搜索

[15209] 2020-04-03_一种工控蜜罐识别与反识别技术研究与应用实践

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2020-04-03_一种工控蜜罐识别与反识别技术研究与应用实践 一 种 工 控 蜜 罐 识 别 与 反 识 别 技 术 研 究 与 应 用 实 践 y y 0 3 0 8   F r e e B u f   2 0 2 0 - 0 4 - 0 3 一 、 概 述 一 、 概 述 本 文 章 结 合 作 者 在 资 产 探 测 、 入 侵 检 测 、 网 络 攻 防 、 蜜 罐 研 究 相 关 工 作 中 大 量 实 践 本 文 章 结 合 作 者 在 资 产 探 测 、 入 侵 检 测 、 网 络 攻 防 、 蜜 罐 研 究 相 关 工 作 中 大 量 实 践 , 在 此 对 工 控 蜜 罐 识 别 与 反 识 在 此 对 工 控 蜜 罐 识 别 与 反 识 别 的 技 术 进 行 研 究 与 应 用 实 践 与 大 家 进 行 分 享 与 探 讨 。 别 的 技 术 进 行 研 究 与 应 用 实 践 与 大 家 进 行 分 享 与 探 讨 。 工 控 蜜 罐 通 常 指 非 真 实 工 控 设 备 ， 通 常 指 应 用 服 务 、 仿 真 程 序 等 ， 比 如 服 务 蜜 罐 包 括 c o n p o t 、 o p e n p l c 、 C r y P L H 2 、 仿 真 程 序 包 括 m o d b u s   t e s t e r 、 M o d   R s s i m 、 s n a p 7 、 o p e n d n p 3 、 q t e s t e r 1 0 4 、 D N P 3 _ t e s t h a n e s s 、 E t h e r N e t I P   V i r t u a l 等 。 二 、 蜜 罐 介 绍 二 、 蜜 罐 介 绍 蜜 罐 是 一 种 软 件 应 用 系 统 ， 用 来 称 当 入 侵 诱 饵 ， 诱 导 黑 客 前 来 攻 击 。 攻 击 者 入 侵 系 统 后 ， 通 过 监 测 与 预 计 分 析 ， 就 可 以 知 道 他 是 如 何 入 侵 的 ， 随 时 了 解 针 对 系 统 发 动 的 最 新 的 攻 击 和 漏 洞 。 还 可 以 通 过 窃 听 黑 客 之 间 的 联 系 ， 收 集 黑 客 所 用 的 种 种 工 具 ， 并 且 掌 握 他 们 的 社 交 网 络 。 蜜 罐 系 统 以 伪 装 技 术 为 基 础 ， 在 用 户 内 部 网 络 中 部 署 与 真 实 资 产 相 似 的 “ 陷 阱 ” （ 蜜 罐 节 点 ） , 当 攻 击 者 通 过 外 部 安 全 防 御 系 统 的 缺 陷 渗 透 进 入 到 内 部 网 络 时 ， 通 常 需 要 搜 索 网 络 内 部 的 资 产 ， 以 此 找 到 对 攻 击 者 而 言 有 价 值 的 目 标 。 蜜 罐 节 点 自 身 的 伪 装 性 能 够 欺 骗 攻 击 者 ， 当 攻 击 者 将 蜜 罐 节 点 作 为 攻 击 目 标 时 ，   蜜 罐 节 点 能 够 第 一 时 间 感 知 并 汇 报 安 全 事 件 ， 具 体 包 括 ： 蜜 罐 节 点 会 记 录 攻 击 者 的 所 有 行 为 ， 系 统 也 会 产 生 告 警 ， 通 知 安 全 运 营 管 理 人 员 。 蜜 罐 节 点 会 诱 骗 攻 击 者 将 其 他 蜜 罐 节 点 作 为 后 续 的 攻 击 目 标 ，   所 有 蜜 罐 节 点 将 组 成 “ 陷 阱 ” 网 络 ， 延 缓 了 攻 击 时 间 ， 使 得 蜜 罐 系 统 能 够 记 录 更 多 的 攻 击 信 息 ， 分 析 潜 在 威 胁 。 （ （ 1 ） 蜜 罐 种 类 ） 蜜 罐 种 类 蜜 罐 可 以 分 为 数 据 库 蜜 罐 、 w e b 蜜 罐 、 服 务 蜜 罐 、 工 控 蜜 罐 及 端 点 蜜 罐 ， 各 种 蜜 罐 对 应 的 相 关 产 品 如 下 图 所 示 ： （ （ 2 ） 常 见 蜜 罐 及 地 址 ） 常 见 蜜 罐 及 地 址 T - p o t 蜜 罐 是 一 种 融 合 了 多 种 开 源 蜜 罐 服 务 的 汇 总 ， 其 中 包 括 工 控 蜜 罐 c o n p o t ， 所 有 蜜 罐 采 用 d o c k e r 容 器 化 方 式 部 署 与 管 理 ， 关 于 T - p o t 的 安 装 和 使 用 可 以 参 考 f r e e b u f 相 关 文 章 ， 下 图 是 T - p o t 蜜 罐 使 用 的 系 统 架 构 图 。
（ （ 3 ） 现 有 工 控 蜜 罐 缺 陷 ） 现 有 工 控 蜜 罐 缺 陷 目 前 互 联 网 上 部 署 了 大 量 的 工 控 蜜 罐 ， 大 多 都 是 基 于 c o n p o t 蜜 罐 和 仿 真 服 务 程 序 。 这 些 蜜 罐 基 本 属 于 中 低 交 互 形 式 ， 蜜 罐 指 纹 特 征 通 用 、 部 署 在 云 服 务 器 上 或 者 企 业 直 接 通 过 端 口 映 射 方 式 接 入 到 互 联 网 。 三 、 蜜 罐 识 别 方 法 三 、 蜜 罐 识 别 方 法 首 先 在 1 9 2 . 1 6 8 . 1 0 . 1 0 0 ( w i n d o w s 安 装 仿 真 器 ) 及 1 9 2 . 1 6 8 . 1 0 . 1 2 2 ( l i n u x 安 装 部 署 o p e n p l c 、 c o n p o t 、 t p o t 蜜 罐 仿 真 服 务 ) ， 安 装 方 法 可 以 参 考 f r e e b u f 相 关 文 章 。 （ （ 1 ） ） I P 地 址 识 别 地 址 识 别 一 般 工 控 设 备 如 p l c 、 d c s 、 r t u 等 很 少 直 接 暴 露 到 互 联 网 ， 在 业 务 需 要 情 况 下 可 能 会 将 工 控 设 备 直 接 暴 露 在 互 联 网 ， 比 如 设 备 远 程 维 护 等 。 通 过 查 询 I P 地 址 对 应 的 I S P ， 既 服 务 提 供 运 营 商 ， 来 判 断 所 述 I P 是 否 属 于 云 服 务 器 提 供 商 的 I P 地 址 。 当 所 述 I P 属 于 云 服 务 器 ， 并 且 开 放 了 P L C 的 工 控 协 议 服 务 如 m o d b u s 、 s 7 、 e t h e r n e t i p 等 ， 则 可 判 定 I P 为 工 控 蜜 罐 。 针 对 I P 地 址 对 应 的 I S P 和 O r g a n i z a t i o n 的 信 息 查 询 ， 能 够 通 过 如 I P I P 、 纯 真 、 R t b a s i a 、 i p p l u s 3 6 0 、 i p l o o k u p 、 G e o I p 2 、 I P 2 R e g i o n 的 I P 地 址 信 息 库 ， 通 过 获 取 的 信 息 来 综 合 判 定 I P 地 址 是 否 属 于 云 服 务 器 提 供 商 。
（ （ 2 ） 操 作 系 统 及 ） 操 作 系 统 及 M A C 厂 商 指 纹 识 别 厂 商 指 纹 识 别 一 般 工 控 设 备 均 为 嵌 入 式 设 备 ， 如 p l c 、 d c s 、 r t u 大 多 使 用 实 时 操 作 系 统 如 v x w o r k s 、 Q N X ， H M I 设 备 一 般 使 用 w i n c c 操 作 系 统 等 ； 通 过 T C P / I P 操 作 系 统 指 纹 识 别 ， 获 取 目 标 I P 的 T C P / I P 协 议 栈 指 纹 ， 当 目 标 I P 的 操 作 系 统 被 识 别 为 L i n u x 的 非 嵌 入 式 操 作 系 统 。 