基于蜜网的工业互联网协同检测技术研究( 二 ) 【摘要】本文根据工业互联网

【基于蜜网的工业互联网协同检测技术研究】（3）安全分析层：针对工业互联网网络中的潜在威胁，通过在网络中分布式部署蜜网威胁监测体系收集得到的多层次网络流量，运用智能学习分析技术，同时结合数据交互，非法接入识别、非法扫描识别、非法探测、非法操作行为识别等方式，分析识别数据流量中的恶意行为和未知威胁。
（4）安全评估层：梳理关联后的多元化安全行为事件集，构建威胁监测技术体系。从不同粒度对系统的安全状况进行评估，实现从输入状态到输出状态空间的非线性映射，对系统威胁和脆弱性的发展趋势、网络局部和整体安全状况的发展状况进行预测并对实际业务进行预警防护。
3详细模块设计
3.1数据捕获层
数据捕获层主要通过部署分布式蜜罐系统形成蜜网，从而构建真实工控场景，诱捕恶意攻击行为，并探测发掘异常流量将其重定向到蜜网控制中心。
蜜网中攻击数据感知与捕获单元由多个不同类型的工控蜜罐组成，这些蜜罐分布于工业互联网系统中，并构建形成真实工控场景，可24小时不间断捕获网络空间中针对工控设备的扫描。分布式蜜罐系统是数据俘获层的基础，是整个系统的数据来源。合理的蜜罐设置及部署，有助于迷惑攻击者，更多地捕获恶意攻击行为数据。为更好捕获恶意攻击行为，蜜网中可联合部署低交互和高交互蜜罐系统。其中低交互蜜罐只是以最简的方式扩展协议类型，诱骗更多的攻击者或空间搜索引擎的扫描，监听工业控制协议端口，不进行任何协议交互，只记录攻击者的协议请求数据包和攻击者IP信息。高交互蜜罐可通过定制开源工业控制蜜罐实现，包含会话管理、协议交互、模板调度和日志配置等。其中会话管理是高交互蜜罐的核心模块，它采用事件队列的方式，将攻击事件保存在队列，对外提供获取会话的方法。协议交互模块提供多种工控协议仿真功能，并对外提供统一调用接口，保证协议服务的调用的统一性。协议交互模块实质上是作为协议实现的服务器实例，通过监听相应的协议端口，处理攻击者发送的请求信息。信息的处理方式采用函数回调机制，保证消息处理的函数自定义化。

文章图片
数据捕获层工作流程如图2所示，高交互蜜罐的处理流程围绕高交互蜜罐主程序进行，将各个模块进行协同工作，当攻击者连接高交互蜜罐时，会生成连接会话。会话管理服务将每次会话加入会话队列，为不同协议服务提供查询接口。根据不同攻击协议端口，调用不同协议服务实例。每个服务实例都设置线程池，当查询到对应的协议会话时，会开辟新的线程进行处理。处理过程采用回调机制，将处理完的结果返回给主程序。攻击者发送连接数据包或请求数据包时，会话管理和回调函数都会产生日志并本地化，并定向上传到蜜网控制中心。
3.2数据存储层
工业互联网的蜜网监测流量数据形式复杂多样，呈现典型的数据“多源异构”的特征。不同的蜜网监测单元由于其所在硬件设备及对应操作系统的不同，如有可能来自于多个数据源并涵盖系统的不同层次，这使得其数据的产生时间、使用场所、代码协议，乃至最终蜜网监测数据的存储模式和逻辑结构也差别巨大。
一般来说，实际蜜网监测数据可能同时包含结构化、半结构化和非结构化数据。其中，结构化数据指关系模型数据，即以关系数据库表形式管理的数据；半结构化数据指非关系模型的、有基本固定结构模式的数据，如日志文件、XML文档、JSON文档、E-mail等；而非结构化数据指没有固定模式的数据，如一些传感器数据、文本数据等。不同类型的数据在数据捕获过程中由于缺乏统一的标准，因此造成了数据“异构”的特征。为便于统一存储管理，蜜网在采集时将数据输出格式统一为JSON格式[3] 。 JSON具有简洁清晰的层次结构，是理想的数据交换语言，易于阅读和编写，同时也易于机器进行生成和对内容进行解析，可有效提升网络传输效率，数据存储流程如图3所示。