无代理违规外联双域指纹定位方法及系统与流程

本发明涉及网络安全监测及网络资产识别，具体涉及无代理违规外联双域指纹定位方法及系统。

背景技术：

1、受控内网通常通过终端代理程序、网络边界设备和外联告警平台监测违规互联网访问。打印机、摄像头及部分物联网终端受运行环境、计算能力或管理权限限制，难以安装并持续运行代理程序。互联网侧外联告警通常只能反映公网源地址、访问目标及会话特征，不能直接取得发起访问的内网资产身份和接入位置。

2、现有无代理资产识别技术可利用主动扫描、被动流量、地址租约、域名解析和接入拓扑建立内网资产记录，但该类记录主要适用于内网观测范围。内网资产经私设网关、网络地址转换设备、代理节点、移动热点或随身wifi访问互联网时，源地址、源端口和协议栈特征可能被转换、遮蔽或重新生成，导致内网记录与互联网侧告警之间缺少可直接比较的统一标识。多个终端共用公网地址或代理出口时，仅依据地址和告警时间还容易产生多个候选资产。

3、部分关联方式利用时间、访问目标或单项通信特征进行匹配，但内外网采集时钟可能存在偏移，不同采集位置的字段可见范围亦不相同。若未区分采集缺失、路径不可见和实际特征冲突，或者未考虑地址转换端口行为及代理双段会话关系，容易将中间节点特征误认为终端特征，难以在多级转发及多终端共享出口条件下形成可核验的资产定位结果。

技术实现思路

1、本发明所要解决的技术问题是，现有违规外联监测依赖终端代理程序或网络边界的单点观测，难以覆盖不能安装代理程序的打印机、摄像头和物联网终端；当内网资产经私设网关、网络地址转换设备、代理节点、手机热点或随身wifi访问互联网时，地址、端口、生存时间和握手特征会被转换、遮蔽或重新生成，内网资产记录与互联网侧外联告警之间缺少可直接使用的统一资产标识，且采集缺失、路径不可见与真实特征冲突容易被混同，因而难以还原告警时刻的真实内网资产、接入位置及对应外联路径。

2、为解决上述技术问题，本发明提供一种无代理违规外联双域指纹定位方法。该方法由关联定位服务器执行，将内网侧主动扫描和被动流量观测形成的内网资产指纹，与互联网侧外联告警形成的外部访问指纹进行时间对齐；针对直连、网络地址转换、代理转发和移动热点建立路径变换假设，把内网观测特征转换到互联网侧的预期观测条件；在相同观测条件下形成支持证据和冲突证据，结合跨时间窗口的一致关系确定候选资产与外联路径的联合置信度，并在不能唯一定位时通过无需安装终端客户端的受控复核补充证据。

3、本发明提供的无代理违规外联双域指纹定位方法包括步骤s1至步骤s5。

4、步骤s1，获取内网侧的资产探测数据、通信流量数据、地址分配数据和接入拓扑数据，按照有效时间建立资产身份、网络地址与接入位置的身份链，从中提取协议栈响应、应用交互和连接时序特征，以所述身份链为索引生成时间版本化的内网资产指纹。

5、具体地，关联定位服务器从内网采集节点取得主动扫描响应和被动流量记录，从动态主机配置协议服务取得地址租约记录，从域名系统取得查询记录，并从交换设备控制接口、地址转发表或无线控制器取得接入拓扑记录。各类记录不以当前网络地址作为长期不变的资产标识，而是先根据记录来源和有效期间转换为具有统一时间基准的数据对象，再关联至对应资产实例。

6、所述身份链由资产标识节点、网络接口节点、地址租约节点和接入位置节点组成。资产标识节点表示资产管理标识或根据多次观测形成的稳定身份；网络接口节点表示资产用于通信的有线或无线接口；地址租约节点表示网络地址在相应租约期间对网络接口的占用关系；接入位置节点表示网络接口在相应期间连接的交换机端口、无线接入点、虚拟局域网和网络区域。节点之间的连接均设置有效起止时间，因而能够根据外联告警的发生时刻恢复当时有效的网络地址和接入位置，而不以查询时的当前网络状态替代历史状态。

7、进一步地，内网采集节点将媒体访问控制地址及其厂商前缀、动态主机配置协议客户端标识和主机名称所反映的稳定身份关系写入资产标识节点或网络接口节点，将互联网协议地址写入具有租约有效期的地址租约节点。当网络接口更换地址或接入位置时，在原节点上结束有效期间并建立新的地址租约节点或接入位置节点。当同一资产具有多个网络接口，或者媒体访问控制地址发生随机化变化时，根据动态主机配置协议客户端标识、主机名称、协议栈响应、应用交互及接入位置在相邻时间窗口中的一致关系建立身份簇，使多个时效性网络身份能够回溯至同一资产实例。

