[发明专利]一种基于蜜网数据的工控扫描器指纹识别方法

摘要

本发明提出一种基于蜜网数据的工控扫描器指纹识别方法，包括：对工业控制网络中通过蜜罐网络系统捕获的扫描数据和已有的工控扫描器进行分析，获得指纹信息并构建基于CART决策树的扫描数据多分类分类器模型。多分类分类器模型能够有效识别发起扫描流量的特定扫描工具，并输出各类扫描器标签的判断概率。之后，多分类分类器模型的输出结果将作为聚类算法的输入数据，聚类算法可以发现不同扫描实体间更深层次的关联关系，形成聚簇。同时，聚类算法还可以有效提取不同聚簇的扫描特征，形成新的扫描器标签，并更新到之前的多分类决策树中，提高了本发明对于新型扫描器数据的判断能力。

主权项

1.一种基于蜜网数据的工控扫描器指纹识别方法，其特征在于，包括如下步骤：a.获得原始训练数据，其中原始训练数据的获得包括两种途径：一种是基于部署在工业控制系统中的蜜罐网络捕获扫描器对工控设备的探测行为并与其进行深度交互，获得扫描数据；另一种是结合相关安全服务厂商提供的工控扫描器信息记录，分析得到扫描数据；b.提取扫描数据指纹内容，建立扫描特征数据集；c.基于扫描特征数据集，利用CART决策树算法构建多分类分类器模型；在模型训练过程中，不断选择当前最优划分属性进行划分，直到所有训练数据都完全拟合；采用代价复杂度剪枝算法对训练好的决策树进行剪枝，选择误差最小的子树作为剪枝后的最优决策树，形成标签；采用“一对一”方法构建多分类分类器，并选择概率最大的类别作为分类结果，分类结果以概率的形式输出；d.用聚类模型以步骤c输出的分类结果作为输入，对扫描实体进行聚类分析，以发现不同扫描工具和扫描实体IP之间的关联关系；所述关联关系包括确定与特定扫描工具构成一类的扫描实体，确定自成一类的扫描实体并提取出其所属组织；e.聚类算法结束后将生成多个聚簇，若有含新标签的聚簇出现，该聚簇的新标签将被输入到步骤c中，再次利用基于CART决策树算法更新旧的多分类分类器模型，做到实时更新，不断扩充；若未出现含新标签的聚簇，则分类结果将作为最终的结果输出。