基于字符距離聚類的未知工控協議分類方法

屠雅春 許馳 杜昕宜 王倚天 夏長清 金曦

摘 要：未知工控協議分類是實現多類型混合工控協議識別的前提。利用工控協議報文格式精簡且廣泛采用二進制序列的特點，提出基于字符距離聚類的未知工控協議分類方法。該方法打破傳統方法計算文本協議報文的歐氏距離而難以準確反映工控協議報文相似性的問題，通過構建二進制特征序列，計算字符距離，并開展基于字符距離Kmeans聚類，實現了未知工控協議分類。其中，為確保分類的準確性，提出基于最大平均字符距離的最佳聚類K值確定方法。半物理仿真結果表明，所提方法對未知工控協議分類的準確率可達96.80%，協議類型判別的正確率可達97.07%。

關鍵詞：工控協議； 協議分類； 字符距離； Kmeans聚類

中圖分類號：TP301?? 文獻標志碼：A?? 文章編號：1001-3695（2023）12-027-3696-05

doi：10.19734/j.issn.1001-3695.2023.04.0179

Character distance clusteringbased classification algorithm for unknown industrial control protocols

Abstract：The classification of unknown industrial control protocol is the premise of realizing multitype mixed industrial control protocol identification. Based on the brief and simple format of industrial control protocol messages with binary characters， this paper proposed an unknown industrial control protocol classification method based on character distance clustering. Previous classification algorithms mainly calculated the Euclidean distance of text protocols， which couldnt accurately reflect the similarity of unknown industrial control protocol messages. In contrast， the proposed algorithm realized unknown industrial control protocol classification by constructing the sequence of binary features sequences， calculating their character distances and performing Kmeans clustering. To guarantee the classification accuracy， it proposed an algorithm determining the optimal clustering K value based on the maximum average character distance. Semiphysical simulation results show that the protocol classification accuracy for unknown industrial control protocol classification can reach 96.80%， while the protocol type identification accuracy can reach 97.07%.

Key words：industrial control protocol; protocol classification; character distance; Kmeans clustering

0 引言

隨著工業控制系統數字化、網絡化、智能化的發展，大量異構的工業控制網絡協議（簡稱工控協議）涌現，形成了工廠內協議七國八制的現狀。除了大量標準的、公開的工控協議外，還存在著大量非標準的、私有的工控協議，特別是各大自動化廠商出于知識產權、安全隱私等因素的考慮，并沒有公開協議細節。因此，大量工控協議的結構信息是未知的，使得現有面向互聯網的協議識別方法無法對未知的工控協議進行識別［1］。

為了解決未知工控協議識別分析的難題，最新研究采用協議逆向工程的方法，對未知協議報文數據進行比較分析，以獲取該協議的格式規范、報文語義和行為規范［2］。然而，協議逆向工程在多種工控協議混合傳輸的情況下會產生誤差，因此需要對多種工控協議進行分類，以對相同類型工控協議進行逆向解析［3］，提高協議解析的準確率。

現有未知協議分類方法主要面向互聯網協議，以支持向量機、機器學習、聚類等方法為主［4］。其中，聚類是一種無監督學習方法，具有算法輕量化、易實現等特點，被廣泛地應用到各領域［5， 6］。文獻［7］基于流量統計屬性，使用Kmeans算法進行聚類，實現網絡流量的聚類分析。文獻［8］建立了零知識下的比特流未知協議分類模型，提出改進Kmeans聚類方法對未知協議進行聚類。文獻［9］采用關聯系數的特征選擇技術，提出了網絡行為的無監督聚類方法。文獻［10］提出改進的凝聚層次聚類方法，實現對網絡協議的分類。

相比之下，未知工控協議分類的研究仍處于起步階段。文獻［11］提出一種基于自然語言處理的協議特征提取方法，將每一條報文的關鍵詞作為特征進行聚類分析。文獻［12］根據工控系統中不同功能對應不同操作指令的特點，提出基于數據降維的工控協議功能聚類方法，實現了原始工控協議的功能聚類識別。文獻［13］基于層次聚類，使用特定的工控協議字段代表整個工控協議數據進行聚類，將所有的私有工控協議數據依據其相似性聚類成簇，實現對私有工控協議的分類。文獻［14］利用工控協議格式簡單的特點，對協議數據進行分詞，并依據分詞結果將協議數據進行聚類劃分。

