搜索

[15497] 2020-06-15_工业控制系统蜜罐的初步介绍

文档创建者：s7ckTeam
浏览次数：3
最后更新：2025-01-18
2020-06-15_工业控制系统蜜罐的初步介绍 工 业 控 制 系 统 蜜 罐 的 初 步 介 绍 等 待 未 来 6 6 大 顺   F r e e B u f   2 0 2 0 - 0 6 - 1 5 随 着 科 技 的 发 展 ， 工 业 控 制 系 统 逐 渐 的 接 入 互 联 网 ， 而 当 前 互 联 网 上 存 在 着 大 量 的 攻 击 ， 直 接 影 响 着 工 业 控 制 随 着 科 技 的 发 展 ， 工 业 控 制 系 统 逐 渐 的 接 入 互 联 网 ， 而 当 前 互 联 网 上 存 在 着 大 量 的 攻 击 ， 直 接 影 响 着 工 业 控 制 系 统 的 安 全 ， 工 控 系 统 面 临 的 安 全 形 势 也 越 来 越 严 重 。 系 统 的 安 全 ， 工 控 系 统 面 临 的 安 全 形 势 也 越 来 越 严 重 。 2 0 1 0 年 的 伊 朗 震 网 病 毒 事 件 、 年 的 伊 朗 震 网 病 毒 事 件 、 2 0 1 1 年 的 年 的 d u q u 木 马 事 件 、 木 马 事 件 、 2 0 1 4 年 的 年 的 H a v e x 、 、 2 0 1 5 年 的 乌 克 兰 电 力 事 件 都 在 用 事 实 证 明 了 工 控 系 统 的 安 全 形 势 严 峻 。 年 的 乌 克 兰 电 力 事 件 都 在 用 事 实 证 明 了 工 控 系 统 的 安 全 形 势 严 峻 。 为 了 增 强 工 业 控 制 网 络 安 全 ， 很 多 研 究 人 员 都 采 用 蜜 罐 技 术 对 系 统 进 行 防 护 。 蜜 罐 作 为 一 种 主 动 防 御 技 术 可 以 吸 引 攻 击 ， 分 析 攻 击 ， 推 测 攻 击 意 图 ， 并 将 结 果 补 充 到 防 火 墙 、 I D S 以 及 I P S 等 威 胁 阻 断 技 术 。 蜜 罐 技 术 介 绍 蜜 罐 技 术 介 绍 蜜 罐 的 发 展 主 要 分 为 三 个 阶 段 1 . 初 级 阶 段 ， 蜜 罐 思 想 首 次 被 提 出 ， 这 是 蜜 罐 的 形 成 阶 段 ； 2 . 中 期 阶 段 ， 蜜 罐 工 具 的 大 规 模 开 发 ， 比 如 D T K 、 h o n e y d 、 h o n e y b r i d 等 工 具 的 提 出 ； 3 . 后 期 阶 段 ， 采 用 虚 拟 仿 真 、 真 实 设 备 、 真 实 系 统 、 I D S 、 数 据 解 析 工 具 以 及 数 据 分 析 技 术 等 综 合 构 建 的 网 络 体 系 进 行 入 侵 诱 捕 。 近 年 来 ， 随 着 工 控 安 全 形 势 的 严 峻 ， 蜜 罐 技 术 被 越 来 越 多 的 应 用 在 工 控 领 域 ， 从 协 议 的 仿 真 做 起 到 工 控 环 境 的 模 拟 ， 交 互 能 力 越 来 越 高 ， 结 构 也 日 趋 复 杂 。 开 源 工 控 蜜 罐 中 ， 主 要 针 对 m o d b u s 、 s 7 、 I E C - 1 0 4 、 D N P 3 等 工 控 协 议 进 行 模 拟 。 