CN116318936B 一种基于改进决策树的联网工业控制资产识别方法 （东北大学）

一种基于改进决策树的联网工业控制资产根据数据标签将数据集分为联网工控设备操作系统资产数据集和联网工控设备型号资产数据策树模型，根据构建的决策树模型建立基于2步骤一、使用联网工控资产探测模型进行数据探测；探签将数据集分为联网工控设备操作系统资产数据集和联网工控设备型号资产步骤三、根据工控设备流量数据集不同特征对于资时为了解决联网工控设备操作系统资产数据集和联网工控设备型号资产数据集中样本数步骤四、构建基于特征权重修正的决策树模型，利用步骤三步骤五、结合步骤四构建的决策树模型建立基于A所述步骤一中的联网工控资产探测模型的具体工作流记该目标主机为疑似蜜罐进行步骤1.7，当shodan标记该目标主机为确认蜜罐进行步骤3mr(Ai)＝max(Ai)_min(根据数据标签种类将经步骤2.1_2.3处理后的数据集分为联网工控设备操作系统资产数据所述步骤三分别对联网工控设备操作系统资产数据集和联网工控设备型号资产数据集进3.1、从联网工控设备操作系统资产数据集或联网工控设备型号资产数据集中随机选4P和B分别是联网工控设备操作系统资产数据集或联网工控设备型号资产数据集中的3.6、根据以下公式计算出与样本Rl类别相同的同类样本集合H中的指纹特征Ai的特征3.7、遍历与样本Rl的异类样本集合M中类别集合CM，对于CM中的每个类别Cq进行步骤l的异类样本集合M中类别为Cq的样本集M(Cq)，对于M(Cq)中的每个样本q3.10、根据以下公式计算出样本Rl的异类样本集合M中的指纹特征Ai的权qqw_diff+＝P(C)*diff_rm/(1_P(clqW(Ai)＝W(Ai)_w_same+4.1、初始化创建包含整个联网工控设备操作系统资产数据集或联网工控设备型号资4.2、将步骤三计算出的特征权重集W(A)中每个特征权重W(Ai)与基尼系数Gini(D)相指纹特征A对联网工控设备操作系统资产数据集或联网工控设备型号资产数据集的基5其中Q1为联网工控设备操作系统资产数据集或联网工控设备型号资产数据集中，指纹5.1、定义一个联网工控设备操作系统资产数据集或联网工控设备型号资产数据集指指定对于每一个特征向量集中的样本u的权重都是一样的，都是即初始特征权重6zh+=e"hf(x)＝hCh。7[0002]工业互联网作为将IT(InformationTechnology)和OT(OperationTechnology)因此针对联网工业控制设备的主动防御和态势感知技及帮助安全管理人员减少安全告警压力并为可能出现针对特定设备或系统的网络攻击提备资产识别问题利用机器学习方法高效解决依然没有一种[0004]论文“申玉.网络资产自动识别方法的研究及应用[D].山西大学,2021.DOI:纹库及网络资产探测收集的流量数据作为数据集，训练CNN模型以提升对操作系统的识别8[0010]联网工控资产探测模型为综合性的工业互联网探测模型，该模型结合了主动探量；当目标主机回复报文符合工控协议标准进行步骤1.5；当目标主机无回应或[0016]1.6、利用shodan搜索引擎接口检查目标主机信息，检查情况共分为三种；当shodan标记该目标主机为疑似蜜罐进行步骤1.7，当shodan标记该目标主机为确认蜜罐进9[0022]指纹特征组合包括TCP/IP协议数据包中的常规指纹特征和根据工控设备自身特i中均值av(Ai)定义如下：[0031]2.2、针对结合后的数据集不符合标控设备操作系统资产数据集和联网工控设备型号资产数据集中样本数据指纹特征之间的[0036]分别对联网工控设备操作系统资产数据集和联网工控设备型号资产数据集进行[0037]3.1、从联网工控设q[0050]3.10、根据以下公式计算出样本Rl的异类样本集合M中的指纹特征Ai的权重值w_qqq[0055]4.1、初始化创建包含整个联网工[0056]4.2、将步骤三计算出的特征权重集W(A)中每个特征权重W(Ai)与基尼系数Gini[0057]指纹特征A对联网工控设备操作系统资产数据集或联网工控设备型号资产数据集[0062]其中Q1为联网工控设备操作系统资产数据集或联网工控设备型号资产数据集中，[0071]5.1、定义一个联网工控设备操作系vt}，指定对于每一个特征向量集中的样本u的权重都是一样的，都是即初始特征权重gg[0086]zh+=e-"h[0092](1)提出联网工控资产探测模型抽象并定义了模型的有限状态。在主机探活阶段[0093](2)结合联网工控资产探测模型探测数据和工控设备的自身特点，在传统网络流策树模型验证了工控网络流量数据指纹组合在工控资产[0094](3)结合工控流量数据特点提出一种基于特征权重修正的决策树模型，并建立基[0095](4)基于Adaboost算法对基于特征修正的决策树模型进行强化，提升识别方法的[0103]本发明提出了一种基于改进决策树的联网工业控制资产识别方法，图1展示了本[0111]1.6利用shodan搜索引擎接口检查目标主会有不同的状态转换，shodan标记该主机IP为疑似蜜罐则转1.7，若标记为确认蜜罐则转规指纹特征和根据工控设备自身特点选取的表2[0131]2.7收集的探测数据中的banner字段[0134]数据标签将数据分为联网工控设备操作系统资产数据集和联网工控设备型号资[0136]3.1、从联网工控设q[0148]3.10、根据以下公式计算出样本Rl的异类样本集合M中的指纹特征Ai的权重值w_qqq[0153]4.1、初始化创建包含整个联网工[0154]4.2、将步骤三计算出的特征权重集W(A)中每个特征权重W(Ai)与基尼系数Gini[0169]5.1、定义一个联网工控设备操作系vt}，指定对于每一个特征向量集中的样本u的权重都是一样的，都是即初始特征权重gg[0190]为了验证本发明提出的基于改进决策树的联网工业控制资产识别方法确实具有说明本发明的探测模型在针对工控设备的操作系统探测和设备型号探测确可有效提高数型的准确率超过90因此本发明提出的指纹特征组合在针对工控设备操作系统和设备型[0193]为了减小因数据分布不均匀而在抽样测试时造