基于数据包分片的工控蜜罐识别方法

作者：游建舟; 张悦阳; 吕世超^*; 陈新; 尹丽波; 孙利民

来源：信息安全学报, 2019, 4(03): 83-92.

DOI：10.19363/J.cnki.cn10-1380/tn.2019.05.06

• 蜜罐识别
• 数据包分片
• 蜜罐

蜜罐是一种用于安全威胁发现与攻击特征提取的主动防御技术,能够提供高价值且低误报率的攻击流量和样本。蜜罐的应用压缩了网络黑客的隐匿空间,攻击者可通过蜜罐识别技术来发现和规避蜜罐。因此,安全人员有必要从攻击者的角度深入研究蜜罐识别的方法,以便优化蜜罐系统的设计与实现。本文从蜜罐的结构出发,总结了8种蜜罐识别要素,并评估了不同识别要素的准确性和隐蔽性。结合互联网蜜罐分布特点,归纳了一种互联网中的蜜罐识别流程,并基于Conpot工控蜜罐架构的固有缺陷,提出了一种基于数据包分片的工控蜜罐识别方法。通过三次互联网扫描,共发现2432个Conpot工控蜜罐,并进一步分析了其分布特点。

• 单位
  中国科学院大学; 中国科学院信息工程研究所