[發明專利]一種基于深度學習的一體化工控蜜罐識別系統及方法

在審

• 申請號: 201911166903.6
• 申請日: 2019-11-25
• 公開（公告）號: CN111126440A
• 公開（公告）日: 2020-05-08
• 發明（設計）人: 孫彥斌;田志宏;崔翔;姜譽;蘇申;魯輝;譚慶豐;李默涵;李玉瑩
• 申請（專利權）人: 廣州大學
• 主分類號: G06K9/62
• 分類號: G06K9/62;G06N3/04;H04L29/06
• 代理公司: 廣州三環專利商標代理有限公司 44202
• 代理人: 郭浩輝;麥小嬋

本發明公開了一種基于深度學習的一體化工控蜜罐識別系統，包括特征數據獲取模塊、模型訓練模塊和在線特征識別模塊。特征數據獲取模塊根據蜜罐識別需求獲取不同類型工控設備的原始數據，并從原始數據中提取出強特征數據和通用特征數據。模型訓練模塊基于強特征識別出蜜罐和工控設備，將其對應的通用特征和識別結果作為訓練數據輸入至深度學習模型進行訓練以構建蜜罐識別模型。在線特征識別模塊在線對不同類型工控設備的第一特征數據進行識別并輸出第一識別結果。蜜罐識別模型還將在線識別錯誤后修正的識別結果作為訓練數據進行增量式訓練。通過增量式訓練和多種類型特征的融合，支持多種工控蜜罐的識別，有效提高了工控蜜罐識別的準確率。

技術領域

本發明涉及圖像識別及工控安全技術領域，尤其涉及一種基于深度學習的一體化工控蜜罐識別系統及方法。

背景技術

隨著工控防御技術和攻擊技術交替提升，工控安全防護由最初的被動防御逐漸過渡到主動防御。工控蜜罐作為一種主動防御技術，近年來逐步受到關注，并被大量部署。工控蜜罐本質上是一種欺騙方法，通過模擬存在漏洞和弱點的工控設備和場景來誘使攻擊方對其進行攻擊，進而對攻擊者的攻擊行為和工具進行監視、分析。尤其隨著工控系統的開放性不斷增強，大量工控設備開始與外部網絡互聯互通，導致針對工控網絡的攻擊事件層出不窮，如2010年的震網病毒。為應對來自外部的安全威脅，工控蜜罐變得尤為重要。

工控蜜罐根據其交互特性共分為三類。低交互工控蜜罐：僅開放一些服務和端口，可以被攻擊者探測到，但是與攻擊者交互程度低，此類蜜罐很容易被識別。中交互工控蜜罐：介于低交互式和高交互式之間，比低交互蜜罐更像真實的工控設備，能夠模擬操作系統等更多的服務。高交互工控蜜罐：部署真實的操作系統和業務環境，可像真實的工控系統一樣與攻擊者進行交互。

雖然工控蜜罐具有偽裝性，但蜜罐仍可能被攻擊者識別出來，導致蜜罐失效。同時，蜜罐具有跳板性，攻擊者識別出蜜罐后可能把蜜罐當作跳板，對真實系統進行攻擊，造成不必要的損失。為提高工控蜜罐的真實性，增強蜜罐抗識別能力，工控蜜罐識別研究非常必要。同時，由于工控蜜罐的存在，面向工控設備的網絡探測系統的準確性會受到一定影響，需要從真實設備中準確甄別出工控蜜罐。因此，無論從抗攻擊角度還是提高探測準確性角度，工控蜜罐識別都是工控系統安全研究的重點。

現有的機器學習的基于深度學習的一體化工控蜜罐識別系統和基于數據包分片的蜜罐識別方法主要存在三方面缺點：

(1)特征類型少，過于簡單

現有工控識別方法一般選取四類特征：IP地址基礎位置信息、TCP/IP操作系統指紋、工控協議深度交互特征、組態程序調試運行特征。由于工控蜜罐技術不斷發展，蜜罐越來越接近真實設備或系統，只選取四種特征值對于識別復雜的蜜罐系統來說，特征類型不足，同時，由于特征自身較簡單，很容易被工控蜜罐模擬。因此，很難區分蜜罐和真實設備。

(2)識別目標單一

許多蜜罐識別技術沒有將低交互、中交互、高交互蜜罐識別方法融合到一起，也沒有將基于Windows的工控蜜罐和基于Linux的基于深度學習的一體化工控蜜罐識別系統融合到一起，更多的識別方法只是針對某一類蜜罐進行識別。

(3)缺乏訓練數據

現有基于機器學習的基于深度學習的一體化工控蜜罐識別系統并未提出訓練數據如何獲取，目前也缺少公開的工控蜜罐數據集。同時，由于不同識別方法對識別特征需求不同，工控蜜罐數據集也很難適用于不同的識別方法。

(4)缺乏擴展能力和適應能力