物聯網資產標記方法研究（一）基於先驗知識的物聯網資產標記實踐

綠盟科技發表於2020-08-19

一. 引言

無論在網際網路還是內網場景中，對資產的準確識別一直是一個老生常談的問題。但實際上隨著物聯網相關技術的不斷髮展，有越來越多新的裝置型別出現在我們的網路中，所以說資產識別是一個進行時的問題，需要持續關注才能很好的解決。《物聯網資產識別方法研究綜述》和《物聯網資產的6個特徵》分別介紹了物聯網資產相關的識別方法和開放HTTP服務的物聯網資產的一些特徵。本文介紹我們基於物聯網資產的先驗知識，做了一些物聯網資產發現的實踐工作。

二. 暴露的物聯網資產的特徵

找到暴露的物聯網資產不是容易的事情，原因在於網際網路上的暴露資產數量巨大、型別繁多，而物聯網資產碎片化程度非常嚴重。因而，發現物聯網資產的第一步是從暴露在網際網路上的各類資產中找到物聯網裝置的特徵，形成先驗知識。

2.1 暴露在網際網路的各類資產型別

透過網路空間搜尋引擎，我們可以快速的知道，全世界大約有多少資產和伺服器暴露在網際網路上。那麼具體都會有什麼型別的資產和服務暴露在網際網路上呢？

我們具體一些例子：

個人/企業網站或服務

個人/企業使用公網IP部署的網站或服務。

電商類服務

淘寶、京東等B2B、B2C、C2C的電商網站。

搜尋類服務

百度、谷歌、豆瓣、知乎等搜尋類服務網站。

資料庫服務

MySQL、MongoDB、ES、Redis等資料庫服務。

網路安全裝置

WAF、防火牆、VPN等網路安全裝置

IDC/家庭寬頻

IDC主機和家庭寬頻出口地址開放的服務

此外，物聯網相關的資產有：

物聯網/工業控制系統或服務

印表機、攝像頭、智慧家居等物聯網裝置或服務，還有工業控制系統服務

城市基礎設施

智慧交通、智慧城市、充電樁等城市基礎設施系統

上述部分物聯網資產可參見圖1所示。

其他服務

圖1. 一些網際網路上暴露資產類別

當然，上述提到的是網際網路上暴露數量比較多的資產類別，但絕不僅僅是提到的這幾類，這裡就不一一列舉了。

2.2 暴露物聯網資產的特徵

物聯網裝置和傳統的PC或伺服器暴露情況不太一樣，因為物聯網裝置一般會成批次的暴露在網際網路上，比如某廠商某型號的攝像頭會重複部署到網際網路上，這些裝置Banner幾乎完全一樣的，所以可以利用這樣聚集性的特點來發現物聯網裝置。

考慮到網際網路上暴露的資產數量和種類繁多，所以我們首先想到的是透過一些物聯網特徵形成先驗知識來減少處理的資料量，從而實現快速發現物聯網資產。

透過分析2.1中的各類物聯網資產，我們發現物聯網資產的特徵主要分為以下幾類：

裝置型別

物聯網裝置型別關鍵詞。比如Camera、Router、Smart Home等。

廠商名稱

物聯網裝置廠商列表可以透過搜尋引擎上搜尋獲得。比如TP-Link、Broadlink等。

Web伺服器

服務類網站常用的Nginx、Apache等作為Web伺服器，而物聯網裝置常用嵌入式web伺服器，比如Boa、thttpd、GoAhead等。

作業系統

常見的物聯網作業系統。比如OpenWRT、Android Things、ConTIk等。

協議

物聯網裝置服務常用協議型別。比如：ONVIF、UPnP、RTSP、HTTP等。

三. 物聯網資產發現實踐

本文主要使用物聯閘道器鍵詞、Web伺服器、作業系統、協議等特徵作為先驗知識來篩選資料，然後再對篩選得到高置信度物聯網裝置的Banner中的高頻片語進行統計，透過對高頻的片語對應的資產標記處理，實現快速發現物聯網資產類別。

3.1 識別流程

當我們已經有了物聯網裝置先驗知識，再從篩選後的資料中來標記物聯網資產就容易多了。資產發現具體分為以下幾個步驟：

1. 根據不同協議採集網際網路上存活的資產資料；

2. 使用物聯網先驗知識對全部資產進行過濾，得到高置信度物聯網資產資料；

3. 對篩選得到的資產Banner中的詞頻進行統計；

4. 對詞頻排序得到高頻詞列表，並將Banner含有該詞彙的資產資訊放到一個類別中；

5. 對逐個類別進行處理，標記出物聯網資產。