[发明专利]工控蜜罐攻击数据来源的判别方法及装置

权利要求书

1.一种工控蜜罐攻击数据来源的判别方法，其特征在于，包括：

对于一个未知攻击来源的IP地址，基于工控蜜罐捕获的与所述未知攻击来源的IP地址相关的日志信息和流量数据包，提取所述未知攻击来源的IP地址的原始特征；

对所述未知攻击来源的IP地址的原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征；

利用KNN分类算法计算所述未知攻击来源的IP地址的IP特征与预先构建的训练数据集中每个训练样本的距离，并选定距离最近的三个训练样本作为所述未知攻击来源的IP地址的最邻近样本，根据所述最邻近样本对应的主要攻击来源来得到所述未知攻击来源的IP地址所对应的攻击来源；

其中，所述预先构建的训练数据集中的每个训练样本为已知攻击来源的IP地址的IP特征；

其中，所述IP地址的原始特征包括：所述IP地址、是否包含Modbus协议、S7comm协议以及IEC104协议，Modbus攻击模式，S7comm攻击模式，IEC104攻击模式，来自此IP的数据包总量，攻击不同协议的频率，攻击区域总数，攻击时间间隔以及攻击协议时间间隔；

其中，所述对于一个未知攻击来源的IP地址，基于工控蜜罐捕获的与所述未知攻击来源的IP地址相关的日志信息和流量数据包，提取所述未知攻击来源的IP地址的原始特征的步骤，具体包括：

判断所述IP地址是否攻击过Modbus协议、S7comm协议或者IEC104协议，若攻击过，则将协议对应索引处的值置为1；

对与所述IP地址相关的数据包进行解析，根据解析获得的功能码以及相关字段来分别匹配数据包的Modbus攻击模式、S7comm攻击模式以及IEC104攻击模式；

计算源IP为所述IP地址的数据包总量；

分别计算进行Modbus攻击、S7comm攻击以及IEC104攻击的数据包在数据包总量中的占比；

获取目的IP中不同蜜罐IP地址的总数；

计算第一个攻击数据包与最后一个攻击数据包之间的攻击时间差值；

计算进行Modbus攻击的数据包中第一个相关数据包时间与最后一个相关数据包的时间差值，计算进行S7comm攻击的数据包中第一个相关数据包时间与最后一个相关数据包的时间差值，计算进行IEC104攻击的数据包中第一个相关数据包时间与最后一个相关数据包的时间差值。

2.根据权利要求1所述的方法，其特征在于，所述对所述未知攻击来源的IP地址的原始特征进行降维、归一化和重构处理，获得所述未知攻击来源的IP地址的IP特征，具体为：

通过主成分分析PCA算法对所述未知攻击来源的IP地址的原始特征进行降维，降成四维数据，并进行归一化处理，获得经过处理的特征；

利用所述未知攻击来源的IP地址本身对所述经过处理的特征进行重构，获得所述未知攻击来源的IP地址对应的IP特征。

3.根据权利要求1所述的方法，其特征在于，所述对于一个未知攻击来源的IP地址，基于工控蜜罐捕获的与所述未知攻击来源的IP地址相关的日志信息和流量数据包，提取所述未知攻击来源的IP地址的原始特征之前，还包括：

基于工控蜜罐捕获的海量原始攻击日志和流量数据包，提取已知攻击来源的IP地址的原始特征；

对所述已知攻击来源的IP地址的原始特征进行降维、归一化和重构处理，获得所述已知攻击来源的IP地址的特征；

将每个已知攻击来源的IP地址的特征作为一个训练样本，生成训练数据集，并根据每个训练样本所归属的攻击来源为每个训练样本建立类别标签。