CN109271793B

CN109271793B - 物联网云平台设备类别识别方法及***

Info

Publication number: CN109271793B
Application number: CN201810998293.5A
Authority: CN
Inventors: 李勇; 刘中金; 惠铄迪; 万钟志超; 金德鹏; 李建强; 方喆君; 张晓明; 何跃鹰
Original assignee: Tsinghua University; National Computer Network and Information Security Management Center
Current assignee: Tsinghua University; National Computer Network and Information Security Management Center
Priority date: 2018-08-29
Filing date: 2018-08-29
Publication date: 2021-06-29
Anticipated expiration: 2038-08-29
Also published as: CN109271793A

Abstract

本发明实施例提供一种物联网云平台设备类别识别方法及***，该方法包括：对网络数据中的数据包按照字段进行分割，获取所有字符串；将所有字符串中符合预设条件的字符串作为特征字符串，所述符合预设条件的字符串对应的数据包中包括物联网设备的常用信息；根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型。本发明实施例通过从数据采集设备获取数据，对这些数据进行处理、分析，提取出特征字符串，从而识别设备类别。

Description

物联网云平台设备类别识别方法及***

技术领域

本发明实施例涉及物联网技术领域，尤其涉及一种物联网云平台设备类别识别方法及***。

背景技术

现代物联网已经遍布世界上各种各样的生产与生活场景中，例如工业领域的制造业、能源勘探、交通运输，农业畜牧业领域的自动灌溉、温度湿度感知、状态监控，还有生活中形形色色的智能家居设备、智能安防设备与医疗健康设备等等。物联网将互联网扩展到世界上的各个角落，将万物紧密地联系在一起，截止2017年，物联网的设备到设备的连接已经达到数十亿个，与2016年相比复合年均增长率达到27％，预计到2021年连接数会超过百亿；物联网流量已经达到超过3艾字节每月，与2016年相比复合年均增长率达到49％，预计2021年每月流量会超过10艾字节。

物联网设备接入互联网的方式多种多样，有的通过运营商提供的蜂窝网络服务入网，有的通过无线网络连接到WIFI热点入网，不一而足。但在这些物联网设备中，相当一部分设备都接入了各有特色的物联网云平台，以便用户通过云平台提供的统一终端或API接口，进行数据的采集、分析和设备的监测控制。

目前主流的物联网云平台按照其所提供的服务大致可以分为三类：转发云、功能云以及第三方云平台，它们在连接设备和面对用户两方面各有不同的功能与侧重点。其中，转发云平台主要用于流量转发，起到反向代理的作用，服务功能简单，业务负担较小，实现成本较低；功能云平台则在转发云的基础上稍进一步，把控制、监测、采集等功能继集成在云端，承担了转发云中需要物联网设备终端和用户终端承载的一部分计算量，从而简化终端的功能，将其集中化；第三方云平台一般指非物联网设备厂商提供的云平台，能够按照用户的需求，对不同类别、情景的物联网设备提供统一的接口，实现监测管控等功能，提升用户体验。

各种云平台为物联网提供了重要的核心节点，承担了连接用户与物联网设备的重要功能，能够将处于内网的物联网设备信息接入到用户所处的公网上，这些信息一旦被截获将造成严重的数据泄露事故，同时攻击者也可能利用云平台的漏洞进入物联网设备内网，实施攻击，这其中涉及的安全问题不容忽视。

但是目前，针对物联网云平台的安全监控与异常检测主要还是使用一些传统网络安全相关的方法，例如开放端口扫描、漏洞检测、模拟攻击等等。这些检测方法针对小范围的漏洞检测较为有效，但缺乏对全局范围的安全监控。随着大数据时代的到来，数据分析也开始成为检测网络安全风险的强劲手段。不同的云平台针对安全问题也有各种数据分析手段，但缺乏统一的标准，良莠不齐，难于评判监管，所以建立统一的标准对物联网流量进行分析亟待研究。