上述方法主要采用聚類方法實現了對相同類型未知工控協議的分類，但難以適配多種類型未知工控協議混合傳輸的分類問題。為此，本文考慮工控協議報文格式精簡且廣泛采用二進制序列的特點，將多種工控協議報文序列的特征字段作為特征序列進行聚類，提出基于字符距離Kmeans聚類的協議分類方法（character distancebased Kmeans clustering，CDKClustering），實現了對多種類型未知工控協議的分類。

本文的主要貢獻如下：

a）針對現有基于歐氏距離的文本協議分類方法難以準確對工控協議進行分類的問題，提出基于字符距離的Kmeans聚類算法，可以進行細粒度的相似性判別，實現對未知工控協議的精準分類。

b）針對多類型未知工控協議報文混合傳輸過程中，應用基本Kmeans聚類方法難以確定最佳聚類個數的問題，提出基于最大平均字符距離的最佳聚類K值確定方法，可以根據工控協議的協議標識符動態確定K值，實現最佳聚類。

c）搭建了基于PLC的半物理仿真平臺，并與代表性算法進行對比。實驗結果表明，本文算法能夠在沒有先驗知識的條件下，準確地分析出最佳的聚類K值，對未知工控協議分類的準確率達到96.80%，協議類型判別正確率達到97.07%。

1 工控協議特征分析

工控協議主要用于工業控制系統內設備之間的信息傳輸［15］，多采用有線線纜傳輸，包括工業現場總線和工業以太網兩類協議。常見的工業現場總線協議包括Modbus RTU［16］、PROFIBUS等。隨著工業控制系統規模的增大，工業以太網協議逐漸普及，如Modbus TCP、S7comm、PROFINET等。

相比較于傳統的互聯網協議，工控協議旨在獲取測量值、狀態值和控制設備。因此，工控協議報文通常帶有功能碼字段，以指定接收內容和響應內容。工控協議與傳統的互聯網協議存在如下差異［17］：

a）工控協議報文簡短，具有一定的控制結構，高度結構化。

b）工控協議報文的傳輸信息中，以二進制形式表示的模擬量、數字量的信息較多。

c）工控協議報文以字節為單元劃分各個功能塊。

以應用最為廣泛的Modbus TCP協議為例，它是一種無異常報告的請求/應答模式的協議。Modbus TCP的協議報文長度根據所發送的消息內容決定，一般為0～256 Byte，其傳輸的二進制信息表示設備的狀態、設備的地址、功能碼、數據等。Modbus TCP的協議如圖1所示，包括事務標識符、協議標識符、長度、單元標識符、功能碼和數據六個功能塊。其中，事務標識符表示每個事務請求；協議標識符表示協議的類型，長度表示消息的長度；單元標識符表示從屬設備的設備號；功能碼表示消息所含的命令類型，例如讀/寫寄存器的命令；數據表示消息所含的內容，例如寄存器的數據地址和寫入/讀取的狀態。

對多種類型的工控協議應用層數據格式進行分析可知［18～20］，工控協議通常使用典型字段進行消息封裝，一般由標識符、功能碼、長度、數據等組成。因此，可對工控協議格式進行簡化，如圖2所示。報文序列頭部字段表示協議和數據包的信息，例如事務標識符、單元標識符等；報文序列長度字段表示消息的長度；功能碼字段表示消息所含的功能；數據字段表示消息所含的內容。以圖2為基礎，本文提出未知工控協議的分類方法。

2 基于字符距離聚類的未知工控協議分類方法

根據圖2所示的工控協議報文簡化格式，本文所提出的未知工控協議分類方法的基本流程如圖3所示，包括未知工控協議報文捕獲、二進制特征序列構建、基于最大平均字符距離的最佳聚類K值確定、基于字符距離的Kmeans聚類四個主要步驟。

2.1 未知工控協議報文捕獲

1）工控協議原始報文捕獲 通過協議分析軟件（如Wireshark、Charles、Fiddler等）分析未知工控協議原始報文。根據工控設備的MAC地址、IP地址等，捕獲未知工控協議原始報文。

