[發(fā)明專利]一種實時的工控被動識別羅克韋爾設(shè)備的方法

有效

• 申請?zhí)枺?/td>: 202110854717.2
• 申請日: 2021-07-28
• 公開（公告）號: CN113676459B
• 公開（公告）日: 2023-06-06
• 發(fā)明（設(shè)計）人: 趙文亮;王娟;于洋;沙宗奇;王成香;豐曉紅;檀世琛
• 申請（專利權(quán)）人: 中國石油化工股份有限公司;山東省天然氣管道有限責(zé)任公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 山東濟南齊魯科技專利事務(wù)所有限公司 37108
• 代理人: 曲洋;張娟

本發(fā)明公開了一種實時的工控被動識別羅克韋爾設(shè)備的方法，涉及資產(chǎn)設(shè)備識別技術(shù)領(lǐng)域，本方法包括以下步驟：預(yù)置羅克韋爾指紋庫；初步解析報文；設(shè)備基礎(chǔ)信息備份；報文深度解析；持續(xù)識別工程師站；對比指紋庫獲得設(shè)備信息；本發(fā)明的實時的工控被動識別羅克韋爾設(shè)備的方法，其指紋庫為羅克韋爾工控設(shè)備特有的特征，如品牌、系列、匹配字串和分隔符，除了識別操作系統(tǒng)、廠商、端口服務(wù)外，還能識別設(shè)備的型號、序列碼和PLC版本信息；通過被動識別，對羅克韋爾通信協(xié)議的應(yīng)用層報文解析，按不同功能碼對報文做分析以獲得正確的設(shè)備信息。

技術(shù)領(lǐng)域

本發(fā)明涉及資產(chǎn)設(shè)備識別技術(shù)領(lǐng)域，具體說是一種實時的工控被動識別羅克韋爾設(shè)備的方法。

背景技術(shù)

工控設(shè)備識別分為主動識別和被動識別，主動識別有以下問題，第一，主動識別需要主動探測獲取設(shè)備信息，但是如果不知道探測包的組裝將無法識別到該設(shè)備；第二，主動識別需要接入主網(wǎng)絡(luò)，在發(fā)送探測包時會影響到主網(wǎng)絡(luò)的通信，可能會對主網(wǎng)絡(luò)產(chǎn)生攻擊，而有些主網(wǎng)絡(luò)為了安全性如果裝有防火墻，則主動識別無法進行；第三，主動識別無法知道操作的設(shè)備和被操作的設(shè)備，僅對符合主動識別策略的設(shè)備進行探測，應(yīng)用具有局限性；如中國專利CN?106487879A一種基于設(shè)備指紋庫的網(wǎng)絡(luò)設(shè)備識別方法和裝置，其識別方式即為主動識別，其識別方式只能發(fā)送報文進行主動探測，一旦設(shè)備開啟防火墻將無法探測到設(shè)備，并且正則表達式無法對工控設(shè)備應(yīng)用協(xié)議作出準確的解析。

另外，目前被動識別設(shè)備也一般是到傳輸層為止，識別內(nèi)容僅僅為操作系統(tǒng)、廠商和端口服務(wù)，而其匹配方式也是和內(nèi)容對應(yīng)的，主要是操作系統(tǒng)、廠商、端口服務(wù)匹配指紋庫中的操作系統(tǒng)信息、OUI、端口列表，該匹配方式無法準確獲得設(shè)備的詳細信息如系列、型號、序列碼和版本無法準確識別。

羅克韋爾設(shè)備是以羅克韋爾PLC控制器為核心的設(shè)備，羅克韋爾設(shè)備已廣泛應(yīng)用冶金、石油、化工、建材、機械制造、電力、汽車及輕工等各行各業(yè)，隨著PLC性能價格比的不斷提高，其應(yīng)用領(lǐng)域還在不斷擴大，但是目前并沒有針對性的、針對工控網(wǎng)絡(luò)中的羅克韋爾設(shè)備的準確識別方法。

另外，采用目前的技術(shù)對被動資產(chǎn)識別局限性較大，需要將用戶的羅克韋爾設(shè)備資產(chǎn)先進行導(dǎo)入操作，并將這些資產(chǎn)的ip地址、型號、類型、操作系統(tǒng)等進行人工維護，再通過分析網(wǎng)絡(luò)中的數(shù)據(jù)流，獲取五元組，只有五元組匹配上預(yù)置的設(shè)備庫，方可展示設(shè)備信息，否則會顯示未知設(shè)備，這樣采用上述方法在新接入設(shè)備或者更改設(shè)備ip、信息時將無法實時更新羅克韋爾設(shè)備庫。

發(fā)明內(nèi)容

為解決上述問題，本發(fā)明的目的是提供一種實時的工控被動識別羅克韋爾設(shè)備的方法。

本發(fā)明為實現(xiàn)上述目的，通過以下技術(shù)方案實現(xiàn)：

一種實時的工控被動識別羅克韋爾設(shè)備的方法，包括以下步驟：

(1)預(yù)置羅克韋爾指紋庫；

(2)初步解析報文：采集網(wǎng)絡(luò)環(huán)境中的流量數(shù)據(jù)，解析數(shù)據(jù)報，提取其源ip，源端口，目的ip，目的端口，ENIP、CIP協(xié)議信息；若無法提取上述信息，說明報文無有效信息，過濾該報文，不繼續(xù)對此報文做進一步處理；

(3)設(shè)備基礎(chǔ)信息備份：解析ENIP、CIP協(xié)議，通過分析設(shè)備的MAC地址前三位字節(jié)OUI，判斷設(shè)備是否是羅克韋爾設(shè)備：

若是，將源ip、目的ip作為資產(chǎn)ip存儲到設(shè)備緩存中，并根據(jù)報文流的方向，初步判斷該資產(chǎn)屬于羅克韋爾PLC、羅克韋爾操作員站，資產(chǎn)狀態(tài)為在線；

若不是，過濾該報文，不繼續(xù)對此報文做進一步處理；