8、主动扫描响应和被动流量记录被转换为资产特征单元。每一资产特征单元可表示为f_k＝（n_k，v_k，t_k，o_k，r_k，τ_k），其中，n_k表示特征名称，v_k表示特征值或特征序列，t_k表示观测时间，o_k表示观测位置，r_k表示取值范围为[0，1]的初始采集可靠性，τ_k表示大于零的可靠性衰减时间常数。初始采集可靠性根据采集方式、记录完整度和重复观测一致性确定；可靠性衰减时间常数根据特征类别及其历史变化情况确定。服务器根据观测时间、可靠性衰减时间常数以及该特征的显式有效期间确定其在告警时刻是否参与关联；不再参与当前关联的特征仍保留在历史时间版本中用于回溯。

9、所述资产特征单元按照其形成机理组织为身份关联特征、协议栈响应特征、应用交互特征和行为时序特征。协议栈响应特征由主动探测响应或被动报文头推定，包括生存时间初始值及转发跳数关系、传输控制协议窗口和选项排列关系；应用交互特征反映资产对域名和网络服务的使用方式，包括域名查询关系、ja3指纹加密握手指纹及归一化的user-agent字段标识；行为时序特征反映连续通信活动之间的相对关系，包括访问目标顺序、连接周期、流量突发轮廓和内侧源端口变化关系。上述特征以形成机理为单位进入后续路径变换，而不是把所有字段拼接为必须完全相同的固定字符串。

10、步骤s2，接收互联网侧外联告警数据，聚合同一访问过程的告警记录形成外部访问事件，从中提取外部访问特征并记录特征可观测状态，生成外部访问指纹。

11、具体地，外联告警数据可由互联网侧安全监测平台、威胁检测设备、访问审计设备或流量分析设备提供。关联定位服务器对告警中的时间表达、地址表达、协议名称、域名和应用标识进行规范化，以公网源标识、访问目标和时间邻近关系为基础，将属于同一连接或连续访问过程的记录合并为外部访问事件。合并过程中保留原始告警引用，使规范化后的外部访问指纹能够返回至原始告警内容进行核验。

12、外部访问指纹包括外部访问事件在互联网侧实际呈现的协议栈响应、应用交互和行为时序特征，同时为每一特征记录可观测状态。所述可观测状态用于区分有效观测、采集缺失和路径不可见。有效观测表示告警采集位置具备观测该特征的条件且已经取得特征值；采集缺失表示采集位置具备观测条件，但因报文缺失、会话截断或解析失败未能取得特征值；路径不可见表示该特征在到达告警采集位置之前已经被地址转换、加密封装、代理重建或其他中间处理遮蔽。采集缺失和路径不可见均不被预先解释为与候选资产冲突。

13、步骤s3，对内网资产指纹和外部访问指纹进行时间对齐，根据告警时段内有效的身份链和资产通信状态筛选候选资产，并以双域可比特征生成候选资产集合。

14、具体地，当内网侧与互联网侧记录有共同的基准通信事件时，以所述基准通信事件在两侧的记录时间之差确定固定时间偏移。当不存在共同基准通信事件时，在预设偏移范围内移动外部访问事件的时间窗口，分别比较两侧访问目标序列和连接活动序列的对应程度，将对应程度最高的偏移量确定为候选时间偏移，并根据该最高对应程度与相邻偏移位置对应程度的差异确定时间校准可靠性。时间校准可靠性较低时扩大候选检索窗口，但降低仅依赖精确时间重合形成的证据权重。

15、关联定位服务器按照校准后的告警时间查询身份链，仅保留在该时间具有有效地址租约或接入关系的资产，并结合被动流量、动态主机配置协议活动或接入设备在线状态判断相应资产是否具备发起通信的条件。被单一采集来源记录为离线而其他采集来源缺少记录的资产不被直接删除；在相互独立的采集来源中均被确认不具备在线条件的资产才形成离线冲突证据。完成在线条件筛选后，服务器根据双域之间可比较的特征建立索引，以索引命中资产作为候选资产集合。所述索引按特征形成机理组织，使域名访问关系、加密握手关系、应用标识关系、协议栈响应关系和连接时序关系可分别召回候选资产，并在后续步骤中根据路径可见性确定其能否参与比较。

