被动操作系统指纹识别的强大功能可实现准确的物联网设备识别

到 2030 年，企业网络和互联网上的物联网设备数量预计将达到290 亿。这种指数级增长无意中增加了攻击面。

每个互连设备都可能为网络攻击和安全漏洞创造新的途径。Mirai 僵尸网络通过使用数千个易受攻击的 IoT 设备对关键互联网基础设施和热门网站发起大规模 DDoS 攻击，就证明了这一点。

为了有效防范物联网蔓延的风险，持续监控和绝对控制至关重要。然而，这需要准确识别企业网络内的所有物联网设备和操作系统 (OS)。

如果没有这些知识，IT 和安全团队就缺乏必要的可见性和理解，无法有效实施有针对性的安全控制、监控网络活动、识别异常情况并减轻潜在威胁。

了解物联网的身份困境

通常，管理员可以通过在网络端点上运行的软件代理分配的唯一设备 ID 来识别设备和操作系统，并收集设备识别信息。然而，在所有操作系统上安装此类代理可能是不可能或不可行的，尤其是在嵌入式系统和物联网设备中使用的操作系统。

这是因为物联网设备旨在执行特定功能，并且通常具有有限的资源（处理能力、内存和存储）。他们通常缺乏支持任何其他软件代理的能力。

出于这些原因，我们需要一种被动的识别方法，该方法不涉及软件安装，并且与定制和精简的系统同样有效，以满足特定的物联网设备要求。其中一种方法是基于网络的指纹识别和被动操作系统指纹识别。

什么是被动操作系统指纹识别？

在实践中，被动操作系统指纹识别就像试图在没有任何直接交互的情况下，仅根据人们的外表和行为来分析他们。

同样，设备与网络交互的方式泄露了很多有关其身份、功能和潜在风险的信息。被动操作系统指纹识别不需要安装软件代理，而是通过分析设备生成的网络流量模式和行为来确定其操作系统。

该方法依赖于已建立的技术和指纹数据库，这些数据库存储特定于各种操作系统的流量模式和行为。例如，TCP 标头或动态主机配置协议 (DHCP) 请求中设置的特定选项可能因操作系统而异。

操作系统指纹识别本质上是将设备的网络流量模式和属性与已知的操作系统配置文件进行匹配，并对流量进行相应的分类。

多种网络协议可用于操作系统指纹识别：

MAC 地址： MAC（媒体访问控制）地址是制造商分配给网络设备的唯一标识符。每个 MAC 地址通常都包含制造商独有的组织唯一标识符 (OUI)。例如，通过检查 MAC 地址“88:66:5a:12:08:8E”，管理员可以确定 Apple 制造该设备，因为字符串“88:66:5a”与 Apple Inc. 相关联。同样，物联网设备流量包括具有特定于设备制造商的 OUI 的 MAC 地址。

TCP/IP 参数： TCP 和 IP 协议在各自的数据包标头格式中具有多个字段。不同的操作系统以不同的方式实现 TCP/IP 属性，并且 TCP/IP 字段可能具有唯一的值，例如初始生存时间 (TTL)、Windows 大小、TCP 标志等。管理员可以分析和比较这些字段，并根据操作系统特定的 TCP/IP 实现来识别底层操作系统。

HTTP 用户代理字符串：当网络设备（客户端）使用 HTTP 协议通过网络与服务器通信时，HTTP 标头包含 HTTP 用户代理字段。该字段可以提供诸如客户端软件的名称和版本、操作系统以及其他相关信息等信息。管理员可以检查此字段以及 HTTP 标头中的其他字段以进行设备检测。

DHCP 请求： DHCP 是一种用于自动分配 IP 地址的网络协议。DHCP 请求可以包含提供有关客户端的附加信息的某些字段，例如主机名、供应商类别标识符或操作系统类型。由于定制和修改，DHCP 请求可能无法确定底层操作系统，但它们仍然可能有助于获取有关设备身份的更精细信息。

尽管存在局限性，但分析跨网络层的多个协议的行为和属性可以帮助准确识别设备。管理员可以使用操作系统指纹来做出有关访问控制和安全策略的明智决策。

跨企业网络的操作系统指纹识别

鉴于物联网网络的快速扩展及其引入的漏洞，操作系统指纹识别有助于被动设备识别。然而，手动操作系统指纹识别是一项艰巨的任务，需要广泛的领域知识和专业知识。

主要挑战是可扩展性。在企业网络的数千个流量中手动映射唯一标识符是不可能的。为了克服这一挑战，组织可以利用基于云的融合网络和安全堆栈的资源和规模。云原生安全堆栈，例如SASE（安全访问服务边缘）或SSE（安全服务边缘），可以访问所需的资源，并启用机器学习算法和统计分析，以从大量网络流量数据中提取模式和行为。

融合网络和安全功能可以自动收集和关联来自多个来源的网络和安全数据，例如入侵检测系统、防火墙日志和端点安全解决方案，以提供网络活动及其与操作系统和物联网设备的关系的概述。

融合有助于根据客户的独特特征自动识别和分类客户。最后，集中管理控制台可以帮助简化识别和分析过程，并允许立即采取有关访问控制和安全策略的行动。