[发明专利]一种快速识别联网工控设备的方法

说明书

技术领域

本发明涉及联网工业控制设备识别领域，尤其是一种快速识别联网工控设备的方法。

背景技术

随着信息技术和智能制造技术的发展，越来越多的工控厂商如西门子、ABB、研华等在内的各类工业控制设备或系统暴露在互联网的网络空间中，易被黑客利用其设备漏洞进行攻击，引发严重后果。为了对接入互联网内的工控设备或系统进行快速搜索监测，掌握其设备的种类、规模及地理分布，迫切需要采用相关技术对联网工控系统或设备进行识别。由于联网工控设备和系统在网络上具有其相应的特定属性：主要包括使用的IP地址，相应的端口和基于TCP/IP协议的特定工业通信控制协议，所以目前识别联网工业控制系统或设备的通用方法是：1.首先明确联网设备所在IP地址段；2.针对该IP地址段中的每一个IP及相关端口，依次根据各类联网工控系统和设备工控协议所对应的端口发起相应数据包，建立控制协议连接；3.如主机不可到达或端口不开放则主机和端口不存活，需等待TIMEOUT(超时)时间，如主机可到达或端口开放，主机和端口存活，联网工控系统或设备返回数据包；4.接收到返回数据包，解析其内容，根据内容中的关键报文与工控设备指纹库里的指纹进行匹配并进行工控系统或设备进行识别；5.如没有接收到返回数据包，则依次使用下一工控协议，对IP和端口建立控制协议连接。

现有技术中采用IP和端口直接进行TCP的三次握手连接，成功则发送工控设备指纹探测数据包，失败则进入下一个IP+端口的设备探测，导致主机不可到达或端口未开放带来的TIMEOUT(超时)时间过长问题，同时没有构建完善的工控设备指纹库，导致不能快速准确识别工控设备的类型和型号等。

发明内容

本发明所要解决的技术问题是：针对上述存在的问题，提供一种快速识别联网工控设备的方法。

本发明采用的技术方案如下：

一种快速识别联网工控设备的方法，其特征在于包括预扫描阶段和工控设备识别阶段，所述预扫描阶段包括，

步骤(1-1)、利用分布式扫描机制均衡分配扫描任务；

步骤(1-2)、拆分指定IP地址段；

步骤(1-3)、利用TCP无状态探测机制判断IP主机和端口是否存活；

步骤(1-4)、将IP主机和端口存活的IP地址存入设备识别的IP缓存池中。

所述工控设备扫描阶段包括，

步骤(2-1)、从IP缓存池中获取存活的IP主机及端口并建立完整的TCP连接；

步骤(2-2)、发送上述端口特定的工控协议识别数据包并等待服务端响应；

步骤(2-3)、联网工控设备返回数据包；

步骤(2-4)、解析数据包并与工控设备指纹库进行匹配。

更进一步地，步骤(1-1)中利用分布式扫描机制把不同IP地址段的扫描任务均衡分配给分布式空闲扫描节点。

更进一步地，步骤(1-2)中利用IP随机分组算法对指定IP地址段进行拆分。

更进一步地，所述工控设备指纹库包括公开工控设备指纹库和自主工控设备指纹库。

更进一步地，所述自主工控设备指纹库通过抓包和逆向分析私有工控协议构建而成。

更进一步地，所述方法适用于快速识别联网工业控制系统。

综上所述，由于采用了上述技术方案，本发明的有益效果是：

(1)该方法引入分布式扫描技术，充分利用扫描节点进行分段扫描，节省计算机的资源，大大提高了扫描效率；

(2)在识别工控设备之前明确了该IP及工控端口的存活性，减少了因端口不存活带来的响应延时时间。

(3)在识别阶段只发送该端口特定的工控协议识别数据包,减少对端口发送的错误工控协议识别数据包带来的响应时间。

(4)工控设备指纹库构建完善，能够快速准确识别工控设备的类型和型号等。

附图说明

本发明将通过例子并参照附图的方式说明，其中：

图1：快速识别联网工控设备的方法流程图。

具体实施方式

本说明书中公开的所有特征，或公开的所有方法或过程中的步骤，除了互相排斥的特征和/或步骤以外，均可以以任何方式组合。

本说明书中公开的任一特征，除非特别叙述，均可被其他等效或具有类似目的的替代特征加以替换。即，除非特别叙述，每个特征只是一系列等效或类似特征中的一个例子而已。

一种快速识别联网工控设备的方法，其特征在于包括预扫描阶段和工控设备识别阶段，所述预扫描阶段包括，