16、步骤s4，针对候选资产建立直连、网络地址转换、代理转发或移动热点的路径变换假设，将内网资产指纹转换为相应路径下的预期外部指纹，并与外部访问指纹比较，融合特征支持、特征冲突和跨时间窗口一致性，获得候选资产与路径变换假设的联合置信度。

17、具体地，每一路径变换假设设置特征状态规则和候选路径参数。特征状态规则根据特征经过相应路径后的形成位置和变化方式，将特征划分为保持状态、可预测变换状态、中间节点重新生成状态和路径不可见状态。保持状态表示特征经过相应路径后仍由原资产产生并能够在互联网侧观察；可预测变换状态表示特征值发生变化，但能够根据转发跳数、端口映射或链路时延关系得到预期值；中间节点重新生成状态表示互联网侧特征由代理节点或网关重新建立连接时产生，不能直接作为终端身份特征；路径不可见状态表示该特征不能穿过相应路径到达互联网侧观测位置。

18、设资产a在时间t的内网资产指纹为fp_in（a，t），路径变换假设为h，相应候选路径参数为θ_h。fp_in（a，t）表示由时间t命中的版本化内网资产指纹；当时间t落入版本v_v的有效期间时，fp_in（a，t）与该版本的fp_in（a，v_v）表示同一资产指纹状态。相应预期外部指纹可表示为：

19、fp_out^pre（a，h，t）＝t_h[fp_in（a，t）；θ_h]。

20、其中，t_h表示路径特征变换。对于保持状态的特征，t_h保留相应特征值及其可靠性；对于可预测变换状态的特征，t_h根据候选路径参数产生预测值和允许偏差范围；对于中间节点重新生成状态的特征，t_h不复制原资产特征，而是生成用于连接内侧会话和外侧会话的路径证据要求；对于路径不可见状态的特征，t_h将其比较状态设置为无效。由此，fp_out^pre表示经路径变换得到的预期外部指纹，并与互联网侧实际取得的外部访问指纹处于相同观测条件。

21、对于直连路径，应用交互特征和行为时序特征保持由内网资产产生，协议栈响应特征可根据内外网观测位置之间的转发跳数进行预测。对于网络地址转换路径，内网网络地址和媒体访问控制地址在互联网侧不可见，应用交互特征保持由内网资产产生，内侧源端口按照候选端口映射规则转换为预测外侧源端口。对于代理转发路径，代理节点重新建立传输连接和加密会话所产生的协议栈响应及握手特征被标记为中间节点重新生成特征，资产定位依据由候选资产至代理节点的内侧会话和代理节点至访问目标的外侧会话之间的会话链形成。对于移动热点路径，按照热点设备的转发跳数、端口分配及链路时延关系确定协议栈响应和连接时序的允许变化范围，并停止对被热点遮蔽的内网地址特征作等值比较。

22、进一步地，对于网络地址转换路径，服务器按照访问目标和连接时间将候选资产的内侧连接与外部访问事件的外侧连接配对，分别形成内侧源端口序列ports_in和外侧源端口序列ports_out。服务器根据配对位置、端口差值和相邻连接的端口增量关系建立端口映射函数g_h，使g_h能够表达端口保持、固定偏移、按分配顺序递增或分段分配产生的映射关系。利用g_h（ports_in）得到预测外侧源端口序列后，将其与ports_out进行次序一致性比较，并在后续外部访问事件中验证同一映射关系能否复现。随机端口分配不要求端口值相等，而以目标对应关系、连接顺序和分配边界的统计一致关系形成较低区分度的路径证据。

23、对于代理转发路径，服务器从内网流量中取得候选资产至代理节点的内侧会话，从外联告警数据中取得代理节点至访问目标的外侧会话，按照访问目标对应关系、会话开始和结束的先后关系、持续时间以及双向通信活动的变化关系建立会话匹配边。多个内侧会话和外侧会话形成候选匹配时，服务器在多个访问过程中检查匹配边是否持续出现，并排除会导致一个外侧会话同时被互斥内侧会话占用的组合，形成由资产身份链、内侧会话、代理节点、外侧会话和外部访问事件依次连接的会话链。代理节点自身产生的共有协议栈特征不作为区分共享该代理节点的多个内网资产的主要依据。

24、待比较指纹与外部访问指纹之间的一次特征比较结果形成证据单元。证据单元记录候选资产、外部访问事件、路径变换假设、观测时间、采集来源、特征可靠性、特征区分性和比较状态。特征区分性根据相应特征在同一时段有效资产中的出现比例及其跨时间窗口稳定性确定；在较多资产中重复出现的公共特征具有较低区分性，在较少资产中出现且跨时间窗口保持稳定的特征具有较高区分性。当可比较特征相符时形成支持证据；当可比较特征不符且该差异不能由候选路径参数解释时形成冲突证据；当特征处于采集缺失或路径不可见状态时，不形成支持证据或冲突证据。

