包数量和流出包数量预设的。若第一节点n为主机，其流入包数量与流出包数量之间的比例为r，则通过公式：Wn1/Wn2＝r，Wn1+Wn2＝1，可确定第一节点n的流入权重与流出权重。

再例如，Wi1是第二节点i的流入权重，Wi2是第二节点i的流出权重，这两个权重是基于第二节点i本身的流入包数量和流出包数量预设的。若第二节点i为主机，其流入包数量与流出包数量之间的比例为r，则通过公式：Wi1/Wi2＝r，Wi1+Wi2＝1，可确定第二节点i的流入权重与流出权重。

在本实施例中，能够根据网络节点对应的流入包数量和流出包数量，确定网络节点的流入权重和流出权重，使得确定出的数据结果更加可靠。

综上所述，根据确定出的各第二节点与第一节点之间的连接级别，各网络节点对应的每个流入包的来源节点的第一相似度之和，各网络节点对应的每个流出包的目标节点的第二相似度之和，各网络节点对应的流入包数量和流出包数量及各网络节点的流入权重和流出权重，可确定第一节点的第一安全态势值。

假设第一节点n包括Nn个数据包，其中，Nn1个是流入包，Nn2个是流出包。沿用上述举例，可确定Rn＝Wn1*(第一节点n对应的每个流入包的来源节点的第一相似度之和/Nn1)+Wn2*(第一节点n对应的每个流出包的目标节点的第二相似度之和/Nn2)。

假设第二节点i包括Ni个数据包，其中，Ni1个是流入包，Ni2个是流出包。沿用上述举例，可确定Ri＝Wi1*(第二节点i对应的每个流入包的来源节点的第一相似度之和/Ni1)+Wi2*(第二节点i对应的每个流出包的目标节点的第二相似度之和/Ni2)。

若第一安全态势值用Cn表示，沿用上述举例，根据连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量以及流入权重和流出权重,可确定

其中，n为第一节点，i为第二节点，Dni为第一节点与各第二节点之间的连接级别。Cn表示对第二节点i至第一节点n之间(包含第二节点i)的各网络节点的第一安全态势值求和，得到第一节点n处的第一安全态势值。

例如，对于具有3个网络节点(节点1、节点2、节点3)的拓扑结构，其节点3的第一安全态势值用C₃表示，根据连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量以及流入权重和流出权重,可确定

在本实施例中，能够结合第二节点与第一节点之间的连接级别、第一节点对应的每个流入包的来源节点的第一相似度之和、第一节点对应的每个流出包的目标节点的第二相似度之和、第一节点的流入包数量和流出包数量以及流入权重和流出权重，确定第一节点的第一安全态势值，由于上述用于确定第一安全态势值的数据基础较为可靠，因此确定出的第一安全态势值的结果也更加可靠。

在一个实施例中，可通过获取物联网的历史网络数据，根据历史网络数据确定物联网的安全态势调整系数，并根据安全态势调整系数、安全等级及第一安全态势值，确定物联网的第二安全态势值。

其中，历史网络数据可包括各网络节点的确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包占数据包的比例、丢包率等。第二安全态势值与安全态势调整系数正相关、与安全等级正相关、且与第一安全态势值正相关。

其中，物联网的安全态势调整系数可用K表示，分别计算历史网络数据中的平均丢包率与确认包占数据包的比例、同步序列编号包占数据包的比例及控制报文协议包占数据包的比例的乘积，并对各乘积求和即可得到K。

可选的，K＝历史网络数据中的平均丢包率*(0.2*确认包占数据包的比例+0.3*同步序列编号包占数据包的比例+0.5*控制报文协议包占数据包的比例)。

若物联网的第二安全态势值用T表示，沿用上述举例，根据安全态势调整系数、安全等级及第一安全态势值，可确定

其中，N的取值范围为[i，n]，B_N为第二节点i与第一节点n之间(包含第一节点n与第二节点i)的各网络节点的安全等级，e为自然常数，K为安全态势调整系数，C_N为第二节点i与第一节点n之间(包含第一节点n与第二节点i)的各网络节点的第一安全态势值。

