[发明专利]通过监测其行为检测未知IoT设备的系统和方法

说明书

为了识别未知IoT设备类型，收集并分析设备的行为或统计数据。可以使用已知类型的设备的行为数据来创建功能组。可以生成功能组的行为简档并将其存储在数据库中。将未知类型的设备的行为数据与功能组的行为简档进行比较。当未知类型的设备的行为数据与行为简档的相似度超过预定或可配置阈值时，可以将与功能组相关联的设备类型分配给先前未知类型的设备。

相关申请的交叉引用

本申请要求2016年12月29日提交的题目为“通过监测其行为检测未知IoT设备类型”的美国临时申请No.62/440,321、2016年12月29日提交的题目为“通过监测行为检测恶意IoT设备”的美国临时申请No.62/440,361、2017年10月27日提交的题目为“通过监测其行为检测未知IoT设备类型”的美国临时申请No.62/578,290、和2017年10月27日提交的题为“通过监测行为检测恶意IoT设备”的美国临时申请No.62/578,336的优先权。上面引用的所有申请目前正在待决，其公开的全文，包括说明书和附图，通过引用结合于此。

技术领域

本发明一般涉及用于检测或确定网络上的未知设备类型的系统和方法，并且更具体地，涉及监测设备行为以确定设备类型。

背景技术

物联网(“IoT”)是用于描述包括许多不同类型的设备、传统计算机和过去不能进行网络通信的设备两者的网络的术语。IoT中的“物”可以是可以收集数据并经由网络传达数据的任何类型的设备。这种设备的示例可以包括智能家用电器、恒温器、传感器、生物芯片、可植入医疗设备、监测设备、车载设备，或通过互联网连接传达数据的任何设备。IoT设备可以为智能家居、智能电网、智能工厂、智能城市、智能交通系统和存在IoT设备的其他环境中的设备提供控制和自动化。在包括IoT设备的环境中，可以跨网络基础设施远程感测和控制对象。当IoT设备具有未知设备类型时，存在识别IoT设备并将它们与设备功能组相关联的需要。

发明内容

本发明一般涉及用于使用比较分析来确定未知设备类型的系统和方法。为了识别未知IoT设备类型，可以将设备的统计数据与包括已知类型的设备的功能组的行为简档进行比较。

本发明的一个方面针对方法，其中方法由包括通过网络连接的一个或多个设备的系统进行。方法可以包括收集已知设备的行为数据或统计模式并创建执行相同任务的设备的至少一个功能组的步骤。统计模式可以包括，例如，设备类型、制造商品牌名、MAC地址和型号信息。可以创建功能组的行为简档并将其存储在耦合到互联网的行为数据库中。可以使用通过用户输入、检测或来自第三方的输入中的一个或多个获得的已知设备行为数据来创建功能组的行为简档。可以收集并由系统接收来自连接到一个或多个本地网络的具有未知设备类型的一个或多个设备的一个或多个数据流。未知设备类型的设备的数据流可以包括，例如，入站或出站网络流量的统计量、网络流量的类型、分组的源和目的地端口、分组的目的地地址、分组到达和传输之间的时间以及连接的持续时间等中的一个或多个。可以将一个或多个第一设备的数据流从一个或多个路由器或监测节点发送到行为分析器。路由器、监测节点和行为分析器可以连接到互联网。可以从数据流中确定行为数据。在后续步骤中，可以确定具有未知设备类型的一个或多个设备的行为数据与至少一个功能组的行为简档之间的相似度。在一个实施例中，可以生成相似度得分。响应于确定设备的行为数据和功能组的行为简档的相似度满足或超过预定或可配置的阈值，可以将与功能组相关联的设备类型分配给设备。