[发明专利]一种物联网设备未知漏洞识别方法及装置

说明书

本发明提出一种物联网设备未知漏洞识别方法及装置，包括：在流量监测服务器端捕获网络流量，并对流量数据进行HTTP协议解析并保存原始数据包；将所述流量特征数据与已知的IoT设备漏洞特征进行匹配，如果跟所有已知漏洞特征匹配均不成功，则对所述流量特征数据进行语法分析，转换成语法树；检测生成的语法树是否合法，如果语法检测合法，则对符合语法规则的数据进行威胁程度分析；获取所述记号流数据对应的原始数据包，利用数据重放的方式对所述原始数据包进行攻击验证；按照流量特征数据中的URL前缀进行分类，通过搜索引擎接口在互联网上搜索所述URL前缀，最后将捕获到的0day漏洞的相关数据信息进行保存显示。

技术领域

本发明涉及信息安全技术领域，尤其涉及一种物联网设备未知漏洞识别方法及装置。

背景技术

物联网(Internet of Things，简称IoT)是一个基于互联网、传统电信网等信息承载体，让所有能够被独立寻址的普通物理对象实现互联互通的网络。随着5G时代的到来，越来越多的设备会连接网络，物联网设备数量将迎来井喷式增长，物联网设备的安全性正在面临前所未有的安全威胁。

未知漏洞，也称0day漏洞或零日漏洞，泛指那些在互联网中客观存在的，并且已经被部分黑客发现，目前还没有公开过的漏洞。未知漏洞常常被用于高级持续渗透攻击，由于未知漏洞尚处于未被公开的状态，因而也没有相应的第三方或官方补丁程序去修补漏洞，往往会给系统安全带来很大的风险。

因此，市场急需一种能够主动识别出物联网系统中的设备未知漏洞的方法，从而在一定程度上降低系统安全的风险。

发明内容

本发明的主要目的在于提出一种物联网设备未知漏洞识别方法，旨在一定程度上识别出物联网系统中设备位置漏洞，提高系统安全性。

为实现上述目的，本发明提供的一种物联网设备未知漏洞识别方法，该方法包括以下步骤：

步骤S1.在流量监测服务器端捕获网络流量，并对流量数据进行HTTP协议解析，提取HTTP头部字段、Body体内容和URL前缀，从而得到流量特征数据，并保存原始数据包；

其中，所述URL前缀包括去除域名的资源路径和参数名。

步骤S2.将所述流量特征数据与已知的IoT设备漏洞特征进行匹配，如果匹配成功，说明该数据为Nday漏洞攻击，因而不符合未知漏洞攻击特点；如果跟所有已知漏洞特征匹配均不成功，则进入S3。

步骤S3.对所述流量特征数据进行语法分析，输入SHELL词法分析器flex，将流量特征数据转变成记号流数据。其中，所述记号流数据包括流量特征数据中的多个记号，并且每个记号都有对应的值和类型。

S4.对记号流数据开展语法分析，将记号流数据转换成语法树：

S5.根据shell语法规则，检测生成的语法树是否合法，如果不符合语法规则的数据，则跳过该条数据，如果语法检测合法，则进入S6。

S6.对符合语法规则的数据进行威胁程度分析，将捕获的数据与攻击模板数据库中的攻击模板进行匹配，根据匹配到的模板计算得到当前记号流数据的威胁值，将当前记号流数据的威胁值与预设阈值进行比较，如果所述威胁值低于预设阈值，则对当前记号流数据进行舍弃，如果所述威胁值不低于预设阈值，则进入步骤S7。

S7.获取所述记号流数据对应的原始数据包，利用数据重放的方式对所述原始数据包进行攻击验证，将所述原始数据包的注入命令中的攻击目的地址替换成系统内验证服务器的地址，并重放该数据，通过在所述验证服务器上查看连接请求来判断重放是否成功，如果有连接则说明重放成功，则进入S8。