沈 艷，席 兵，張治中

(1.重慶郵電大學 通信與信息工程學院，重慶 400065;2.南京信息工程大學 電子與信息工程學院，南京210044)

0 引 言

隨著5G的迅速發(fā)展，越來越多的物聯(lián)網(wǎng)(Internet of Things,IoT)終端將以5G的形式進入物聯(lián)網(wǎng)[1]。據(jù)研究機構Gartner給出的報告，全球物聯(lián)網(wǎng)終端接入量在2020年將會達到260億[2]。物聯(lián)網(wǎng)終端數(shù)量激增的同時也給識別工作帶來了巨大的挑戰(zhàn)。

傳統(tǒng)的識別方法利用人工規(guī)則發(fā)現(xiàn)網(wǎng)絡空間中的物聯(lián)網(wǎng)終端，如工業(yè)控制系統(tǒng)、webcam等設備[3]。而人工方法依賴于研究人員的專業(yè)背景和經(jīng)驗，成本過高且需要長期的培訓，所以不能廣泛應用于物聯(lián)網(wǎng)終端識別。隨著科學的發(fā)展，各種新興的技術也應用于終端識別領域。文獻[4]中提出了一種基于專用協(xié)議的識別方案，具有較高的準確率，然而該方案是通過分析特定協(xié)議來完成識別，限制了解決方案的可伸縮性。文獻[5]建立了一個IoT Sentinel識別系統(tǒng)，用于識別易受攻擊的設備，并將它們與其余設備隔離。文獻[6]提出基于“Banner+Web指紋”雙重因素主動識別方案，但沒有測試仿真證明其方案的可行性。文獻[7]利用Nmap工具結合決策樹方法建立物聯(lián)網(wǎng)終端識別系統(tǒng)，但沒有具體列出識別結果。每臺終端的指紋都包括選定的行為特征和基于流的特征，如終端使用的端口和模式[8]。文獻[9]通過分析流量發(fā)送數(shù)據(jù)包的相互到達時間來識別設備，但需要消耗大量流量。文獻[10]基于應用層數(shù)據(jù)報文內(nèi)容提取文本信息，結合機器學習算法生成物聯(lián)網(wǎng)終端指紋，但該方法只實現(xiàn)了簡單的分類，識別粒度較粗。

本文通過分析物聯(lián)網(wǎng)終端的登錄頁面，提出一種新的識別方法。該方法以超文本傳輸協(xié)議(Hyper Text Transfer Protocol,HTTP)的源碼、超文本傳輸協(xié)議(Hyper Text Transfer Protocol,HTTP)的響應頭字段及導航欄信息為終端特征，并利用長短期記憶(Long Short-Term Memory,LSTM)算法生成類型、品牌、版本三級分類，實現(xiàn)對物聯(lián)網(wǎng)終端準確、細粒度的自動識別，以及對識別結果進行合理評估。

1 終端識別模型

1.1 總體設計

不同品牌的終端的登錄網(wǎng)頁顯示界面也不同，而網(wǎng)頁信息主要由標簽和文本內(nèi)容以及各種頁面顯示樣式組成，故我們通過終端的登錄頁面和響應頭等信息來對終端進行識別。如圖1所示，終端的識別模型主要分為數(shù)據(jù)采集模塊、數(shù)據(jù)預處理模塊和終端識別模塊。通過HTTP-GET請求獲取HTML文件和響應頭，并將它們處理成純文本。最后利用響應頭的內(nèi)容、頁面內(nèi)容及導航欄信息三個特征來比較每個終端的登錄頁面的相似度，并利用LSTM對未知終端的類型和品牌及版本進行識別。

圖1 整體架構設計

1.2 數(shù)據(jù)采集

首先將IP地址分段并保存在不同的文件中，再對文件中的IP地址發(fā)送無狀態(tài)連接探測包，探測IP主機是否存活，如果主機存活將返回響應包等文件。為保證獲取的數(shù)據(jù)更精確，將所有HTTP中響應狀態(tài)代碼不是200的IP地址篩選掉，再向響應碼為200的地址發(fā)送HTTP-GET請求，獲取頁面信息、HTML文件并保存。

1.3 數(shù)據(jù)處理

數(shù)據(jù)預處理主要針對三個部分展開，分別為頁面的HTML代碼、響應包的頭部字段及導航欄的信息。

(1)HTML是半結構化標記形式的語言，不能直接作為特征。用BeautifulSoup庫將HTML文件解析成文檔對象化模型(Document Object Model，DOM)樹格式，然后過濾重復的頁面。再將DOM樹中的一些不必要的標簽和標記節(jié)點進行過濾，比如tag ，tag