建站
咨詢
售后
建站咨詢
新聞中心
隨著科技的發(fā)展，工業(yè)控制系統(tǒng)逐漸的接入互聯(lián)網(wǎng)，而當(dāng)前互聯(lián)網(wǎng)上存在著大量的攻擊，直接影響著工業(yè)控制系統(tǒng)的安全，工控系統(tǒng)面臨的安全形勢也越來越嚴重。2010年的伊朗震網(wǎng)病毒事件、2011年的duqu木馬事件、2014年的Havex、2015年的烏克蘭電力事件都在用事實證明了工控系統(tǒng)的安全形勢嚴峻。
公司主營業(yè)務(wù)：成都網(wǎng)站制作、成都做網(wǎng)站、外貿(mào)營銷網(wǎng)站建設(shè)、移動網(wǎng)站開發(fā)等業(yè)務(wù)。幫助企業(yè)客戶真正實現(xiàn)互聯(lián)網(wǎng)宣傳，提高企業(yè)的競爭能力。成都創(chuàng)新互聯(lián)是一支青春激揚、勤奮敬業(yè)、活力青春激揚、勤奮敬業(yè)、活力澎湃、和諧高效的團隊。公司秉承以“開放、自由、嚴謹、自律”為核心的企業(yè)文化，感謝他們對我們的高要求，感謝他們從不同領(lǐng)域給我們帶來的挑戰(zhàn)，讓我們激情的團隊有機會用頭腦與智慧不斷的給客戶帶來驚喜。成都創(chuàng)新互聯(lián)推出八公山免費做網(wǎng)站回饋大家。
為了增強工業(yè)控制網(wǎng)絡(luò)安全，很多研究人員都采用蜜罐技術(shù)對系統(tǒng)進行防護。蜜罐作為一種主動防御技術(shù)可以吸引攻擊，分析攻擊，推測攻擊意圖，并將結(jié)果補充到防火墻、IDS以及IPS等威脅阻斷技術(shù)。
蜜罐技術(shù)介紹
蜜罐的發(fā)展主要分為三個階段
- 初級階段，蜜罐思想首次被提出，這是蜜罐的形成階段;
- 中期階段，蜜罐工具的大規(guī)模開發(fā)，比如DTK、honeyd、honeybrid等工具的提出;
- 后期階段，采用虛擬仿真、真實設(shè)備、真實系統(tǒng)、IDS、數(shù)據(jù)解析工具以及數(shù)據(jù)分析技術(shù)等綜合構(gòu)建的網(wǎng)絡(luò)體系進行入侵誘捕。
近年來，隨著工控安全形勢的嚴峻，蜜罐技術(shù)被越來越多的應(yīng)用在工控領(lǐng)域，從協(xié)議的仿真做起到工控環(huán)境的模擬，交互能力越來越高，結(jié)構(gòu)也日趨復(fù)雜。開源工控蜜罐中，主要針對modbus、s7、IEC-104、DNP3等工控協(xié)議進行模擬。其中，conpot和snap7是相對成熟的蜜罐代表，conpot實現(xiàn)了對s7comm、modbus、bacnet、HTTP等協(xié)議的模擬，屬于低交互蜜罐，conpot部署簡單，協(xié)議內(nèi)容擴展方便，并且設(shè)備信息是以xml形式進行配置，便于修改和維護。Snap7是專門針對西門子PLC的蜜罐，基本實現(xiàn)了s7comm協(xié)議棧。它可以模擬實際設(shè)備的信息與狀態(tài)，而且實現(xiàn)常用PLC操作的交互。但這些這些主流的虛擬蜜罐只能模擬單一工控協(xié)議，因此只能捕獲單一工控協(xié)議的攻擊數(shù)據(jù)。
新型蜜罐技術(shù)(主要介紹混合蜜罐)
為提高蜜罐的部署能力，降低蜜罐部署成本，陸續(xù)有研究者提出采用低交互蜜罐與高交互蜜罐混合部署的架構(gòu)，在合適的時候調(diào)度合適的蜜罐，在學(xué)術(shù)領(lǐng)域陳之為混合蜜罐。以下是一些示例
1. Snort+honeybrid方案