并 且 该 设 备 未 经 过 路 由 转 发 与 映 射 ， 通 常 可 认 为 是 蜜 罐 系 统 。 操 作 系 统 识 别 可 以 使 用 N m a p 和 X p r o b e 2 的 扫 描 工 具 ， N m a p 是 一 种 开 源 的 工 业 级 扫 描 工 具 ， X p r o b e 2 是 一 种 操 作 系 统 扫 描 工 具 。 设 备 M A C 地 址 会 根 据 不 同 的 设 备 厂 商 分 配 不 同 的 段 ，   工 控 设 备 厂 商 大 多 也 可 以 从 M A C 地 址 来 区 分 。 下 图 M A C 为 西 门 子 厂 商   S 7 3 0 0   P L C 真 实 设 备 下 图 M A C 为 施 耐 德 厂 商   M 5 8 0   P L C 真 实 设 备 下 图 M A C 为 G E 厂 商   G E S R T P 协 议   P L C   真 实 设 备 一 般 工 控 蜜 罐 ， 如 服 务 蜜 罐 大 多 部 署 在 l i n u x   v m w a r e 及 d o c k e r 容 器 里 面 ， 而 仿 真 服 务 部 署 在 w i n d o w s 系 统 上 面 。 下 图 为 m o d b u s 协 议 P L C 使 用 v m w a r e ， 可 判 断 为 蜜 罐 服 务 下 图 为 该 设 备 为 m o d b u s 协 议 p l c 设 备 ， 但 是 通 过 t p l i n k 路 由 器 进 行 报 文 路 由 ， 所 以 该   设 备   m a c 地 址 变 成 t p l i n k 路 由 器 m a c 地 址 。
（ （ 3 ） 指 纹 特 征 识 别 ） 指 纹 特 征 识 别 O p e n p l c   m o d b u s 蜜 罐 服 务 指 纹 特 征 识 别 ： 蜜 罐 服 务 指 纹 特 征 识 别 ： M o d b u s   p l c 真 实 工 控 设 备 一 般 会 开 放 m o d b u s   5 0 2 端 口 ，   h t t p   8 0 / 8 0 8 0 端 口 ， s n m p   1 6 1 端 口 ： 安 装 部 署 O p e n p l c ， 并 且 阅 读 源 码 如 下 ， 分 析 蜜 罐 特 征 ， 可 以 看 出 o p e n p l c 只 实 现 了 1 - 1 6 功 能 码 ， 而 重 要 的 设 备 信 息 功 能 码 如 报 告 从 设 备 信 息 1 7 功 能 码 、 获 取 设 备 信 息 4 3 功 能 、 施 耐 德 获 取 c p u 、 工 程 等 信 息 9 0 私 有 功 能 码 均 未 实 现 。 P l c   M o d b u s 协 议 指 纹 识 别 ， 所 以 我 们 可 以 构 造 1 7 、 4 3 、 9 0 功 能 码 去 请 求 o p e n p l c ， 获 取 设 备 信 息 ， 均 会 返 回 非 法 功 能 码 指 纹 ， 如 下 图 所 示 ： o p e n p l c   h t t p 协 议 指 纹 识 别 ： 协 议 指 纹 识 别 ： 利 用 n m a p   扫 描 工 具 对 目 标 设 备 开 放 的 端 口 和 服 务 进 行 扫 描 识 别 ， 可 以 发 现 o p e n p l c 默 认 开 放 了 h t t p   8 0 8 0 端 口 ， 浏 览 器 访 问 h t t p : / / i p : 8 0 8 0 查 看 p l c 管 理 页 面 与 真 实 工 控 p l c 设 备 不 一 样 ， 并 提 取 h t t p 指 纹 特 征 。