2）應用層數據提取 提取工控協議報文的應用層數據，構建未知工控協議報文應用層數據集，記為A={A1，…，Am，…，AM}，其中Am表示第m個工控協議報文的應用層數據。

2.2 二進制特征序列構建

充分考慮工控協議報文廣泛使用二進制序列的特點，構建工控協議的二進制特征序列，如圖4所示，包括特征序列截取、二進制轉換兩個步驟。

1）特征序列截取 對于工控協議，如圖2所示，報文序列頭部通常含有重要的信息，并在區分工控協議報文方面發揮著重要作用，因此截取工控協議報文應用層數據Am的前L個字節作為特征序列Bm（m=1，2，…，M）。

2）二進制轉換 將所提取的特征序列Bm轉換成二進制特征序列Cm，過程如下：

Cm=encode（Bm） m=1，2，…，M（1）

其中：Bm表示第m個特征序列;encode（·）表示特征序列轉換成二進制特征序列。N位的二進制特征序列可表示為Cm=［Cm1， Cm2，…，Cmn，…，CmN］，Cmn表示第m個二進制特征序列的第n位。

2.3 基于最大平均字符距離的最佳聚類K值確定

基本的Kmeans聚類算法必須預先已知類別K，因此可解決已知類型的工控協議分類問題，但難以適配未知工控協議分類。為確定最佳聚類K值，本文提出基于最大平均字符距離的最佳聚類K值確定方法。首先，計算二進制特征序列Cm之間的字符距離；然后，計算最大平均字符距離，從而確定最佳聚類K值。基本流程如圖5所示。

a）構建樣本集合。構建二進制特征序列樣本集合，記為C={C1，…，Cm，…，CM}。

b）計算特征序列間字符距離。任意兩個二進制特征序列之間，對應二進制數取值不同的位的個數為字符距離。計算任意二進制特征序列m、h的字符距離，計算公式如下：

c）計算最大平均字符距離。計算M個二進制特征序列的最大平均字符距離，公式為

d）選擇類別中心。從C中隨機取二進制特征序列Cj作為中心，并將Cj從C中移除，生成一個新的類別Dj，Cj∈Dj。

e）計算特征序列與類別中心的字符距離。計算移除Cj后C中所有二進制特征序列到Dj中Cj的字符距離dmj，計算公式為

其中：dmj表示移除Cj后C中第m個二進制特征序列與Dj中Cj的字符距離。

f）進行特征序列歸類。將所有字符距離小于最大平均字符距離（即dmj

g）重復步驟d）～f），直到樣本集合C為空，形成多個類別Dj（j=1，2，…，K），得到最佳聚類K值，記為K*。

2.4 基于字符距離的Kmeans聚類

確定最佳聚類K值后，本文進一步提出基于字符距離的Kmeans聚類算法，基本思路如圖6所示。具體來說，根據所確定的K*，在所構建的二進制特征序列樣本集合中隨機選取K*個二進制特征序列作為聚類中心E1， E2， …， Ek， …， EK*，并對樣本集合內二進制特征序列進行聚類，具體過程如圖7所示。

