CN114338183A - 一种快速发现和识别资产方法、系统、终端及存储介质 - Google Patents

Abstract

本发明涉及快速发现和识别资产方法，包括以下步骤：捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip；利用消息队列搭建识别快速通道，将发现的存活资产快速推向资产识别流程；扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；利用消息队列搭建上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端；能够快速发现入网资产，再对发现的资产开放快速通道用作识别，使资产被发现后到识别过程做的“零时延”，从而实现快速发现和识别资产。

Description

一种快速发现和识别资产方法、系统、终端及存储介质

技术领域

本发明涉及网内资产识别技术领域，更具体地说，涉及一种快速发现和识别资产方法、系统、终端及存储介质。

背景技术

随着网络技术的高速发展，各行各业都加大了对网络化建设的力度，大量的网络设备被部署在生成环境中。由于前期的快速建设，加上不同项目同一个地方设施和各种网络设备的交叉部署，导致重建设轻管理，现网内资产不明确，运维难度大。所以如何明确现网资产，并实施有效的管理，是当务之急。

有效的管理包括资产清单、风险监测、风险防范，风险处置，其中风险监测和风险防范的前提条件是能快速发现和识别资产。

目前资产发现方案，绝大多数是基于周期性扫描实现，即在每个周期内对固定的管理地址范围内每个地址发送刺探数据包，等到对方回复后才能确定资产是否存活，不管是周期性行为，还是拆分地址范围发送和等待数据包，这些过程会极大的消耗时间，很难实现资产入网后被快速发现；

例如：管理地址内有15000个IP地址，每个周期时间间隔5分钟；扫描周期时间间隔不易过短，如调整为30秒，上一个周期扫描任务还未执行完，下一个周期扫描任务已经开始执行，这会导致大量的扫描任务堆积，这种恶行循环会不停的消耗系统资源，会影响系统中的所有任务执行效率；一个扫描周期可以通过多增加服务来缓解扫描任务堆积问题，但多任务受限于带宽和网络环境，同一时间执行多个扫描任务，会抢夺网络带宽，极有可能会影响环境中其他网络设备间的正常通信，如果环境中有防扫描机制或相关的安全产品，那么高频率的扫描行为极有可能被认为是非法网络行为，然后采取把扫描系统从网络中隔离出去。

资产A地址为第2000个，当资产A入网时，情景一，在周期扫描任务时间间隔区；情景二，在周期扫描任务内，资产A对应的地址已被扫描过；情景三，在周期扫描任务内，周期扫描任务才开始执行；情景四，在周期扫描任务内，任务进度快执行到资产A对应地址附近。根据以上四种情景，可以明确除了情景四能在短时间发现资产入网，其余三种情景都不能做到入网资产及时发现，只有情景四是有可能快速发现资产入网，这种情景不止偶然性很高，还要取决于当然扫描任务扫描的地址与资产A的地址的距离有多大。整体上来说，基于周期性扫描实现资产发现，很难在资产入网10秒内做到发现；

综上情况，需要一种快速发现和识别资产的方式方法来实现资产入网后秒级发现以及快速识别。

发明内容

本发明要解决的技术问题在于，针对现有技术的上述缺陷，提供一种快速发现和识别资产方法，还提供了一种快速发现和识别资产系统、一种快速发现和识别资产终端及存储介质以及一种计算机可读存储介质。

本发明解决其技术问题所采用的技术方案是：

构造一种快速发现和识别资产方法，其中，包括以下步骤：

第一步：捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip，即为存活资产；

第二步：利用消息队列搭建识别快速通道，将发现的存活资产快速推向资产识别流程；

第三步：扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；

第四步：利用消息队列搭建上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端。

本发明所述的快速发现和识别资产方法，其中，所述第一步中包括方法：

持续捕获网络中的Gratuitous ARP报文，并解析出Sender IP address和SenderMAC address，即Sender IP address为新入网资产。