利用数据分析检测网络安全风险时，需要建立模型，识别网络流量模式。但现有市场上安防风险最大的第三方云平台常常涉及接入多种多样的设备，流量及其繁杂，直接分析平台的全流量计算量很大，效果也不能保证。

同时，我们可以注意到，不同的物联网设备往往涉及不同的业务，具有不同的功能，它们在与云平台通信时，所进行的交互也各不相同。业务或功能相似的物联网设备，可能有着相似的交互行为，而功能相去甚远的设备，其交互行为可能不同。例如车间中或农田里的温度、湿度监控设备，它们的工作模式应当为连续工作并定时、定量回传数据，遇到异常则报警；而家用的智能空调、智能充电器等等的行为，在绝大多数情况下是由它们的使用者的行为习惯所决定的，并且具有一定的随机性。在这种情况下，如果能够把不同的设备区分开来建模，将大大提升模型对流量的描述能力。

同时，针对不同的物联网设备，其所有可能产生的漏洞、受到的攻击类型也各不相同。有的设备承载重要数据，设备停机导致数据流断裂会造成严重后果，例如大型勘探测量设备；有的设备通信过程中传输隐私数据，如果泄露会造成很大的安全风险，例如家用监控摄像头或行车记录仪；有的设备实施作业，得到错误的指令将可能造成生产生活的损失，例如智能自动喷灌设备。在这种情况下，对设备行为进行建模，判别设备的类型，根据设备的不同功能特点，采取不同的防护措施，也是非常有必要的。

因此，亟需一种物联网云平台设备类别识别方法。

发明内容

针对上述问题，本发明实施例提供一种物联网云平台设备类别识别方法及***。

本发明实施例提供一种物联网云平台设备类别识别方法，包括：

对网络数据中的数据包按照字段进行分割，获取所有字符串；

将所有字符串中符合预设条件的字符串作为特征字符串，所述符合预设条件的字符串对应的数据包中包括物联网设备的常用信息；

根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型。

本发明实施例提供一种物联网云平台设备类别识别***，包括：

分割模块，用于对网络数据中的数据包按照字段进行分割，获取所有字符串；

特征模块，用于将所有字符串中符合预设条件的字符串作为特征字符串，所述符合预设条件的字符串对应的数据包中包括物联网设备的常用信息；

识别模块，用于根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型。

本发明实施例还提供一种电子设备，包括：

至少一个处理器、至少一个存储器、通信接口和总线；其中，

所述处理器、存储器、通信接口通过所述总线完成相互间的通信；

所述通信接口用于该测试设备与显示装置的通信设备之间的信息传输；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行一种物联网云平台设备类别识别方法。

本发明实施例提供一种非暂态计算机可读存储介质，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使所述计算机执行一种物联网云平台设备类别识别方法。

本发明实施例提供的一种物联网云平台设备类别识别方法及***，通过从数据采集设备获取数据，对这些数据进行处理、分析，提取出特征字符串，将这些字符串作为过滤规则回输到采集设备当中，获取对应于每一种字符串的数据，提取这些数据中的可用信息，分析不同类型的数据的行为模式和分布特征。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作一简单地介绍，显而易见地，下面描述中的附图是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一种物联网云平台设备类别识别方法的流程图；

图2为本发明实施例中并行化采集***的结构示意图；

图3为本发明实施例中设备行为分析示意图；

图4为本发明实施例一种物联网云平台设备类别识别***的结构示意图；

图5为本发明实施例一种物联网云平台设备类别识别设备的实体结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明实施例提供的一种物联网云平台设备类别识别方法，在对网络流量模式进行建模之前，首先要分辨不同设备的流量，对不同设备的行为进行建模，识别设备类型。最便于识别设备类型的方法是根据设备型号判断，但在目前的物联网通信中，鲜少有消息会承载这一信息，即使存在这些信息，各个生产厂商采用不同的规格标准，其设备信息字段格式和型号分类方式也难以判定。而每一条物联网设备与云平台之间的通信消息都会涉及到字符相关的内容，从这些字符特征中可以进行数据包语义的推断，不同语义的背后，代表着不同的业务需求和功能实现，根据这些业务功能，我们就能够识别设备类型。即对于物联网设备与云平台之间的通信数据，提取其字符特征，根据不同业务功能与字符特征的对应关系进行设备行为建模，进而判断设备类型。