例如，对于具有3个网络节点(节点1、节点2、节点3)的工业物联网，其第二安全态势值用T表示，根据安全态势调整系数、安全等级及第一安全态势值,可确定

在本实施例中，能够根据各网络节点的安全等级及第一安全态势值，并结合物联网的安全态势调整系数，确定物联网的第二安全态势值，综合考虑了各数据包的网络稳定性、风险性的影响，使得确定出的第二安全态势值更加可靠。

此外，本方案提供的方法可以定量的对物联网的安全态势进行感知，使得本方案中各数据的计算更加准确，保证了后续安全态势感知的客观性。

上述对本说明书特定实施例进行了描述。其它实施例在所附权利要求书的范围内。在一些情况下，在权利要求书中记载的动作或步骤可以按照不同于实施例中的顺序来执行并且仍然可以实现期望的结果。另外，在附图中描绘的过程不一定要求示出的特定顺序或者连续顺序才能实现期望的结果。在某些实施方式中，多任务处理和并行处理也是可以的或者可能是有利的。

图2是本发明的另一个实施例中一种物联网安全态势感知方法的示意性流程图。在该实施例中，物联网安全态势感知方法应用于工业物联网。图2的方法可包括：

S201，获取工业物联网的拓扑结构及在目标时段内的第一数据包特征信息。

其中，第一数据包特征信息包括数据特征信息、网络行为特征信息等。数据特征信息可包括各网络节点的互联网协议、端口号、在目标时段内收发的各数据包的生存时间值、数据包的类型、数据包的内容关键字等。网络行为特征信息可包括各网络节点对应的数据包平均长度、确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包数量、丢包率、流入包数量、流出包数量、流入包的来源节点、流出包的目标节点等。

S202，根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息。

例如，第一数据包特征信息中包括各网络节点的如IP地址及带有所述IP地址的各网络节点的数据包特征信息。基于此，可根据拓扑结构中的各网络节点的IP地址与数据包特征信息之间的对应关系，将第一数据包特征信息进行划分，得到各网络节点的数据包特征信息(即第二数据包特征信息)。

S203，对各网络节点进行安全漏洞扫描，根据扫描结果确定各网络节点的安全等级。

S204，根据拓扑结构，确定除第一节点以外的各第二节点与第一节点之间的连接级别。

其中，第一节点为待确定第一安全态势值的网络节点。连接级别与对应节点之间的最短链路长度正相关。根据拓扑结构，确定各第二节点与第一节点之间的连接级别时，可首先确定第二节点与第一节点之间的最短链路，进而将该链路上的所有节点数(包括第二节点和第一节点)-1的值确定为第二节点的连接级别。

S205，基于拓扑结构及第二数据包特征信息，确定各网络节点对应的每个流入包的来源节点的第一相似度之和，及，确定各网络节点对应的每个流出包的目标节点的第二相似度之和。

该步骤中，第一相似度之和、第二相似度之和的确定方法在上述实施例中已详细叙述，此处不再赘述。

S206，基于拓扑结构及第二数据包特征信息，确定各网络节点的流入权重和流出权重。

其中，可根据拓扑结构及第二数据包特征信息，首先确定出各网络节点对应的流入包数量和流出包数量，从而根据各网络节点对应的流入包数量和流出包数量，确定出各网络节点的流入权重和流出权重。

其中，流入权重与流入包数量正相关，流出权重与流出包数量正相关。流入权重与流出权重之和为1。

S207，根据连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量及流入权重和流出权重，确定各网络节点的第一安全态势值。

其中，由S204确定出除第一节点以外的各第二节点与第一节点之间的连接级别，由S205确定出拓扑结构中各网络节点对应的每个流入包的来源节点的第一相似度之和及拓扑结构中各网络节点对应的每个流出包的目标节点的第二相似度之和，由S206确定出拓扑结构中各网络节点对应的流入包数量和流出包数量及各网络节点的流入权重和流出权重。根据上述已确定的连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量及流入权重和流出权重，可确定第一节点的第一安全态势值。