本发明所述的快速发现和识别资产方法，其中，所述第二步中实现方法为：

针对所述第一步中发现的存活资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务。

本发明所述的快速发现和识别资产方法，其中，所述第三步中，扫描采用nmap网络映射器。

一种快速发现和识别资产系统，用于实现如上述的快速发现和识别资产方法，其中，包括存活资产识别单元、通道搭建单元、资产信息识别单元和上报单元；

所述存活资产识别单元，用于捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip，即为存活资产；

所述通道搭建单元，用于利用消息队列搭建识别快速通道以及上报快速通道，所述识别快速通道用于将发现的存活资产快速推向资产识别流程；

所述资产信息识别单元，用于扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；

所述上报单元，用于利用所述上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端。

本发明所述的快速发现和识别资产系统，其中，所述存活资产识别单元持续捕获网络中的Gratuitous ARP报文，并解析出Sender IP address和Sender MAC address，即Sender IP address为新入网资产。

本发明所述的快速发现和识别资产系统，其中，所述通道搭建单元针对所述存活资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务。

本发明所述的快速发现和识别资产系统，其中，所述资产信息识别单元扫描采用nmap网络映射器。

一种快速发现和识别资产的终端，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其中，所述处理器执行所述计算机程序时实现如上述方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其中，所述计算机程序被处理器执行时实现如上述方法的步骤。

本发明的有益效果在于：应用本申请的方式方法，能够快速发现入网资产，再对发现的资产开放快速通道用作识别，使资产被发现后到识别过程做的“零时延”，从而实现快速发现和识别资产。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将结合附图及实施例对本发明作进一步说明，下面描述中的附图仅仅是本发明的部分实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他附图：

图1是本发明较佳实施例的快速发现和识别资产方法流程图；

图2是本发明较佳实施例的快速发现和识别资产方法ARP报文格式图；

图3是本发明较佳实施例的快速发现和识别资产方法Gratuitous ARP发包过程；

图4是本发明较佳实施例的快速发现和识别资产方法Gratuitous ARP报文示意图；

图5是本发明较佳实施例的快速发现和识别资产系统原理框图；

图6是本发明较佳实施例的快速发现和识别资产系统设计流程图。

具体实施方式

为了使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本发明的部分实施例，而不是全部实施例。基于本发明的实施例，本领域普通技术人员在没有付出创造性劳动的前提下所获得的所有其他实施例，都属于本发明的保护范围。

本发明较佳实施例的快速发现和识别资产方法，如图1所示，包括以下步骤：

S01：捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip，即为存活资产；

S02：利用消息队列搭建识别快速通道，将发现的存活资产快速推向资产识别流程；

S03：扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；

S04：利用消息队列搭建上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端；

应用本申请的方式方法，能够快速发现入网资产，再对发现的资产开放快速通道用作识别，使资产被发现后到识别过程做的“零时延”，从而实现快速发现和识别资产。

优选的，第一步中包括方法：

通过实验发现，资产在入网2秒至5秒内会发起Gratuitous ARP报文，根据这一特性，系统持续捕获网络中的Gratuitous ARP报文，并解析出Sender IP address和SenderMAC address，即Sender IP address为新入网资产。

优选的，第二步中实现方法为：

针对第一步中发现的存活资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务；

系统内一般不止一种发现资产方式，而是多种发现资产方式形成互补，然后把不同方式发现的资产放到等待识别队列wait_detector_queue中，等待识别资产的服务去处理。

系统内还会定期对已识别的资产做再次识别，以确保资产信息的准确性，此时也会把需要再次识别的资产IP放入wait_detector_queue中。

所以理论上来说，wait_detector_queue中即存放了发现后待识别的资产，也存放了需要再次识别的资产，整个队列中的待识别的资产会很多；如果把1中快速发现的资产，再放入wait_detector_queue中等待识别，那就达不到快速识别的目的。

针对1中发现的资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务，从而达到发现资产到识别“零时延”。

优选的，第三步中，扫描采用nmap网络映射器，也可以替换成其他具有相同功能的现有模块，该种等同替换的方式同样属于本申请保护范畴。

一种快速发现和识别资产系统，用于实现如上述的快速发现和识别资产方法，如图5所示，同时参阅图6，包括存活资产识别单元1、通道搭建单元2、资产信息识别单元3和上报单元4；

