CN114666241B - 一种识别工控资产信息的方法及装置 - Google Patents

Abstract

本说明书公开了一种识别工控资产信息的方法及装置。通过确定预设的工控协议库中各工控协议对应的组播地址，并加入至少部分组播地址对应的组播组，以接收加入的各组播组内工控设备发送的报文，并根据工控协议库对接收到的报文进行解析，得到加入的组播组内至少部分工控设备的工控资产信息。能够通过加入组播组的方式获得工控设备发送的报文，以识别工控设备的工控资产信息，不依赖镜像交换机。

Description

一种识别工控资产信息的方法及装置

技术领域

本说明书涉及工业控制技术领域，尤其涉及一种识别工控资产信息的方法及装置。

背景技术

在工控系统中，工控设备是实现工业自动化的重要设备。工控设备的工控资产信息则是对工业组织具有价值的信息或资源，是为了保障工控系统安全的重要保护对象。例如，工控资产信息可以包括工控设备的型号等。

对于不同资产对应的工控设备，其可能受到的攻击与面临的风险不同，因此，工控资产信息是对工控系统进行风险评估的重要依据。基于资产信息进行风险评估，首先则需要识别工控设备对应的工控资产信息。

目前，识别工控资产信息的方法通常是被动的识别方法，工控设备连接的交换机上需要设置镜像端口，负责识别工控资产信息的电子设备则通过镜像端口获取工控设备的报文，并对报文进行解析，以确定相应的资产数据。

但是该方法对交换机的要求较高，仅适用于识别连接于镜像交换机的工控设备的工控资产信息。

发明内容

本说明书提供一种识别工控资产信息的方法及装置，以部分的解决现有技术存在的上述问题。

本说明书采用下述技术方案：

本说明书提供了一种识别工控资产信息的方法，包括：

确定预设的工控协议库中各工控协议对应的组播地址；

加入至少部分组播地址对应的组播组，并接收各组播组内工控设备发送的报文；

根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息。

可选地，加入至少部分组播地址对应的组播组，具体包括：

根据因特网组管理协议，向确定出的至少部分组播地址发送加入请求，加入所述至少部分组播地址对应的组播组。

可选地，根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息，具体包括：

根据所述工控协议库，判断接收到的报文是否为目标报文；

当确定接收到的报文为目标报文时，对所述目标报文进行解析，得到所述目标报文中存储工控资产信息的位置；

根据确定出的位置，确定发送所述目标报文的工控设备的工控资产信息。

可选地，根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息，具体包括：

根据所述工控协议库，判断接收到的报文是否为目标报文；

在确定接收到的报文为目标报文时，对所述目标报文进行解析，得到所述目标报文中存储的工控资产信息以及发送所述目标报文的工控设备的互联网协议地址；

根据所述互联网协议地址与所述工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新，并继续根据接收到的报文识别工控设备的工控资产信息，直至确定满足停止条件为止。

可选地，根据所述工控协议库，判断接收到的报文是否为目标报文，具体包括：

确定所述工控协议库中各工控协议分别对应的报文类型及各报文类型的报文特征；

判断是否存在与接收到的报文匹配的报文特征，并判断所述报文是否为指定类型的报文；

若判断结果皆为是，则将所述报文作为目标报文，否则，不将所述报文作为目标报文。

可选地，根据所述互联网协议地址与所述工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新，具体包括：

判断所述资产数据库中是否存在所述互联网协议地址关联的对应关系；

若不存在，则将所述互联网协议地址与所述工控资产信息的对应关系，增加到所述资产数据库中；

若存在，则根据所述互联网协议地址与所述工控资产信息的对应关系，对所述资产数据库中存储的所述互联网协议地址关联的对应关系进行更新。

可选地，直至确定满足停止条件为止，具体包括：

当接收到用户触发的停止指令时，确定满足停止条件，停止根据接收到的报文识别工控设备的工控资产信息。

本说明书提供了一种识别工控资产信息的装置，包括：

确定模块，用于确定预设的工控协议库中各工控协议对应的组播地址；

组播通信模块，用于加入至少部分组播地址对应的组播组，并接收各组播组内工控设备发送的报文；

资产识别模块，用于根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息。

本说明书提供了一种计算机可读存储介质，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述识别工控资产信息的方法。

本说明书提供了一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现上述识别工控资产信息的方法。

本说明书采用的上述至少一个技术方案能够达到以下有益效果：

在本说明书提供的识别工控资产信息的方法中，通过确定预设的工控协议库中各工控协议对应的组播地址，并加入至少部分组播地址对应的组播组，以接收加入的各组播组内工控设备发送的报文，并根据工控协议库对接收到的报文进行解析，得到加入的组播组内至少部分工控设备的工控资产信息。

从上述方法中可以看出，本方法能够通过加入组播组的方式获得工控设备发送的报文，以识别工控设备的工控资产信息，不依赖镜像交换机。

附图说明

此处所说明的附图用来提供对本说明书的进一步理解，构成本说明书的一部分，本说明书的示意性实施例及其说明用于解释本说明书，并不构成对本说明书的不当限定。在附图中：

图1为本说明书中一种识别工控资产信息的方法的流程示意图；

图2为本说明书提供的一种识别工控资产信息的流程示意图；

图3为本说明书提供的一种识别工控资产信息的过程的示意图；

图4为本说明书提供的一种识别工控资产信息的装置的示意图；

图5为本说明书提供的一种电子设备的结构示意图。

具体实施方式

为了维护好工控网络的安全，工控网络环境中工控设备的工控资产信息管理与安全防护愈发重要。

对于不同厂商、不同类型、不同型号的工控设备，其可能受到的安全攻击不同，对于不同状态（启动、关闭、故障等）下的工控设备，其可能受到的安全攻击也不同。厂商、设备型号、设备的中央处理器（Central Processing Unit，CPU）型号、网卡型号、设备的状态等信息都属于设备的工控资产信息。在进行安全防护时，需要基于工控资产信息对不同工控设备进行针对性的风险评估及安全防护，以有效避免或抵抗受到的安全攻击。