图1为本发明实施例一种物联网云平台设备类别识别方法的流程图，如图1所示，该方法包括：

首先通过数据采集***采集网络数据，所谓的网络数据，是指与物联网云平台连接的设备在工作过程中产生的数据，数据包可以是通过对网络数据进行整理、分类后获得的，也可以是通过其它方法获得的。

其中，网络数据包中包含包头的ip、端口、协议等信息和用户数据，这里的用户数据即数据包的主要内容，常见为json格式的文本。

具体地，数据包包括包头和文本信息，数据包的包头可以包括以下信息：源IP、目的IP、源端口、目的端口、包长、通信协议和采集时间中的一种或多种信息。

数据包的文本信息可以包括以下信息：用户代理、内容类型、内容长度和设备标识中的一种或多种信息。

设备标识包含IMEI等信息。

然后对数据包按照字段进行分割，获取数据包中的所有字符串。一般情况下，数据包中不同字符串之间是用空格隔开的，这样有利于分割，具体地，可以是通过正则表达式对数据包的playload进行分割，也可以是通过其它方法对数据包进行分割的，并对分割得到的字符串进行字义分析，从中获取与设备相关的所有字符串。

与设备相关的字符串包含设备的名称、设备的IMEI、设备的地理位置，设备的开关机时间等信息。

上面获得了若干个字符串，对于每个字符串，都需要进行判断该字符串是否符合预设条件，符合预设条件表示该字符串对应的数据包中包括物联网设备的常用信息，所谓的常用信息就是符合物联网设备的特点，比如，包含物联网设备常见的经纬度坐标，车联网设备会有车辆的速度，教练的编号，售货机会有设备上电、断电时间等。

最后根据每个特征字符串中的归属地信息和地址信息，确定物联网设备的类型。

由于每个特征字符串对应的设备类型都是不同的，这些特征字符串有物联网设备的归属地信息，从归属地信息中可以查到物联网设备属于哪个公司，还包括物联网设备的地址信息，地址信息包括IP地址和MAC地址，根据IP地址和MAC地址也可以知道物联网设备的归属，包内的信息(之前说的经纬度)也可以提供确证，这些结合起来来判断。

本发明实施例识别的物联网设备为车联网、固定的售货机还是共享单车这样的类别。

本发明实施例提供的一种物联网云平台设备类别识别方法，通过从数据采集设备获取数据，对这些数据进行处理、分析，提取出特征字符串，将这些字符串作为过滤规则回输到采集设备当中，获取对应于每一种字符串的数据，提取这些数据中的可用信息，分析不同类型的数据的行为模式和分布特征。

在上述实施例的基础上，具体地，根据如下方法获取所有字符串中符合预设条件的字符串：

对于任一字符串，根据所述任一字符串和所述任一字符串对应的参考信息，判断所述任一字符串对应的数据包中是否包括所述物联网设备的常用信息，所述参考信息表示所述物联网设备的属性信息；

若判断获知所述任一字符串对应的数据包中包括所述物联网设备的常用信息，则将所述任一字符串符合作为所述符合预设条件的字符串。

前面获得了多个字符串后，需要判断这些字符串中有哪些是符合预设条件的，对每个字符串都要判断一次，以判断其中任意一个字符串为例，通过下面的方式对该字符串进行判断：

根据该字符串和该字符串对应的参考信息，来判断该字符串对应的数据包中是否包含物联网设备的常用信息，该字符串对应的参考信息包括当前地点信息、设备启动时间、设备关闭时间和设备编号中的一种或多种。

物联网设备的常用信息，不同的物联网类型对应的常用信息也不相同，比如车联网会有车辆的速度，教练的编号，售货机会有设备上电、断电时间等，物联网设备常见的经纬度坐标等。

