[發(fā)明專利]一種基于蜜網(wǎng)數(shù)據(jù)的工控掃描器指紋識別方法

有效

• 申請?zhí)枺?/td>: 201811083267.6
• 申請日: 2018-09-18
• 公開（公告）號: CN109067778B
• 公開（公告）日: 2020-07-24
• 發(fā)明（設(shè)計）人: 姚羽;盛川;劉昕蕊;李東彪;李楨梓;王禹博;金白澈
• 申請（專利權(quán)）人: 東北大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06N3/00
• 代理公司: 大連理工大學專利中心 21200
• 代理人: 陳玲玉;梅洪玉

1.一種基于蜜網(wǎng)數(shù)據(jù)的工控掃描器指紋識別方法，其特征在于，包括如下步驟：

a.獲得原始訓練數(shù)據(jù)，其中原始訓練數(shù)據(jù)的獲得包括兩種途徑：一種是基于部署在工業(yè)控制系統(tǒng)中的蜜罐網(wǎng)絡(luò)捕獲掃描器對工控設(shè)備的探測行為并與其進行深度交互，獲得掃描數(shù)據(jù)；另一種是結(jié)合相關(guān)安全服務(wù)廠商提供的工控掃描器信息記錄，分析得到掃描數(shù)據(jù)；

b.提取掃描數(shù)據(jù)指紋內(nèi)容，建立掃描特征數(shù)據(jù)集；

c.基于掃描特征數(shù)據(jù)集，利用CART決策樹算法構(gòu)建多分類分類器模型；在模型訓練過程中，不斷選擇當前最優(yōu)劃分屬性進行劃分，直到所有訓練數(shù)據(jù)都完全擬合；采用代價復雜度剪枝算法對訓練好的決策樹進行剪枝，選擇誤差最小的子樹作為剪枝后的最優(yōu)決策樹，形成標簽；采用“一對一”方法構(gòu)建多分類分類器，并選擇概率最大的類別作為分類結(jié)果，分類結(jié)果以概率的形式輸出；

d.用聚類模型以步驟c輸出的分類結(jié)果作為輸入，對掃描實體進行聚類分析，以發(fā)現(xiàn)不同掃描工具和掃描實體IP之間的關(guān)聯(lián)關(guān)系；所述聚類模型采用的方法不包括K-Means和AGNES聚類方法；所述關(guān)聯(lián)關(guān)系包括確定與特定掃描工具構(gòu)成一類的掃描實體，確定自成一類的掃描實體并提取出其所屬組織；

e.聚類算法結(jié)束后將生成多個聚簇，若有含新標簽的聚簇出現(xiàn)，該聚簇的新標簽將被輸入到步驟c中，再次利用基于CART決策樹算法更新舊的多分類分類器模型，做到實時更新，不斷擴充；若未出現(xiàn)含新標簽的聚簇，則分類結(jié)果將作為最終的結(jié)果輸出。

2.根據(jù)權(quán)利要求1所述的基于蜜網(wǎng)數(shù)據(jù)的工控掃描器指紋識別方法，其特征在于，步驟b所述的掃描數(shù)據(jù)指紋內(nèi)容包括：IP地址信息、端口信息、數(shù)據(jù)包長度、通訊協(xié)議和具體通訊數(shù)據(jù)。