28、工业控制系统（ICS）中蜜罐技术深度解析

工业控制系统（ICS）中蜜罐技术深度解析

1. ICS 安全现状与蜜罐概述

在工业控制系统（ICS）领域，技术和平台的成熟度常被视为价值和可靠性的隐性认可。即便相关安全问题被披露，也并未阻碍其使用，也未促使人们采取安全措施加以保护，这成为诸多 ICS 安全问题的根源。

蜜罐是一种诱骗或虚拟目标，旨在吸引、检测或观察攻击。通过暴露自身以吸引探测和攻击，其目的是引诱并追踪入侵者。部署和运行蜜罐基础设施需谨慎规划，既要避免其扩大攻击面，又要保持低调。

1.1 蜜罐的分类

蜜罐可从多个维度进行分类：
- 按用途分类 ：
- 研究型蜜罐 ：用于获取攻击方法的情报信息，通常应用于通用场景。
- 生产型蜜罐 ：通过提前预警针对生产基础设施的攻击，明确保护 ICT 基础设施。
- 按攻击者交互能力分类 ：
- 高交互蜜罐 ：可被探测、攻击和攻破。允许攻击者与系统交互，以捕获其入侵和利用技术的最大信息量，但需要密切监控和详细分析。
- 低交互蜜罐 ：模拟漏洞而非暴露真实弱点，限制攻击者的交互能力，更安全但灵活性较差。例如 Honeyd（2008）和 Nephentes Baecher 等（2006）。
- 按功能角色分类 ：
- 服务器蜜罐 ：被动等待攻击。
- 客户端