CN111555936A

CN111555936A - 一种工控资产探测方法、装置和设备

Info

Publication number: CN111555936A
Application number: CN202010343683.6A
Authority: CN
Inventors: 宁力军
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2020-04-27
Filing date: 2020-04-27
Publication date: 2020-08-18
Anticipated expiration: 2040-04-27
Also published as: CN111555936B

Abstract

本申请提供一种工控资产探测方法、装置和设备。本申请提供的工控资产探测方法，应用于工控资产探测设备，所述方法包括：对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息；根据所述访问信息生成所述工控网络的访问关系表；所述访问关系表的各表项记录所述网络数据包的访问信息；针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。本申请提供的工控资产探测方法、装置和设备，在进行资产探测时，可避免向网络中发送大量的探测报文，可避免工控设备运转异常。

Description

一种工控资产探测方法、装置和设备

技术领域

本申请涉及工业控制***领域，尤其涉及一种工控资产探测方法、装置和设备。

背景技术

随着工业互联网技术的迅速发展，工业控制***面临越来越多的安全风险。对工业控制***进行安全评估变得越来越迫切，而对工业控制***进行安全风险评估的首要任务是对工控网络中的工控资产进行有效的梳理，明确工控网络的工控资产情况。

目前，常通过主动探测的方法进行工控资产探测。具体实现时，先对工控网络进行全IP扫描，获得存活资产，然后对存活资产进行全端口预扫描，获取存活端口，进而对于存活端口，发送探测报文，以读取与存活端口所对应的工控资产的资产信息。

当通过上述方法进行工控资产探测时，需要发送大量的报文到网络中，容易造成工控资产运转异常。

发明内容

有鉴于此，本申请提供一种工控资产探测方法、装置和设备，以解决现有探测方法容易造成工控资产运转异常的问题。

本申请第一方面提供一种工控资产探测方法，应用于工控资产探测设备，所述方法包括：

对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息；

根据所述访问信息生成所述工控网络的访问关系表；所述访问关系表的各表项记录所述网络数据包的访问信息；

针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。

本申请第二方面提供一种工控资产探测装置，应用于工控资产探测设备，所述装置包括获取模块、处理模块和探测模块，其中，

所述获取模块，用于对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息；

所述处理模块，用于根据所述访问信息生成所述工控网络的访问关系表；所述访问关系表的各表项记录所述网络数据包的访问信息；

所述探测模块，用于针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。

本申请第三方面提供一种计算机存储介质，其上存储有计算机程序，所述程序被处理器执行时实现本申请提供的任一工控资产探测方法的步骤。

本申请第四方面提供一种工控资产探测设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本申请提供的任一工控资产探测方法的步骤。

本申请提供的工控资产探测方法、装置和设备，通过对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息，并根据所述访问信息生成所述工控网络的访问关系表，进而针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。这样，基于访问关系表，即可确定工控网络中的存活设备，不需要通过全网段扫描确定存活设备，这样，可避免向网络中发送大量的探测报文，可避免工控设备运转异常。

附图说明

图1为本申请提供的工控资产探测方法实施例一的流程图；

图2为本申请提供的工控资产获取方法实施例二的流程图；

图3为本申请示例性实施例示出的工控资产探测方法实施例三的流程图；

图4为本申请一示例性实施例示出的工控资产探测装置所在工控资产探测设备的硬件结构图；

图5为本申请提供的工控资产探测装置实施例一的结构示意图。

具体实施方式

这里将详细地对示例性实施例进行说明，其示例表示在附图中。下面的描述涉及附图时，除非另有表示，不同附图中的相同数字表示相同或相似的要素。以下示例性实施例中所描述的实施方式并不代表与本申请相一致的所有实施方式。相反，它们仅是与如所附权利要求书中所详述的、本申请的一些方面相一致的装置和方法的例子。

