[发明专利]一种基于机器学习的工控蜜罐识别方法

说明书

本发明公开了一种基于机器学习的工控蜜罐识别方法,包括以下步骤：步骤1、IP地址基础位置信息识别，步骤2、TCP/IP操作系统指纹识别，步骤3、工控协议深度交互识别，步骤4、组态程序调试运行识别，步骤5、工控系统蜜罐甄别概率。本发明所述方法的优越效果是能够准确识别低交互工控蜜罐如Conpot，也能够准确识别中等交互工控蜜罐如Snap7、CryPLH2^[3]，还能够识别高交互工控蜜罐如XPOT^[4]。针对未知类型的工控蜜罐也能够有效的识别。

技术领域

本发明涉及一种基于机器学习的工控蜜罐识别方法,属于工控蜜罐识别技术领域。

背景技术

目前，随着工控网与互联网的连接也逐渐暴露了工业控制网的安全隐患。传统的工控网络采用物理隔离的方式来保护其安全性，一旦接入互联网，将面临无法避免的安全威胁，而且工控网由于其大多控制着与人民息息相关的工业、交通、电力、能源的基础设施，与现实世界的联系更加紧密，因此系统的失效有可能会带来灾难性的后果。

目前已经有越来越多的RTU(Remote Terminal Unit,远程终端单元)、PLC(Programmable Logic Controller,可编程逻辑控制器)、DCS(Distributed ControlSystem,集散控制系统)、SCADA(Supervisory Control And Data Acquisition,数据采集监控系统)的系统连接入网。通过主动扫描探测特定IP地址空间，发现暴露的工业控制系统、关键信息基础设施以及物联网设备，并分析其安全隐患，能够为进一步的工业物联网安全态势和安全事件分析提供技术支撑。

在进行网络空间探测的过程中，经常会碰到工控蜜罐系统。蜜罐系统是一种设置入侵警报和研究对计算机系统攻击的常用工具，将蜜罐技术应用到工控领域所产生的工控蜜罐系统，对于研究对工控系统的攻击和探测行为具有重要意义。工控蜜罐系统能够收集分析扫描探测引擎的指纹，锁定扫描探测引擎的源IP地址，然后进行封堵。为了发现工控蜜罐，提高扫描探测引擎对抗工控蜜罐的能力，急需一种智能蜜罐识别技术。

现有技术方案的缺点：

1)技术的研究对象是传统信息安全领域的蜜罐系统，未涉及工控蜜罐领域。

2)蜜罐的个性指纹不通用，且随着蜜罐系统的升级换代去除个性指纹。

3)基于TCP/IP协议栈的识别技术针对通过端口映射出的工控蜜罐和高交互工控蜜罐则失效。

4)基于网络特征的识别技术需要长时间的扫描探测收集网络特征，效率低。

5)传统的蜜罐识别技术并不适用于高交互工控蜜罐的识别。

发明内容

本发明的目的在于提供一种能够克服上述技术问题的基于机器学习的工控蜜罐识别方法。

本发明所述方法包括以下步骤：

步骤1、IP地址基础位置信息识别：

通过查询IP地址对应的ISP(Internet Service Provider,互联网服务提供商)和Organization(组织机构)信息，来判断所述IP是否属于云服务器提供商的IP地址。当所述IP属于云服务器，并且开放了PLC的工控协议服务，则所述IP为工控蜜罐的概率大于90％，用P₁表示通过IP地址基础位置信息识别判定所述IP为工控蜜罐的概率，0.9P₁＝1；用W₁表示通过IP地址基础位置信息识别判定所述IP为工控蜜罐的权重。

针对IP地址对应的ISP和Organization的信息查询，能够选择如下的IP定位库，如：百度地图、Google、Rtbasia、ipplus360、GeoIp2、IP2Region的IP地址信息库，通过获取的信息来综合判定IP地址是否属于云服务器提供商。