C o n p o t   S 7   协 议 协 议   蜜 罐 服 务 指 纹 特 征 识 别 ： 蜜 罐 服 务 指 纹 特 征 识 别 ： 在 s h o d a n 寻 找 工 控 蜜 罐 如 下 图 所 示 ， 可 通 过 n m a p   - p   1 0 2   - - s c r i p t   s 7 - e n u m e r a t e . n s e   1 1 6 . 8 5 . 1 0 . 1 7 3   进 行 s 7   p l c 资 产 探 测 验 证 ， 并 获 取 以 下 数 据 报 文 。 通 过 阅 读 c o n p o t   s 7 c o m m 源 码 ， 找 到 S 7 服 务 蜜 罐 通 用 特 征 如 下 所 示 特 征 1 ：
如 下 图 所 示 : 特 征 2 : 通 过 阅 读 c o n p o t   s 7 蜜 罐 服 务 代 码 ， 发 现 S 7 返 回 的 获 取 设 备 信 息 应 用 数 据 最 后 6 个 字 节 始 终 为 “ x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 x 0 0 ”
但 是 特 征 1 可 以 通 过 c o n p o t   模 板 进 行 蜜 罐 特 征 快 速 简 单 修 改 ， 而 特 征 2 如 果 要 修 改 ， 则 需 参 照 s 7 协 议 规 约 对 源 代 码 进 行 修 改 ， 我 们 采 用 指 纹 特 征 识 别 c o n p o t   s 7 蜜 罐 时 候 ， 则 可 以 采 用 以 上 两 种 方 式 进 行 识 别 。 C o n p o t   E N I P 蜜 罐 服 务 指 纹 特 征 识 别 ： 蜜 罐 服 务 指 纹 特 征 识 别 ： 通 过 阅 读 c o n p o t   e n i p 蜜 罐 服 务 代 码 ， 发 现 向 设 备 发 送 6 3 功 能 码 获 取 设 备 信 息 ， 返 回 的 数 据 d e v i c e _ s t a t u s = =   x 6 0 x 3 1   和 d e v i c e _ s t a t e   = =   x f f 其 它 工 控 蜜 罐 ： 其 它 工 控 蜜 罐 ： C o n p o t   中 还 包 括 其 它 工 控 服 务 程 序 ， 均 可 以 结 合 工 控 协 议 规 约 及 通 过 抓 包 分 析 ， 并 与 真 实 设 备 抓 取 的 数 据 包 进 行 比 对 分 析 ， 找 出 蜜 罐 特 征 。 其 它 蜜 罐 及 仿 真 服 务 程 序 包 括 ， c o n p o t 、 o p e n p l c 、 C r y P L H 2 、 仿 真 程 序 包 括 m o d b u s   t e s t e r 、 M o d   R s s i m 、 s n a p 7 、 o p e n d n p 3 、 q t e s t e r 1 0 4 、 D N P 3 _ t e s t h a n e s s 、 E t h e r N e t I P   V i r t u a l 等 。 四 、 蜜 罐 反 识 别 方 法 四 、 蜜 罐 反 识 别 方 法 通 过 对 蜜 罐 部 署 方 式 及 特 征 分 析 ， 如 果 我 们 部 署 蜜 罐 服 务 时 候 ， 可 以 考 虑 采 用 以 下 方 法 进 行 规 避 。 1 . 如 果 蜜 罐 服 务 要 部 署 在 外 网 ， 尽 量 避 免 使 用 云 服 务 厂 商 提 供 的 服 务 。 2 . 如 果 蜜 罐 服 务 部 署 在 企 业 内 网 ， 尽 量 在 蜜 罐 服 务 或 者 仿 真 程 序 前 面 部 署 一 个 v x w o r k s 系 统 的 设 备 ， 并 在 上 面 开 启 端 口 转 发 服 务 ， 或 者 利 用 Q m e n u 模 拟 运 行 v x w o r k s 操 作 系 统 ， 使 攻 击 者 误 以 为 扫 描 到 的 工 控 设 备 使 用 的 是 v x w o r k s 实 时 操 作 系 统 。 3 . 