一种基于流量感知的网络资产拓扑识别方法

技术领域

本发明涉及网络资产识别技术领域，尤其涉及一种基于流量感知的网络资产拓扑识别方法。

背景技术

网络资产主要是计算机(或通讯)网络中使用的各种设备。主要包括网络设备(路由、交换等)和安全设备(防火墙等)，目前大量互联网上暴露的设备，已成为攻击者发动大规模DDoS攻击的首选，如果我们捕获了被恶意利用的物联网设备，并已经对这些设备做到精准识别，那就可以通过指纹搜索出互联上暴露出的该类型全部的设备，将这些设备列入重点观测对象，通过预提前的防策略来减低未来攻击带来的影响。网络安全风险评估从网络资产识别开始，所以能否对网络产进行精准的识别对物联网安全研究有着重要意义。

中国发明专利公告号为CN109977990A提出的一种基于概念格的网络资产相似性度量方法，通过准确描述网络资产属性特征，可以显著简化网络资产识别过程，能够有效解决网络资产识别过程中差异程度难以量化的问题。但通过主动扫描的方式来探测存活端口记录，识别方式较为单一，且此种方式存在一些缺陷与不足，如跨网设备识别的问题、链路防护设备的影响等，存在网络资产漏报的可能，同时主动扫描占用网络资源，对网络的使用造成较大负担。

发明内容

(一)发明目的

为解决背景技术中存在的技术问题，本发明提出一种基于流量感知的网络资产拓扑识别方法，主动流量探测通过主动扫描，能识别存活资产的各类指纹信息，进而能协助判断目标资产是什么设备或系统，运行什么服务或应用，被动流量探测通过旁路部署流量镜像的方式，可实现网络存活资产的“被动发现”，被动流量探测不需要占用网络，减小网络负担，通过主动流量探测和被动流量探测相结合，使网络资产探测结果更加准确和全面；同时设置网络资产变更警示，确保网络资产指纹库的准确性，提高网络资产的使用安全。

(二)技术方案

本发明提出了一种基于流量感知的网络资产拓扑识别方法，包括主动流量探测和被动流量探测；

主动流量探测包括以下步骤：

S1、采集全网的网络地址的端口存活情况；

S2、对存活的地址端口发送协议探测包；

S3、获取存活端口的响应信息，响应信息称为标语，即Banner；

S4、分析Banner信息，提取设备专有信息，并与厂商信息进行匹配；

S5、匹配成功，则输出设备的对应指纹特征，建立设备指纹库；S6、建立网络资产拓扑图形；

被动流量探测包括以下步骤：

S1、部署旁路流量镜像；

S2、收集存活IP资产的二层广播通讯、三层IP通讯报文；

S3、对采集的流量特征信息加载不同的过滤规则，提取网络资产指纹；

S4、建立网络资产指纹库；

S5、对主动流量探测中第六步的拓扑图形进行补充。

优选的，提出基于Banner匹配的指纹生成方法，包括以下步骤：

S1、在物联网设备相关厂商官网或电商网站中进行搜索，找到这些物联网设备的产品相关信息，例如厂商、设备类型、型号/版本等；

S2、收集网络空间探测数据，提取Banner；

S3、将收集到的资产信息在探测返回Banner中进行正则匹配，如果匹配成功，则识别成功输出指纹。

优选的，提出资产变更警示方法，包括以下步骤：

S1、采集全网的网络地址的端口存活情况；

S2、对存活的地址端口发送协议探测包；

S3、获取存活端口的响应信息，响应信息称为标语，即Banner；

S4、分析Banner信息提取设备指纹，并与指纹库信息进行匹配，若前后探测指纹不一致，则输出警示信息；

S5、确认人员根据警示信息确认网络资产信息后，决定是否对网络资产指纹库进行更新。

优选的，拓扑图形从上往下依次为区域层、资产分类层、具体资产的基本信息层、具体资产的详细信息层。

优选的，主动流量探测S4步骤中，首先对Banner信息进行协议解析，然后根据过滤规则对数据进行过滤，对信息中与设备有关的字段进行提取，最后提取网络资产的待识别数据。