若第一安全态势值用Cn表示，可确定

其中，n为第一节点，i为第二节点，Dni为第一节点与各第二节点之间的连接级别，Rn＝第一节点n的流入权重*(第一节点n对应的每个流入包的来源节点的第一相似度之和/第一节点n的流入包数量)+第一节点n的流出权重*(第一节点n对应的每个流出包的目标节点的第二相似度之和/第一节点n的流出包数量)，Ri＝第二节点i的流入权重*(第二节点i对应的每个流入包的来源节点的第一相似度之和/第二节点i的流入包数量)+第二节点i的流出权重*(第二节点i对应的每个流出包的目标节点的第二相似度之和/第二节点i的流出包数量)。Cn表示对第二节点i至第一节点n之间(包含第二节点i)的各网络节点的第一安全态势值求和，得到第一节点n处的第一安全态势值。

本实施例中，不对确定各网络节点的安全等级(S203)、确定各网络节点的第一安全态势值(S204～S207)的执行顺序进行限定。例如，除本实施例中列举的先确定各网络节点的安全等级、然后再确定各网络节点的第一安全态势值之外，还可先确定各网络节点的第一安全态势值、然后再确定各网络节点的安全等级，或者，在确定各网络节点的安全等级的同时确定各网络节点的第一安全态势值。

在上述实施例中，不对S204～S206的执行顺序进行限定。除上述实施例中列举的S204、S205、S206的执行顺序外，S204、S205、S206三个步骤以任一先后顺序执行均不对本实施例的结果造成影响。

S208，获取工业物联网的历史网络数据，根据历史网络数据确定工业物联网的安全态势调整系数。

其中，物联网的安全态势调整系数可用K表示，分别计算历史网络数据中的平均丢包率与确认包占数据包的比例、同步序列编号包占数据包的比例及控制报文协议包占数据包的比例的乘积，并对各乘积求和即可得到K。

可选的，K＝历史网络数据中的平均丢包率*(0.2*确认包占数据包的比例+0.3*同步序列编号包占数据包的比例+0.5*控制报文协议包占数据包的比例)。

S209，根据安全态势调整系数、安全等级及第一安全态势值，确定工业物联网的第二安全态势值。

其中，由S208确定出工业物联网的安全态势调整系数、由S203确定出各网络节点的安全等级，由S207确定出各网络节点的第一安全态势值，根据上述已确定的安全态势调整系数、安全等级及第一安全态势值，可确定工业物联网的第二安全态势值。

若工业物联网的第二安全态势值用T表示，可确定

其中，N的取值范围为[i，n]，B_N为第二节点i与第一节点n之间(包含第一节点n与第二节点i)的各网络节点的安全等级，e为自然常数，K为安全态势调整系数，C_N为第二节点i与第一节点n之间(包含第一节点n与第二节点i)的各网络节点的第一安全态势值。

在本实施例中，通过工业物联网的拓扑结构及目标时段内的第一数据包特征信息，确定拓扑结构中各网络节点分别对应的第二数据包特征信息，确定各网络节点的安全等级，确定除第一节点以外的各第二节点与第一节点之间的连接级别，确定各网络节点对应的每个流入包的来源节点的第一相似度之和，及，确定各网络节点对应的每个流出包的目标节点的第二相似度之和，并确定各网络节点的流入权重和流出权重，从而根据连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量及流入权重和流出权重，确定各网络节点的第一安全态势值，进而根据安全等级及第一安全态势值，确定工业物联网的第二安全态势值。可见，该技术方案能够根据工业物联网的拓扑结构、拓扑结构中各网络节点的安全等级及各网络节点的安全态势值的综合因素对该工业物联网的整体安全态势进行评估，从而使感知范围更加全面，提高了感知结果的准确性。

图3是本发明的一个实施例中一种物联网安全态势感知装置的结构示意图。请参考图3，一种物联网安全态势感知装置300可包括：

获取模块310，用于获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；拓扑结构包括多个网络节点；第一数据包特征信息包括数据特征信息和/或网络行为特征信息。

