[發(fā)明專利]一種工控設備指紋歸一化方法

在審

• 申請?zhí)枺?/td>: 201910369838.0
• 申請日: 2019-05-06
• 公開（公告）號: CN110113335A
• 公開（公告）日: 2019-08-09
• 發(fā)明（設計）人: 左海波;黃佳;阮濤;洪濤;酈建新
• 申請（專利權）人: 杭州齊安科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州天昊專利代理事務所(特殊普通合伙) 33283
• 代理人: 董世博

1.一種工控設備指紋歸一化方法，其特征在于，包括以下步驟：

旁路鏡像方式獲得工控設備信息，通過鏡像交換機，待測工控設備之間進行業(yè)務相關的網(wǎng)絡通訊，由工控設備探測裝置分析待測工控設備之間的網(wǎng)絡通訊流量，獲得待測工控設備的指紋信息；

主動探測方式獲得工控設備信息，工控設備探測裝置采用傳統(tǒng)的網(wǎng)絡端口信息獲取技術，通過交換機與待測工控設備發(fā)生網(wǎng)絡通訊進行主動探測，來獲取待測工控設備的工控指紋信息；

將記錄下來的設備信息，既有來自旁路鏡像方式獲得的信息，也有來自主動探測方式獲得的信息，對信息進行匯總；

對匯總后的信息進行分類，首先根據(jù)IP地址，對信息進行分類，然后依據(jù)端口和協(xié)議進行分類，一個IP地址代表一個工控設備；

加載內(nèi)置工控設備庫，內(nèi)置工控設備庫包含設備的廠商、型號、類型、版本信息；

對分類后的數(shù)據(jù)提取關鍵數(shù)據(jù)，根據(jù)內(nèi)置工控設備庫的數(shù)據(jù)，將設備信息中無用的數(shù)據(jù)過濾掉，保留有用的數(shù)據(jù)；

清洗關鍵數(shù)據(jù)，將保留下來的關鍵數(shù)據(jù)，依照內(nèi)置工控設備庫的數(shù)據(jù)，進行格式化，得到相對統(tǒng)一的關鍵數(shù)據(jù)；

形成設備標識，設備標識包括設備類型、廠商、型號、版本，一個工控設備有一個或者多個標識；

如果發(fā)現(xiàn)了內(nèi)置工控設備庫沒有的信息，包括設備廠商、型號、類型、版本，則更新到內(nèi)置工控設備庫。

2.如權利要求1所述的工控設備指紋歸一化方法，其特征在于，所述提取關鍵數(shù)據(jù)過程如下：

基于端口和協(xié)議，從內(nèi)置工控設備庫中，縮小廠商的范圍；

依據(jù)內(nèi)置工控設備庫中的廠商信息，通過字符串匹配，從設備信息中獲得廠商信息；

依據(jù)內(nèi)置工控設備庫中的型號信息，通過字符串匹配，從設備信息中獲得設備型號；

根據(jù)內(nèi)置工控設備庫，由廠商和型號信息，判斷設備的類型；

通過字符串匹配，從設備信息中獲得設備名稱；

通過字符串匹配，從設備信息中獲得版本信息；

通過字符串匹配，從設備信息中獲得其它信息，包括模塊信息、特征碼、訂貨號、序列號、操作系統(tǒng)。

3.如權利要求1所述的工控設備指紋歸一化方法，其特征在于，所述旁路鏡像方式獲得工控設備信息具體包括：

鏡像交換機將通訊流量鏡像給工控設備探測裝置，通訊流量包括工控協(xié)議和傳統(tǒng)以太網(wǎng)協(xié)議；

工控設備探測裝置獲取網(wǎng)絡流量后，對網(wǎng)絡流量進行解析，根據(jù)TCP/IP結構，依次解析物理層、數(shù)據(jù)鏈路層、網(wǎng)絡層、傳輸層、應用層；

網(wǎng)絡流量解析后，從網(wǎng)絡流量的網(wǎng)絡層記錄源IP地址和目標IP地址，從網(wǎng)絡流量的傳輸層記錄源端口和目標端口，通過解析應用層協(xié)議或者數(shù)據(jù)鏈路層之上的協(xié)議，判斷網(wǎng)絡流量使用的哪種協(xié)議，并記錄下來；

對網(wǎng)絡流量進行過濾，獲得跟工控協(xié)議相關的流量數(shù)據(jù)；

對工控流量進行分析，判斷工控流量中是否包含設備信息；

如果工控流量中包含設備信息，則記錄設備信息，留待后續(xù)進行進一步處理。

4.如權利要求1所述的工控設備指紋歸一化方法，其特征在于，所述主動探測方式獲得工控設備信息具體包括：

對于工控網(wǎng)絡內(nèi)的所有待測工控設備，進行全網(wǎng)掃描，探測正在運行的工控設備及其IP地址；

進行TCP端口探測，判斷工控設備的端口開放情況；

對于TCP端口，根據(jù)IP地址、TCP端口，從工控協(xié)議庫中選擇端口使用的工控協(xié)議，將探測數(shù)據(jù)轉(zhuǎn)換為工控協(xié)議數(shù)據(jù)；對于UDP端口，基于已探測得到的IP地址和工控協(xié)議庫中的UDP端口和UDP協(xié)議，將探測數(shù)據(jù)轉(zhuǎn)換為工控協(xié)議數(shù)據(jù)；

將轉(zhuǎn)換后的工控協(xié)議數(shù)據(jù)發(fā)送給待測工控設備；

接收待測工控設備返回的響應流量，同時對網(wǎng)絡流量進行解析；

判斷解析后的流量中，是否包含工控設備信息；

將這些設備信息記錄下來，留待后續(xù)進行進一步處理。