私有工控协议分类方法研究*

周 帅，王绍杰

(华北计算机系统工程研究所，北京100083)

0 引言

随着我国对工业化与信息化深度结合的推进，新技术越来越广泛地应用到传统工业与制造业上，网络空间作为人类活动的第五维空间，成为一个不同于陆、海、空、天的新的安全疆域。云计算、物联网将原先相对封闭的工业系统暴露在互联网中，由于重视不到位，相关防护措施不足，工控系统的网络安全事件日益增多，我国工控行业所面临的安全问题也日趋复杂，工控系统成为黑客攻击的目标，工控安全研究刻不容缓[1-2]。工控协议研究是工控安全的重要部分，工控协议由于历史原因，存在大量的未知私有协议，由于没有统一的标准，需要进行协议逆向工作进行协议的分析，而目前的协议逆向技术主要是针对一般网络协议的逆向，对工控网络协议的逆向分析较少，已有的针对工控协议的逆向分析中，报文分类方法也仅仅以长度或字符频率当作特征进行分析，存在很大误差[3]。针对以上问题，本文提出了一种基于自然语言处理的协议特征提取方法，将报文中的N-gram片段的概率作为关键词，将每一条报文的关键词作为特征，进行聚类分析，经过实验验证，本文提出的方法能够很好地将协议根据功能进行分类。

1 工控协议逆向技术

1.1 协议逆向技术介绍

协议逆向工程[4](Protocol Reverse Engineering)是指不依赖协议描述的情况下，通过对协议实体的网络输入输出、系统行为和指令执行流程进行监控和分析，提取协议、语义和同步信息的过程。……