CN116346395A - 一种工控网络资产识别方法、***、设备及存储介质 - Google Patents

一种工控网络资产识别方法、***、设备及存储介质 Download PDF

Info

Publication number
CN116346395A
CN116346395A CN202211610013.1A CN202211610013A CN116346395A CN 116346395 A CN116346395 A CN 116346395A CN 202211610013 A CN202211610013 A CN 202211610013A CN 116346395 A CN116346395 A CN 116346395A
Authority
CN
China
Prior art keywords
industrial control
control network
asset identification
equipment
network asset
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202211610013.1A
Other languages
English (en)
Inventor
介银娟
杨东
王文庆
邓楠轶
董夏昕
崔鑫
崔逸群
刘超飞
毕玉冰
朱召鹏
王艺杰
朱博迪
肖力炀
刘鹏飞
李凯
刘鹏举
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Xian Thermal Power Research Institute Co Ltd
Huaneng Group Technology Innovation Center Co Ltd
Original Assignee
Xian Thermal Power Research Institute Co Ltd
Huaneng Group Technology Innovation Center Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Xian Thermal Power Research Institute Co Ltd, Huaneng Group Technology Innovation Center Co Ltd filed Critical Xian Thermal Power Research Institute Co Ltd
Priority to CN202211610013.1A priority Critical patent/CN116346395A/zh
Publication of CN116346395A publication Critical patent/CN116346395A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1433—Vulnerability analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H04L63/205—Network architectures or network communication protocols for network security for managing network security; network security policies in general involving negotiation or determination of the one or more network security mechanisms to be used, e.g. by negotiation between the client and the server or between peers or by selection according to the capabilities of the entities involved
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/12—Protocols specially adapted for proprietary or special-purpose networking environments, e.g. medical networks, sensor networks, networks in vehicles or remote metering networks
    • Y—GENERAL TAGGING OF NEW TECHNOLOGICAL DEVELOPMENTS; GENERAL TAGGING OF CROSS-SECTIONAL TECHNOLOGIES SPANNING OVER SEVERAL SECTIONS OF THE IPC; TECHNICAL SUBJECTS COVERED BY FORMER USPC CROSS-REFERENCE ART COLLECTIONS [XRACs] AND DIGESTS
    • Y02—TECHNOLOGIES OR APPLICATIONS FOR MITIGATION OR ADAPTATION AGAINST CLIMATE CHANGE
    • Y02P—CLIMATE CHANGE MITIGATION TECHNOLOGIES IN THE PRODUCTION OR PROCESSING OF GOODS
    • Y02P90/00—Enabling technologies with a potential contribution to greenhouse gas [GHG] emissions mitigation
    • Y02P90/02—Total factory control, e.g. smart factories, flexible manufacturing systems [FMS] or integrated manufacturing systems [IMS]

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computing Systems (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • General Engineering & Computer Science (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Medical Informatics (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种工控网络资产识别方法、***、设备及存储介质，包括以下步骤：探测设备开放的端口，预测探测到的端口对应的所有服务；遍历端口与服务的映射，识别端口对应的服务；迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性；根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案，完成工控网络资产识别，该方法、***、设备及存储介质能够匹配网络中设备漏洞对应的漏洞修复方案。