因此，对工控设备进行资产识别尤为重要。

识别工控资产信息的方法通常分为两种：主动识别以及被动识别。主动识别即主动向工控设备发送定向探测报文，以获取工控设备响应的数据，并从中确定工控设备的工控资产信息。例如，基于公开的工控协议的主动识别、通过网络爬虫的主动识别等。被动识别即通过监听工控设备连接的交换机的镜像端口，获取工控设备发送的报文，以从中获取工控资产信息。

但是，一些主动识别的方法中需要基于公开的工控协议主动向工控设备发送报文以获取工控设备返回的数据，但并非所有工控设备皆使用公开的工控协议。

对于使用私有协议以及包含私有字段的公开的工控协议的工控设备，需要通过深入的协议逆向，对私有协议以及包含私有字段的工控协议进行解析，得到包含详细的工控协议对应报文的详细格式、语法等内容的协议描述文件。由于需要通过协议逆向对工控协议进行解析后，严格按照工控协议的规范向工控设备主动发送定向探测报文。因此，在基于协议逆向的主动识别的方法中，对协议逆向的程度要求较为深入，需要详细对工控协议对应的报文包含的每个字段进行分析。否则无法做到向其主动发送定向探测报文，更无法获得其返回的数据以识别其工控资产信息。这使得进行协议逆向的耗时较高，难度较强，且对协议分析人员的能力要求较高。

而网络爬虫的方法则仅适用于开放诊断接口的具有网络（web）功能的工控设备。

对于被动的识别方法，其对交换机的要求较高，仅适用于识别连接于镜像交换机的工控设备的工控资产信息。并且，基于镜像交换机的镜像端口监听工控设备的报文还会接收到大量的无关报文。

为了至少部分解决上述问题，本说明书提供了一种识别工控资产信息的方法。该方法适用于以组播通信的方式进行通信的工控网络中的工控设备。

在本说明书提供的识别工控资产信息的方法中，通过加入组播组的方式，获取组播组内各工控设备的来往报文，无需主动向各工控设备发送定向探测报文，以获取工控设备发送的包含工控资产信息的报文，且不依赖诊断接口，更不依赖镜像交换机。且由于工控设备间是组播通信，基于本说明书提供的方法进行工控资产信息的识别时，对组播组内工控设备的报文监听压力小，监听的无关报文数量也大大降低。

为使本说明书的目的、技术方案和优点更加清楚，下面将结合本说明书具体实施例及相应的附图对本说明书技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本说明书一部分实施例，而不是全部的实施例。基于本说明书中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本说明书保护的范围。

以下结合附图，详细说明本说明书各实施例提供的技术方案。

图1为本说明书中一种识别工控资产信息的方法的流程示意图，具体包括以下步骤：

S100：确定预设的工控协议库中各工控协议对应的组播地址。

在本说明书中，该识别工控资产信息的方法可应用于工控网络安全场景下，确定出的工控资产信息可用于对工控网络进行网络风险评估或安全防护。该识别工控资产信息的方法可由用于识别工控资产信息的电子设备执行，例如，该电子设备可以是电脑、服务器等。

由于对工控设备的工控资产信息进行识别，需要基于工控设备使用的工控协议对工控设备发送的报文进行解析。因此，该电子设备可基于预设的工控协议库进行工控资产信息的识别。

其中，工控协议库中可存储若干工控协议以及各工控协议的描述信息。各工控协议可包括公开协议（公开的工控协议）以及经解析过的私有协议。描述信息用于描述工控协议的格式、类型、语法、密码与明文的映射关系等信息。对于私有协议以及包含私有字段的公开协议，可预先通过协议逆向进行解析。

由于本说明书中提供的识别工控资产信息的方法是通过加入组播组，被动接收工控设备的报文并进行识别的方法，无需主动向工控设备发送定向探测报文，因此，无需对工控协议进行过于深入的协议逆向，对协议分析人员的要求也较低。

在本说明书中，工控设备即运用在工控环境下的嵌入式控制设备，如远程终端(Remote Terminal Unit，RTU)、分布式控制系统(Distributed Control Systems，DCS)、可编程控制器(Programmable Logic Controller，PLC)、继电保护装置等。

通常，一个厂商生产的一种工控设备使用一种工控协议，且工控协议对应一个已知的组播组的组播地址。工控协议库中工控协议对应的组播组，即该电子设备能够基于工控协议库进行工控资产信息的识别的工控设备所在的组播组。

于是，该电子设备可确定预设的工控协议库中各工控协议对应的组播地址。并接入需要识别其中工控设备的工控资产信息的业务网络（后续简称网络）。

其中，组播地址，即组播组的互联网协议（Internet Protocol，IP）地址。

S102：加入至少部分组播地址对应的组播组，并接收各组播组内工控设备发送的报文。

在本说明书一个或多个实施例中，在确定出工控协议库对应的各组播地址后，该电子设备可加入所有组播地址对应的组播组，被动接收各组播组内工控设备发送的报文。以便于在后续步骤中从接收到的报文中确定能够基于工控协议库解析的报文。或者，该电子设备也可加入部分组播地址对应的组播组。

