CN105721417A - 一种挂载于工控***中的蜜罐装置及工控*** - Google Patents

一种挂载于工控***中的蜜罐装置及工控*** Download PDF

Info

Publication number
CN105721417A
CN105721417A CN201510784429.9A CN201510784429A CN105721417A CN 105721417 A CN105721417 A CN 105721417A CN 201510784429 A CN201510784429 A CN 201510784429A CN 105721417 A CN105721417 A CN 105721417A
Authority
CN
China
Prior art keywords
industrial control
module
honey jar
jar device
industrial
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Withdrawn
Application number
CN201510784429.9A
Other languages
English (en)
Inventor
黄显澍
郑立强
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Harbin Antiy Technology Co Ltd
Original Assignee
Harbin Antiy Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Harbin Antiy Technology Co Ltd filed Critical Harbin Antiy Technology Co Ltd
Priority to CN201510784429.9A priority Critical patent/CN105721417A/zh
Publication of CN105721417A publication Critical patent/CN105721417A/zh
Withdrawn legal-status Critical Current

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/06—Management of faults, events, alarms or notifications
    • H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
    • G—PHYSICS
    • G05—CONTROLLING; REGULATING
    • G05B—CONTROL OR REGULATING SYSTEMS IN GENERAL; FUNCTIONAL ELEMENTS OF SUCH SYSTEMS; MONITORING OR TESTING ARRANGEMENTS FOR SUCH SYSTEMS OR ELEMENTS
    • G05B19/00—Programme-control systems
    • G05B19/02—Programme-control systems electric
    • G05B19/418—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM]
    • G05B19/4185—Total factory control, i.e. centrally controlling a plurality of machines, e.g. direct or distributed numerical control [DNC], flexible manufacturing systems [FMS], integrated manufacturing systems [IMS] or computer integrated manufacturing [CIM] characterised by the network communication

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Selective Calling Equipment (AREA)

Abstract

本发明公开了一种挂载于工控***中的蜜罐装置，所述蜜罐装置根据需要挂载于各工控网络节点上，包括：接口模块，具备当前蜜罐装置所处工控网络级别互连所需的标准接口；指令接收模块，用于接收上一级别工控设备的指令，并利用信号提交模块模拟提交反馈数据；信号提交模块，用于模拟各种工控设备的信号特征，向上一级别工控设备发送与其他设备相似但可区分的数据；行为记录模块，用于当所述蜜罐装置受到攻击威胁时，记录攻击行为数据并及时报警。本发明所述蜜罐装置通过模拟挂载在工控网络中的工控设备，从而吸引各种恶意攻击，记录恶意攻击行为数据并发布预警。从而能够及时发现威胁，避免恶意攻击对工控***造成更大的损害。