定 期 修 改 蜜 罐 内 部 特 征 ， 如 c o n p o t 蜜 罐 模 板 信 息 ， c o n p o t 源 码 中 返 回 报 文 的 协 议 特 征 。 同 一 个 i p 蜜 罐 节 点 ， 尽 量 只 开 放 如 真 实 p l c 设 备 的 端 口 和 服 务 ， 如 5 0 2 、 8 0 、 1 6 1 等 端 口 ， 避 免 开 放 过 多 及 无 效 的 应 用 端 口 ， 被 攻 击 者 快 速 识 别 蜜 罐 。 4 . 修 改 宿 主 机 m a c 地 址 ， 尽 可 能 修 改 成 西 门 子 、 G E 等 工 控 设 备 的 M A C 地 址 ， 增 加 攻 击 者 识 别 蜜 罐 的 难 度 。 5 . 服 务 蜜 罐 尽 可 能 实 现 协 议 规 约 必 须 的 功 能 码 ， 如 施 耐 德 p l c 的 1 7 、 4 2 、 9 0 信 息 获 取 功 能 码 任 何 一 个 。 6 . 尽 可 能 实 现 高 交 付 服 务 蜜 罐 ， 也 可 以 采 用 虚 实 结 合 部 署 方 式 进 行 部 署 ， 增 加 蜜 罐 识 别 难 度 。 五 、 蜜 罐 架 构 及 系 统 业 务 五 、 蜜 罐 架 构 及 系 统 业 务
工 控 蜜 罐 系 统 架 构 如 下 图 所 示 ： 工 控 蜜 罐 系 统 业 务 如 下 图 所 示 ：
六 、 总 结 六 、 总 结 蜜 罐 服 务 及 系 统 使 用 场 景 较 多 ， 主 要 包 括 部 署 在 互 联 网 、 企 业 内 网 、 网 络 攻 防 竞 赛 平 台 中 等 。 当 部 署 在 互 联 网 上 ， 可 以 收 集 资 产 探 测 系 统 的 资 产 识 别 指 纹 ， 以 及 攻 击 者 的 针 对 漏 洞 的 攻 击 行 为 ， 便 于 安 全 研 究 与 分 析 ； 当 部 署 在 企 业 内 网 ， 可 以 做 为 威 胁 感 知 系 统 ， 捕 获 攻 击 者 行 为 ， 触 发 告 警 系 统 ， 延 缓 真 实 设 备 被 攻 击 的 时 间 和 风 险 ； 当 部 署 在 网 络 攻 防 竞 赛 系 统 里 面 ， 可 以 混 淆 真 实 设 备 ， 诱 导 攻 击 者 入 侵 ， 增 加 比 武 竞 赛 难 度 。 七 、 参 考 链 接 七 、 参 考 链 接 o p e n p l c 部 署 于 分 析 h t t p s : / / w w w . f r e e b u f . c o m / a r t i c l e s / i c s - a r t i c l e s / 2 1 3 0 1 8 . h t m l 工 控 资 产 嗅 探 与 分 析 h t t p s : / / w w w . f r e e b u f . c o m / i c s - a r t i c l e s / 2 0 9 7 8 6 . h t m l t p o t 安 装 与 使 用 h t t p : / / w w w . f r e e b u f . c o m / n e w s / 1 9 3 3 4 7 . h t m l m a c 地 址 与 对 应 厂 商 h t t p s : / / g i t l a b . c o m / w i r e s h a r k / w i r e s h a r k / r a w / m a s t e r / m a n u f * 本 文 原 创 作 者 ： 本 文 原 创 作 者 ： y y 0 3 0 8 ， 本 文 属 于 ， 本 文 属 于 F r e e B u f 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 原 创 奖 励 计 划 ， 未 经 许 可 禁 止 转 载 精 彩 推 荐 精 彩 推 荐
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理