在上述实施例的基础上，优选地，所述根据每一特征字符串，确定与所述物联网云平台连接的设备类别之后还包括之后还包括：

将原始数据划分为若干子数据，每一子数据包括每一特征字符串，所述原始数据通过对所述网络数据按照每一特征字符串进行过滤得到；

获取每一子数据对应的有效信息，获取每一子数据的流量特征，所述有效信息表示所述物联网云平台连接的设备的通信信息。

对网络数据进行过滤，过滤的标准是按照特征字符串进行过滤，只保留网络数据中的特征字符串。

接着获取原始数据中每一特征字符串对应的每一类子数据，其对应的每一类子数据包括该特征字符串。原始数据包括：时间戳、源IP、目的IP、其他IP数据包头字段和TCP/UDP数据包。

根据前面获取到的每一类子数据对应的有效信息，对每一类子数据进行格式化，格式化后的数据可以用于进一步分析每种类型数据的流量特征。

在上述实施例的基础上，具体地，所述网络数据通过多台数据采集设备同时进行数据采集得到。

具体地，所述多台数据采集设备通过并行时间交替采样得到。

在数据采集过程当中，采用并行化技术，利用多台设备从不同通道获取数据，并对采集到的数据进行汇总。

图2为本发明实施例中并行化采集***的结构示意图，如图2所示，并行化技术：在数据采集过程当中，使用多台数据采集设备，它们同时进行采集工作，将采集到的数据交由各自的处理器进行预处理并打上标签。在第一次采集数据时，多台数据采集设备按照同一个规则采集数据，但要避免采集到的数据重复，这样可以提高数据采集的效率。

在根据获取的特征字符串重新采集数据时，不同的设备按照各自分配的特征字符串采集数据，并根据不同字符串的特点进行数据的处理和格式化，从数据当中提取需要的信息。

在采样方式上，前者使用并行时间交替采样，不同的设备交替采样，对采得的数据进行重组，实际的采样率是不同设备采样率的总和。

后者在采集时不进行汇总，只将最后处理得到的格式化数据统一储存。本***需要处理器进行不同设备的分工，采用消息队列的方式回避高并发状态下的堵塞问题，缓解***的压力。在特征字符串提取的过程当中，同样使用并行化技术对于不同类型的数据进行分析，从不同的通道中分析得到不同的特征字符串。

具体地，该方法采用写时拷贝技术实现。

采集到的数据被按照特征进行分类，提取特征字符串，在这个过程当中采用写时拷贝技术进行优化。

本发明实施例是指只在需要修改数据时才真正分配内存空间。以l inux的进程调用优化为例，在创建一个父进程时，***为其分配正文、数据、堆、栈所对应的物理块，传统上，如果要为其创建一个子进程，需要将父进程的所有资源拷贝给子进程，这样效率很低。

事实上，子进程只在虚拟意义上获得了各个资源，虽然被分配了新的数据、堆、栈区块，但是正文段没有被分配新的物理空间，而是和父进程正文块共享一个拷贝。只有在需要写入时，正文段才会被真正复制，从而让子进程获得自己的拷贝。这种技术能避免拷贝大量无用数据，进而提升进程调用效率。在特征字符串的提取过程当中，同样采用这种方式优化字符串的存储机制和拷贝机制，只在需要修改字符串内容，转储特征字符串时给拷贝得到的字符串新的存储空间，减少对数据包的payload进行分析时的内存占用，提高***的性能。

图3为本发明实施例中设备行为分析示意图，如图3所示，前面获取了数据包信息在不同设备当中的分布情况和集中规律，以提供不同设备的行为模式特征，设备的行为模式特征分为如下几种：

1)数据包大小；

2)通信持续时间；

3)通信时域集中情况；

4)通信采取的主要协议；

5)通信采取的用户代理；

6)数据包主要内容的类型。

这些特征可以被组合起来用于标识一种设备的数据包特征，如图3所示，这种特征信息能被用于识别物联网设备的类型，通过解析数据包的内容分析其可能来源于哪种行为特征的设备。