在本申请使用的术语是仅仅出于描述特定实施例的目的，而非旨在限制本申请。在本申请和所附权利要求书中所使用的单数形式的“一种”、“所述”和“该”也旨在包括多数形式，除非上下文清楚地表示其他含义。还应当理解，本文中使用的术语“和/或”是指并包含一个或多个相关联的列出项目的任何或所有可能组合。

应当理解，尽管在本申请可能采用术语第一、第二、第三等来描述各种信息，但这些信息不应限于这些术语。这些术语仅用来将同一类型的信息彼此区分开。例如，在不脱离本申请范围的情况下，第一信息也可以被称为第二信息，类似地，第二信息也可以被称为第一信息。取决于语境，如在此所使用的词语“如果”可以被解释成为“在……时”或“当……时”或“响应于确定”。

本申请提供一种工控资产探测方法、装置和设备，以解决现有的探测方法容易造成工控资产运转异常的问题。

下面先对相关术语作出说明：

工业控制***(ICS)：包括多种工业生产中使用的控制***，包括监控和数据采集***(SCADA)、分布式控制***(DCS)，以及其他控制***，例如，可编程逻辑控制器(PLC)等。

工控资产：应用工业控制***的相关设备，包含SCADA、PLC、DCS、RTU、HMI、工业交换机、工业操作员站或工程师站等。

工业协议：工业控制***中，上位机与控制设备之间、以及控制设备与控制设备之间的通信报文规约，通常包括模拟量和数字量的读写控制。常见的工业协议有Modbus、S7、DNP3、EtherNet/IP、BACnet、FINS等。

下面给出几个具体的实施例，用以详细介绍本申请的技术方案，下面这几个具体的实施例可以相互结合，对于相同或相似的概念或过程可能在某些实施例中不再赘述。

图1为本申请提供的工控资产探测方法实施例一的流程图。请参照图1，本实施例提供的方法，可以包括：

S101、对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息。

具体的，访问信息至少包括源MAC地址、源IP地址、目的MAC地址、目的IP地址，基础协议和应用协议。

需要说明的是，本实施例提供的方法，应用于工控资产探测设备，该设备可以为工控防火墙、工控检测审计设备等。

S102、根据所述访问信息生成所述工控网络的访问关系表；所述访问关系表的各表项记录所述网络数据包的访问信息。

具体的，可按照预设的学习周期对工控网络中的网络数据包进行流量学习，以获取访问关系表。该学习周期是根据实际需要设定的，本实施例中，不对此进行限定。例如，一实施例中，学习周期可以为7天。

例如，一实施例中，在一学习周期开始时，可先创建访问关系表，之后，每接收到一条网络数据包，就对该网络数据包进行解析，获取该网络数据包的访问信息，并判断访问关系表中是否包含该访问信息，若不包含，则将该访问信息作为一条表项添加至访问关系表，直至本学习周期结束，输出学习到的法访问关系表。

再例如，另一实施例中，可在一学习周期结束时，对本学习周期内接收到的所有网络数据包进行解析，得到各条网络数据包的访问信息，进而对所有的访问信息进行聚合处理，并基于聚合后的访问信息生成访问关系表。

例如，表1为本申请示例性实施例示出的访问关系表的示意图。

表1访问关系表

参照表1，在表1所示示例中，访问关系表的各表项记录访问信息，访问信息包括源MAC地址、源IP地址、目的MAC地址、目的IP地址，基础协议和应用协议。

S103、针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。

具体的，针对每条表项，可向该表项记录的目的IP地址发送探测报文，以进行资产探测。需要说明的是，在组装探测报文时，报文内容依赖预设的发包格式，本实施例中，不对此进行限定。

需要说明的是，本申请中，在成功探测到资产信息后，可利用资产信息做业务或存储展示。有关利用资产信息做业务或存储展示的具体实现原理可以参见相关技术中的描述，此处不再赘述。

本实施例提供的工控资产探测方法，通过对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息，并根据所述访问信息生成所述工控网络的访问关系表，进而针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。这样，基于访问关系表，即可确定工控网络中的存活设备，不需要通过全网段扫描确定存活设备，这样，可避免向网络中发送大量的探测报文，可避免工控设备运转异常。