Description

一种工控网络资产识别方法、***、设备及存储介质
技术领域
本发明属于工控安全技术领域，涉及一种工控网络资产识别方法、***、设备及存储介质。
背景技术
随着物联网时代的到来，工业控制由传统的单机、局域网模式，慢慢向互联网模式转换，***也由封闭走向开放和智能。同时，对设备的操控、调试、升级等操作也由线下慢慢转变为线上。这一切的转变，方便了对设备的监控和操作，但同时也增加了工控设备受到网络攻击的风险，由于工控资产识别以及其衍生出来的安全问题是保证工控***安全的基础，因此，有必要设计出能稳定、准确、快速地识别网络中的工控设备的方案，同时需要匹配出漏洞对应漏洞修复方案。
发明内容
本发明的目的在于克服上述现有技术的缺点，提供了一种工控网络资产识别方法、***、设备及存储介质，该方法、***、设备及存储介质能够匹配网络中设备漏洞对应的漏洞修复方案。
为达到上述目的，本发明采用如下技术方案：
本发明一方面，本发明提供了一种工控网络资产识别方法包括以下步骤：
探测设备开放的端口，预测探测到的端口对应的所有服务；
遍历端口与服务的映射，识别端口对应的服务；
迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性；
根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案，完成工控网络资产识别。
利用扫描工具探测设备开放的端口。
还包括：将获取的设备属性与地理位置关联，并以文档形式保存于全文索引数据库中。
所述遍历端口与服务的映射，识别端口对应的服务的具体过程为：
依次运行端口对应所有可能的服务脚本，直至根据服务脚本的运行结果，识别出端口对应的服务，当所有服务脚本运行完毕后，仍未识别出端口对应的服务时，则以http协议及https协议运行web解析。
所述迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性的具体过程为：
根据协议包的定义构造请求包，并根据协议交互规则，模拟与设备通信的过程，同时收集设备的回复包，并从回复包中获取指纹特征信息，以解析出设备属性。
所述设备属性包括设备厂商、类型及固件版本。
所述文索引数据库为elasticsearch数据库。
本发明二方面，本发明提供了一种工控网络资产识别***，包括：
端口扫描模块，用于探测设备开放的端口，预测探测到的端口对应的所有服务；
服务识别模块，用于遍历端口与服务的映射，识别端口对应的服务；
指纹识别模块，用于迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性；
漏洞匹配模块，用于根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案，完成工控网络资产识别。
本发明三方面，本发明提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述工控网络资产识别方法的步骤。
本发明四方面，本发明提供了一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现所述工控网络资产识别方法的步骤。
本发明具有以下有益效果：
本发明所述的工控网络资产识别方法、***、设备及存储介质在具体操作时，利用迭代识别出端口对应的服务到指纹的映射，以解析出设备属性，再根据解析出的设备属性，从漏洞专家库中匹配出相应的漏洞，以获取每个漏洞对应漏洞修复方案，从而稳定、准确、快速地识别网络中的工控设备，并方便用户查询与检索，同时匹配网络中设备漏洞对应的漏洞修复方案。
附图说明
构成本发明的一部分的说明书附图用来提供对本发明的进一步理解，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：
图1为本发明的方法流程示意图；
图2为本发明的***结构示意图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、***、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
下面结合附图对本发明做进一步详细描述：
实施例一
本发明所述的工控网络资产识别方法包括以下步骤：
1)利用扫描工具探测设备开放的端口，预测探测到的端口对应的所有服务；
2)遍历端口与服务的映射，识别端口对应的服务；
3)迭代识别出的端口对应的服务到指纹的映射，以解析出设备属性；
4)根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案；
5)将获取的设备相关数据与地理位置关联，并以文档形式保存于全文索引数据库中。
步骤2)中，依次运行端口对应所有可能的服务脚本，直至根据服务脚本的运行结果，识别出端口对应的服务，进一步，当所有服务脚本运行完毕后，仍未识别出端口对应的服务时，则以http协议及https协议运行web解析。
步骤3)中，根据协议包的定义构造请求包，并根据协议交互规则，模拟与设备通信的过程，同时收集设备的回复包，并从回复包中获取指纹特征信息，以解析出设备的属性，所述设备的属性至少包括设备厂商、类型及固件版本。
所述文索引数据库为elasticsearch数据库。
实施例二
本发明所述工控网络资产识别***，包括：
端口扫描模块，用于探测设备开放的端口，预测探测到的端口对应的所有服务；
服务识别模块，用于遍历端口与服务的映射，识别端口对应的服务；
指纹识别模块，用于迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性；
漏洞匹配模块，用于根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案，完成工控网络资产识别。
在本发明的一个实施例中，为加快海量设备节点的扫描探测，将工控网络资产识别***中的各模块分布式地部署到多个服务器上。但各模块到底分配多少节点，需要参考经典经验值，在综合评定扫描设备的物理性能、网络带宽之后确定。总之，要保证各模块之间能够达到消息生产及消息消费的平衡，避免在某个模块上有长时间的消息堆积。当有消息堆积时，则说明扫描***节点数配置不合理，没有充分流水线带来的性能提升，导致某些模块过度繁忙，而某些模块过分空闲。
在本实施例中，端口扫描、服务探测等会产生一定的副作用，为减少网络中的无关流量，尽可能小的影响网络中的设备，可以采用流量监听的方式辅助在控网络资产识别。正常的网络通信，可以tcpdump监听流量包，在数据链路层牵涉的mac信息，在网络层获取ip信息，在传输层获取端口信息，对于传输的信息，可以用来进行工控协议的分析。
tcpdump抓包是一种比较简单的被动识别方式，但是许多工控协议，往往会牵涉到多个网络交互过程，也即需要综合多个数据包才能识别一个工控设备，这时就需要专业的流量监控工具的介入，类似IPS、IDS类的工具(比如suricata)，者类工具可以用编程的方式处理在遇到具体特征时，执行对应的动作。
同样的，被动识别出来的工控指纹特征，也需要及时的添加到指纹库中，方便***能持续的进化自身，能更快更准确地识别工控资产设备。
因此，为减少网络中的流量，尽可能小的影响网络中的设备，可以合理的采用主被结合的扫描方式进行工控资产识别。先用无影响的被动方式监听网络中的流量，判断存活的主机，识别的mac可以作为后续厂商判断的候选依据。如果监听的流量中正好有对应的工控交互包，并能够在既有的指纹库中得到匹配，则记录发现的设备。对于剩下还未识别的设备，可以使用主动识别的方式处理。因为主动识别分多个步骤，如果某个步骤已在被动识别阶段取得结果，则主动识别阶段可以跳过此阶段的执行，继续进行后续阶段的处理。
实施例三
一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现所述工控网络资产识别方法的步骤，其中，所述存储器可能包含内存，例如高速随机存储器，也可能还包括非易失性存储器，例如，至少一个磁盘存储器等；处理器、网络接口、存储器通过内部总线互相连接，该内部总线可以是工业标准体系结构总线、外设部件互连标准总线、扩展工业标准结构总线等，总线可以分为地址总线、数据总线、控制总线等。存储器用于存放程序，具体地，程序可以包括程序代码、所述程序代码包括计算机操作指令。存储器可以包括内存和非易失性存储器，并向处理器提供指令和数据。
实施例四
一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现所述工控网络资产识别方法的步骤，具体地，所述计算机可读存储介质包括但不限于例如易失性存储器和/或非易失性存储器。所述易失性存储器可以包括随机存储存储器(RAM)和/或高速缓冲存储器(cache)等。所述非易失性存储器可以包括只读存储器(ROM)、硬盘、闪存、光盘、磁盘等。
本领域内的技术人员应明白，本申请的实施例可提供为方法、***、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。
本申请是参照根据本申请实施例的方法、设备(***)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。
这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。
这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。
最后应当说明的是：以上实施例仅用以说明本发明的技术方案而非对其限制，尽管参照上述实施例对本发明进行了详细的说明，所属领域的普通技术人员应当理解：依然可以对本发明的具体实施方式进行修改或者等同替换，而未脱离本发明精神和范围的任何修改或者等同替换，其均应涵盖在本发明的权利要求保护范围之内。