Description

一种挂载于工控***中的蜜罐装置及工控***
技术领域
本发明涉及工控安全技术领域，尤其涉及一种挂载于工控***中的蜜罐装置及工控***。
背景技术
工业化和信息化是现代社会发展的主流，目前在工业领域已经超过80%的领域实现了自动化控制，工业控制***已经成为国家关键基础设施的重要组成部分，工控领域的安全关系到国家的战略安全。
近年来，工控安全越来越受到管理部门及各厂商的警惕和关注。工控安全呈现出的特点包括：***要求高可用性、高实时性、高可控性；与传统信息安全相比，工控安全并没有得到足够的关注；相对于传统互联网安全，工控领域受到的威胁将会产生更加实质性的严重后果。
因此，能够及时发现工控***内的威胁和入侵破坏变得越来越重要，越来越急迫。
发明内容
本发明提供了一种挂载于工控***中的蜜罐装置，通过模拟各种工控设备的特征，从而引起恶意攻击者的注意，当所述蜜罐装置遭受恶意攻击后，则记录其攻击模式和攻击特点，并及时发出报警。不仅可以及时快速的发现工控网络中存在的安全威胁，并可以针对其记录的攻击特点做好后期的防御工作，能够更好地保证工控***的安全性。
本发明首先提供了一种挂载于工控***中的蜜罐装置，所述蜜罐装置根据需要挂载于各工控网络节点上，包括：
接口模块，具备当前蜜罐装置所处工控网络级别互连所需的标准接口；
指令接收模块，用于接收上一级别工控设备的指令，并利用信号提交模块模拟提交反馈数据；
信号提交模块，用于模拟各种工控设备的信号特征，向上一级别工控设备发送与其他设备相似但可区分的数据；
行为记录模块，用于当所述蜜罐装置受到攻击威胁时，记录攻击行为数据并及时报警。
进一步地，当前蜜罐装置所处工控网络级别为上级网络时，则还包括：指令下达模块，用于模拟蜜罐装置所处工控网络级别设备的指令形式，向下一级别工控设备发送控制指令。
进一步地，当前蜜罐装置所处工控网络级别为上级网络时，则所述互连所需的标准接口包括：485、CAN、MODBUS或者以太网。
进一步地，当前蜜罐装置所处工控网络级别为下级网络时，所述信号提交模块，用于模拟各种工控设备的信号特征，包括：温控器信号特征、变频器信号特征或者PLC设备信号特征。
本发明其次提供了一种工控***，包括：各工控设备和如上所述的任一所述蜜罐装置。
综上所述，本发明提供了一种挂载于工控***中的蜜罐装置，所述蜜罐装置可以根据需要挂载于各工控网络节点上，可以是上级网络或者是下级网络，包括：接口模块、指令接收模块、信号提交模块和行为记录模块。通过接口模块完成工控网络中与其他工控设备的互连；通过指令接收模块接收上一级别工控设备的指令；通过信号提交模块模拟完成向上一级别工控设备发送数据；通过行为记录模块来记录攻击行为数据，以便后期分析使用。本发明所述的蜜罐装置在工控网络中模拟成一个工控设备，从而起到恶意威胁监测和预警的效果。本发明同时给出了一种工控***，与传统工控***的区别在于，在其中多处节点处设置了所述蜜罐装置，可能位于上级网络中，可能位于下级网络中，针对不同网络级别中工控设备的特点区别设置蜜罐装置，从而更加全面的形成了工控***安全防护网，不仅能够吸引恶意攻击，从而避免其他真实的工控设备被攻击，同时能够对恶意攻击的特点和行为的数据进行记录，以便后续分析处理。
附图说明
为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种挂载于工控***中的蜜罐装置实施例结构示意图；
图2为本发明提供的一种工控***实施例结构示意图。
具体实施方式
本发明给出了一种挂载于工控***中的蜜罐装置及工控***实施例，为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明作进一步详细的说明：
本发明首先公开了一种挂载于工控***中的蜜罐装置实施例，所述蜜罐装置根据需要挂载于各工控网络节点上，如图1所示，包括：
接口模块101，具备当前蜜罐装置所处工控网络级别互连所需的标准接口；从而当恶意程序入侵时，可以依照通信协议接收相同的恶意程序，诱使恶意程序认为所述蜜罐装置为真实的工控设备；
指令接收模块102，用于接收上一级别工控设备的指令，并利用信号提交模块103模拟提交反馈数据；
信号提交模块103，用于模拟各种工控设备的信号特征，向上一级别工控设备发送与其他设备相似但可区分的数据；其中，可以通过在数据中加入可用于区分的ID回应码；
行为记录模块104，用于当所述蜜罐装置受到攻击威胁时，记录攻击行为数据并及时报警。
例如：基于CAN总线方式连接的多个工控设备在正常工作时，温度采集设备持续采集某种加热装置的温度值，并发送给温度控制装置，让温度控制装置实时了解整个加热设备的温度情况，及时做出控制处理。假设此时恶意攻击的攻击方式是通过侦测温度采集器，并篡改温度采集器发出的温度信息，导致温度控制器不能正确的控制加热情况。
此时所述蜜罐装置自身通过CAN总线连接接入工控网络中，利用所述信号提交模块模拟出温度采集器的信号特征，向上一级别的控制装置发送温度相关数据，当然该温度相关数据会稍作处理，使得蜜罐装置发送的温度相关数据不会被控制装置接收处理，该信息的发出会引起恶意攻击程序侦测，并向蜜罐装置发出攻击，此时该过程将被蜜罐装置捕获，同时发出预警。
优选地，当前蜜罐装置所处工控网络级别为上级网络时，则还包括：指令下达模块，用于模拟蜜罐装置所处工控网络级别设备的指令形式，向下一级别工控设备发送控制指令。
优选地，当前蜜罐装置所处工控网络级别为上级网络时，则所述互连所需的标准接口包括：485、CAN、MODBUS或者以太网。
优选地，当前蜜罐装置所处工控网络级别为下级网络时，所述信号提交模块，用于模拟各种工控设备的信号特征，包括：温控器信号特征、变频器信号特征或者PLC设备信号特征。
其中，由于下级网络中的多数工控设备为采集装置，种类较为复杂多样，因此处于下级网络中的蜜罐装置需要模拟多种采集装置的信号特征；同时由于下级网络的工控设备处于信息收集和汇总上报的位置，因此不仅要求处于下级网络中的蜜罐装置能够模拟多种工控设备的信号特征，并接受多种控制命令。
本发明其次提供了一种工控***实施例，如图2所示，包括：各工控设备和如上所述的任一所述蜜罐装置。其中，各工控设备类型根据需要设置，上级网络的工控设备为各种控制设备，下级网络的工控设备可以为各种采集装置，包括：温控器、PCL、变频器等。
如上所述，本发明所述实施例与网络安全领域不同，传统互联网的联网机制多采用以太网形式，而工控网络形式多样，包括：485、CAN、MODBUS或者以太网的形式。本发明实施例中所述蜜罐装置可以支持多种工控协议互连，能够根据需要的形式连入工控网络中。所述蜜罐装置在工控网络中模拟成为一个常规的工控设备，可能是控制装置也可能是采集装置，从而吸引恶意攻击实现及时预警和记录的目的。不仅能够主动发现威胁并对后期的防御布局提供参考数据，而且能够进一步避免发生更加严重的安全事故。本发明还给出了一种工控***的实施例，所述工控***与传统工控***的区别是，在各级别工控网络中设置了多个蜜罐装置，从而能够主动防御各种攻击威胁，及时发现恶意攻击并发出预警信号。
以上实施例用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。