优选的，主动流量探测S4步骤中，建立物联网信息库，物联网信息库包括厂商官网和电商官网。

优选的，资产变更警示方法的S4步骤中，警示信息包括异常情况的区域、IP地址、原设备信息、原设备联系人即联系方式。

优选的，具体资产的基本信息包括硬件信息和IP信息，具体资产的详细信息包括机器名、所有者、所有者联系方式和部门负责人。

本发明的上述技术方案具有如下有益的技术效果：主动流量探测通过主动扫描，能识别存活资产的各类指纹信息，进而能协助判断目标资产是什么设备或系统，运行什么服务或应用，被动流量探测通过旁路部署流量镜像的方式，可实现网络存活资产的“被动发现”，相比主动扫描，流量镜像是一种“触发式”的资产识别技术，当镜像网络流量中有存活IP资产的二层广播通讯、三层IP通讯报文，通过二层协议、三层协议的分析，即可触发资产识别的检测规则，被动流量探测不需要占用网络，减小网络负担，通过主动流量探测和被动流量探测相结合，使网络资产探测结果更加准确和全面；同时设置网络资产变更警示，确保网络资产指纹库的准确性，提高网络资产的使用安全。

附图说明

图1为本发明提出的基于流量感知的网络资产拓扑识别方法的主动流量探测流程图。

图2为本发明提出的基于流量感知的网络资产拓扑识别方法的被动流量探测流程图。

图3为本发明提出的基于流量感知的网络资产拓扑识别方法中的网络资产拓扑图。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式并参照附图，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

如图1-3所示，本发明提出的一种基于流量感知的网络资产拓扑识别方法，包括主动流量探测和被动流量探测；

主动流量探测包括以下步骤：

S1、采集全网的网络地址的端口存活情况；网络资产只要接通在网络中就会产生流量交互，即可通过监控流量探测到接有网络资产的端口；

S2、对存活的地址端口发送协议探测包；通过ICMP、ARP、SNMP和HTTP协议方式进行探测，需要在隔离的环境内提前部署多套扫描器或通过隧道的方式进行内网扫描，能够发现较为隐蔽的资产；

S3、获取存活端口的响应信息，响应信息称为标语，即Banner；

S4、分析Banner信息，提取设备专有信息，并与厂商信息进行匹配；联网中的设备需要识别设备厂商，手段是基于MAC地址的识别，四十八位的MAC地址包括两部分，前二十四位组织唯一标志符和剩下的二十四位由厂家分配的代码，前二十四位OUI能够标识设备厂商，借此可以识别网络中的打印机、Wi-Fi路由器、视频设备、IP电话等“泛终端网络设备”；

S5、匹配成功，则输出设备的对应指纹特征，建立设备指纹库；匹配成功后，即对网络资产进行了精准识别，以全网为范围，将检测到的网络资产建立指纹库，便于后期比对；

S6、建立网络资产拓扑图形；便于查询对应的网络资产的相关信息；

被动流量探测包括以下步骤：

S1、部署旁路流量镜像；便于收集信息；

S2、收集存活IP资产的二层广播通讯、三层IP通讯报文；收集流量信息，不需要占用宽带等网络资源，对网络影响极小；

S3、对采集的流量特征信息加载不同的过滤规则，提取网络资产指纹；对流量中应用层HTTP,FTP,SMTP等协议数据包中的特殊字段banner或IP、TCP三层协议、DHCP等协议数据包的指纹特征进行分析，从而实现对网络资产信息的被动探测；

S4、建立网络资产指纹库；

S5、对主动流量探测中第六步的拓扑图形进行补充；网络资产的主动探测主要通过扫描的形式进行，其受到网络以及其他影响存在漏报情况，被动流量探测通过被动接受存在的流量交互信息来启动网络资产识别规则，满足规则的进行识别，通过主动流量探测和被动流量探测相结合，使网络资产探测结果更加准确和全面。