Claims (10)

1.一种工控网络资产识别方法，其特征在于，包括以下步骤：
探测设备开放的端口，预测探测到的端口对应的所有服务；
遍历端口与服务的映射，识别端口对应的服务；
迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性；
根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案，完成工控网络资产识别。
2.根据权利要求1所述的工控网络资产识别方法，其特征在于，利用扫描工具探测设备开放的端口。
3.根据权利要求1所述的工控网络资产识别方法，其特征在于，还包括：将获取的设备属性与地理位置关联，并以文档形式保存于全文索引数据库中。
4.根据权利要求1所述的工控网络资产识别方法，其特征在于，所述遍历端口与服务的映射，识别端口对应的服务的具体过程为：
依次运行端口对应所有可能的服务脚本，直至根据服务脚本的运行结果，识别出端口对应的服务，当所有服务脚本运行完毕后，仍未识别出端口对应的服务时，则以http协议及https协议运行web解析。
5.根据权利要求1所述的工控网络资产识别方法，其特征在于，所述迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性的具体过程为：
根据协议包的定义构造请求包，并根据协议交互规则，模拟与设备通信的过程，同时收集设备的回复包，并从回复包中获取指纹特征信息，以解析出设备属性。
6.根据权利要求5所述的工控网络资产识别方法，其特征在于，所述设备属性包括设备厂商、类型及固件版本。
7.根据权利要求2所述的工控网络资产识别方法，其特征在于，所述文索引数据库为elasticsearch数据库。
8.一种工控网络资产识别***，其特征在于，包括：
端口扫描模块，用于探测设备开放的端口，预测探测到的端口对应的所有服务；
服务识别模块，用于遍历端口与服务的映射，识别端口对应的服务；
指纹识别模块，用于迭代识别所述端口对应的服务到指纹的映射，以解析出设备属性；
漏洞匹配模块，用于根据解析出的设备属性，从漏洞专家库中匹配得到对应的漏洞，并获取匹配得到的漏洞对应漏洞修复方案，完成工控网络资产识别。
9.一种计算机设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求1-7任一项所述工控网络资产识别方法的步骤。
10.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现如权利要求1-7任一项所述工控网络资产识别方法的步骤。
CN202211610013.1A 2022-12-14 2022-12-14 一种工控网络资产识别方法、***、设备及存储介质 Pending CN116346395A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202211610013.1A CN116346395A (zh) 2022-12-14 2022-12-14 一种工控网络资产识别方法、***、设备及存储介质

