基于可信度量的边缘设备接入准入校验系统及方法与流程

本发明属于网络安全，具体涉及基于可信度量的边缘设备接入准入校验系统及方法。

背景技术：

1、随着工业互联网与物联网技术的深度落地，边缘设备已成为生产现场数据采集、实时运算与终端管控的核心载体，广泛分布于各类工业场景的网络末梢，设备接入管控作为网络安全防护的第一道关口，其准入校验的严谨性与全面性，决定了整体工业网络的运行稳定性与数据安全性。

2、然而现有技术未考虑边缘设备的异构性特征与接入场景的复合安全风险，具体而言，针对边缘设备种类繁杂、固件版本多样、安全基线参差不齐的现状，现有接入管控机制多采用单一的身份认证模式，无法基于设备硬件属性、固件完整性、运行行为等多维度特征开展可信度量与动态评估；同时缺乏对非法仿冒接入、异常入网行为的实时识别与主动拦截能力，难以对设备接入全生命周期实施精细化的准入校验，既容易因固件漏洞被利用引发网络入侵风险，也无法适配复杂场景下的高等级安全防护需求。

技术实现思路

1、针对现有技术存在的不足，本发明的目的在于提供基于可信度量的边缘设备接入准入校验系统及方法，通过多源特征集实现设备身份、固件、运行行为多维度可信度量，依托云端全局基准适配设备异构特性，结合漏洞风险动态加权得到准入校验值，分级实施差异化准入与全周期动态复测管控，防范非法接入与固件漏洞引发的网络安全风险。

2、为实现上述目的，本发明提供了如下技术方案：

3、基于可信度量的边缘设备接入准入校验系统，包括：实时采集模块、边缘校验模块和云端管控模块；

4、所述实时采集模块用于实时采集本地数据，并进行预处理，结合本次固件与上一版本固件的差分补丁哈希，构建多源特征集；

5、所述边缘校验模块用于接收所述多源特征集，通过身份维度、运行维度的可信度量，获得身份合规度与运行合规度，并进行加权运算，得到准入校验值，通过所述准入校验值与高低双阈值的分级判定，进行准入决策，划分设备的准入等级，包括允许接入、观测接入、拦截，并依据识别的准入等级分配复测指令；

6、所述云端管控模块用于构建基准数据，并进行定期维护。

7、具体地，所述边缘校验模块包括请求单元、度量单元和决策单元；

8、所述请求单元用于实时监测网络边界的设备接入请求，并向对应设备下发采集指令，并接收多源特征集；

9、所述度量单元用于对所述基准数据进行设备身份匹配，获取当前接入设备的固件基准信息，通过固件特征的逐段对比与漏洞筛选，获得身份合规度，同步生成设备类型标签、漏洞等级标签，基于设备类型标签从所述基准数据中调取对应的类别运行基线，通过运行特征的逐项比对与相似偏差评估，获得运行合规度；

10、所述决策单元用于依据漏洞等级标签从所述基准数据中匹配漏洞利用链，为身份合规度、运行合规度配置权重，并通过加权求和得到准入校验值，基于高低双阈值对所述准入校验值进行分级判定，生成准入等级与复测指令。

11、具体地，构建多源特征集的步骤包括：

12、对于预处理后的标准数据集，通过设备身份字段提取与哈希运算，生成设备身份特征；

13、从所述标准数据集中提取固件状态字段，通过逐级哈希值拼接与运算，构建全量固件指纹，通过相邻固件版本的逐字节比对与哈希运算，构建增量固件指纹，结合匹配的漏洞关联标签，生成固件特征；