25、可选地，对于候选资产a、外部访问事件e和路径变换假设h，支持证据归一量s+（a，e，h）和冲突证据归一量s-（a，e，h）分别表示为：

26、s+（a，e，h）＝[σ_(k∈k+) w_k^+·r_k·q_k·s_k] / [σ_(k∈k+) w_k^+·r_k·q_k＋ε]；

27、s-（a，e，h）＝[σ_(j∈k-) w_j^-·r_j·c_j] / [σ_(j∈k-) w_j^-·r_j＋ε]。

28、其中，k⁺表示参与支持判断的特征集合，k⁻表示形成冲突判断的特征集合；w_k^+、q_k、s_k、w_j^-和c_j均为[0，1]范围内的无量纲数，依次表示支持特征区分性、路径可比较系数、相似程度、冲突权重和冲突程度；r_k和r_j分别表示对应支持特征和冲突特征在告警时刻的有效可靠性，其取值范围为[0，1]，并根据初始采集可靠性、可靠性衰减时间常数或显式有效期间确定；ε为防止分母为零而设置的正数。路径不可见特征的q_k取零，采集缺失特征不进入k-；k+或k-为空集时，对应求和项取零，对应归一量取零。

29、服务器根据同一候选资产在连续或周期性时间窗口内重复出现的支持关系确定多窗口一致量m（a，e，h）。设w_e为与外部访问事件e相邻或具有相同周期相位的历史窗口集合，ρ_u为窗口u的数据可靠性，rep_u（a，h）在窗口u中重复形成候选资产a与路径变换假设h的有效支持关系时取1、否则取0，则：

30、m（a，e，h）＝[σ_(u∈w_e) ρ_u·rep_u（a，h）] / [σ_(u∈w_e) ρ_u＋ε]。

31、其中，ρ_u的取值范围为[0，1]；w_e为空集时m（a，e，h）取零。服务器按照下式得到联合置信度c（a，e，h）：

32、c（a，e，h）＝σ[α·s+（a，e，h）－β·s-（a，e，h）＋γ·m（a，e，h）]；

33、σ（x）＝1 / [1＋exp（－x）]。

34、其中，σ表示将输入映射至[0，1]范围的逻辑函数，α、β和γ为非负融合系数，且α＋β＋γ＞0。所述融合系数根据已复核外联事件中支持证据、冲突证据和多窗口一致量对正确定位结果的区分能力确定，也可依据采集环境的记录完整度进行配置。联合置信度在候选资产与路径变换假设的组合范围内进行比较，使服务器能够同时给出真实内网资产和对应外联路径，而不是先固定路径后再进行资产匹配。

35、步骤s5，根据联合置信度及候选资产之间的置信度间隔确定定位结果，在满足唯一定位条件时输出真实内网资产、告警时网络地址、接入位置、对应外联路径和关联证据链，在不满足唯一定位条件时生成面向候选资产的无代理复核任务，根据复核所得数据更新内网资产指纹并重新确定定位结果。

36、具体地，服务器对同一外部访问事件对应的候选资产与路径变换假设组合按照联合置信度排序，将最高联合置信度记为c_1，将对应于不同候选资产的次高联合置信度记为c_2。当c_1达到定位阈值θ_loc，且c_1－c_2达到区分阈值θ_gap时，生成唯一定位结果；不存在对应于不同资产的次高候选时，c_2取零。定位阈值、区分阈值和候选保留阈值均位于[0，1]，且候选保留阈值不高于定位阈值。联合置信度达到候选保留阈值但不满足唯一定位条件时，保留相应候选资产及路径变换假设并生成复核任务；全部联合置信度低于候选保留阈值时，输出指纹覆盖不足或未知路径状态，并保留外部访问指纹以供后续指纹库更新后重新处理。

37、所述无代理复核任务不要求在候选资产上安装客户端。关联定位服务器根据候选资产类型和已有证据缺口，驱动内网采集节点执行受控速率的主动探测，查询告警时刻对应的地址租约和接入拓扑，刷新当前接入关系，并在后续观察窗口取得候选资产产生的通信活动。复核任务根据路径不可见状态避免请求不能由相应观测位置取得的数据，并优先补充能够区分现有候选资产的特征。复核所得数据作为带有采集来源、采集时间和有效期间的新资产特征单元写入内网资产指纹，随后重新执行候选生成、路径变换和证据比较。