即，该电子设备可加入至少部分组播地址对应的组播组，并接收加入的各组播组内工控设备发送的报文。

具体的，该电子设备可根据因特网组管理协议（Internet Group ManagementProtocol，IGMP），向确定出的至少部分组播地址发送加入请求，加入该至少部分组播地址对应的组播组。

由于组播组内的各工控设备采用组播通信的方式进行数据传输，当其中一个工控设备需要传输报文给同一组播组内其他工控设备时，需要将报文发送至该组播组对应的IP地址，之后，该组播组内所有的工控设备皆可接收到该报文，同样，加入了该组播组的电子设备也会收到该组播组内发送的报文。如此，可以在无需主动向工控设备发送定向探测报文且不依赖额外的镜像端口、诊断接口的情况下，获取到能够用于识别工控资产信息的数据。

S104：根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息。

在本说明书一个或多个实施例中，在加入各组播组后，该电子设备则可根据工控协议库，对接收到的加入的组播组内工控设备发送的报文进行解析，以确定组播组内工控设备的工控资产信息。

由于该电子设备加入的组播组中可能存在未使用工控协议库中的工控协议的工控设备，并且，使用了工控协议库中工控协议的工控设备间传输的报文可能有多种，并非每种报文都能够用于识别工控资产信息。

因此，该电子设备可在接收到组播组内工控设备发送的报文后，根据该工控协议库，判断接收到的报文是否为目标报文。其中，目标报文即能够用于识别工控设备的工控资产信息的报文。

当确定接收到的报文为目标报文时，该电子设备则可对目标报文进行解析，得到目标报文中存储工控资产信息的位置，以根据确定出的位置，确定发送目标报文的工控设备的工控资产信息。

在本说明书一个或多个实施例中，该电子设备在根据该工控协议库，对确定出的目标报文进行解析时，可得到目标报文中工控资产信息对应的偏移量，并根据该偏移量，确定该目标报文中存储工控资产信息的位置。

并且，在判断接收到的报文是否为目标报文时，该电子设备可确定工控协议库中各工控协议分别对应的报文类型及各报文类型的报文特征。之后，判断是否存在与接收到的报文匹配的报文特征，并判断该接收到的报文是否为指定类型的报文。若判断结果皆为是，则将接收到的该报文作为目标报文。否则，不将该报文作为目标报文。

其中，报文特征具有唯一标识性，能够唯一标识一种工控协议对应的一种类型的报文。

在本说明书一个或多个实施例中，报文特征可包括报文标识字段、对应的端口及报文标识字段对应的数据信息等描述报文唯一特征的信息。且一个报文特征对应的报文标识字段可以有一个或多个。该数据信息可为用于解释该报文标识字段的位置、数据格式、类型等内容的信息。报文标识字段即对应的类型下报文所特有的能够区别于其他类型报文的字段。

基于图1所示的识别工控资产信息的方法，通过确定预设的工控协议库中各工控协议对应的组播地址，并加入至少部分组播地址对应的组播组，以接收加入的各组播组内工控设备发送的报文，并根据工控协议库对接收到的报文进行解析，得到加入的组播组内至少部分工控设备的工控资产信息。

从上述方法中可以看出，本方法能够通过加入组播组的方式被动获得工控设备发送的报文，以识别工控设备的工控资产信息，无需主动向工控设备发送定向探测报文，也不依赖镜像交换机。并且，通过组播通信的方式仅对加入的组播组内的报文进行监听，获取加入的组播组内工控设备发送的报文，能够减少对无关报文的接收，对网络中报文的监听压力小。

另外，在本说明书提供的一个或多个实施例中，在步骤S104中，该电子设备还可根据工控协议库，判断接收到的报文是否为目标报文，并在确定接收到的报文为目标报文时，对目标报文进行解析，得到目标报文中存储的工控资产信息以及发送目标报文的工控设备的互联网协议地址。之后，根据该互联网协议地址与工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新，并继续根据接收到的报文识别工控设备的工控资产信息，直至确定满足停止条件为止。

其中，该停止条件可根据需要设置，例如，在用户确定停止识别工控资产信息时，确定满足停止条件。或者，基于该识别工控资产信息的方法对工控设备的工控资产信息的识别可以以预设的周期或时长进行。则该电子设备可在预设的识别周期或识别时长截止时，确定满足停止条件。

该识别周期或识别时长（后续将识别周期与识别时长统称识别阶段）可根据需要设置，例如，识别阶段可以是一天、一周、一个月、半年、一年等，可根据需要设置，本说明书在此不做限制。

因此，在本说明书一个或多个实施例中，该电子设备在根据目标报文对应的该互联网协议地址与工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新后，可继续根据接收到的报文识别工控设备的工控资产信息，并响应于用户的操作，对资产数据库中存储的对应关系进行展示。

在本说明书一个或多个实施例中，当该电子设备接收到该用户触发的停止指令时，可确定满足停止条件，停止根据接收到的报文识别工控设备的工控资产信息。即，用户可查询资产数据库中IP地址与工控资产信息的对应关系，并决定是否结束对组播组中工控设备的工控资产信息的识别。