其 中 ， c o n p o t 和 s n a p 7 是 相 对 成 熟 的 蜜 罐 代 表 ， c o n p o t 实 现 了 对 s 7 c o m m 、 m o d b u s 、 b a c n e t 、 H T T P 等 协 议 的 模 拟 ， 属 于 低 交 互 蜜 罐 ， c o n p o t 部 署 简 单 ， 协 议 内 容 扩 展 方 便 ， 并 且 设 备 信 息 是 以 x m l 形 式 进 行 配 置 ， 便 于 修 改 和 维 护 。 S n a p 7 是 专 门 针 对 西 门 子 P L C 的 蜜 罐 ， 基 本 实 现 了 s 7 c o m m 协 议 栈 。 它 可 以 模 拟 实 际 设 备 的 信 息 与 状 态 ， 而 且 实 现 常 用 P L C 操 作 的 交 互 。 但 这 些 这 些 主 流 的 虚 拟 蜜 罐 只 能 模 拟 单 一 工 控 协 议 ， 因 此 只 能 捕 获 单 一 工 控 协 议 的 攻 击 数 据 。 新 型 蜜 罐 技 术 （ 主 要 介 绍 混 合 蜜 罐 ） 新 型 蜜 罐 技 术 （ 主 要 介 绍 混 合 蜜 罐 ） 为 提 高 蜜 罐 的 部 署 能 力 ， 降 低 蜜 罐 部 署 成 本 ， 陆 续 有 研 究 者 提 出 采 用 低 交 互 蜜 罐 与 高 交 互 蜜 罐 混 合 部 署 的 架 构 ， 在 合 适 的 时 候 调 度 合 适 的 蜜 罐 ， 在 学 术 领 域 陈 之 为 混 合 蜜 罐 。 以 下 是 一 些 示 例 S n o r t + h o n e y b r i d 方 案 方 案 在 本 方 案 中 ， S n o r t 主 要 进 行 低 高 交 互 流 量 的 鉴 别 ， 并 通 知 H o n e y b r i d 网 关 ， 便 于 后 续 步 骤 的 进 行 。 H o n e y b r i d 网 关 包 括 决 策 引 擎 和 重 定 向 引 擎 ， 负 责 协 调 前 端 和 后 端 之 间 的 过 滤 和 重 定 向 。 决 策 引 擎 用 于 选 择 感 兴 趣 的 流 量 ， 重 定 向 引 擎 用 于 透 明 地 重 定 向 流 量 。
其 中 h o n e y b r i d 是 一 种 典 型 的 混 合 蜜 罐 框 架 ， 主 要 有 如 下 四 部 分 模 块 ， 示 意 图 如 下 ： 决 策 引 擎   ： 决 定 哪 些 业 务 是 要 哪 个 蜜 罐 ； 重 定 向 引 擎 ： 以 决 定 是 否 有 些 业 务 需 要 被 重 定 向 进 行 更 详 细 的 分 析 ； 控 制 引 擎 ： 限 制 由 潜 在 的 被 损 害 蜜 罐 发 送 的 传 出 网 络 流 量 ； 日 志 引 擎 ： 继 续 处 理 的 数 据 流 ， 进 行 详 细 记 录 。 这 四 个 组 件 围 绕 目 标 概 念 进 行 阐 述 ， 目 标 概 念 包 含 基 于 蜜 罐 的 实 验 的 规 范 。 因 此 ， 每 当 我 们 想 要 运 行 基 于 蜜 罐 的 新 实 验 时 ， 我 们 必 须 考 虑 我 们 想 要 收 集 的 流 量 类 型 以 及 我 们 想 要 收 集 它 的 方 式 ， 即 具 有 多 少 粒 度 和 控 制 程 度 。 目 标 由 四 个 声 明 组 成 ： 一 个   过 滤 规 则 ， 它 使 用 t c p d u m p 语 法 定 义 此 目 标 应 处 理 的 确 切 流 量 类 型 ， 一 个 前 端 规 则 ， 定 义 哪 个 蜜 罐 应 该 首 先 与 传 入 的 攻 击 流 量 进 行 交 互 ， 以 及 接 受 此 传 入 流 量 的 标 准 是 什 么 ； 一 个 可 选 的 后 端 规 则 ， 用 于 定 义 流 量 被 重 定 向 到 哪 个 蜜 罐 以 进 行 更 详 细 的 分 析 ， 以 及 决 定 重 定 向 流 量 的 标 准 是 什 么 ； 一 个 可 选 的 控 制   规 则 ， 定 义 如 何 限 制 蜜 罐 启 动 的 传 出 流 量 。 