本发明中，主动流量探测通过主动扫描，能识别存活资产的各类指纹信息，进而能协助判断目标资产是什么设备或系统，运行什么服务或应用，被动流量探测通过旁路部署流量镜像的方式，可实现网络存活资产的“被动发现”，相比主动扫描，流量镜像是一种“触发式”的资产识别技术，当镜像网络流量中有存活IP资产的二层广播通讯、三层IP通讯报文，通过二层协议、三层协议的分析，即可触发资产识别的检测规则，被动流量探测不需要占用网络，减小网络负担，通过主动流量探测和被动流量探测相结合，使网络资产探测结果更加准确和全面。

在一个可选的实施例中，提出基于Banner匹配的指纹生成方法，包括以下步骤：

S1、在物联网设备相关厂商官网或电商网站中进行搜索，找到这些物联网设备的产品相关信息，例如厂商、设备类型、型号/版本等；对主流的网络资产信息检索查找较为简单快捷；

S2、收集网络空间探测数据，提取Banner；

S3、将收集到的资产信息在探测返回Banner中进行正则匹配，如果匹配成功，则识别成功输出指纹；主要包括五个部分，资产数据采集、数据处理、物联网信息查询、指纹信息正则匹配和生成指纹库，资产数据采集主要按照协议部署扫描节点来采集网络资产的原始数据，数据处理包括协议解析、数据过滤、字段提取和待识别数据提取，物联网信息查询主要通过厂商官网，电商官网等网址进行查询；基于Banner匹配的识别方法，对于市面上主流的，常见的网络资产设备，使用效果很好。

在一个可选的实施例中，提出资产变更警示方法，包括以下步骤：

S1、采集全网的网络地址的端口存活情况；采集频率根据使用者需求设定，即可设定自动采集频率，也可设置手动启动采集程序；

S2、对存活的地址端口发送协议探测包；

S3、获取存活端口的响应信息，响应信息称为标语，即Banner；

S4、分析Banner信息提取设备指纹，并与指纹库信息进行匹配，若前后探测指纹不一致，则输出警示信息；前后探测指纹不一致，说明存在设备变更，及时提醒监控人员进行处理，防止网络资产监控紊乱，保证网络资产识别的精准性，同时防止异常设备入侵网络，提高使用安全性；

S5、确认人员根据警示信息确认网络资产信息后，决定是否对网络资产指纹库进行更新；及时更新指纹库，便于对网络资产进行精准识别和监控，提高网络资产使用安全性，由确认人员最终确认是否更新指纹库，防止网络资产的临时变更造成的指纹库变化。

在一个可选的实施例中，拓扑图形从上往下依次为区域层、资产分类层、具体资产的基本信息层、具体资产的详细信息层；通过拓扑图便于追查到网络资产的信息，便于快速响应。

在一个可选的实施例中，主动流量探测S4步骤中，首先对Banner信息进行协议解析，然后根据过滤规则对数据进行过滤，对信息中与设备有关的字段进行提取，最后提取网络资产的待识别数据；精准提取网络资产的相关信息数据，便于与万联网信息进行正则比对。

在一个可选的实施例中，主动流量探测S4步骤中，建立物联网信息库，物联网信息库包括厂商官网和电商官网；物联网信息库能够通过增加链接的方式进行后期扩充维护，便于保证其全面性，链接需要及时更新添加，确保物联网信息库资料的全面覆盖，防止网络资产识别过程中出现的无法识别现象。

在一个可选的实施例中，资产变更警示方法的S4步骤中，警示信息包括异常情况的区域、IP地址、原设备信息、原设备联系人即联系方式；便于快速与相关联系人进行确认信息，以便决定是否对网络资产指纹库进行更新。

在一个可选的实施例中，具体资产的基本信息包括硬件信息和IP信息，具体资产的详细信息包括机器名、所有者、所有者联系方式和部门负责人；网络资产基本信息和详细信息一一对应，便于追查。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。