第一确定模块320，用于根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息。

第二确定模块330，用于确定各网络节点的安全等级；及，基于拓扑结构及第二数据包特征信息，确定各网络节点的第一安全态势值。

第三确定模块340，用于根据安全等级及第一安全态势值，确定物联网的第二安全态势值。

在一个实施例中，数据特征信息包括各网络节点的网际互联协议、端口号、在目标时段内收发的各数据包的生存时间值、数据包的类型、数据包的内容关键字中的至少一项；

网络行为特征信息包括各网络节点对应的数据包平均长度、确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包数量、丢包率、流入包数量、流出包数量、流入包的来源节点、流出包的目标节点中的至少一项。

在一个实施例中，第二确定模块330包括：

第一确定单元，用于针对待确定的第一节点，根据拓扑结构，分别确定除第一节点之外的其它各第二节点与第一节点之间的连接级别；连接级别与对应节点之间的最短链路长度正相关；

第二确定单元，用于根据连接级别及第二数据包特征信息，确定第一节点的第一安全态势值。

在一个实施例中，第二确定模块330还包括：

第三确定单元，用于根据第二数据包特征信息确定各网络节点对应的每个流入包的来源节点的第一相似度之和；及，确定各网络节点对应的每个流出包的目标节点的第二相似度之和；及，确定各网络节点对应的流入包数量和流出包数量；及，确定各网络节点的流入权重和流出权重；

第四确定单元，用于根据连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量以及流入权重和流出权重，确定第一节点的第一安全态势值。

在一个实施例中，第二确定模块330还包括：

第一计算单元，用于计算网络节点的尺度因子与网络节点对应的每个流入包的来源节点的尺度因子的乘积，作为网络节点对应的每个流入包的来源节点的第一相似度；尺度因子为网络节点的入度与出度的比值；对各第一相似度进行求和运算，得到各网络节点对应的每个流入包的来源节点的第一相似度之和；

第二确定模块330还包括：

第二计算单元，用于计算网络节点的尺度因子与网络节点对应的每个流出包的目标节点的尺度因子的乘积，作为网络节点对应的每个流出包的目标节点的第二相似度；对各第二相似度进行求和运算，得到各网络节点对应的每个流出包的目标节点的第二相似度之和。

在一个实施例中，第二确定模块330还包括：

第五确定单元，用于根据网络节点对应的流入包数量和流出包数量，确定网络节点的流入权重和流出权重；其中，流入权重与流入包数量正相关；流出权重与流出包数量正相关；流入权重与流出权重之和为1。

在一个实施例中，第三确定模块340包括：

第六确定单元，用于获取物联网的历史网络数据，根据历史网络数据确定物联网的安全态势调整系数；历史网络数据包括各网络节点的确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包占数据包的比例、丢包率中的至少一项；

第七确定单元，用于根据安全态势调整系数、安全等级及第一安全态势值，确定物联网的第二安全态势值；第二安全态势值与安全态势调整系数正相关、与安全等级正相关、且与第一安全态势值正相关。

本发明实施例提供的物联网安全态势感知装置能够实现上述方法实施例中物联网安全态势感知方法实现的各个过程，为避免重复，这里不再赘述。

在本发明实施例中，通过物联网的拓扑结构及目标时段内的第一数据包特征信息，确定拓扑结构中各网络节点分别对应的第二数据包特征信息，并确定各网络节点的安全等级，结合拓扑结构及第二数据包特征信息，进一步确定各网络节点的第一安全态势值，从而根据各网络节点的安全等级及第一安全态势值，确定物联网的第二安全态势值。可见，该装置能够根据物联网的拓扑结构、拓扑结构中各网络节点的安全等级及各网络节点的安全态势值的综合因素对物联网的整体安全态势进行评估，从而使感知范围更加全面，提高了感知结果的准确性；且适用于多种具有拓扑结构的物联网领域，提升了安全态势感知方法的适用性。