38、关联证据链按照处理次序连接原始外联告警、外部访问事件、时间校准记录、候选资产及其身份链版本、路径变换假设、候选路径参数、证据单元、复核记录和定位结果。每一规范化记录保留对原始采集记录的引用，路径变换所得预测值保留所使用的规则版本和候选路径参数，联合置信度保留参与计算的支持证据、冲突证据和多窗口一致关系。由此能够沿定位结果反向查询其资产身份来源、告警时网络地址来源、接入位置来源及路径判断依据。

39、另一方面，本发明还提供一种无代理违规外联双域指纹定位系统，包括内网资产指纹生成模块、外部访问指纹生成模块、时间对齐与候选生成模块、路径变换与关联计算模块以及定位输出与复核模块。

40、内网资产指纹生成模块用于取得内网侧的资产探测数据、通信流量数据、地址分配数据和接入拓扑数据，建立带有有效期间的资产身份链，将主动扫描响应和被动流量观测转换为资产特征单元，并以资产实例和时间版本为索引形成内网资产指纹。外部访问指纹生成模块用于接收互联网侧外联告警数据，合并属于同一访问过程的记录，形成外部访问事件，提取外部访问特征并记录其有效观测、采集缺失或路径不可见状态。

41、时间对齐与候选生成模块用于计算内外网采集记录的时间偏移，根据校准后的告警时段恢复资产身份链和通信状态，并通过双域可比特征索引形成候选资产集合。路径变换与关联计算模块用于针对候选资产建立路径变换假设，按照特征状态规则和候选路径参数形成预期外部指纹，生成支持证据、冲突证据和多窗口一致关系，并计算候选资产与路径变换假设的联合置信度。定位输出与复核模块用于根据联合置信度和候选资产之间的置信度间隔生成唯一定位结果、候选资产结果或指纹覆盖不足结果，建立关联证据链，并在不能唯一定位时生成无代理复核任务。

42、进一步地，所述系统包括设置在受控内网中的内网采集节点、与互联网侧外联告警系统连接的告警接入节点、承载所述功能模块的关联定位服务器以及与网络管理设备连接的复核接口。内网采集节点通过流量镜像链路取得被动流量，通过资产探测链路执行受控主动扫描，并从内网基础服务和网络管理设备取得地址租约、域名解析及接入拓扑。告警接入节点将互联网侧外联告警转换为标准化告警记录并发送至外部访问指纹生成模块。关联定位服务器通过指纹记录、时间窗口和事件标识完成双域关联，互联网侧外联告警系统不直接访问内网资产指纹存储区。复核接口用于查询历史及当前网络身份、接入位置并触发受控探测，使无代理复核限定在受控内网范围内进行。

43、综上，本发明以具有有效期间的资产身份链组织内网侧主动扫描、被动流量、地址分配、域名解析和接入拓扑数据，形成能够按告警时刻回溯的内网资产指纹，并将互联网侧告警聚合为具有特征可观测状态的外部访问指纹。两域指纹完成时间对齐后，服务器针对直连、网络地址转换、代理转发和移动热点建立路径变换假设，将保持、可预测变换、中间节点重新生成和路径不可见特征分别处理，在相同观测条件下融合支持证据、冲突证据及多窗口一致关系，获得资产与外联路径的联合置信度；定位条件不足时，通过网络侧受控探测、历史租约查询、接入拓扑查询和后续通信观察补充证据，并保存可回溯的关联证据链。

44、与现有技术相比，本发明通过网络侧采集形成资产指纹，不以被定位终端安装客户端程序为前提，因而能够覆盖打印机、摄像头和物联网终端。带有有效期间的身份链将资产实例与动态网络地址、媒体访问控制地址及接入位置分离，使服务器能够按照告警时刻恢复历史网络身份；路径变换处理则避免把网络地址转换后的端口、代理节点重新生成的握手特征或移动热点遮蔽的地址字段直接作为终端等值特征，从而在共享出口和多级转发条件下保留对真实资产具有区分作用的应用、会话及时序证据。

45、本发明将有效观测、采集缺失和路径不可见分别处理，仅对不能由有效路径参数解释的可比较差异形成冲突证据，并结合特征可靠性、特征区分性及跨窗口重复关系确定联合置信度，由此使唯一定位、候选保留和指纹覆盖不足分别对应不同的证据充分程度。定位结果中的资产身份、告警时网络地址、接入位置和外联路径均连接至原始告警、指纹版本、路径参数及复核记录，既能够在证据不足时避免输出超出观测条件的确定结论，也能够通过无代理复核补充可区分特征后重新定位。