Claims (5)

1.一种挂载于工控***中的蜜罐装置，其特征在于，所述蜜罐装置根据需要挂载于各工控网络节点上，包括：
接口模块，具备当前蜜罐装置所处工控网络级别互连所需的标准接口；
指令接收模块，用于接收上一级别工控设备的指令，并利用信号提交模块模拟提交反馈数据；
信号提交模块，用于模拟各种工控设备的信号特征，向上一级别工控设备发送与其他设备相似但可区分的数据；
行为记录模块，用于当所述蜜罐装置受到攻击威胁时，记录攻击行为数据并及时报警。
2.如权利要求1所述装置，其特征在于，当前蜜罐装置所处工控网络级别为上级网络时，则还包括：指令下达模块，用于模拟蜜罐装置所处工控网络级别设备的指令形式，向下一级别工控设备发送控制指令。
3.如权利要求1所述装置，其特征在于，当前蜜罐装置所处工控网络级别为上级网络时，则所述互连所需的标准接口包括：485、CAN、MODBUS或者以太网。
4.如权利要求1所述装置，其特征在于，当前蜜罐装置所处工控网络级别为下级网络时，所述信号提交模块，用于模拟各种工控设备的信号特征，包括：温控器信号特征、变频器信号特征或者PLC设备信号特征。
5.一种工控***，其特征在于，包括：各工控设备和如权利要求1至4任一所述蜜罐装置。
CN201510784429.9A 2015-11-16 2015-11-16 一种挂载于工控***中的蜜罐装置及工控*** Withdrawn CN105721417A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201510784429.9A CN105721417A (zh) 2015-11-16 2015-11-16 一种挂载于工控***中的蜜罐装置及工控***

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201510784429.9A CN105721417A (zh) 2015-11-16 2015-11-16 一种挂载于工控***中的蜜罐装置及工控***

Publications (1)

Publication Number Publication Date
CN105721417A true CN105721417A (zh) 2016-06-29

Family

ID=56145034

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201510784429.9A Withdrawn CN105721417A (zh) 2015-11-16 2015-11-16 一种挂载于工控***中的蜜罐装置及工控***

Country Status (1)

Country Link
CN (1) CN105721417A (zh)