S n o r t + S D N 方 案 方 案 S D N 是 软 件 定 义 网 络 ， 它 以 下 发 f l o w t a b l e 的 形 式 完 成 对 流 量 的 控 制 。 右 图 显 示 了 作 者 所 提 出 的 混 合 蜜 罐 架 构 图 。 它 主 要 由 一 个 基 于   O p e n F l o w 的 交 换 机 来 管 理 控 制 平 面 ， 它 负 责 重 定 向 攻 击 者 和 不 同 蜜 罐 之 间 的 连 接 。 在 控 制 平 面 中 ， 开 源 I D S S n o r t 用 于 分 析 流 量 以 生 成 警 报 ， 并 通 过 U N I X   套 接 字 将 警 报 消 息 发 送 到 控 制 器 应 用 程 序 。 根 据 警 报 消 息 ， 决 策 引 擎 （ D E ） 将 决 定 转 发 或 重 定 向 连 接 并 发 信 号 通 知 重 定 向 引 擎 （ R E   ）   以 执 行 相 应 的 动 作 。
在 上 述 方 案 中 都 是 用 了 S n o r t 工 具 ， S n o r t 是 一 种 入 侵 检 测 工 具 ， 可 以 针 对 数 据 包 进 行 单 包 解 析 ， 在 监 听 到 数 据 包 后 首 先 会 对 来 源 数 据 包 进 行 解 析 ， 然 后 提 取 特 征 ， 匹 配 规 则 ， 从 而 发 出 告 警 信 息 ， 示 意 图 如 下 ： 利 用 在 蜜 罐 框 架 中 ， 是 利 用 了 它 的 数 据 解 析 功 能 与 告 警 功 能 ； 它 在 匹 配 到 对 应 的 信 息 后 ， 可 以 发 出 信 号 ， 从 而 使 得 下 一 步 的 处 理 程 序 可 以 进 行 处 理 。 总 结 总 结 本 文 主 要 对 蜜 罐 技 术 进 行 了 介 绍 ， 从 蜜 罐 的 起 源 到 发 展 ， 以 及 工 控 蜜 罐 的 出 现 到 发 展 。 并 描 写 了 典 型 的 蜜 罐 架 构 ， 通 过 采 用 这 些 架 构 可 以 较 为 高 效 的 进 行 蜜 罐 部 署 ， 同 时 也 让 大 家 对 蜜 罐 技 术 有 一 个 较 为 大 概 对 理 解 。 当 前 蜜 罐 的 能 力 永 远 是 看 向 蜜 罐 交 互 性 这 一 指 标 ， 为 了 提 高 蜜 罐 交 互 性 研 究 人 员 采 用 了 很 多 方 法 ， 本 文 主 要 介 绍 了 选 择 合 理 部 署 的 方 式 提 高 整 体 蜜 罐 的 交 互 性 。 但 当 前 大 多 数 的 蜜 罐 框 架 仅 从 技 术 层 面 进 行 了 阐 述 ， 并 为 指 出 无 懈 可 击 的 理 论 依 据 ， 尚 存 在 诸 多 问 题 需 要 解 决 ， 比 如 合 理 的 调 度 依 据 。 而 缺 乏 这 些 依 据 的 原 因 也 是 我 们 缺 乏 对 攻 击 的 了 解 ， 无 法 获 取 精 确 且 普 适 性 较 高 的 攻 击 分 析 方 法 。 * 本 文 作 者 ： 等 待 未 来 本 文 作 者 ： 等 待 未 来 6 6 大 顺 ， 转 载 请 注 明 来 自 大 顺 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理