[发明专利]一种工控设备指纹归一化方法

权利要求书

1.一种工控设备指纹归一化方法，其特征在于，包括以下步骤：

旁路镜像方式获得工控设备信息，通过镜像交换机，待测工控设备之间进行业务相关的网络通讯，由工控设备探测装置分析待测工控设备之间的网络通讯流量，获得待测工控设备的指纹信息；

主动探测方式获得工控设备信息，工控设备探测装置采用传统的网络端口信息获取技术，通过交换机与待测工控设备发生网络通讯进行主动探测，来获取待测工控设备的工控指纹信息；

将记录下来的设备信息，既有来自旁路镜像方式获得的信息，也有来自主动探测方式获得的信息，对信息进行汇总；

对汇总后的信息进行分类，首先根据IP地址，对信息进行分类，然后依据端口和协议进行分类，一个IP地址代表一个工控设备；

加载内置工控设备库，内置工控设备库包含设备的厂商、型号、类型、版本信息；

对分类后的数据提取关键数据，根据内置工控设备库的数据，将设备信息中无用的数据过滤掉，保留有用的数据；

清洗关键数据，将保留下来的关键数据，依照内置工控设备库的数据，进行格式化，得到相对统一的关键数据；

形成设备标识，设备标识包括设备类型、厂商、型号、版本，一个工控设备有一个或者多个标识；

如果发现了内置工控设备库没有的信息，包括设备厂商、型号、类型、版本，则更新到内置工控设备库。

2.如权利要求1所述的工控设备指纹归一化方法，其特征在于，所述提取关键数据过程如下：

基于端口和协议，从内置工控设备库中，缩小厂商的范围；

依据内置工控设备库中的厂商信息，通过字符串匹配，从设备信息中获得厂商信息；

依据内置工控设备库中的型号信息，通过字符串匹配，从设备信息中获得设备型号；

根据内置工控设备库，由厂商和型号信息，判断设备的类型；

通过字符串匹配，从设备信息中获得设备名称；

通过字符串匹配，从设备信息中获得版本信息；

通过字符串匹配，从设备信息中获得其它信息，包括模块信息、特征码、订货号、序列号、操作系统。

3.如权利要求1所述的工控设备指纹归一化方法，其特征在于，所述旁路镜像方式获得工控设备信息具体包括：

镜像交换机将通讯流量镜像给工控设备探测装置，通讯流量包括工控协议和传统以太网协议；

工控设备探测装置获取网络流量后，对网络流量进行解析，根据TCP/IP结构，依次解析物理层、数据链路层、网络层、传输层、应用层；

网络流量解析后，从网络流量的网络层记录源IP地址和目标IP地址，从网络流量的传输层记录源端口和目标端口，通过解析应用层协议或者数据链路层之上的协议，判断网络流量使用的哪种协议，并记录下来；

对网络流量进行过滤，获得跟工控协议相关的流量数据；

对工控流量进行分析，判断工控流量中是否包含设备信息；

如果工控流量中包含设备信息，则记录设备信息，留待后续进行进一步处理。

4.如权利要求1所述的工控设备指纹归一化方法，其特征在于，所述主动探测方式获得工控设备信息具体包括：

对于工控网络内的所有待测工控设备，进行全网扫描，探测正在运行的工控设备及其IP地址；

进行TCP端口探测，判断工控设备的端口开放情况；

对于TCP端口，根据IP地址、TCP端口，从工控协议库中选择端口使用的工控协议，将探测数据转换为工控协议数据；对于UDP端口，基于已探测得到的IP地址和工控协议库中的UDP端口和UDP协议，将探测数据转换为工控协议数据；

将转换后的工控协议数据发送给待测工控设备；

接收待测工控设备返回的响应流量，同时对网络流量进行解析；

判断解析后的流量中，是否包含工控设备信息；

将这些设备信息记录下来，留待后续进行进一步处理。