[發明專利]利用物聯網安全網關系統進行的物聯網安全網關防護方法

有效

• 申請號: 201910170328.0
• 申請日: 2019-03-07
• 公開（公告）號: CN109981602B
• 公開（公告）日: 2021-04-13
• 發明（設計）人: 金心宇;楊凱;金昀程;楊岸;楊瑞琪
• 申請（專利權）人: 浙江大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04B3/54
• 代理公司: 杭州中成專利事務所有限公司 33212
• 代理人: 金祺

1.利用物聯網安全網關系統進行的物聯網安全網關防護方法，其特征在于：

物聯網安全網關系統包括網關設備，網關設備包括網關系統；所述網關系統包括蜜罐模塊（1）、數據存儲模塊（4）、數據分析模塊（2）以及非對稱加密模塊（3）；

所述蜜罐模塊（1）與數據分析模塊（2）信號連接；所述數據分析模塊（2）與非對稱加密模塊（3）信號連接；所述蜜罐模塊（1）、數據分析模塊（2）和非對稱加密模塊（3）均與數據存儲模塊（4）信號連接；

外網設備（5）分別與蜜罐模塊（1）、數據存儲模塊（4）、數據分析模塊（2）以及非對稱加密模塊（3）信號相連；

非對稱加密模塊（3）與上位機（6）連接；

所述蜜罐模塊（1）采集到的網絡請求數據存儲至數據存儲模塊（4）中，蜜罐模塊（1）采集到的網絡請求數據通過數據分析模塊（2）對該網絡請求進行攔截判斷；

所述數據分析模塊（2）將數據存儲模塊（4）中的數據進行模型重建；數據分析模塊（2）將攔截分類的結果存儲至數據存儲模塊（4）中；

數據分析模塊（2）將未被攔截的網絡請求傳遞 給非對稱加密模塊（3），非對稱加密模塊（3）將該網絡請求進行解密驗證，非對稱加密模塊（3 ）將未通過解密驗證的網絡請求進行攔截；

所述非對稱加密模塊（3）將解密驗證的結果存儲至數據存儲模塊（4）中，非對稱加密模塊（3）獲取數據存儲模塊（4）存儲的公鑰信息；

方法包括以下步驟：

S1、外網設備（5）向網關系統發送數據包；

S2、網關系統接收、儲存、分析處理外網設備（5）所發送的數據包，并將非網絡攻擊的數據包發送給上位機（6）；

S2包括以下步驟：

2.1：蜜罐模塊（1）通過TcpDump抓包方式獲取外網設備（5）發送的數據包；該數據包為入侵或訪問數據；蜜罐模塊（1）根據數據包得到數據參數；

2.2：蜜罐模塊（1）將抓包得到的數據參數和數據包發送至數據分析模塊（2）中進行入侵與非入侵分類；若為入侵，則直接拒絕訪問，若為非入侵，則繼續執行步驟2.3；

2.3：數據分析模塊（2）將數據包輸入非對稱加密模塊（3）中解密，若非對稱加密模塊（3）判斷解密得到的工控指令語法驗證不正確，則拒絕訪問，并且將請求參數記錄至數據存儲模塊（4）中；若解密得到的工控指令語法驗證通過，則執行步驟2.4；

2.4：數據分析模塊（2）讀取在步驟2.2中被判定為非入侵、且步驟2.3中無法匹配驗證的數據包時，非對稱加密模塊（3）將數據包發送給數據分析模塊（2），數據分析模塊（2）利用數據包和數據存儲模塊（4）的kdd99數據集數據更新SVM網絡模型；執行步驟2.5；

更新SVM網絡模型的方法為：

數據分析模塊（2）采用kdd99數據集進行SVM網絡的初步構建，采用kdd99數據集中所定義的10%訓練樣本作為訓練集，標記為corrected的樣本作為測試集；采用sigmoid函數作為核函數；

數據分析模塊（2）利用蜜罐模塊（1）捕獲的數據包以及非對稱加密 模塊（3）解密驗證失敗的數據包對該SVM網絡進行再訓練；該模塊將最新的SVM網絡模型作 為進入網關設備數據包安全判斷依據；

2.5：網關系統將順利通過的數據包轉換為modbus協議，并將該數據包傳輸給上位機（6）。

2.根據權利要求1所述的物聯網安全網關防護方法，其特征在于：步驟2.3解密的方法包括以下步驟：

非對稱加密模塊（3）獲取數據存儲模塊（4）存儲的公鑰信息，通過用戶的公鑰對數據包進行解密；

非對稱加密模塊（3）對解密得到的數據進行指令語法驗證；

驗證通過說明用戶的私鑰正確，則執行相關的指令；若不正確，該指令會被網關設備拒絕，并且蜜罐模塊（1）中抓包得到的數據參數被記錄至數據存儲模塊（4）中。