在本方案中，Snort主要進行低高交互流量的鑒別，并通知Honeybrid網(wǎng)關(guān)，便于后續(xù)步驟的進行。Honeybrid網(wǎng)關(guān)包括決策引擎和重定向引擎，負責(zé)協(xié)調(diào)前端和后端之間的過濾和重定向。決策引擎用于選擇感興趣的流量，重定向引擎用于透明地重定向流量。
其中honeybrid是一種典型的混合蜜罐框架，主要有如下四部分模塊，示意圖如下：
- 決策引擎 ：決定哪些業(yè)務(wù)是要哪個蜜罐;
- 重定向引擎：以決定是否有些業(yè)務(wù)需要被重定向進行更詳細的分析;
- 控制引擎：限制由潛在的被損害蜜罐發(fā)送的傳出網(wǎng)絡(luò)流量;
- 日志引擎：繼續(xù)處理的數(shù)據(jù)流，進行詳細記錄。
這四個組件圍繞目標(biāo)概念進行闡述，目標(biāo)概念包含基于蜜罐的實驗的規(guī)范。因此，每當(dāng)我們想要運行基于蜜罐的新實驗時，我們必須考慮我們想要收集的流量類型以及我們想要收集它的方式，即具有多少粒度和控制程度。目標(biāo)由四個聲明組成：一個 過濾規(guī)則，它使用tcpdump語法定義此目標(biāo)應(yīng)處理的確切流量類型，
- 一個前端規(guī)則，定義哪個蜜罐應(yīng)該首先與傳入的攻擊流量進行交互，以及接受此傳入流量的標(biāo)準(zhǔn)是什么;
- 一個可選的后端規(guī)則，用于定義流量被重定向到哪個蜜罐以進行更詳細的分析，以及決定重定向流量的標(biāo)準(zhǔn)是什么;
- 一個可選的控制 規(guī)則，定義如何限制蜜罐啟動的傳出流量。
2. Snort+SDN方案
SDN是軟件定義網(wǎng)絡(luò)，它以下發(fā)flowtable的形式完成對流量的控制。右圖顯示了作者所提出的混合蜜罐架構(gòu)圖。它主要由一個基于 OpenFlow的交換機來管理控制平面，它負責(zé)重定向攻擊者和不同蜜罐之間的連接。在控制平面中，開源IDSSnort用于分析流量以生成警報，并通過UNIX 套接字將警報消息發(fā)送到控制器應(yīng)用程序。根據(jù)警報消息，決策引擎(DE)將決定轉(zhuǎn)發(fā)或重定向連接并發(fā)信號通知重定向引擎(RE ) 以執(zhí)行相應(yīng)的動作。
在上述方案中都是用了Snort工具，Snort是一種入侵檢測工具，可以針對數(shù)據(jù)包進行單包解析，在監(jiān)聽到數(shù)據(jù)包后首先會對來源數(shù)據(jù)包進行解析，然后提取特征，匹配規(guī)則，從而發(fā)出告警信息，示意圖如下：
利用在蜜罐框架中，是利用了它的數(shù)據(jù)解析功能與告警功能;它在匹配到對應(yīng)的信息后，可以發(fā)出信號，從而使得下一步的處理程序可以進行處理。
總結(jié)
本文主要對蜜罐技術(shù)進行了介紹，從蜜罐的起源到發(fā)展，以及工控蜜罐的出現(xiàn)到發(fā)展。并描寫了典型的蜜罐架構(gòu)，通過采用這些架構(gòu)可以較為高效的進行蜜罐部署，同時也讓大家對蜜罐技術(shù)有一個較為大概對理解。當(dāng)前蜜罐的能力永遠是看向蜜罐交互性這一指標(biāo)，為了提高蜜罐交互性研究人員采用了很多方法，本文主要介紹了選擇合理部署的方式提高整體蜜罐的交互性。
但當(dāng)前大多數(shù)的蜜罐框架僅從技術(shù)層面進行了闡述，并為指出無懈可擊的理論依據(jù)，尚存在諸多問題需要解決，比如合理的調(diào)度依據(jù)。而缺乏這些依據(jù)的原因也是我們?nèi)狈舻牧私?，無法獲取精確且普適性較高的攻擊分析方法。
網(wǎng)頁題目：工業(yè)控制系統(tǒng)蜜罐的初步介紹
文章分享：http://m.5511xx.com/article/cohcghe.html