或者，该电子设备还可继续根据接收到的报文识别工控设备的工控资产信息，并判断当前所处的识别阶段是否结束，若是，则确定满足停止条件。

由于存在在一个识别阶段中，电子设备会持续接收加入的组播组中工控设备发送的报文，因此，该电子设备可能会多次识别到同一工控设备的工控资产信息，而该工控设备的IP地址与工控资产信息的对应关系应当是不变的。若每次识别到该工控设备的工控资产信息都对资产数据库进行增加或更新，则会造成资源浪费。

因此，该电子设备可在根据目标报文的互联网协议地址与工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新时，该电子设备还可判断资产数据库中是否存在发送该目标报文的工控设备的该互联网协议地址关联的对应关系。

若不存在，该电子设备则可将发送该目标报文的工控设备的互联网协议地址与该目标报文中的工控资产信息的对应关系，增加到资产数据库中。

若存在，该电子设备则可根据发送该目标报文的工控设备的互联网协议地址与该目标报文中的工控资产信息的对应关系，对资产数据库中存储的该互联网协议地址关联的对应关系进行更新。

为了方便理解，本说明书还该提供了如图2所示的一种识别工控资产信息的流程示意图。其中：

S401：确定工控协议库对应的各组播地址，并接入工控设备所在的网络。

S402：加入至少部分组播地址对应的组播组。

S403：监听加入的组播组中的报文。

S404：判断接收到的报文是否为目标报文，若是，则执行步骤S405，否则执行步骤S403。

S405：对目标报文进行解析，确定发送目标报文的工控设备的工控资产信息。

S406：根据发送目标报文的工控设备的IP地址与目标报文中工控资产信息的对应关系，对资产数据库进行增加或更新。

S407：判断是否满足停止条件，若是，则结束识别网络中工控设备的工控资产信息，若否，则执行步骤S403。

步骤S401~S407的具体内容可参考上述步骤S100~S104的描述，本说明书在此不做赘述。

另外，在本说明书一个或多个实施例中，在步骤S102中，该电子设备可根据工控协议库确定可基于该工控协议库识别的各工控设备，作为可识别设备，并加入各可识别设备所在的组播组。

由于需要基于工控设备发送的报文识别工控设备的工控资产信息，则被识别的工控设备需要是启动的工控设备。因此，该电子设备可先探测该网络中启动的工控设备。即，在该网络中进行工控设备的扫描探活。扫描到存活的工控设备即启动的工控设备。

在确定出启动的工控设备后，该电子设备可根据预设的工控协议库，从启动的工控设备中，确定可识别工控资产信息的设备，作为可识别设备。

因此，在步骤S102加入组播组时，该电子设备还可探测网络中启动的工控设备，并根据该工控协议库，从启动的工控设备中，确定可识别工控资产信息的设备，作为可识别设备。并从各工控协议对应的组播组中，确定各可识别设备所在的组播组，作为目标组播组，并加入各目标组播组。

在本说明书一个或多个实施例中，在探测网络中启动的工控设备时，该电子设备可依次针对网络中可被占用的每个互联网协议地址，根据因特网控制报文协议（InternetControl Message Protocol，ICMP），向该互联网协议地址发送探活报文。即，向该网络对应的各IP地址分别发送用于探测工控设备是否存活的ICMP报文。存活（启动）的工控设备会基于收到的ICMP报文返回相应的应答报文。

于是，该电子设备可根据响应探活报文的工控设备返回的数据，确定网络中启动的工控设备对应的IP地址。

当然，确定启动的工控设备的方法不仅限于根据ICMP协议发送报文，还可以基于其他的协议，例如，传输控制协议（Transmission Control Protocol，TCP）等。则该电子设备可依次向网络中各IP地址发送TCP报文，并根据工控设备的响应情况确定启动的工控设备。

并且，由于不同的工控协议皆有其对应的端口，而在启动的工控设备中，开启了工控协议库中协议的端口以基于对应的协议进行通信的工控设备，为本申请中能够基于工控协议库识别其工控资产信息的可识别设备。因此，该电子设备可根据启动的工控设备是否开启工控协议库中各工控协议对应的端口，从各启动的工控设备中确定可识别设备。

在本说明书一个或多个实施例中，在从启动的工控设备中，确定可识别工控资产信息的设备，作为可识别设备时，具体的，该电子设备可将预设的工控协议库中各工控协议对应的端口，作为各可识别端口，并依次针对每个启动的工控设备的IP地址，对该IP地址分别进行各可识别端口扫描，检测该IP地址所属的启动的工控设备是否开启了至少一个可识别端口。

若该启动的工控设备开启了至少一个可识别端口，则将该启动的工控设备，作为可识别设备，并继续对剩余的其他启动的工控设备的IP地址进行可识别端口扫描，直至遍历所有启动的工控设备为止。

若该启动的工控设备并非开启了至少一个可识别端口，即该启动的工控设备未开启任何一个可识别端口，该电子设备则可继续对剩余的其他启动的工控设备的IP地址进行可识别端口扫描，直至遍历所有启动的工控设备为止。

最终得到的各开启了至少一个可识别端口的启动的工控设备即各可识别设备。

由于对于未加入任何组播组的可识别设备，无法通过加入相同的组播组接收其报文，因此该电子设备可不将开启了工控协议库中工控协议对应的端口但未加入任何组播组的工控设备作为可识别设备。

于是，在本说明书一个或多个实施例中，该电子设备还可在确定该启动的工控设备开启了至少一个可识别端口时，验证该启动的工控设备是否加入了组播组，若是，则将该工控设备作为可识别设备。否则，不将该工控设备作为可识别设备。

