[發明專利]基于緩沖池的分布式工業控制蜜網流量采集系統及方法

有效

• 申請號: 202011204956.5
• 申請日: 2020-11-02
• 公開（公告）號: CN112565186B
• 公開（公告）日: 2022-03-08
• 發明（設計）人: 姚羽;盛川;安紅娜;李東彪;蘇文興;楊巍;劉瑩;黃倉健;林小李;韓瑋石;李文軒
• 申請（專利權）人: 東北大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 大連理工大學專利中心 21200
• 代理人: 陳玲玉

1.一種基于緩沖池的分布式工業控制蜜網流量采集系統，其特征在于，在所述的系統中包含三個數據緩沖池和四個組件：輸入緩沖池、轉換緩沖池、輸出緩沖池、輸入組件、解析組件、轉換組件和輸出組件；

三個數據緩沖池中使用三種數據類型，即包、Packet Meeting和JSON；

包是根據協議規范用于存儲與捕獲的原始二進制數據相對應的協議信息，其有兩種狀態，“完整”和“不完整”；“完整”意味著數據已經被完全解析；“不完整”是指部分數據沒有被解析；

Packet Meeting是一組數據包，由一個超時閾值T_meeting分隔，當超過這個閾值，沒有接收到數據時，Packet Meeting被認為是不活躍的并被切斷；

JSON是一種輕量級的數據交換格式；

所述輸入緩沖池用于臨時保存TCP/IP解析器解析的完整和不完整的數據包；

所述輸入組件提供了加載和捕獲兩種輸入模式；加載模式以PCAP文件作為輸入；PCAP文件是使用Libpcap或基于winpcap程序創建的數據文件；捕獲模式負責根據篩選條件實時捕獲目標主機接收到的網絡流量；

所述解析組件分為TCP/IP解析器和應用解析器；TCP/IP解析器基于Pcap4J實現，用于解析傳輸層及以下的協議；應用解析器用于解析基于Tshark的工業控制蜜罐支持的應用層協議；解析組件解析n個數據包的時間表示為：

其中表示Pcap4J解析n個原始二進制數據包所花費的時間；表示Tshark解析n個未完成數據包中的m個數據包所花費的時間，由系統調用時間T_E和解析時間組成，表示為：

所述轉換組件包括四種轉換模式：原始數據、包、流和會話，其中流和會話模式，轉換組件先根據對應模式的規范將數據包提取為目標類型；原始數據模式保留二進制類型的原始輸入數據，與PCAP文件中的數據一致；對于原始模式和包模式，轉換組件只需要將數據轉換為JSON格式，并將其轉移到輸出緩存池；

所述輸出組件提供存儲和傳輸兩種輸出方式；存儲模式是在本地存儲轉換后的數據；通過這種方式，該框架用作網絡流量分析器；傳輸模式是將轉換后的數據傳輸到工業控制蜜網的數據中心，在該組件中引入了一個異步事件驅動的網絡應用框架Netty進行數據傳輸，該網絡應用框架Netty用于快速開發可維護的高性能協議服務器和客戶端；

輸出組件的兩種輸出模式可以并行運行；框架通過本地備份進一步防止數據丟失；輸出組件傳輸n個數據包的時間可以表示為：

其中，表示輸出組件傳輸第i個數據包的時間。

2.根據權利要求1所述的基于緩沖池的分布式工業控制蜜網流量采集系統，其特征在于，輸入組件中捕獲模式的篩選條件包括源主機、目標主機、源端口、目標端口、特定協議。

3.根據權利要求1所述的基于緩沖池的分布式工業控制蜜網流量采集系統，其特征在于，輸出組件中，Netty使用TCP協議傳輸數據，并使用加密套接字協議層技術，保證數據的機密性。

4.一種采用如權利要求1-3任一所述的基于緩沖池的分布式工業控制蜜網流量采集系統的方法，其特征在于，首先，當數據進入到輸入組件時，輸入緩沖池中的數據包就組成了一個Packet Meeting，系統判斷Packet Meeting是否滿足時間閾值，如果不滿足將返回到輸入組件并交給TCP/IP解析器進行解析；滿足則繼續判斷數據包是否完整，若不完整，應用解析器會將所有不完整數據包解析為完整的數據包；

然后，將Packet Meeting存儲在轉換緩沖池中，并清理輸入緩沖池；同時，轉換組件將實時監控轉換緩沖池的狀態；一旦轉換緩沖池中出現了Packet Meeting，轉換組件將根據特定的轉換模式將其轉換為JSON格式；轉換后的數據存儲在輸出緩沖池中，由輸出組件進行監控并實時輸出數據。