14、从所述标准数据集中分别提取进程特征向量、端口特征向量、配置特征向量，生成运行特征；

15、提取时序特征向量、长度特征向量、握手节奏特征、交互节奏特征，通过特征拼接与主成分分析，生成接入序列指纹，结合提取的历史接入特征、网段特征，生成接入特征；

16、对设备身份特征、固件特征、运行特征、接入特征进行结构化封装，生成多源特征集。

17、具体地，获得身份合规度的步骤包括：

18、获取多源特征集中的设备指纹编码，调用基准数据中的设备注册库，以所述设备指纹编码为匹配键，进行字符串匹配；

19、若字符串匹配成功，则设备匹配系数赋值为1，同步提取固件基准索引；否则设备匹配系数赋值为0；

20、依据所述固件基准索引，从基准数据的固件基准哈希库调用基准增量指纹与基准全量指纹；

21、通过增量固件指纹与所述基准增量指纹中的逐字节相等校验，进行增量校验；若完全一致，则将固件匹配度赋值为1，并跳过全量校验；

22、若存在差异，则进行全量校验，调用所述基准全量指纹下的分区基准哈希值，与全量固件指纹的哈希值进行逐个比对，统计匹配成功的匹配分区数量；

23、通过匹配分区数量与当前设备总分区数量之比，获得固件匹配度。

24、具体地，获得身份合规度的步骤还包括：

25、提取固件特征中的漏洞关联标签，调取基准数据中的漏洞库，逐条匹配对应漏洞的严重等级权重、利用难度系数、利用链关联系数，通过乘积运算，获得单漏洞风险；

26、通过所有单漏洞风险的累加与归一化处理，得到漏洞风险系数；

27、将漏洞风险系数的取值区间划分为三个连续子区间，并判定当前漏洞风险系数的漏洞等级，生成漏洞等级标签；

28、通过固件匹配度、漏洞风险系数的加权求和与设备匹配系数的修正，得到身份合规度。

29、具体地，获得运行合规度的步骤包括：

30、基于所述设备类型标签，从所述基准数据中调用对应的类别运行基线，包括：进程基线向量、端口基线向量、配置基线向量、接入基准序列；

31、通过进程特征的逐项位置比对，计算进程存在偏差，利用占用率的欧氏距离与归一化处理，计算进程资源偏离，通过加权求和，得到进程偏差系数；

32、基于端口特征的逐项比对，统计端口分布异常数、异常协议数量、超限连接数，通过归一化处理与加权求和，得到端口偏差系数；

33、通过配置特征的逐位等值比对，统计配置项发生篡改的异常条目数量，结合配置项总数量，计算配置偏差系数；

34、基于接入行为序列与接入基准序列的序列相似度，计算接入偏差系数；

35、对进程偏差系数、端口偏差系数、配置偏差系数、接入偏差系数进行加权融合，获得运行偏离度，以1与所述运行偏离度的差值，得到运行合规度。

36、具体地，为身份合规度、运行合规度配置权重的步骤包括：

37、基于当前设备的全部漏洞，依据每个漏洞的链式利用关系，划分漏洞链路与孤立漏洞；

38、遍历所有孤立漏洞，通过所有孤立漏洞的单漏洞风险累加，得到孤立风险；

39、遍历每一条漏洞链路，通过漏洞链路中单漏洞风险与对应利用链关联系数的乘积，进行漏洞风险的修正，通过修正后漏洞风险的累加，计算单链路风险；

40、通过所有单链路风险的累加，计算链路风险，对孤立风险与链路风险之和进行归一化，得到链式风险系数；

41、获取历史安全事件集，统计身份异常次数、运行异常次数，通过异常次数占比，获得身份初始权重、运行初始权重；

42、获取权重调节系数，结合链式风险系数、身份初始权重，得到身份权重，以1与身份权重之差，得到运行权重。

43、具体地，生成准入等级与复测指令的步骤包括：

44、获取同类型设备允许接入、观测接入、拦截的准入校验值样本，构建准入样本集；

45、利用k-means聚类，对准入样本集进行三分类聚类，分别对应可信设备、观测设备、拦截设备，得到高阈值、低阈值；

46、通过当前设备的准入校验值与高阈值、低阈值的比对，判定准入等级；

47、若准入校验值大于高阈值，判定为允许接入；

48、若准入校验值在低阈值与高阈值以内，判定为观测接入；

49、若准入校验值小于低阈值，判定为拦截。

50、具体地，生成准入等级与复测指令的步骤还包括：

51、对于允许接入，生成权限配置指令，并设置常规周期，以周期性下发复测指令，定期重新采集多源特征、重新计算准入校验值；

52、对于观测接入，生成渐进权限指令，并触发持续观测任务；

53、设置观测周期，持续跟踪每一次复测的准入校验值；若连续次复测的准入校验值持续递增，则基于权限阶梯调控，逐级扩大网络访问权限，直至开放全量权限；

54、若任意一次复测的准入校验值小于低阈值，则触发熔断机制，终止设备所有网络权限；

55、若复测的准入校验值既未递增、也未跌破低阈值，维持最低基础权限持续观测；

56、对于拦截，记录设备指纹并将设备纳入临时冻结名单。

57、基于可信度量的边缘设备接入准入校验方法，包括：

58、获取设备本地数据，通过数据预处理与差分补丁哈希，生成多源特征集；

59、为设备匹配固件基准信息，结合所述多源特征集中的固件特征的逐段对比与漏洞筛选，计算身份合规度；

60、为设备匹配类别运行基线，结合所述多源特征集中的运行特征进行逐项比、相似偏差评估，计算运行合规度；

61、依据漏洞等级标签匹配权重，并对身份合规度、运行合规度加权求和，得到准入校验值，基于高低双阈值进行准入等级判定，并生成对应等级的复测指令。

62、本发明的有益效果：

63、通过构建包含设备身份、双层固件指纹、运行行为、接入行为的多源特征集，突破单一身份认证的局限，实现硬件唯一标识、固件完整性、动态运行状态、接入行为特征的全方位可信刻画，结合固件漏洞链式风险动态调控身份合规度与运行合规度的融合权重，适配不同固件风险等级设备的差异化校验需求，提升可信度量的客观性与准确性，同时通过高低双阈值完成三级准入等级划分，形成允许接入、观测渐进放权、异常熔断拦截的精细化管控模式，针对中度风险设备设置观测复测与阶梯放权机制，兼顾网络安全防护严苛性与业务运行流畅性，规避传统二级准入机制管控粗放的问题，依托周期性动态复测与状态联动调控机制，实现设备接入前校验、接入中监测、异常即时拦截的全生命周期动态管控，可实时识别固件篡改、漏洞激活、行为仿冒等隐性入侵风险，有效抑制非法仿冒接入、内网横向渗透等安全隐患，大幅提升复杂边缘场景下设备入网准入的整体安全防护等级，适配高等级、复杂化的边缘网络安全管控需求。