一种基于蜜网数据的工控扫描器指纹识别方法技术

本发明专利技术提出一种基于蜜网数据的工控扫描器指纹识别方法，包括：对工业控制网络中通过蜜罐网络系统捕获的扫描数据和已有的工控扫描器进行分析，获得指纹信息并构建基于CART决策树的扫描数据多分类分类器模型。多分类分类器模型能够有效识别发起扫描流量的特定扫描工具，并输出各类扫描器标签的判断概率。之后，多分类分类器模型的输出结果将作为聚类算法的输入数据，聚类算法可以发现不同扫描实体间更深层次的关联关系，形成聚簇。同时，聚类算法还可以有效提取不同聚簇的扫描特征，形成新的扫描器标签，并更新到之前的多分类决策树中，提高了本发明专利技术对于新型扫描器数据的判断能力。

【技术实现步骤摘要】
一种基于蜜网数据的工控扫描器指纹识别方法
本专利技术属于网络安全
，涉及一种基于蜜网数据的工控扫描器指纹识别方法。
技术介绍
最近几年，网络空间安全领域发生了巨大的变化，工业控制系统成为了新的网络空间安全主战场之一。两化融合后，IT系统的信息安全也被融入了工业控制系统安全中。当前，我国关键信息基础设施面临的网络安全形势严峻且复杂。根据东北大学“谛听”网络安全团队的数据显示，全球存在大量暴露在互联网上的工业控制系统，其中占比较多的包括电力行业、石油石化行业及先进制造业，这些都与国计民生密切相关，涉及到国家安全。扫描器识别作为网络安全的一种重要手段已经逐步渗透到工业控制系统网络安全中，作为工控安全的中心技术，扫描器的研究与升级十分关键，对于工业控制系统的网络安全有着不可忽视的重要性。传统IT领域有关扫描器识别的研究较少，应用于工控安全领域的更是少之又少。现有的一些技术大多利用蜜罐网络访问流量或时序特性对扫描器进行识别，不能够有效识别新型的扫描活动。同时，蜜罐网络系统能够监听黑客对工控设备的扫描器活动还可以过滤掉其他无关流量，更具有针对性，并且蜜罐网络成本低易部署，只需要低配置的服务本文档来自技高网...

【技术保护点】
1.一种基于蜜网数据的工控扫描器指纹识别方法，其特征在于，包括如下步骤：a.获得原始训练数据，其中原始训练数据的获得包括两种途径：一种是基于部署在工业控制系统中的蜜罐网络捕获扫描器对工控设备的探测行为并与其进行深度交互，获得扫描数据；另一种是结合相关安全服务厂商提供的工控扫描器信息记录，分析得到扫描数据；b.提取扫描数据指纹内容，建立扫描特征数据集；c.基于扫描特征数据集，利用CART决策树算法构建多分类分类器模型；在模型训练过程中，不断选择当前最优划分属性进行划分，直到所有训练数据都完全拟合；采用代价复杂度剪枝算法对训练好的决策树进行剪枝，选择误差最小的子树作为剪枝后的最优决策树，形成标签；...

【技术特征摘要】
1.一种基于蜜网数据的工控扫描器指纹识别方法，其特征在于，包括如下步骤：a.获得原始训练数据，其中原始训练数据的获得包括两种途径：一种是基于部署在工业控制系统中的蜜罐网络捕获扫描器对工控设备的探测行为并与其进行深度交互，获得扫描数据；另一种是结合相关安全服务厂商提供的工控扫描器信息记录，分析得到扫描数据；b.提取扫描数据指纹内容，建立扫描特征数据集；c.基于扫描特征数据集，利用CART决策树算法构建多分类分类器模型；在模型训练过程中，不断选择当前最优划分属性进行划分，直到所有训练数据都完全拟合；采用代价复杂度剪枝算法对训练好的决策树进行剪枝，选择误差最小的子树作为剪枝后的最优决策树，形成标签；采用“一对一”方法构建多分类分类器，并选择概率最大的...

【专利技术属性】
技术研发人员：姚羽，盛川，刘昕蕊，李东彪，李桢梓，王禹博，金白澈，
申请(专利权)人：东北大学，
类型：发明
国别省市：辽宁,21