基于蜜罐技術(shù)的ICS威脅感知平臺(tái)設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著科技的高速發(fā)展，信息化和工業(yè)化不斷融合。越來(lái)越多針對(duì)工業(yè)控制系統(tǒng)的攻擊事件逐漸暴露在大眾的視野中，工控安全問(wèn)題在社會(huì)上引起了廣泛的關(guān)注。面對(duì)各種層出不窮的攻擊方法和攻擊模式，以及逐漸演變出的高級(jí)持續(xù)性威脅（Advanced Persistent Threats，APT），傳統(tǒng)的被動(dòng)安全防御手段不能起到有效的防護(hù)作用。
　　為了探索有效的主動(dòng)安全防御方法，本論文設(shè)計(jì)并實(shí)現(xiàn)了基于蜜罐技術(shù)的ICS威脅感知平臺(tái)。旨在捕獲和分析網(wǎng)絡(luò)空間

2、中針對(duì)工控系統(tǒng)的攻擊流量，研究攻擊者行為動(dòng)機(jī)，溯源攻擊者的真實(shí)身份，從而在未知網(wǎng)絡(luò)攻擊到來(lái)時(shí)能夠做出更好的應(yīng)對(duì)。首先，設(shè)計(jì)并實(shí)現(xiàn)了支持多種協(xié)議的低交互工控蜜罐SuperPot，集成了基于發(fā)布/訂閱機(jī)制的數(shù)據(jù)推送功能，可以實(shí)現(xiàn)對(duì)24種工控協(xié)議攻擊數(shù)據(jù)的捕獲與實(shí)時(shí)遠(yuǎn)程推送。其次，結(jié)合平臺(tái)功能需求對(duì)開(kāi)源發(fā)布/訂閱協(xié)議hpfeeds進(jìn)行功能上的改進(jìn)，并將其應(yīng)用到平臺(tái)服務(wù)端，實(shí)現(xiàn)平臺(tái)對(duì)接入蜜罐的分布式監(jiān)管和實(shí)時(shí)數(shù)據(jù)收集功能。然后，針對(duì)威脅感知平臺(tái)

3、自身的特點(diǎn)，設(shè)計(jì)并實(shí)現(xiàn)了基于通道劃分的數(shù)據(jù)持久化中間件 Middleware，實(shí)現(xiàn)了對(duì)同一通道不同協(xié)議類(lèi)型攻擊數(shù)據(jù)的轉(zhuǎn)化及持久化功能。最后，實(shí)現(xiàn)了基于蜜罐技術(shù)的 ICS威脅感知平臺(tái)，該平臺(tái)能夠?qū)Σ东@的攻擊流量數(shù)據(jù)進(jìn)行實(shí)時(shí)分析與可視化，在能力范圍內(nèi)感知當(dāng)前網(wǎng)絡(luò)空間工控威脅態(tài)勢(shì)，并且提供了便捷有效的安全事件分析界面。通過(guò)在公共網(wǎng)絡(luò)中實(shí)際搭建 ICS威脅感知平臺(tái)，連續(xù)不間斷收集與存儲(chǔ)工控攻擊數(shù)據(jù)（目前為止已有9個(gè)月的數(shù)據(jù)量）。使用平臺(tái)提供的功