Cited By (15)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106506202A (zh) * 2016-10-31 2017-03-15 华中科技大学 面向工控***信息安全防护的半实物演示验证平台及方法
CN107770199A (zh) * 2017-12-08 2018-03-06 东北大学 一种面向工业互联网的带有自学习功能的工控协议蜜罐及应用
CN108600193A (zh) * 2018-04-03 2018-09-28 北京威努特技术有限公司 一种基于机器学习的工控蜜罐识别方法
CN108712370A (zh) * 2018-04-02 2018-10-26 中国科学院信息工程研究所 一种蜜罐***
CN108833333A (zh) * 2018-04-12 2018-11-16 中国科学院信息工程研究所 一种基于dcs分布式控制的蜜罐***
CN109696892A (zh) * 2018-12-21 2019-04-30 上海瀚之友信息技术服务有限公司 一种安全自动化***及其控制方法
CN109818985A (zh) * 2019-04-11 2019-05-28 江苏亨通工控安全研究院有限公司 一种工控***漏洞趋势分析与预警方法及***
GB2568667A (en) * 2017-11-17 2019-05-29 Arm Ip Ltd Detecting unsanctioned messages in electronic networks
CN109981602A (zh) * 2019-03-07 2019-07-05 浙江大学 物联网安全网关***及防护方法
CN110351238A (zh) * 2019-05-23 2019-10-18 中国科学院信息工程研究所 工控蜜罐***
CN110865597A (zh) * 2018-12-18 2020-03-06 哈尔滨安天科技集团股份有限公司 一种工业控制***及其安全防护方法
CN111404917A (zh) * 2020-03-11 2020-07-10 江苏亨通工控安全研究院有限公司 一种基于工控仿真设备的威胁情报分析检测方法及***
CN111641634A (zh) * 2020-05-28 2020-09-08 东北大学 一种基于蜜网的工业控制网络主动防御***及其方法
CN112054996A (zh) * 2020-08-05 2020-12-08 杭州木链物联网科技有限公司 一种蜜罐***的攻击数据获取方法、装置
US10924934B2 (en) 2017-11-17 2021-02-16 Arm Ip Limited Device obfuscation in electronic networks

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101087196A (zh) * 2006-12-27 2007-12-12 北京大学 多层次蜜网数据传输方法及***
CN101119369A (zh) * 2007-08-14 2008-02-06 北京大学 一种网络数据流的安全检测方法及其***
CN101188613A (zh) * 2007-12-11 2008-05-28 北京大学 一种结合路由和隧道重定向网络攻击的方法
US8856928B1 (en) * 2012-06-28 2014-10-07 Emc Corporation Protecting electronic assets using false profiles in social networks

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN101087196A (zh) * 2006-12-27 2007-12-12 北京大学 多层次蜜网数据传输方法及***
CN101119369A (zh) * 2007-08-14 2008-02-06 北京大学 一种网络数据流的安全检测方法及其***
CN101188613A (zh) * 2007-12-11 2008-05-28 北京大学 一种结合路由和隧道重定向网络攻击的方法
US8856928B1 (en) * 2012-06-28 2014-10-07 Emc Corporation Protecting electronic assets using false profiles in social networks

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
周昆: "一种基于honeyd的过程控制蜜罐***平台搭建研究", 《中国优秀硕士学位论文全文数据库 信息科技辑》 *

