[發明專利]一種基于深度學習的一體化工控蜜罐識別系統及方法

在審

• 申請號: 201911166903.6
• 申請日: 2019-11-25
• 公開（公告）號: CN111126440A
• 公開（公告）日: 2020-05-08
• 發明（設計）人: 孫彥斌;田志宏;崔翔;姜譽;蘇申;魯輝;譚慶豐;李默涵;李玉瑩
• 申請（專利權）人: 廣州大學
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;H04L29/06
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郭浩輝;麥小嬋

1.一種基于深度學習的一體化工控蜜罐識別系統，其特征在于，包括：特征數據獲取模塊、模型訓練模塊以及在線特征識別模塊；

所述特征數據獲取模塊，用于根據蜜罐識別需求，獲取不同類型工控設備的原始數據，并從獲取的原始數據中進行特征提取，得到可精確識別蜜罐的強特征數據和用于訓練學習的通用特征數據；

所述模型訓練模塊，用于根據所述強特征數據識別出蜜罐和工控設備，并將識別出的蜜罐和工控設備對應的通用特征和識別結果作為訓練集，輸入至深度學習模型進行訓練，以構建訓練好的蜜罐識別模型；

所述在線特征識別模塊，用于在線從不同類型工控設備的原始數據中進行特征提取，提取出第一特征數據，并將所述第一特征數據輸入至所述蜜罐識別模型，以得到所述蜜罐識別模型輸出第一識別結果。

2.如權利要求1所述的基于深度學習的一體化工控蜜罐識別系統，其特征在于，所述特征數據獲取模塊，包括IP地址獲取單元、探測報文構造單元、探測結果生成單元以及特征提取單元；

所述IP地址獲取單元，用于從待掃描的工控設備IP地址庫中讀取多個工控設備的IP地址信息；

所述探測報文構造單元，用于根據蜜罐識別需求構造不同類型的探測報文，并將不同類型的探測報文發送給對應的聯網工控設備；

所述探測結果生成單元，用于將聯網工控設備返回的響應報文作為探測結果寫回IP地址庫，并將所述探測結果作為原始數據；

所述特征提取單元，用于從所述原始數據中進行特征提取，提取出可精確識別蜜罐的強特征數據和用于訓練學習的通用特征數據。

3.如權利要求2所述的基于深度學習的一體化工控蜜罐識別系統，其特征在于，所述強特征數據包括強特征工控蜜罐和強特征正常工控設備；

所述強特征工控蜜罐為，ISP為云平臺或高校或研究院、操作系統指紋為window、開放端口數量大于Port threshold且違反端口開放規則、OS指紋為window的設備；

所述強特征正常工控設備為，ISP為非云平臺或非高校研究院、開放端口小于Portthreshold且不違反端口開放規則、操作系統指紋為嵌入式OS系統的設備。

4.如權利要求1所述的基于深度學習的一體化工控蜜罐識別系統，其特征在于，還包括模型更新模塊；

所述模型更新模塊，用于當在線識別出錯時，將錯誤的結果修正，并將修正后的識別結果作為訓練集輸入至在離線狀態的蜜罐識別模型中進行訓練，訓練完成后重新將訓練完成的蜜罐識別模型應用于在線識別。

5.如權利要求1所述的基于深度學習的一體化工控蜜罐識別系統，其特征在于，所述不同類型工控設備的原始數據包括防御特征數據、內在特征數據以及網絡屬性特征數據。

6.一種基于深度學習的一體化工控蜜罐識別方法，其特征在于，包括以下步驟：

根據蜜罐識別需求，獲取不同類型工控設備的原始數據，并從獲取的原始數據中進行特征提取，得到可精確識別蜜罐的強特征數據和用于訓練學習的通用特征數據；

根據所述強特征數據識別出蜜罐和工控設備，并將識別出的蜜罐和工控設備對應的通用特征和識別結果作為訓練集，輸入至深度學習模型進行訓練，以構建訓練好的蜜罐識別模型；

在線從不同類型工控設備的原始數據中進行特征提取，提取出第一特征數據，并將所述第一特征數據輸入至所述蜜罐識別模型，以得到所述蜜罐識別模型輸出第一識別結果。

7.如權利要求6所述的基于深度學習的一體化工控蜜罐識別方法，其特征在于，所述根據蜜罐識別需求，獲取不同類型工控設備的原始數據，并從獲取的原始數據中進行特征提取，得到可精確識別蜜罐的強特征數據和用于訓練學習的通用特征數據，具體為：

從待掃描的工控設備IP地址庫中讀取多個工控設備的IP地址信息；

根據蜜罐識別需求構造不同類型的探測報文，并將不同類型的探測報文發送給對應的聯網工控設備；

將聯網工控設備返回的響應報文作為探測結果寫回IP地址庫，并將所述探測結果作為原始數據；

從所述原始數據中進行特征提取，提取出可精確識別蜜罐的強特征數據和用于訓練學習的通用特征數據。