请参阅图4，图4是本发明实施例应用的物联网安全态势感知设备的结构图，能够实现上述实施例中由物联网安全态势感知设备执行的物联网安全态势感知方法的细节，并达到相同的效果。如图4所示，物联网安全态势感知设备400包括：处理器401、收发机402、存储器403、用户接口404和总线接口，其中：

在本发明实施例中，物联网安全态势感知设备400还包括：存储在存储器上403并可在处理器401上运行的计算机程序，计算机程序被处理器401执行时实现如下步骤：

获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；拓扑结构包括多个网络节点；第一数据包特征信息包括数据特征信息和/或网络行为特征信息；

根据拓扑结构及第一数据包特征信息，确定各网络节点分别对应的第二数据包特征信息；

确定各网络节点的安全等级；及，基于拓扑结构及第二数据包特征信息，确定各网络节点的第一安全态势值；

根据安全等级及第一安全态势值，确定物联网的第二安全态势值。

在图4中，总线架构可以包括任意数量的互联的总线和桥，具体由处理器401代表的一个或多个处理器和存储器403代表的存储器的各种电路链接在一起。总线架构还可以将诸如外围设备、稳压器和功率管理电路等之类的各种其他电路链接在一起，这些都是本领域所公知的，因此，本文不再对其进行进一步描述。总线接口提供接口。收发机402可以是多个元件，即包括发送机和接收机，提供用于在传输介质上与各种其他装置通信的单元。针对不同的用户设备，用户接口404还可以是能够外接内接需要设备的接口，连接的设备包括但不限于小键盘、显示器、扬声器、麦克风、操纵杆等。

处理器401负责管理总线架构和通常的处理，存储器403可以存储处理器401在执行操作时所使用的数据。

可选的，数据特征信息包括各网络节点的网际互联协议、端口号、在目标时段内收发的各数据包的生存时间值、数据包的类型、数据包的内容关键字中的至少一项；

网络行为特征信息包括各网络节点对应的数据包平均长度、确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包数量、丢包率、流入包数量、流出包数量、流入包的来源节点、流出包的目标节点中的至少一项。

可选的，计算机程序被处理器401执行时还可实现如下步骤：

针对待确定的第一节点，根据拓扑结构，分别确定除第一节点之外的其它各第二节点与第一节点之间的连接级别；连接级别与对应节点之间的最短链路长度正相关；

根据连接级别及第二数据包特征信息，确定第一节点的第一安全态势值。

可选的，计算机程序被处理器401执行时还可实现如下步骤：

根据第二数据包特征信息确定各网络节点对应的每个流入包的来源节点的第一相似度之和；及，确定各网络节点对应的每个流出包的目标节点的第二相似度之和；及，确定各网络节点对应的流入包数量和流出包数量；及，确定各网络节点的流入权重和流出权重；

根据连接级别、第一相似度之和、第二相似度之和、流入包数量和流出包数量以及流入权重和流出权重，确定第一节点的第一安全态势值。

可选的，计算机程序被处理器401执行时还可实现如下步骤：

计算网络节点的尺度因子与网络节点对应的每个流入包的来源节点的尺度因子的乘积，作为网络节点对应的每个流入包的来源节点的第一相似度；尺度因子为网络节点的入度与出度的比值；对各第一相似度进行求和运算，得到各网络节点对应的每个流入包的来源节点的第一相似度之和；

确定各网络节点对应的每个流出包的目标节点的第二相似度之和，包括：

计算网络节点的尺度因子与网络节点对应的每个流出包的目标节点的尺度因子的乘积，作为网络节点对应的每个流出包的目标节点的第二相似度；对各第二相似度进行求和运算，得到各网络节点对应的每个流出包的目标节点的第二相似度之和。

可选的，计算机程序被处理器401执行时还可实现如下步骤：

根据网络节点对应的流入包数量和流出包数量，确定网络节点的流入权重和流出权重；其中，流入权重与流入包数量正相关；流出权重与流出包数量正相关；流入权重与流出权重之和为1。

