[发明专利]一种基于机器学习的工控蜜罐识别方法

摘要

本发明公开了一种基于机器学习的工控蜜罐识别方法,包括以下步骤：步骤1、IP地址基础位置信息识别，步骤2、TCP/IP操作系统指纹识别，步骤3、工控协议深度交互识别，步骤4、组态程序调试运行识别，步骤5、工控系统蜜罐甄别概率。本发明所述方法的优越效果是能够准确识别低交互工控蜜罐如Conpot，也能够准确识别中等交互工控蜜罐如Snap7、CryPLH2[3]，还能够识别高交互工控蜜罐如XPOT[4]。针对未知类型的工控蜜罐也能够有效的识别。

主权项

1.一种基于机器学习的工控蜜罐识别方法，其特征在于，包括以下步骤：步骤1、IP地址基础位置信息识别：通过查询IP地址对应的互联网服务提供商和组织机构信息，来判断所述IP是否属于云服务器提供商的IP地址，当所述IP属于云服务器，并且开放了PLC的工控协议服务，则所述IP为工控蜜罐的概率大于90％，用P表示通过IP地址基础位置信息识别判定所述IP为工控蜜罐的概率，用W1表示通过IP地址基础位置信息识别判定所述IP为工控蜜罐的权重；步骤2、TCP/IP操作系统指纹识别：通过TCP/IP操作系统指纹识别，获取目标IP的TCP/IP协议栈指纹，当目标IP的操作系统被识别为Linux非嵌入式工控系统，则所述IP为工控蜜罐的概率大于70％，用P2表示通过TCP/IP操作系统指纹识别判定所述IP为蜜罐的概率，用W2表示通过TCP/IP操作系统指纹识别判定所述IP为蜜罐的权重；步骤3、工控协议深度交互识别：通过工控协议深度交互，模拟PLC编程软件与被扫描IP交互，读取完整的配置和状态，当被扫描IP返回的信息与真实的PLC返回的信息有差异，则被扫描IP为低交互工控蜜罐的概率大于80％，用P3表示通过工控协议深度交互识别判定被扫描IP为蜜罐的概率，用W3表示通过工控协议深度交互识别判定被扫描IP为蜜罐的权重；步骤4、组态程序调试运行识别：通过工控协议交互，模拟PLC程序的下载操作，当所述PLC未设置写保护，那么组态程序能够在PLC设备上调试运行，当被调试的IP对应的PLC不支持正常PLC的汇编语言功能集，所述PLC在执行汇编指令时速度非常慢，则所述被调试的IP为高交互工控蜜罐的概率大于70％，用P4表示通过组态程序调试运行识别判定所述被调试的IP为蜜罐的概率，用W4表示通过组态程序调试运行识别判定所述被调试的IP为蜜罐的权重；步骤5、工控系统蜜罐甄别概率：定义P为目标IP为工控蜜罐的概率，用Pt表示判定所述目标IP为工控蜜罐的阀值，P的计算公式如下：当P>Pt时，判定所述目标IP为工控蜜罐；Pi表示通过方法i判定所述IP为蜜罐的概率，Pi能够通过经验值获取基础值，再由机器学习方法校准，Wi表示通过方法i判定所述目标IP为蜜罐的权重，Wi能够通过机器学习方法获取。