可选地，在本申请一可能的实现方式中，所述访问关系表的各表项还记录有访问信息对应的资产探测状态，所述资产探测状态的缺省状态为启用，所述依据该表项记录的访问信息进行资产探测，包括：

在该表项记录的资产探测状态为启用时，依据该表项记录的访问信息进行资产探测；

所述依据该表项记录的访问信息进行资产探测之后，所述方法还包括：

在成功探测到资产信息后，将该表项记录的资产探测状态更新为禁用。

例如，表2为本申请另一示例性实施例示出的访问关系表的示意图：

表2访问关系表

请参照表2，本实施例中，访问关系表的各表项还记录有访问信息对应的资产探测状态。此时，在依据该表项记录的访问信息进行资产探测时，在该表项记录的资产探测状态为启用时，依据该表项记录的访问信息进行资产探测，并在成功探测到资产信息后，将该表项记录的资产探测状态更新为禁用。这样，针对资产探测状态为禁用的表项，后续不再进行重复探测，可节省资源。

本实施例提供的方法，访问关系表的各表项还记录有访问信息对应的资产探测状态，在依据一表项进行资产探测时，只有该表项记录的资产探测状态为启用时，才进行探测，并在成功探测到资产信息后，将该表项记录的资产探测状态更新为禁用。这样，针对资产探测状态为禁用的表项，后续不再进行重复探测，可节省资源。

图2为本申请提供的工控资产获取方法实施例二的流程图。请参照图2，本实施例提供的方法，在上述实施例的基础上，所述生成所述访问关系表之后，所述方法还包括：

S201、针对所述访问关系表的各表项，判断该表项记录的访问信息是否匹配预设的非工控资产信息。

S202、若是，则将该表项记录的资产探测状态更新为忽略。

具体的，一实施例中，非工控资产信息可以包括干扰资产信息和非本行业资产信息。具体实现时，可以设置一个用于存储干扰资产信息的干扰资产数据库和一个用于存储非本行业资产信息的非本行业资产数据库。

其中，干扰资产信息是根据工控网络中类似LLMNR、SSDP、ARP等不具备资产探测能力的组播/广播流量设置的非工控资产信息。例如，一访问信息对应组播或广播流量时，此时，将该访问信息对应的资产探测状态更新为忽略。

此外，非本行业资产信息是基于行业资产特点进行积累得到的，其是根据不属于本行业的流量设置的非工控资产信息。例如，电力行业的工控设备在其他行业不适用，在其他行业进行资产探测时，将应用协议为IEC61850-MMS(该协议为电力行业使用的应用协议)的流量设置为非工控资产。此时，当一访问信息的应用协议为IEC61850-MMS时，将该访问信息对应的资产探测状态更新为忽略。

需要说明的是，非工控资产信息是用户根据实际需要配置的。本实施例中，不对其具体内容进行限定。例如，用户在工控网络中监测到一非工控资产信息中未涉及的组播流量，此时，用户可以将该组播流量添加到非工控资产信息中。

例如，表3为本申请一示例性实施例示出的访问关系表的示意图：

表3访问关系表

参照表3，在本实施例中，LLMNR、SSDP、ARP不具备资产探测能力的组播/广播流量对应的资产探测状态为忽略。这样，在进行资产探测时，不对其进行探测，可节省探测资源，提高探测效率。

需要说明的是，非工控资产信息的匹配过程是周期性的，可按照预设的匹配周期进行非工控资产信息的匹配。例如，可每隔30天匹配一次。

可选地，本申请一可能的实现方式中，在更新资产探测状态之后，所述方法还包括：

将各访问信息对应的资产探测状态通过人机交互界面展示给用户，以供用户校正各访问信息对应的资产探测状态。

具体的，例如，可以通过web网页或命令行将其展示给用户。用户可对其进行修改。

通过将访问信息对应的资产探测状态展示给用户，这样，用户可查看忽略状态是否合理，进而对不合理的进行修改。

本实施例提供的方法，通过将与非工控资产信息匹配的访问信息对应的资产探测状态更新为忽略，这样，可将没有探测意义的访问信息对应的资产探测状态更新为忽略，进而不对其进行探测，可节省探测资源，提高探测效率。