或者，该电子设备还可依次针对每个启动的工控设备，验证该工控设备是否加入了组播组，若是，再对该启动的工控设备的IP地址进行各可识别端口扫描，检测该启动的工控设备是否开启了至少一个可识别端口。若该启动的工控设备开启了至少一个可识别端口，再将该启动的工控设备，作为可识别设备。

需要说明的是，与主动识别方法中的定向探测报文不同的是，本说明书中通过IP扫描及端口扫描向工控设备发送的报文不涉及任何功能性的指令或数据，不会占用大量的资源，因此，不会对工控设备的正常工作造成影响。

并且，在从各工控协议对应的组播组中，确定各可识别设备所在的组播组时，具体的，该电子设备可根据各可识别设备开启的可识别端口，确定各可识别设备匹配的工控协议库中的工控协议，并根据工控协议库中工控协议与组播组的对应关系，从各工控协议对应的组播组中，确定各可识别设备加入的组播组，作为目标组播组。

在本说明书一个或多个实施例中，可识别端口为目的端口。

另外，在本说明书步骤S104根据工控协议库对接收到的报文进行解析，得到加入的各组播组中工控设备的工控资产信息时，该电子设备可根据工控协议库对，从各可识别设备发送的报文中确定目标报文。之后，确定目标报文中存储的工控资产信息以及发送该目标报文的工控设备，并将确定出的工控设备从可识别设备中删除。

之后，该电子设备可判断是否还存在可识别设备。

若是，则继续接收加入的各组播组内可识别设备发送的报文以确定目标报文，并从可识别设备中删除发送目标报文的工控设备，直至不存在可识别设备为止。

若否，则退出加入的各组播组。即停止监测加入的组播组内各工控设备间发送的报文，结束对工控设备的工控资产信息的识别。

在本说明书一个或多个实施例中，由于该电子设备在基于目标报文识别工控设备的工控资产信息时，需要逐渐将发送目标报文的工控设备从可识别设备中删除，即逐渐取消发送目标报文的工控设备的可识别设备身份。

在删除的过程中，可能存在加入的个别组播组中不存在可识别设备的情况。

因此，该电子设备还可在根据所述工控协议库对各可识别设备发送的报文进行解析，得到各可识别设备的工控资产信息的过程中，针对加入的每个组播组，判断该组播组中是否还存在可识别设备，若是，则继续接收该组播组中工控设备发送的报文，否则，退出该组播组。

另外，在本说明书一个或多个实施例中，在确定出可识别设备后，该电子设备还可根据各可识别设备及其对应的IP地址，确定可识别设备列表。

在本说明书一个或多个实施例中，在判断是否还存在可识别设备时，该电子设备可判断可识别设备列表的长度是否为0。若是，则不存在可识别设备，否则，仍存在待识别其工控资产信息的可识别设备。

当然，在确定出可识别设备的工控资产信息后，也可不将其从可识别设备列表删除。还可继续接收各组播组中的报文，直至满足停止条件。

在本说明书一个或多个实施例中，该电子设备还可在预设时段内，确定可识别设备列表的长度未发生改变时，确定不存在可识别设备。或在预设时段内，确定可识别设备列表的长度未发生改变时，确定满足停止条件。

其中，预设时段不大于一个识别阶段。

并且，在本说明书一个或多个实施例中，由于资产识别只是进行风险评估或安全防护中的一个环节，因此，在确定出各可识别设备的工控资产信息后，该电子设备可将可识别设备的IP地址与工控资产信息的对应关系，存入资产数据库。上层应用可通过调用该资产数据库，查询工控资产信息以及对应的IP地址，以基于查询到的工控资产信息与IP地址的对应关系进一步进行风险评估或安全防护。

为了便于理解，本说明书还该提供了如图3所示的识别工控资产信息的过程示意图。如图，包括以下步骤：

S301：接入工控设备所在的网络，探测网络中启动的工控设备，以确定存活设备列表并确定可识别端口列表。

用于识别工控资产信息的电子设备在接入工控设备所在的网络后，则可探测网络中启动的工控设备，并根据各启动的工控设备及对应的IP地址，确定存活设备列表。并根据工控协议库确定可识别端口列表。

S302：将存活设备列表中的一个设备作为目标设备，将可识别端口列表中一个端口作为目标端口。

在确定出存货设备列表和可识别端口列表后，该电子设备则可依次针对存货设备列表中每个启动的工控设备，进行对可识别端口列表中各可识别端口的扫描。首先，该电子设备可将存活设备列表中的一个设备作为目标设备，将可识别端口列表中一个端口作为目标端口。具体可将存活设备列表中第一个设备作为目标设备，将可识别端口列表中第一个端口作为目标端口。

S303：检测目标设备是否开启可识别端口列表中的目标端口，若是，则执行步骤S304，若否，则执行步骤S307。

该电子设备可检测目标设备是否开启可识别端口列表中的目标端口，若是则将该目标设备作为可识别设备，并执行步骤S304，否则，不将该目标设备作为可识别设备，并确定可识别端口列表中下一个端口重新作为目标端口，并重新执行步骤S303，若否，则执行步骤S307。

S304：将该目标设备的组播组IP地址加入待监听组列表。

由于开启了目标端口的设备为能够通过组播通信的方式接收其发送的报文，以识别其工控资产信息的可识别设备，因此，在确定目标设备开启了目标端口后，该电子设备则可将该目标设备的组播组IP地址加入待监听组列表，以便于后续加入该待监听列表中的组播组，并接收组播组中可识别设备发送的报文。