可选的，计算机程序被处理器401执行时还可实现如下步骤：

获取物联网的历史网络数据，根据历史网络数据确定物联网的安全态势调整系数；历史网络数据包括各网络节点的确认包占数据包的比例、同步序列编号包占数据包的比例、控制报文协议包占数据包的比例、丢包率中的至少一项；

根据安全态势调整系数、安全等级及第一安全态势值，确定物联网的第二安全态势值；第二安全态势值与安全态势调整系数正相关、与安全等级正相关、且与第一安全态势值正相关。

在本发明实施例中，通过物联网的拓扑结构及目标时段内的第一数据包特征信息，确定拓扑结构中各网络节点分别对应的第二数据包特征信息，并确定各网络节点的安全等级，结合拓扑结构及第二数据包特征信息，进一步确定各网络节点的第一安全态势值，从而根据各网络节点的安全等级及第一安全态势值，确定物联网的第二安全态势值。可见，该设备能够根据物联网的拓扑结构、拓扑结构中各网络节点的安全等级及各网络节点的安全态势值的综合因素对物联网的整体安全态势进行评估，从而使感知范围更加全面，提高了感知结果的准确性；且适用于多种具有拓扑结构的物联网领域，提升了安全态势感知方法的适用性。

优选的，本发明实施例还提供一种物联网安全态势感知设备，包括处理器401，存储器403，存储在存储器403上并可在所述处理器401上运行的计算机程序，该计算机程序被处理器401执行时实现上述物联网安全态势感知方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。

本发明实施例还提供一种计算机可读存储介质，计算机可读存储介质上存储有计算机程序，该计算机程序被处理器执行时实现上述物联网安全态势感知方法实施例的各个过程，且能达到相同的技术效果，为避免重复，这里不再赘述。其中，所述的计算机可读存储介质，如只读存储器(Read-Only Memory，简称ROM)、随机存取存储器(Random AccessMemory，简称RAM)、磁碟或者光盘等。

需要说明的是，在本文中，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者装置不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者装置所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括该要素的过程、方法、物品或者装置中还存在另外的相同要素。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到上述实施例方法可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件，但很多情况下前者是更佳的实施方式。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质(如ROM/RAM、磁碟、光盘)中，包括若干指令用以使得一台终端(可以是手机，计算机，服务器，空调器，或者物联网安全态势感知设备等)执行本发明各个实施例所述的方法。

上面结合附图对本发明的实施例进行了描述，但是本发明并不局限于上述的具体实施方式，上述的具体实施方式仅仅是示意性的，而不是限制性的，本领域的普通技术人员在本发明的启示下，在不脱离本发明宗旨和权利要求所保护的范围情况下，还可做出很多形式，均属于本发明的保护之内。

Claims (10)

1.一种物联网安全态势感知方法，其特征在于，包括：

获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；所述拓扑结构包括多个网络节点；所述第一数据包特征信息包括数据特征信息和/或网络行为特征信息；

根据所述拓扑结构及所述第一数据包特征信息，确定各所述网络节点分别对应的第二数据包特征信息；

确定各所述网络节点的安全等级；及，基于所述拓扑结构及所述第二数据包特征信息，确定各所述网络节点的第一安全态势值；

根据所述安全等级及所述第一安全态势值，确定所述物联网的第二安全态势值。

2.根据权利要求1所述的方法，其特征在于，所述数据特征信息包括各所述网络节点的网际互联协议、端口号、在所述目标时段内收发的各数据包的生存时间值、所述数据包的类型、所述数据包的内容关键字中的至少一项；

所述网络行为特征信息包括各所述网络节点对应的数据包平均长度、确认包占数据包的比例、同步序列编号包占所述数据包的比例、控制报文协议包数量、丢包率、流入包数量、流出包数量、流入包的来源节点、流出包的目标节点中的至少一项。