a）確定初始聚類中心。從二進制特征序列樣本集合C中隨機選取K*個二進制特征序列作為初始聚類中心Ek（k=1，2，…，K*）。

b）計算特征序列與聚類中心的字符距離。計算M-K*個二進制特征序列與K*個聚類中心的字符距離，計算公式如下：

其中：Ekn表示第k個聚類中心的第n位;dmk表示第m個二進制特征序列與第k個聚類中心的字符距離。

c）比較特征序列與聚類中心的字符距離。比較并計算二進制特征序列m到K*個聚類中心的最小字符距離，過程如下：

f（dmk）=min（dm1，dm2，…，dmK*） m=1，…，M－K*（6）

其中：dm1， dm2， …， dmK*表示第m個二進制特征序列與K*個聚類中心的字符距離，由式（5）計算。

d）確定特征序列類別。基于式（6）計算所得的最小字符距離確定二進制特征序列Cm的類別k，如下所示：

k←f－1（dmk）（7）

其中：f－1（·）表示根據最小字符距離獲取的二進制特征序列Cm所屬的類別k。

e）更新聚類中心。找出類別k內最小字符距離所對應的二進制特征序列，作為新的聚類中心。過程如下：

其中：‖Fk‖表示類別k內的二進制特征序列數量。

基于式（8）計算得出k內最小字符距離所對應的二進制特征序列Cz，將其作為新的聚類中心Ek′=Cz。

f）重復步驟b）～e），直到類別k內部的二進制特征序列不再變化，即聚類結束。

g）確定工控協議的類別。由式（7）計算得出二進制特征序列Cm屬于類別k，則二進制特征序列Cm所對應的工控協議Am屬于類別k。

h）協議分類。將工控協議Am歸為類別k，即Am∈Fk。

i）重復步驟g）h），直到未知工控協議報文應用層數據集A為空，即未知工控協議分類完成。

字符距離聚類的未知工控協議分類算法偽代碼如下：

算法1 CDKClustering算法

輸入：未知工控協議報文序列A1， A2， …， Am， …， AM。

輸出：不同類型的工控協議報文序列集合Fk（k=1，2，…，K*）。

for m=1 to M do

截取報文序列應用層數據Am的前L個字節作為特征序列Bm

end for

for m=1 to M do

根據式（1）將特征序列Bm轉換成二進制特征序列Cm

end for

for m=1 to M do

for m=1 to M do

for n=1 to N do

根據式（2）計算特征序列間字符距離

end for

end for

根據式（3）計算最大平均字符距離

end for

while C is not empty do

從C中隨機選擇Cj作為新類別Dj的中心，并從C中移除

for all C* in C do

if d（C*，Cj）

end if

end for

將類別Dj添加到類別列表list

end while

K*=len（list）

repeat

for m=1 to M do

E1， E2， …， EK*

for k=1 to K* do

for n=1 to N do

根據式（5）計算特征序列與聚類中心的字符距離

end for

end for

根據式（6）比較特征序列與聚類中心的字符距離

根據式（7）確定特征序列的類別

根據式（8）更新聚類中心

end for

until 所有類別成員不再變化或達到設定的聚類終止條件

repeat

根據二進制特征序列的類別，確定工控協議的類別

確定類別后，將工控協議歸類

until 報文序列應用層數據集A為空

return Fk

3 半物理仿真實驗

為了驗證本文方法的有效性，搭建如圖8所示的半物理仿真實驗平臺。平臺采用兩個西門子S71215 PLC控制器分別做主站控制器和從站控制器，獲取工控協議數據。實驗過程中，主要使用基于TCP/IP封裝的應用層工控協議，包括Modbus TCP、S7comm、BACnet、EnterNet/IP，構建未知工控協議數據集。

如圖9所示，利用Wireshark工具分別捕獲BACnet、Modbus TCP、EnterNet/IP、S7comm協議數據2 000條，分別用X1、X2、X3、X4表示，構建如表1所示的多協議數據集。協議聚類的過程中沒有引入工控協議的先驗知識，故可視為未知工控協議。

為驗證本文算法的有效性和優勢，選取基本的Kmeans聚類算法（KClustering）和文獻［21］提出的基于多指標評估的Kmeans聚類算法（MKClustering）進行對比實驗。

3.1 聚類吻合度

首先對表1中的三組測試數據集進行分類，結果如表2所示。可以看到，本文所提出的CDKClustering方法計算出的協議分類種類與實際的協議種類是相同的，表明本文方法所計算的最佳聚類K值能夠準確地反映未知工控協議混合傳輸時的協議種類。相比之下，KClustering在聚類過程中難以判定聚類K值，需要人工設定其協議分類種類，僅適合于已知工控協議分類。而MKClustering計算的協議分類種類與實際的協議種類之間存在誤差，最終導致分類結果更加不準確。