S305：判断该目标端口是否为可识别端口列表中最后一个端口，若是，执行步骤S306，若否，执行步骤S307。

由于可能存在根据多个工控协议进行通信的工控设备，则工控设备开启的可识别端口的数量可为多个。当工控设备对应的工控协议越多时，则越利于基于其发送的报文识别其工控资产信息。因此，在确定目标设备开启了可识别端口列表中的目标端口并将目标设备的组播组IP地址加入待监听组列表后，该电子设备可继续判断可识别端口列表中是否还存在该目标设备开启的其他的可识别端口。

因此，该电子设备可判断该目标端口是否为可识别端口列表中最后一个端口，若是，执行步骤S306，若否，执行步骤S307。

S306：判断该目标设备是否为存活设备列表中最后一个设备，若是，执行步骤S309，若否，执行步骤S308。

当该目标端口是可识别端口列表中最后一个端口时，该电子设备可继续验证存活设备列表中其他的工控设备是否为可识别设备。

首先，则可先判断该目标设备是否为存活设备列表中最后一个设备，若是，执行步骤S309，若否，执行步骤S308。

S307：确定可识别端口列表中下一个其他端口重新作为目标端口。

当该目标端口并非可识别端口列表中最后一个端口时，该电子设备可确定可识别端口列表中下一个其他端口重新作为目标端口。并继续执行步骤S303。

S308：确定存活设备列表中下一个其他设备重新作为目标设备。

当该目标设备并非存活设备列表中最后一个设备时，该电子设备可确定存活设备列表中下一个其他设备重新作为目标设备。

S309：确定可识别设备列表。

当该目标设备为存活设备列表中最后一个设备时，则已经遍历了存活列表确定出可识别设备，该电子设备可根据各可识别设备对应的IP地址，确定可识别设备列表。

S310：监听待监听组列表中每个组播组内的报文，以获取目标报文，并将发送目标报文的设备从可识别设备列表中删除。

在加入了各可识别设备所在的组播组加入待监听组列表后，该电子设备则可监听待监听组列表中每个组播组内的报文，以获取目标报文。

即，针对待监听组列表中每个组播组，接收该组播组内工控设备发送的报文，并从中确定可识别设备发送的报文，以根据预设的工控协议库，从中确定目标报文。

在确定出目标报文后，该电子设备则可确定目标报文包含的工控资产信息，并将发送该目标报文的设备从可识别设备列表删除。

当然，由于可能存在需要基于同一可识别设备的多个目标报文才能获得该可识别设备完整的工控资产信息的情况，因此，该电子设备可在确定获取到可识别设备完整的工控资产信息后，再将该可识别设备从可识别设备列表中删除，不再将该可识别设备作为可识别设备，并不再对其发送的报文进行解析。

S311：判断可识别设备列表的长度是否为0，若是，则结束识别工控资产信息，否则，执行步骤S310。

该电子设备可判断可识别设备列表的长度是否为0，即是否不存在待识别工控资产信息的可识别设备。若是，则结束识别工控资产信息，否则，执行步骤S310，继续监听组播组内可识别设备发送的报文。

需要说明的是，步骤S301~S311的具体过程可参考上述步骤S100~S104的内容，本说明书在此不做赘述。

以上为本说明书的一个或多个实施例提供的识别工控资产信息的方法，基于同样的思路，本说明书还提供了相应的识别工控资产信息的装置，如图4所示。

图4为本说明书提供的一种识别工控资产信息的装置示意图，该装置包括：

确定模块200，用于确定预设的工控协议库中各工控协议对应的组播地址；

组播通信模块201，用于加入至少部分组播地址对应的组播组，并接收各组播组内工控设备发送的报文；

资产识别模块202，用于根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息。

可选地，所述组播通信模块201，还用于根据因特网组管理协议，向确定出的至少部分组播地址发送加入请求，加入所述至少部分组播地址对应的组播组。

可选地，所述资产识别模块202，还用于根据所述工控协议库，判断接收到的报文是否为目标报文，当确定接收到的报文为目标报文时，对所述目标报文进行解析，得到所述目标报文中存储工控资产信息的位置，根据确定出的位置，确定发送所述目标报文的工控设备的工控资产信息。

可选地，所述资产识别模块202，还用于根据所述工控协议库，判断接收到的报文是否为目标报文，在确定接收到的报文为目标报文时，对所述目标报文进行解析，得到所述目标报文中存储的工控资产信息以及发送所述目标报文的工控设备的互联网协议地址，根据所述互联网协议地址与所述工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新，并继续根据接收到的报文识别工控设备的工控资产信息，直至确定满足停止条件为止。

可选地，所述资产识别模块202，还用于确定所述工控协议库中各工控协议分别对应的报文类型及各报文类型的报文特征，判断是否存在与接收到的报文匹配的报文特征，并判断所述报文是否为指定类型的报文，若判断结果皆为是，则将所述报文作为目标报文，否则，不将所述报文作为目标报文。

可选地，所述资产识别模块202，还用于判断所述资产数据库中是否存在所述互联网协议地址关联的对应关系，若不存在，则将所述互联网协议地址与所述工控资产信息的对应关系，增加到所述资产数据库中，若存在，则根据所述互联网协议地址与所述工控资产信息的对应关系，对所述资产数据库中存储的所述互联网协议地址关联的对应关系进行更新。