图4为本发明实施例一种物联网云平台设备类别识别***的结构示意图，如图4所示，该***包括：分割模块401、特征模块402和识别模块403，其中，分割模块401，用于对网络数据中的数据包按照字段进行分割，获取所有字符串；特征模块402，用于用于将所有字符串中符合预设条件的字符串作为特征字符串，所述符合预设条件的字符串对应的数据包中包括物联网设备的常用信息；识别模块403，用于根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型。

本***实施例的具体执行过程与上述方法实施例相同，详情请参考上述方法实施例，本***实施例在此不再赘述。

图5示例了一种电子设备的实体结构示意图，如图5所示，该服务器可以包括：处理器(processor)510、通信接口(Communications Interface)520、存储器(memory)530和总线540，其中，处理器510，通信接口520，存储器530通过总线540完成相互间的通信。通信接口540可以用于服务器与物联网云平台设备类别识别设备之间的信息传输。处理器510可以调用存储器530中的逻辑指令，以执行如下方法：

此外，上述的存储器530中的逻辑指令可以通过软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的部分可以以软件产品的形式体现出来，该计算机软件产品存储在一个存储介质中，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行本发明各个实施例所述方法的全部或部分步骤。而前述的存储介质包括：U盘、移动硬盘、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)、磁碟或者光盘等各种可以存储程序代码的介质。

以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性的劳动的情况下，即可以理解并实施。

通过以上的实施方式的描述，本领域的技术人员可以清楚地了解到各实施方式可借助软件加必需的通用硬件平台的方式来实现，当然也可以通过硬件。基于这样的理解，上述技术方案本质上或者说对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在计算机可读存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机，服务器，或者网络设备等)执行各个实施例或者实施例的某些部分所述的方法。

最后应说明的是：以上实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的精神和范围。

Claims

1.一种物联网云平台设备类别识别方法，其特征在于，包括：

对网络数据中的数据包按照字段进行分割，对分割得到的字符串进行字义分析，获取与设备相关的所有字符串，所述网络数据为物联网云平台连接的设备在工作过程中产生的数据；

根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型；

根据如下方法获取所有字符串中符合预设条件的字符串：

若判断获知所述任一字符串对应的数据包中包括所述物联网设备的常用信息，则将所述任一字符串符合作为所述符合预设条件的字符串；

其中，所述根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型之后，还包括：

2.根据权利要求1所述方法，其特征在于，所述对网络数据中的数据包按照字段进行分割，具体包括：

通过正则表达式对所述网络数据中的数据包按照字段进行分割。

3.根据权利要求1所述方法，其特征在于，所述参考信息包括以下四种信息中的一种或多种，所述以下四种信息为当前地点信息、设备启动时间、设备关闭时间和设备编号。

4.根据权利要求1所述方法，其特征在于，所述有效信息包括以下十一种信息中的一种或多种，所述以下十一种信息为源IP、目的IP、源端口、目的端口、包长、通信协议、采集时间、用户代理、内容类型、内容长度和设备标识。

5.根据权利要求1所述方法，其特征在于，所述对网络数据中的数据包按照字段进行分割，之前还包括：

对所述网络数据进行整理、分类，获取所述数据包。

6.一种物联网云平台设备类别识别***，其特征在于，包括：

分割模块，用于对网络数据中的数据包按照字段进行分割，对分割得到的字符串进行字义分析，获取与设备相关的所有字符串，所述网络数据为物联网云平台连接的设备在工作过程中产生的数据；

识别模块，用于根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型；

根据如下方法获取所有字符串中符合预设条件的字符串：

其中，所述识别模块根据每一特征字符串中的归属地信息和地址信息，确定所述物联网设备的类型之后，还包括：

7.一种电子设备，其特征在于，包括：

所述通信接口用于测试设备与显示装置的通信设备之间的信息传输；

所述存储器存储有可被所述处理器执行的程序指令，所述处理器调用所述程序指令能够执行如权利要求1至5中任一项所述的方法。

8.一种非暂态计算机可读存储介质，其特征在于，所述非暂态计算机可读存储介质存储计算机指令，所述计算机指令使计算机执行如权利要求1至5任一所述的方法。