可选地，一实施例中，在将该表项记录的资产探测状态更新为忽略之后，所述方法还包括：

将所述访问关系表，资产探测状态为忽略的表项删除。

具体的，通过将资产探测状态为忽略的表项删除，这样，可提高探测效率

需要说明的是，可按照预设的删除周期来删除资产探测状态为忽略的表项。例如，每隔7天删除一次。该删除周期和前述学习周期、匹配周期之间没有必然的联系。

图3为本申请示例性实施例示出的工控资产探测方法实施例三的流程图。本实施例提供的方法，访问关系表的各表项记录访问信息和资产探测状态的对应关系，参照图3，本实施例提供的方法，可以包括：

S301、将访问关系表中的第一条表项作为目标表项。

S302、判断该目标表项记录的资产探测状态是否为启用，若否，执行步骤S303，若是，执行步骤304。

S303、将访问关系表中的下一条表项作为目标表项，重复执行步骤S302，直至最后一条表项。

S304、依据该目标表项记录的访问信息进行资产探测；

S305、判断是否收到响应消息，若是，执行步骤306，若否，执行步骤S307。

S306、从接收到的响应消息中提取资产信息，并将该目标表项记录的资产探测状态更新为禁用。

S307、判断探测次数是否达到预设次数，若否，执行步骤308，若是，执行步骤S309。

具体的，预设次数是根据实际需要设定的，本实施例中，不对预设次数的具体值进行限定。例如，一实施例中，预设次数可以为3次。

S308、根据该目标表项中记录的访问信息进行资产探测。

S309、统计探测失败记录。

需要说明的是，通过统计探测失败记录，便于回溯查看。此外，有关步骤S301至S309的具体实现原理和实现过程可以参见前面实施例中的描述，此处不再赘述。

可选的，本实施例提供的工控资产探测方法，所述方法还包括：

接收用户输入的针对指定访问信息的手动探测指令；

根据所述指定访问信息进行资产探测。

具体的，可基于手动探测指令，针对指定访问信息进行资产探测，这样，若基于某条访问信息未探测到资产信息时，用户可基于手动探测指令，根据指定访问信息进行资产探测，避免重新开始整个探测流程，可提高探测效率，节省探测资源。再例如，针对忽略不合理的表项，用户可手动修改该表项的资产探测状态，然后针对该表项触发手动探测指令，此时，设备即可基于指定访问信息进行资产探测，避免重新开始整个探测流程，可提高探测效率，节省探测资源

与前述工控资产探测方法的实施例相对应，本申请还提供了工控资产探测装置的实施例。

本申请工控资产探测装置的实施例可以应用在工控资产探测设备上。装置实施例可以通过软件实现，也可以通过硬件或者软硬件结合的方式实现。以软件实现为例，作为一个逻辑意义上的装置，是通过其所在工控资产探测设备的处理器将存储器中对应的计算机程序指令读取到内存中运行形成的。从硬件层面而言，如图4所示，为本申请一示例性实施例示出的工控资产探测装置所在工控资产探测设备的硬件结构图，除了图4所示的存储器410、处理器420、内存430和网络接口440之外，实施例中装置所在的计算机设备通常根据该工控资产探测装置的实际功能，还可以包括其他硬件，对此不再赘述。

图5为本申请提供的工控资产探测装置实施例一的结构示意图。请参照图5，本实施例提供的装置，应用于工控资产探测设备，所述装置包括获取模块510、处理模块520和探测模块530，其中，