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202211610013.1A CN116346395A (zh) 2022-12-14 2022-12-14 一种工控网络资产识别方法、***、设备及存储介质

Publications (1)

Publication Number Publication Date
CN116346395A true CN116346395A (zh) 2023-06-27

Family

ID=86893597

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202211610013.1A Pending CN116346395A (zh) 2022-12-14 2022-12-14 一种工控网络资产识别方法、***、设备及存储介质

Country Status (1)

Country Link
CN (1) CN116346395A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116975007A (zh) * 2023-07-29 2023-10-31 上海螣龙科技有限公司 一种网络资产存储、展示的方法、***、设备及介质

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116975007A (zh) * 2023-07-29 2023-10-31 上海螣龙科技有限公司 一种网络资产存储、展示的方法、***、设备及介质
CN116975007B (zh) * 2023-07-29 2024-03-22 上海螣龙科技有限公司 一种网络资产存储、展示的方法、***、设备及介质

Similar Documents

Publication Publication Date Title
US10977154B2 (en) Method and system for automatic real-time causality analysis of end user impacting system anomalies using causality rules and topological understanding of the system to effectively filter relevant monitoring data
US11025674B2 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
US11657309B2 (en) Behavior analysis and visualization for a computer infrastructure
US20220014560A1 (en) Correlating network event anomalies using active and passive external reconnaissance to identify attack information
US11115428B2 (en) Systems and methods for determining network data quality and identifying anomalous network behavior
US20220232040A1 (en) Advanced cybersecurity threat mitigation using software supply chain analysis
US20210092160A1 (en) Data set creation with crowd-based reinforcement
US9122784B2 (en) Isolation of problems in a virtual environment
US20210360032A1 (en) Cybersecurity risk analysis and anomaly detection using active and passive external reconnaissance
WO2017114152A1 (zh) 一种业务拨测方法、装置以及***
US20220014561A1 (en) System and methods for automated internet-scale web application vulnerability scanning and enhanced security profiling
US8797876B2 (en) Identification of underutilized network devices
Nadeem et al. Alert-driven attack graph generation using s-pdfa
KR20140025316A (ko) 통신 네트워크 내의 노드 상에서 작동되는 운영 시스템을 핑커프린팅하는 방법 및 시스템
CN107220121B (zh) 一种numa架构下沙箱环境测试方法及其***
US20180026848A9 (en) Isolation of problems in a virtual environment
US20210136120A1 (en) Universal computing asset registry
US20130254524A1 (en) Automated configuration change authorization
Chen et al. Invariants based failure diagnosis in distributed computing systems
WO2017094377A1 (ja) 分類方法、分類装置および分類プログラム
CN107392020A (zh) 数据库操作分析方法、装置、计算设备及计算机存储介质
CN116346395A (zh) 一种工控网络资产识别方法、***、设备及存储介质
JP4504346B2 (ja) トラブル要因検出プログラム、トラブル要因検出方法およびトラブル要因検出装置
JP5834701B2 (ja) コンピューティング環境における資源の発見のための方法、装置、およびプログラム
CN113918438A (zh) 服务器异常的检测方法、装置、服务器及存储介质

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination