[发明专利]一种基于机器学习的工控蜜罐识别方法

权利要求书

1.一种基于机器学习的工控蜜罐识别方法，其特征在于，包括以下步骤：

步骤1、IP地址基础位置信息识别：

通过查询IP地址对应的互联网服务提供商和组织机构信息，来判断所述IP是否属于云服务器提供商的IP地址，当所述IP属于云服务器，并且开放了PLC的工控协议服务，则所述IP为工控蜜罐的概率大于90％，用P₁表示通过IP地址基础位置信息识别判定所述IP为工控蜜罐的概率，用W₁表示通过IP地址基础位置信息识别判定所述IP为工控蜜罐的权重；

步骤2、TCP/IP操作系统指纹识别：

通过TCP/IP操作系统指纹识别，获取目标IP的TCP/IP协议栈指纹，当目标IP的操作系统被识别为Linux非嵌入式工控系统，则所述IP为工控蜜罐的概率大于70％，用P₂表示通过TCP/IP操作系统指纹识别判定所述IP为蜜罐的概率，用W₂表示通过TCP/IP操作系统指纹识别判定所述IP为蜜罐的权重；

步骤3、工控协议深度交互识别：

通过工控协议深度交互，模拟PLC编程软件与被扫描IP交互，读取完整的配置和状态，当被扫描IP返回的信息与真实的PLC返回的信息有差异，则被扫描IP为低交互工控蜜罐的概率大于80％，用P₃表示通过工控协议深度交互识别判定被扫描IP为蜜罐的概率，用W₃表示通过工控协议深度交互识别判定被扫描IP为蜜罐的权重；

步骤4、组态程序调试运行识别：

通过工控协议交互，模拟PLC程序的下载操作，当所述PLC未设置写保护，那么组态程序能够在PLC设备上调试运行，当被调试的IP对应的PLC不支持正常PLC的汇编语言功能集，所述PLC在执行汇编指令时速度非常慢，则所述被调试的IP为高交互工控蜜罐的概率大于70％，用P₄表示通过组态程序调试运行识别判定所述被调试的IP为蜜罐的概率，用W₄表示通过组态程序调试运行识别判定所述被调试的IP为蜜罐的权重；

步骤5、工控系统蜜罐甄别概率：

定义P为目标IP为工控蜜罐的概率，用Pt表示判定所述目标IP为工控蜜罐的阀值，P的计算公式如下：

当PPt时，判定所述目标IP为工控蜜罐；

P_i表示通过方法i判定所述IP为蜜罐的概率，P_i能够通过经验值获取基础值，再由机器学习方法校准，W_i表示通过方法i判定所述目标IP为蜜罐的权重，W_i能够通过机器学习方法获取。

2.根据权利要求1所述的一种基于机器学习的工控蜜罐识别方法，其特征在于，所述步骤1中，针对IP地址对应的ISP和Organization的信息查询，能够选择IP定位库，通过获取的信息来综合判定IP地址是否属于云服务器提供商。

3.根据权利要求1所述的一种基于机器学习的工控蜜罐识别方法，其特征在于，所述步骤2中，在TCP/IP操作系统指纹识别过程中能够调用Nmap和Xprobe2的扫描工具；Nmap是一种开源的工业级扫描工具，Xprobe2是一种操作系统扫描工具，Nmap通过向目标IP发送多个UDP与TCP数据包并分析其响应来进行TCP/IP操作系统指纹识别工作，Xprobe2通过向目标IP发送ICMP数据包并分析其响应来进行TCP/IP操作系统指纹识别工作。

4.根据权利要求1所述的一种基于机器学习的工控蜜罐识别方法，其特征在于，所述步骤4中，PLC程序由专有MC7格式编码的字节码组成。