所述获取模块510，用于对工控网络中的网络数据包进行解析，获得所述网络数据包的访问信息；

所述处理模块520，用于根据所述访问信息生成所述工控网络的访问关系表；所述访问关系表的各表项记录所述网络数据包的访问信息；

所述探测模块530，用于针对所述访问关系表的各表项，依据该表项记录的访问信息进行资产探测。

本实施例的装置，可用于执行图1所示方法实施例的技术方案，其实现原理和技术效果类似，此处不再赘述。

进一步地，所述访问关系表的各表项还记录有访问信息对应的资产探测状态，所述资产探测状态的缺省状态为启用；

所述探测模块530，具体用于在该表项记录的资产探测状态为启用时，依据该表项记录的访问信息进行资产探测；

所述处理模块520，还用于在所述探测模块530依据该表项记录的访问信息成功探测到资产信息后，将该表项记录的资产探测状态更新为禁用。

进一步地，所述处理模块520，还用于在生成所述访问关系表之后，针对所述访问关系表的各表项，判断该表项记录的访问信息是否匹配预设的非工控资产信息，并在判断该表项记录的访问信息匹配预设的非工控资产信息时，将该表项记录的资产探测状态更新为忽略。

进一步地，所述处理模块520，还用于在将该表项记录的资产探测状态更新为忽略之后，将所述访问关系表中，资产探测状态为忽略的表项删除。

本申请还提供一种计算机可读存储介质，其上存储有计算机程序，所述程序被处理器执行时实现本申请提供的任一工控资产探测方法的步骤。

具体的，适合于存储计算机程序指令和数据的计算机可读介质包括所有形式的非易失性存储器、媒介和存储器设备，例如包括半导体存储器设备(例如EPROM、EEPROM和闪存设备)、磁盘(例如内部硬盘或可移动盘)、磁光盘以及CD ROM和DVD-ROM盘。

请继续参照图4，本申请还提供一种工控资产探测设备，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本申请提供的任一工控资产探测方法的步骤。

以上所述仅为本申请的较佳实施例而已，并不用以限制本申请，凡在本申请的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本申请保护的范围之内。

Claims

1.一种工控资产探测方法，其特征在于，应用于工控资产探测设备，所述方法包括：

2.根据权利要求1所述的方法，其特征在于，所述访问关系表的各表项还记录有访问信息对应的资产探测状态，所述资产探测状态的缺省状态为启用，所述依据该表项记录的访问信息进行资产探测，包括：

3.根据权利要求2所述的方法，其特征在于，所述生成所述访问关系表之后，所述方法还包括：

针对所述访问关系表的各表项，判断该表项记录的访问信息是否匹配预设的非工控资产信息；

若是，则将该表项记录的资产探测状态更新为忽略。

4.根据权利要求3所述的方法，其特征在于，所述将该表项记录的资产探测状态更新为忽略之后，所述方法还包括：

将所述访问关系表中，资产探测状态为忽略的表项删除。

5.根据权利要求1所述的方法，其特征在于，若根据该表项中记录的访问信息未成功探测到资产信息，所述方法还包括：

判断探测次数是否达到预设次数；

若否，根据该表项中记录的访问信息进行资产探测；

若是，统计探测失败记录。

6.根据权利要求1所述的方法，其特征在于，所述方法还包括：

接收用户输入的针对指定访问信息的手动探测指令；

根据所述指定访问信息进行资产探测。

7.一种工控资产探测装置，其特征在于，应用于工控资产探测设备，所述装置包括获取模块、处理模块和探测模块，其中，

8.根据权利要求7所述的装置，其特征在于，所述访问关系表的各表项还记录有访问信息对应的资产探测状态，所述资产探测状态的缺省状态为启用；

所述探测模块，具体用于在该表项记录的资产探测状态为启用时，依据该表项记录的访问信息进行资产探测；

所述处理模块，还用于在所述探测模块依据该表项记录的访问信息成功探测到资产信息后，将该表项记录的资产探测状态更新为禁用。

9.一种计算机存储介质，其特征在于，其上存储有计算机程序，所述程序被处理器执行时实现本申请提供的任一工控资产探测方法的步骤。

10.一种工控资产探测设备，其特征在于，包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序，所述处理器执行所述程序时实现本申请提供的任一工控资产探测方法的步骤。