3.根据权利要求1所述的方法，其特征在于，所述基于所述拓扑结构及所述第二数据包特征信息，确定各所述网络节点的第一安全态势值，包括：

针对待确定的第一节点，根据所述拓扑结构，分别确定除所述第一节点之外的其它各第二节点与所述第一节点之间的连接级别；所述连接级别与对应节点之间的最短链路长度正相关；

根据所述连接级别及所述第二数据包特征信息，确定所述第一节点的第一安全态势值。

4.根据权利要求3所述的方法，其特征在于，所述根据所述连接级别及各所述网络节点分别对应的第二数据包特征信息，确定所述第一节点的第一安全态势值，包括：

根据所述第二数据包特征信息确定各所述网络节点对应的每个流入包的来源节点的第一相似度之和；及，确定各所述网络节点对应的每个流出包的目标节点的第二相似度之和；及，确定各所述网络节点对应的流入包数量和流出包数量；及，确定各所述网络节点的流入权重和流出权重；

根据所述连接级别、所述第一相似度之和、所述第二相似度之和、所述流入包数量和流出包数量以及所述流入权重和流出权重，确定所述第一节点的第一安全态势值。

5.根据权利要求4所述的方法，其特征在于，所述根据所述第二数据包特征信息确定各所述网络节点对应的每个流入包的来源节点的第一相似度之和，包括：

计算所述网络节点的尺度因子与所述网络节点对应的每个流入包的来源节点的尺度因子的乘积，作为所述网络节点对应的每个流入包的来源节点的第一相似度；所述尺度因子为所述网络节点的入度与出度的比值；对各所述第一相似度进行求和运算，得到各所述网络节点对应的每个流入包的来源节点的第一相似度之和；

所述确定各所述网络节点对应的每个流出包的目标节点的第二相似度之和，包括：

计算所述网络节点的尺度因子与所述网络节点对应的每个流出包的目标节点的尺度因子的乘积，作为所述网络节点对应的每个流出包的目标节点的第二相似度；对各所述第二相似度进行求和运算，得到各所述网络节点对应的每个流出包的目标节点的第二相似度之和。

6.根据权利要求4所述的方法，其特征在于，所述确定各所述网络节点的流入权重和流出权重，包括：

根据所述网络节点对应的流入包数量和流出包数量，确定所述网络节点的流入权重和流出权重；其中，所述流入权重与所述流入包数量正相关；所述流出权重与所述流出包数量正相关；所述流入权重与所述流出权重之和为1。

7.根据权利要求2所述的方法，其特征在于，所述根据所述安全等级及所述第一安全态势值，确定所述物联网的第二安全态势值，包括：

获取所述物联网的历史网络数据，根据所述历史网络数据确定所述物联网的安全态势调整系数；所述历史网络数据包括各所述网络节点的确认包占数据包的比例、同步序列编号包占所述数据包的比例、控制报文协议包占所述数据包的比例、丢包率中的至少一项；

根据所述安全态势调整系数、所述安全等级及所述第一安全态势值，确定所述物联网的第二安全态势值；所述第二安全态势值与所述安全态势调整系数正相关、与所述安全等级正相关、且与所述第一安全态势值正相关。

8.一种物联网安全态势感知装置，其特征在于，包括：

获取模块，用于获取物联网的拓扑结构及在目标时段内的第一数据包特征信息；所述拓扑结构包括多个网络节点；所述第一数据包特征信息包括数据特征信息和/或网络行为特征信息；

第一确定模块，用于根据所述拓扑结构及所述第一数据包特征信息，确定各所述网络节点分别对应的第二数据包特征信息；

第二确定模块，用于确定各所述网络节点的安全等级；及，基于所述拓扑结构及所述第二数据包特征信息，确定各所述网络节点的第一安全态势值；

第三确定模块，用于根据所述安全等级及所述第一安全态势值，确定所述物联网的第二安全态势值。

9.一种物联网安全态势感知设备，其特征在于，包括：

存储器，存储有计算机程序指令；

处理器，当所述计算机程序指令被所述处理器执行时实现如权利要求1至7中任一项所述的物联网安全态势感知方法。

10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括指令，当所述指令在计算机上运行时，使得所述计算机执行如权利要求1至7中任一项所述的物联网安全态势感知方法。

Images