3.2 協議分類準確率

協議分類準確率［22］表示用給定分類算法進行協議分類時，正確分類的協議數占協議總數的比例。該比例越大，說明分類效果越好。其計算公式為

其中：Q表示協議分類準確率;R表示正確分類的協議報文數量;S表示所有協議報文的數量。

由表3可知，本文提出的CDKClustering算法正確分類的協議報文數量明顯高于KClustering和MKClustering算法。進一步由圖10可以看出，KClustering和MKClustering算法對未知工控協議分類的準確率波動比較大，且協議分類準確率（均值）分別為86.70%和89.65%，而本文提出的CDKClustering算法對未知工控協議分類的準確率平穩且協議分類準確率（均值）為96.80%，說明本文提出的CDKClustering算法優于KClustering和MKClustering算法，能夠很好地實現對未知工控協議的分類。

3.3 協議類型判別正確率

協議類型判別正確率［23］表示用給定分類算法進行協議分類時，正確分類給某一類別的比例。其計算公式定義為

其中：P表示協議類型判別正確率；W表示正確分類給類別X? 的數量；T表示所有分類為類別X的數量。

由表4和圖11可以看出，KClustering和MKClustering算法對未知工控協議分類的協議類型判別正確率波動比較大，且協議類型判別正確率（均值）分別為89.50%和86.91%，而本文提出的CDKClustering算法對未知工控協議分類的協議類型判別正確率平穩且協議類型判別正確率（均值）為97.07%，說明本文提出的CDKClustering算法優于KClustering和MKClustering算法，能夠很好地實現對未知工控協議的分類。

4 結束語

本文根據工控協議普遍采用二進制報文且格式簡潔的特點，提出一種CDKClustering算法，實現了多類型未知工控協議分類。半物理仿真實驗表明，CDKClustering算法對未知工控協議分類的準確率可達96.80%，協議類型判別的正確率可達97.07%，優于KClustering和MKClustering算法。本文所開展的未知工控協議分類可以為未知工控協議格式推斷與識別提供良好的樣本，完成協議逆向解析。

參考文獻：

[1]王曉晨.私有協議主動識別關鍵技術研究［D］.哈爾濱：哈爾濱工程大學，2019.（Wang Xiaochen. Research on key technologies of private protocol active identification［D］.Harbin：Harbin Engineering University，2019.）

［2]張蔚瑤，張磊，毛建瓴，等.未知協議的逆向分析與自動化測試［J］.計算機學報，2020，43（4）：653-667.（Zhang Weiyao， Zhang Lei， Mao Jianling， et al. An automated method of unknown protocol fuzzing test［J］.Chinese Journal of Computers，2020，43（4）：653-667.）

［3]徐旭東，張志祥，張獻.面向私有二進制協議的報文聚類方法［J］.計算機科學與探索，2020，14（6）：958-965.（Xu Xudong， Zhang Zhixiang， Zhang Xian. Message clustering method for private binary protocol［J］.Journal of Frontiers of Computer Science and Technology，2020，14（6）：958-965.）

［4]黃濤，付安民，季宇凱，等.工控協議逆向分析技術研究與挑戰［J］.計算機研究與發展，2022，59（5）：1015-1034.（Huang Tao， Fu Anmin， Ji Yukai， et al. Research and challenges on reverse analysis technology of industrial control［J］.Journal of Computer Research and Development，2022，59（5）：1015-1034.）

［5]Zhang Jun， Xiang Yang， Zhou Wanlei， et al. Unsupervised traffic classification using flow statistical properties and IP packet payload［J］.Journal of Computer and System Sciences，2013，79（5）：573-585.

［6]李樂，王斐.基于層次策略的半監督Kmedoids算法研究［J］.計算機應用研究，2021，38（5）：1387-1392.（Li Le， Wang Fei. Research on semisupervised Kmedoids algorithm based on hierarchical strategy［J］.Application Research of Computers，2021，38（5）：1387-1392.）

［7]張騰飛，李中文，馬福民，等.基于類簇規模不均衡度量的粗糙模糊Kmeans聚類算法［J］.信息與控制，2020，49（3）：281-288.（Zhang Tengfei， Li Zhongwen， Ma Fumin， et al. Improved rough fuzzy Kmeans clustering based on imbalanced measure of cluster size［J］.Information and Control，2020，49（3）：281-288.）

［8]張鳳荔，周洪川，張俊嬌，等.零知識下的比特流未知協議分類模型［J］. 計算機科學，2016，43（8）：39-44.（Zhang Fengli， Zhou Hongchuan， Zhang Junjiao， et al. Unknown bitstream protocol classification model with zeroknowledge［J］.Computer Science，2016，43（8）：39-44.）

［9]Singh H. Performance analysis of unsupervised machine learning techniques for network traffic classification［C］//Proc of the 5th International Conference on Advanced Computing & Communication Technologies.2015：401-404.