Cited By (23)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106506202B (zh) * 2016-10-31 2017-12-29 华中科技大学 面向工控***信息安全防护的半实物演示验证平台及方法
CN106506202A (zh) * 2016-10-31 2017-03-15 华中科技大学 面向工控***信息安全防护的半实物演示验证平台及方法
GB2568667A (en) * 2017-11-17 2019-05-29 Arm Ip Ltd Detecting unsanctioned messages in electronic networks
GB2568667B (en) * 2017-11-17 2022-03-16 Arm Ip Ltd Detecting unsanctioned messages in electronic networks
US10924934B2 (en) 2017-11-17 2021-02-16 Arm Ip Limited Device obfuscation in electronic networks
CN107770199A (zh) * 2017-12-08 2018-03-06 东北大学 一种面向工业互联网的带有自学习功能的工控协议蜜罐及应用
CN108712370A (zh) * 2018-04-02 2018-10-26 中国科学院信息工程研究所 一种蜜罐***
CN108712370B (zh) * 2018-04-02 2020-05-29 中国科学院信息工程研究所 一种蜜罐***
CN108600193A (zh) * 2018-04-03 2018-09-28 北京威努特技术有限公司 一种基于机器学习的工控蜜罐识别方法
CN108600193B (zh) * 2018-04-03 2021-04-13 北京威努特技术有限公司 一种基于机器学习的工控蜜罐识别方法
CN108833333A (zh) * 2018-04-12 2018-11-16 中国科学院信息工程研究所 一种基于dcs分布式控制的蜜罐***
CN108833333B (zh) * 2018-04-12 2020-07-10 中国科学院信息工程研究所 一种基于dcs分布式控制的蜜罐***
CN110865597A (zh) * 2018-12-18 2020-03-06 哈尔滨安天科技集团股份有限公司 一种工业控制***及其安全防护方法
CN109696892A (zh) * 2018-12-21 2019-04-30 上海瀚之友信息技术服务有限公司 一种安全自动化***及其控制方法
CN109981602A (zh) * 2019-03-07 2019-07-05 浙江大学 物联网安全网关***及防护方法
CN109818985A (zh) * 2019-04-11 2019-05-28 江苏亨通工控安全研究院有限公司 一种工控***漏洞趋势分析与预警方法及***
CN109818985B (zh) * 2019-04-11 2021-06-22 江苏亨通工控安全研究院有限公司 一种工控***漏洞趋势分析与预警方法及***
CN110351238A (zh) * 2019-05-23 2019-10-18 中国科学院信息工程研究所 工控蜜罐***
CN111404917A (zh) * 2020-03-11 2020-07-10 江苏亨通工控安全研究院有限公司 一种基于工控仿真设备的威胁情报分析检测方法及***
CN111404917B (zh) * 2020-03-11 2022-10-04 江苏亨通工控安全研究院有限公司 一种基于工控仿真设备的威胁情报分析检测方法及***
CN111641634B (zh) * 2020-05-28 2021-06-15 东北大学 一种基于蜜网的工业控制网络主动防御***及其方法
CN111641634A (zh) * 2020-05-28 2020-09-08 东北大学 一种基于蜜网的工业控制网络主动防御***及其方法
CN112054996A (zh) * 2020-08-05 2020-12-08 杭州木链物联网科技有限公司 一种蜜罐***的攻击数据获取方法、装置

Similar Documents

Publication Publication Date Title
CN105721417A (zh) 一种挂载于工控***中的蜜罐装置及工控***
US11792229B2 (en) AI-driven defensive cybersecurity strategy analysis and recommendation system
EP3895046B1 (en) Systems and methods for behavioral threat detectiion
US10609051B2 (en) Network security analysis for smart appliances
CN109962891B (zh) 监测云安全的方法、装置、设备和计算机存储介质
US20170214708A1 (en) Detecting security threats by combining deception mechanisms and data science
KR20180127649A (ko) 자동 장치 탐지를 위한 시스템 및 방법
US20180020024A1 (en) Methods and Systems for Using Self-learning Techniques to Protect a Web Application
US9245147B1 (en) State machine reference monitor for information system security
Al-Hawawreh et al. Developing a security testbed for industrial internet of things
CN113676449B (zh) 网络攻击处理方法及装置
EP3895048B1 (en) Systems and methods for behavioral threat detection
Letteri et al. Performance of Botnet Detection by Neural Networks in Software-Defined Networks.
CN109981587A (zh) 一种基于apt攻击的网络安全监控溯源***
CN110381041B (zh) 分布式拒绝服务攻击态势检测方法及装置
Elgendi et al. Protecting cyber physical systems using a learned MAPE-K model
JP2018007179A (ja) 監視装置、監視方法および監視プログラム
Chen et al. Towards realizing self-protecting SCADA systems
JP2023050189A (ja) 脅威制御方法およびシステム
Schmitt Advanced threat hunting over software-defined networks in smart cities
CN112637873A (zh) 基于无人***无线通信网络的鲁棒性测试方法及装置
Kang et al. Whitelist generation technique for industrial firewall in SCADA networks
Watson et al. Designing trustworthy monitoring systems: Forensic readiness for safety and security
EP3895047B1 (en) Systems and methods for behavioral threat detection
Sagala et al. Industrial control system security-malware botnet detection

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
WW01 Invention patent application withdrawn after publication

Application publication date: 20160629

WW01 Invention patent application withdrawn after publication