一种网络空间测绘节点发现与归属判别方法和装置

1.一种网络空间测绘节点发现与归属判别方法，其特征在于，所述方法包括：步骤S1、监听预先部署的各个感知节点处的流量，以获取感知节点流量，从所述感知节点流量中提取出网络空间测绘流量，并确定与所述网络空间测绘流量对应的网络空间测绘节点的IP地址信息；步骤S2、通过对所述IP地址信息进行WHOIS查询和反向DNS查询确定所述网络空间测绘节点的匿名属性，基于所述匿名属性对所述网络空间测绘节点进行溯源，以获取其他网络空间测绘节点；步骤S3、对由所述网络空间测绘节点和所述其他网络空间测绘节点组成的全部网络空间测绘节点进行行为分析，基于行为分析结果确定全部网络空间测绘节点的地理位置信息，并进行可视化展示。 2.根据权利要求1所述的一种网络空间测绘节点发现与归属判别方法，其特征在于，在所述步骤S1中：从所述感知节点流量中过滤掉正常访问流量和节点管理流量，并进一步提取出包含以下字段的流量信息：感知节点编号、本地IP、本地端口、远程IP、远程端口、传输层协议、应用层协议、时间戳和报文有效载荷；将标准测绘流量的行为特征与包含所述字段的流量信息进行比对，以确定所述网络空间测绘流量，并进一步获取与所述网络空间测绘流量对应的所述网络空间测绘节点的所述IP地址信息。 3.根据权利要求2所述的一种网络空间测绘节点发现与归属判别方法，其特征在于，在所述步骤S2中，对所述IP地址信息进行所述WHOIS查询和所述反向DNS查询，其中：如果WHOIS查询结果中的组织结构非网络运营商或云服务提供商，则判定当前IP地址信息对应的网络空间测绘节点为非匿名节点；如果反向DNS查询结果中的域名包含网络空间测绘平台的名称或包含扫描相关词汇及节点编号，则判定当前IP地址信息对应的网络空间测绘节点为非匿名节点；反之，如果WHOIS查询结果未指向任何组织结构，以及如果反向DNS查询不存在结果或得到的域名无特殊含义时，则当前IP地址信息对应的网络空间测绘节点为匿名节点。 4.根据权利要求3所述的一种网络空间测绘节点发现与归属判别方法，其特征在于，在所述步骤S2中：对所述非匿名节点进行溯源包括：通过WHOIS查询结果判定为所述非匿名节点的IP，其归属为查询结果中的组织机构；通过反向DNS查询结果判定为所述非匿名节点的IP，其归属为二级域名中存在的组织机构；当所述非匿名节点满足反向DNS查询判定为非匿名节点的条件时，从其域名中提取出域名通用模式，利用反向DNS查询和fDNS查询获取与所述组织机构相关联的其他网络空间测绘节点IP，形成属于所述组织机构的全部网络空间测绘节点的IP地址列表；对所述匿名节点进行溯源包括：在网络空间资产搜索引擎中搜索各个感知节点的IP，并记录每条搜索结果对应的所述感知节点的IP、搜索引擎、端口号和对应的时间戳，所述对应的时间戳包括所述网络空间资产搜索引擎标注的资产入库时间戳和资产Banner信息时间戳；针对记录的每条搜索结果，在所述感知节点流量中过滤具有相同端口号和处于最近时间间隔的数据包；如果过滤结果中有且只有一个远程IP连接请求，则判定当前匿名节点为所述网络空间资产搜索引擎的测绘节点；如果过滤结果中有多个远程IP连接请求，则进一步根据所述最近时间间隔以外的其他时间间隔的满足条件的数据包进行判别。 5.一种网络空间测绘节点发现与归属判别装置，其特征在于，所述装置包括：第一处理单元，被配置为：监听预先部署的各个感知节点处的流量，以获取感知节点流量，从所述感知节点流量中提取出网络空间测绘流量，并确定与所述网络空间测绘流量对应的网络空间测绘节点的IP地址信息；第二处理单元，被配置为：通过对所述IP地址信息进行WHOIS查询和反向DNS查询确定所述网络空间测绘节点的匿名属性，基于所述匿名属性对所述网络空间测绘节点进行溯源，以获取其他网络空间测绘节点；第三处理单元，被配置为：对由所述网络空间测绘节点和所述其他网络空间测绘节点组成的全部网络空间测绘节点进行行为分析，基于行为分析结果确定全部网络空间测绘节点的地理位置信息，并进行可视化展示。 6.根据权利要求5所述的一种网络空间测绘节点发现与归属判别装置，其特征在于，所述第一处理单元具体被配置为：从所述感知节点流量中过滤掉正常访问流量和节点管理流量，并进一步提取出包含以下字段的流量信息：感知节点编号、本地IP、本地端口、远程IP、远程端口、传输层协议、应用层协议、时间戳和报文有效载荷；将标准测绘流量的行为特征与包含所述字段的流量信息进行比对，以确定所述网络空间测绘流量，并进一步获取与所述网络空间测绘流量对应的所述网络空间测绘节点的所述IP地址信息。 7.根据权利要求6所述的一种网络空间测绘节点发现与归属判别装置，其特征在于，所述第二处理单元具体被配置为，对所述IP地址信息进行所述WHOIS查询和所述反向DNS查询，其中：如果WHOIS查询结果中的组织结构非网络运营商或云服务提供商，则判定当前IP地址信息对应的网络空间测绘节点为非匿名节点；如果反向DNS查询结果中的域名包含网络空间测绘平台的名称或包含扫描相关词汇及节点编号，则判定当前IP地址信息对应的网络空间测绘节点为非匿名节点；反之，如果WHOIS查询结果未指向任何组织结构，以及如果反向DNS查询不存在结果或得到的域名无特殊含义时，则当前IP地址信息对应的网络空间测绘节点为匿名节点。 8.根据权利要求7所述的一种网络空间测绘节点发现与归属判别装置，其特征在于，所述第二处理单元具体被配置为：对所述非匿名节点进行溯源包括：通过WHOIS查询结果判定为所述非匿名节点的IP，其归属为查询结果中的组织机构；通过反向DNS查询结果判定为所述非匿名节点的IP，其归属为二级域名中存在的组织机构；当所述非匿名节点满足反向DNS查询判定为非匿名节点的条件时，从其域名中提取出域名通用模式，利用反向DNS查询和fDNS查询获取与所述组织机构相关联的其他网络空间测绘节点IP，形成属于所述组织机构的全部网络空间测绘节点的IP地址列表；对所述匿名节点进行溯源包括：在网络空间资产搜索引擎中搜索各个感知节点的IP，并记录每条搜索结果对应的所述感知节点的IP、搜索引擎、端口号和对应的时间戳，所述对应的时间戳包括所述网络空间资产搜索引擎标注的资产入库时间戳和资产Banner信息时间戳；针对记录的每条搜索结果，在所述感知节点流量中过滤具有相同端口号和处于最近时间间隔的数据包；如果过滤结果中有且只有一个远程IP连接请求，则判定当前匿名节点为所述网络空间资产搜索引擎的测绘节点；如果过滤结果中有多个远程IP连接请求，则进一步根据所述最近时间间隔以外的其他时间间隔的满足条件的数据包进行判别。 9.一种电子设备，其特征在于，所述电子设备包括存储器和处理器，所述存储器存储有计算机程序，所述处理器执行所述计算机程序时，实现权利要求1-4任一项所述的一种网络空间测绘节点发现与归属判别方法中的步骤。 10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时，实现权利要求1-4任一项所述的一种网络空间测绘节点发现与归属判别方法中的步骤。