可选地，所述资产识别模块202，还用于当接收到用户触发的停止指令时，确定满足停止条件，停止根据接收到的报文识别工控设备的工控资产信息。

本说明书还提供了一种计算机可读存储介质，该存储介质存储有计算机程序，计算机程序可用于执行上述图1提供的识别工控资产信息的方法。

本说明书还提供了图5所示的电子设备的结构示意图。如图5所示，在硬件层面，该电子设备包括处理器、内部总线、内存以及非易失性存储器，当然还可能包括其他业务所需要的硬件。处理器从非易失性存储器中读取对应的计算机程序到内存中然后运行，以实现上述图1提供的识别工控资产信息的方法。

需要说明的是，本说明书中所有获取信号、信息或数据的动作都是在遵照所在地国家相应的数据保护法规政策的前提下，并获得由相应装置所有者给予授权的情况下进行的。

当然，除了软件实现方式之外，本说明书并不排除其他实现方式，比如逻辑器件抑或软硬件结合的方式等等，也就是说以下处理流程的执行主体并不限定于各个逻辑单元，也可以是硬件或逻辑器件。

在20世纪90年代，对于一个技术的改进可以很明显地区分是硬件上的改进（例如，对二极管、晶体管、开关等电路结构的改进）还是软件上的改进（对于方法流程的改进）。然而，随着技术的发展，当今的很多方法流程的改进已经可以视为硬件电路结构的直接改进。设计人员几乎都通过将改进的方法流程编程到硬件电路中来得到相应的硬件电路结构。因此，不能说一个方法流程的改进就不能用硬件实体模块来实现。例如，可编程逻辑器件（Programmable Logic Device, PLD）（例如现场可编程门阵列（Field Programmable GateArray，FPGA））就是这样一种集成电路，其逻辑功能由用户对器件编程来确定。由设计人员自行编程来把一个数字系统“集成”在一片PLD上，而不需要请芯片制造厂商来设计和制作专用的集成电路芯片。而且，如今，取代手工地制作集成电路芯片，这种编程也多半改用“逻辑编译器（logic compiler）”软件来实现，它与程序开发撰写时所用的软件编译器相类似，而要编译之前的原始代码也得用特定的编程语言来撰写，此称之为硬件描述语言（Hardware Description Language，HDL），而HDL也并非仅有一种，而是有许多种，如ABEL（Advanced Boolean Expression Language）、AHDL（Altera Hardware DescriptionLanguage）、Confluence、CUPL（Cornell University Programming Language）、HDCal、JHDL（Java Hardware Description Language）、Lava、Lola、MyHDL、PALASM、RHDL（RubyHardware Description Language）等，目前最普遍使用的是VHDL（Very-High-SpeedIntegrated Circuit Hardware Description Language）与Verilog。本领域技术人员也应该清楚，只需要将方法流程用上述几种硬件描述语言稍作逻辑编程并编程到集成电路中，就可以很容易得到实现该逻辑方法流程的硬件电路。

控制器可以按任何适当的方式实现，例如，控制器可以采取例如微处理器或处理器以及存储可由该（微）处理器执行的计算机可读程序代码（例如软件或固件）的计算机可读介质、逻辑门、开关、专用集成电路（Application Specific Integrated Circuit，ASIC）、可编程逻辑控制器和嵌入微控制器的形式，控制器的例子包括但不限于以下微控制器：ARC 625D、Atmel AT91SAM、Microchip PIC18F26K20 以及Silicone Labs C8051F320，存储器控制器还可以被实现为存储器的控制逻辑的一部分。本领域技术人员也知道，除了以纯计算机可读程序代码方式实现控制器以外，完全可以通过将方法步骤进行逻辑编程来使得控制器以逻辑门、开关、专用集成电路、可编程逻辑控制器和嵌入微控制器等的形式来实现相同功能。因此这种控制器可以被认为是一种硬件部件，而对其内包括的用于实现各种功能的装置也可以视为硬件部件内的结构。或者甚至，可以将用于实现各种功能的装置视为既可以是实现方法的软件模块又可以是硬件部件内的结构。

上述实施例阐明的系统、装置、模块或单元，具体可以由计算机芯片或实体实现，或者由具有某种功能的产品来实现。一种典型的实现设备为计算机。具体的，计算机例如可以为个人计算机、膝上型计算机、蜂窝电话、相机电话、智能电话、个人数字助理、媒体播放器、导航设备、电子邮件设备、游戏控制台、平板计算机、可穿戴设备或者这些设备中的任何设备的组合。

为了描述的方便，描述以上装置时以功能分为各种单元分别描述。当然，在实施本说明书时可以把各单元的功能在同一个或多个软件和/或硬件中实现。

本领域内的技术人员应明白，本发明的实施例可提供为方法、系统、或计算机程序产品。因此，本发明可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本发明可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本发明是参照根据本发明实施例的方法、设备（系统）、和计算机程序产品的流程图和／或方框图来描述的。应理解可由计算机程序指令实现流程图和／或方框图中的每一流程和／或方框、以及流程图和／或方框图中的流程和／或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和／或方框图一个方框或多个方框中指定的功能的步骤。

在一个典型的配置中，计算设备包括一个或多个处理器(CPU)、输入/输出接口、网络接口和内存。

内存可能包括计算机可读介质中的非永久性存储器，随机存取存储器(RAM)和/或非易失性内存等形式，如只读存储器(ROM)或闪存(flash RAM)。内存是计算机可读介质的示例。

