基于数据包分片的工控蜜罐识别方法

• 作者: 吕世超 孙利民 尹丽波 张悦阳 游建舟 陈新
• 来源期刊: 信息安全学报
• 关键词: 蜜罐识别 数据包分片 蜜罐
• 年，卷（期）: 2019,（3）
• 所属期刊栏目: 物联网安全专题
• 页码范围: 83-92
• 页数: 10页
• 字数: 9289字
• 语种: 中文
• DOI: 10.19363/J.cnki.cn10-1380/tn.2019.05.06

摘要

蜜罐是一种用于安全威胁发现与攻击特征提取的主动防御技术,能够提供高价值且低误报率的攻击流量和样本.蜜罐的应用压缩了网络黑客的隐匿空间,攻击者可通过蜜罐识别技术来发现和规避蜜罐.因此,安全人员有必要从攻击者的角度深入研究蜜罐识别的方法,以便优化蜜罐系统的设计与实现.本文从蜜罐的结构出发,总结了8种蜜罐识别要素,并评估了不同识别要素的准确性和隐蔽性.结合互联网蜜罐分布特点,归纳了一种互联网中的蜜罐识别流程,并基于Conpot工控蜜罐架构的固有缺陷,提出了一种基于数据包分片的工控蜜罐识别方法.通过三次互联网扫描,共发现2432个Conpot工控蜜罐,并进一步分析了其分布特点.