存活资产识别单元1，用于捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip，即为存活资产；

通道搭建单元2，用于利用消息队列搭建识别快速通道20以及上报快速通道21，识别快速通道用于将发现的存活资产快速推向资产识别流程；

资产信息识别单元3，用于扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；

上报单元4，用于利用上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端；

应用本申请的方式方法，能够快速发现入网资产，再对发现的资产开放快速通道用作识别，使资产被发现后到识别过程做的“零时延”，从而实现快速发现和识别资产。

优选的，通过实验发现，资产在入网2秒至5秒内会发起Gratuitous ARP报文，根据这一特性，存活资产识别单元持续捕获网络中的Gratuitous ARP报文，并解析出Sender IPaddress和Sender MAC address，即Sender IP address为新入网资产。

优选的，通道搭建单元针对存活资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务；

系统内一般不止一种发现资产方式，而是多种发现资产方式形成互补，然后把不同方式发现的资产放到等待识别队列wait_detector_queue中，等待识别资产的服务去处理。

系统内还会定期对已识别的资产做再次识别，以确保资产信息的准确性，此时也会把需要再次识别的资产IP放入wait_detector_queue中。

所以理论上来说，wait_detector_queue中即存放了发现后待识别的资产，也存放了需要再次识别的资产，整个队列中的待识别的资产会很多；如果把1中快速发现的资产，再放入wait_detector_queue中等待识别，那就达不到快速识别的目的。

针对1中发现的资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务，从而达到发现资产到识别“零时延”。

优选的，资产信息识别单元扫描采用nmap网络映射器。

一种快速发现和识别资产的终端，包括存储器、处理器以及存储在存储器中并可在处理器上运行的计算机程序，其中，处理器执行计算机程序时实现如上述方法的步骤。

一种计算机可读存储介质，计算机可读存储介质存储有计算机程序，其中，计算机程序被处理器执行时实现如上述方法的步骤。

本申请方案实现涉及技术说明如下：

ARP简介：ARP(地址解析协议)，是根据IP地址获取物理地址的一个

TCP/IP协议。资产发送信息时将包含目标IP地址的ARP请求广播到网络上的所有资产，并接收返回消息，以此确定目标的物理地址；收到返回消息后将该IP地址和物理地址存入本机ARP缓存中并保留一定时间，下次请求时直接查询ARP缓存以节约资源；ARP报文格式如图2所示；其中：

Hardware Type：硬件地址类型，一般为以太网；

Protocol Type：表示三层协议地址类型，一般为IP；

Hardware size和Protocol size为MAC地址和IP地址的长度，单位是字节；

OpCode指定了ARP报文的类型，包括ARP request和ARP reply；

Sender MAC address指的是发送ARP报文的设备MAC地址；

Sender IP address指的是发送ARP报文的设备IP地址；

Target MAC address指的是接收者MAC地址，在ARP request报文中，该字段值为0；

Targer MAC address指的是接受者的IP地址。

普通ARP请求报文：

资产A和资产B处于同一个网段，资产A要向资产B发送信息，具体的地址解析过程如下：

1.资产A首先查看自己的ARP表，确定其中是否包含有资产B对应的ARP表项。如果找到了对应的MAC地址，则资产A直接利用ARP表中的MAC地址，对IP数据包进行帧封装，并将数据包发送给资产B。

2.如果资产A在ARP表中找不到对应的MAC地址，则将缓存该数据报文，然后以广播方式发送一个ARP请求报文。ARP请求报文中的发送端IP地址和发送端MAC地址为资产A的IP地址和MAC地址，目标IP地址和目标MAC地址为资产B的IP地址和全0的MAC地址。由于ARP请求报文以广播方式发送，该网段上的所有资产都可以接收到该请求，但只有被请求的资产(即资产B)会对该请求进行处理。