计算机可读介质包括永久性和非永久性、可移动和非可移动媒体可以由任何方法或技术来实现信息存储。信息可以是计算机可读指令、数据结构、程序的模块或其他数据。计算机的存储介质的例子包括，但不限于相变内存(PRAM)、静态随机存取存储器(SRAM)、动态随机存取存储器(DRAM)、其他类型的随机存取存储器(RAM)、只读存储器(ROM)、电可擦除可编程只读存储器(EEPROM)、快闪记忆体或其他内存技术、只读光盘只读存储器(CD-ROM)、数字多功能光盘(DVD)或其他光学存储、磁盒式磁带，磁带磁磁盘存储或其他磁性存储设备或任何其他非传输介质，可用于存储可以被计算设备访问的信息。按照本文中的界定，计算机可读介质不包括暂存电脑可读媒体(transitory media)，如调制的数据信号和载波。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

本领域技术人员应明白，本说明书的实施例可提供为方法、系统或计算机程序产品。因此，本说明书可采用完全硬件实施例、完全软件实施例或结合软件和硬件方面的实施例的形式。而且，本说明书可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质（包括但不限于磁盘存储器、CD-ROM、光学存储器等）上实施的计算机程序产品的形式。

本说明书可以在由计算机执行的计算机可执行指令的一般上下文中描述，例如程序模块。一般地，程序模块包括执行特定任务或实现特定抽象数据类型的例程、程序、对象、组件、数据结构等等。也可以在分布式计算环境中实践本说明书，在这些分布式计算环境中，由通过通信网络而被连接的远程处理设备来执行任务。在分布式计算环境中，程序模块可以位于包括存储设备在内的本地和远程计算机存储介质中。

本说明书中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于系统实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

以上所述仅为本说明书的实施例而已，并不用于限制本说明书。对于本领域技术人员来说，本说明书可以有各种更改和变化。凡在本说明书的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本说明书的权利要求范围之内。

Claims (10)

1.一种识别工控资产信息的方法，其特征在于，同一组播组内的工控设备间以组播通信方式进行通信，预设的工控协议库包含可识别的工控设备出厂时绑定的工控协议，一种工控协议对应一个组播组的组播地址，所述方法包括：

确定所述工控协议库中各工控协议分别对应的组播地址；

加入至少部分组播地址对应的组播组，并接收各组播组内工控设备发送的报文；

根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息。

2.如权利要求1所述的方法，其特征在于，加入至少部分组播地址对应的组播组，具体包括：

根据因特网组管理协议，向确定出的至少部分组播地址发送加入请求，加入所述至少部分组播地址对应的组播组。

3.如权利要求1所述的方法，其特征在于，根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息，具体包括：

根据所述工控协议库，判断接收到的报文是否为目标报文；

当确定接收到的报文为目标报文时，对所述目标报文进行解析，得到所述目标报文中存储工控资产信息的位置；

根据确定出的位置，确定发送所述目标报文的工控设备的工控资产信息。

4.如权利要求1所述的方法，其特征在于，根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息，具体包括：

根据所述工控协议库，判断接收到的报文是否为目标报文；

在确定接收到的报文为目标报文时，对所述目标报文进行解析，得到所述目标报文中存储的工控资产信息以及发送所述目标报文的工控设备的互联网协议地址；

根据所述互联网协议地址与所述工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新，并继续根据接收到的报文识别工控设备的工控资产信息，直至确定满足停止条件为止。

5.如权利要求3或4所述的方法，其特征在于，根据所述工控协议库，判断接收到的报文是否为目标报文，具体包括：

确定所述工控协议库中各工控协议分别对应的报文类型及各报文类型的报文特征；

判断是否存在与接收到的报文匹配的报文特征，并判断所述报文是否为指定类型的报文；

若判断结果皆为是，则将所述报文作为目标报文，否则，不将所述报文作为目标报文。

6.如权利要求4所述的方法，其特征在于，根据所述互联网协议地址与所述工控资产信息的对应关系，对资产数据库中存储的对应关系进行增加或更新，具体包括：

判断所述资产数据库中是否存在所述互联网协议地址关联的对应关系；

若不存在，则将所述互联网协议地址与所述工控资产信息的对应关系，增加到所述资产数据库中；

若存在，则根据所述互联网协议地址与所述工控资产信息的对应关系，对所述资产数据库中存储的所述互联网协议地址关联的对应关系进行更新。

7.如权利要求4所述的方法，其特征在于，直至确定满足停止条件为止，具体包括：

当接收到用户触发的停止指令时，确定满足停止条件，停止根据接收到的报文识别工控设备的工控资产信息。

8.一种识别工控资产信息的装置，其特征在于，同一组播组内的工控设备间以组播通信方式进行通信，预设的工控协议库包含可识别的工控设备出厂时绑定的工控协议，一种工控协议对应一个组播组的组播地址，所述装置包括：

确定模块，用于确定所述工控协议库中各工控协议分别对应的组播地址；

组播通信模块，用于加入至少部分组播地址对应的组播组，并接收各组播组内工控设备发送的报文；

资产识别模块，用于根据所述工控协议库，对接收到的报文进行解析，得到加入的各组播组内至少部分工控设备的工控资产信息。

9.一种计算机可读存储介质，其特征在于，所述存储介质存储有计算机程序，所述计算机程序被处理器执行时实现上述权利要求1~7任一项所述的方法。

10.一种电子设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，其特征在于，所述处理器执行所述程序时实现上述权利要求1~7任一项所述的方法。

Images