［10]張鳳荔，周洪川，張俊嬌，等.基于改進凝聚層次聚類的協議分類算法［J］.計算機工程與科學，2017，39（4）：796-803.（Zhang Fengli， Zhou Hongchuan， Zhang Junjiao， et al. A protocol classification algorithm based on improved AGNES［J］.Computer Engineering & Science，2017，39（4）：796-803.）

［11]周帥，王紹杰.私有工控協議分類方法研究［J］.信息技術與網絡安全，2021，40（9）：19-24.（Zhou Shuai， Wang Shaojie. Research on classification method of private industrial control protocol［J］.Information Technology and Network Security，2021，40（9）：19-24.）

［12]翟亮.基于原始流量的工控系統協議識別及功能聚類的方法研究［D］.杭州：杭州電子科技大學，2022.（Zhai Liang. Protocols for industrial control systems based on raw traffic identification and functional clustering method study［D］.Hangzhou：Hangzhou Dianzi University，2022.）

［13]趙睿.基于字段特征聚類方法的私有工控協議格式分析方法研究［D］.衡陽：南華大學，2021.（Zhao Rui. Research on private industrial control protocol formal analysis method based on field feature clustering method［D］.Hengyang：University of South China，2021.）

［14]程必成，劉仁輝，趙云飛，等.非標工業控制協議格式逆向方法研究［J］.電子技術應用，2018，44（4）：126-129.（Cheng Bicheng， Liu Renhui， Zhao Yunfei， et al. Research on nonstandard industrial control protocol formats reverse［J］.Application of Electronic Technique，2018，44（4）：126-129.）

［15]黃影，鄒頎偉，范科峰.基于Fuzzing測試的工控網絡協議漏洞挖掘技術［J］.通信學報，2018，39（S2）：181-188.（Huang Ying， Zou Qiwei， Fan Kefeng. Fuzzing testbased vulnerability mining for industrial control network protocol［J］.Journal on Communications，2018，39（S2）：181-188.）

［16]Xu Chi， Du Xinyi， Li Xinchun， et al. 5Gbased industrial wireless controller： protocol adaptation， prototype development， and experimental evaluation［J］.Actuators，2023，12（2）：49.

［17]Kim S J， Shon T. Field classificationbased novel fuzzing case generation for ICS protocols［J］.The Journal of Supercomputing，2018，74（9）：4434-4450.

［18]Crifan.ICS_security_overview［EB/OL］.（2022）［2023-04-08］.https：//crifan.github.io/industrial_control_security_overview/website/.

［19]Francia Ⅰ G A， Francia X P， Pruitt A M. Towards an indepth understanding of deep packet inspection using a suite of industrial control systems protocol packets［J］.Journal of Cybersecurity Education，Research and Practice，2016，2016（2）：article No.2.

［20]Chang Y， Choi S， Yun J H， et al. One step more：automatic ICS protocol field analysis［C］//Proc of International Conference on Critical Information Infrastructures Security：Critical Information Infrastructures Security.2017：241-252.

［21]王朝斌.面向私有工控協議的協議逆向分析技術研究［D］.廣州：廣州大學，2021.（Wang Chaobin. Research on protocol reverse analysis technology for private industrial control protocol［D］.Guangzhou：Guangzhou University，2021.）

［22]袁慧，譚章祿，王福浩.一種高效的相似性度量方法及其分類效果研究［J］.中國科學：技術科學，2022，52（7）：1096-1110.（Yuan Hui， Tan Zhanglu， Wang Fuhao. An efficient similarity measurement method and its classification effect［J］.Scientia Sinica：Technologica Sciences，2022，52（7）：1096-1110.）

［23]潘嘉.基于深度學習的網絡流量分類研究［D］.鎮江：江蘇科技大學，2021.（Pan Jia. Deep learningbased network traffic classification research［D］.Zhenjiang：Jiangsu University of Science and Technology，2021.）