3.资产B比较自己的IP地址和ARP请求报文中的目标IP地址，当两者相同时进行如下处理：将ARP请求报文中的发送端(即资产A)的IP地址和MAC地址存入自己的ARP表中。之后以单播方式发送ARP响应报文给资产A，其中包含了自己的MAC地址。

4.资产A收到ARP响应报文后，将资产B的MAC地址加入到自己的ARP表中以用于后续报文的转发，同时将IP数据包进行封装后发送出去。

免费ARP报文：

免费ARP(Gratuitous ARP)，也称无故ARP。Gratuitous ARP不同于一般的ARP请求，它并非期待得到ip对应的mac地址，而是当主机启动的时候，将发送一个Gratuitousarp请求，即请求自己的ip地址的mac地址，过程如图3所示，报文内容如图4所示。其作用有两个，一是验证IP是否冲突，一个主机可以通过它来确定另一个主机是否设置了相同的IP地址。发送主机并不需要一定收到此请求的回答。如果收到一个回答，表示网络中存在与自身IP相同的主机。如果没有收到应答，则表示本机所使用的IP与网络中其它主机并不冲突。二是更换物理网卡，如果发送ARP的主机正好改变了物理地址(如更换物理网卡)，可以使用此方法通知网络中其它主机及时更新ARP缓存。

应当理解的是，对本领域普通技术人员来说，可以根据上述说明加以改进或变换，而所有这些改进和变换都应属于本发明所附权利要求的保护范围。

Claims (10)

1.一种快速发现和识别资产方法，其特征在于，包括以下步骤：

第一步：捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip，即为存活资产；

第二步：利用消息队列搭建识别快速通道，将发现的存活资产快速推向资产识别流程；

第三步：扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；

第四步：利用消息队列搭建上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端。

2.根据权利要求1所述的快速发现和识别资产方法，其特征在于，所述第一步中包括方法：

持续捕获网络中的Gratuitous ARP报文，并解析出Sender IP address和Sender MACaddress，即Sender IP address为新入网资产。

3.根据权利要求1所述的快速发现和识别资产方法，其特征在于，所述第二步中实现方法为：

针对所述第一步中发现的存活资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务。

4.根据权利要求1所述的快速发现和识别资产方法，其特征在于，所述第三步中，扫描采用nmap网络映射器。

5.一种快速发现和识别资产系统，用于实现如权利要求1-4任一所述的快速发现和识别资产方法，其特征在于，包括存活资产识别单元、通道搭建单元、资产信息识别单元和上报单元；

所述存活资产识别单元，用于捕获经过网卡的arp询问包，解析获得源ip和源mac地址，对源ip进行过滤，得到管理范围内的有效ip，即为存活资产；

所述通道搭建单元，用于利用消息队列搭建识别快速通道以及上报快速通道，所述识别快速通道用于将发现的存活资产快速推向资产识别流程；

所述资产信息识别单元，用于扫描存活资产常用网络端口开放情况，根据端口开放情况发送相应的问询数据包，通过分析返回的报文提取资产的特征信息；用提取的资产特征信息与已知网络设备指纹库做比较，得到资产信息；

所述上报单元，用于利用所述上报快速通道，把识别出来的资产信息快速上报到管理中心，最终呈现在用户端。

6.根据权利要求5所述的快速发现和识别资产系统，其特征在于，所述存活资产识别单元持续捕获网络中的Gratuitous ARP报文，并解析出Sender IP address和Sender MACaddress，即Sender IP address为新入网资产。

7.根据权利要求5所述的快速发现和识别资产系统，其特征在于，所述通道搭建单元针对所述存活资产，建立一个独立的消息队列arp_detector_queue来储存，资产识别服务阻塞式循环读取arp_detector_queue，获取到有效数据后执行识别任务。

8.根据权利要求5所述的快速发现和识别资产系统，其特征在于，所述资产信息识别单元扫描采用nmap网络映射器。

9.一种快速发现和识别资产的终端，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1至4任一项所述方法的步骤。

10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1至4任一项所述方法的步骤。

Images