基于工控系统功能码特征的同源攻击分析
来源：计算机工程杂志2020年第7期北京时间：
作者：王建华, 陈永乐, 张壮壮, 连晓伟, 陈俊杰
单位：太原理工大学 信息与计算机学院, 太原 030024
摘要：IP溯源是追踪攻击者源头的主要方法，工业控制系统（ICS）需要精确的IP溯源以提高其防护能力。现有IP溯源方法存在开销大、恶意IP所属组织识别效率低的问题。为此，通过采集和分析ICS蜜罐数据，提出一种基于工控协议功能码特征的同源攻击分析方法，以识别攻击行为相似的组织并提高IP溯源的效率和准确性。用工控协议功能码的粗粒度统计特征和细粒度序列特征来量化攻击行为，采用粗糙集和聚类模型分别对2类特征进行建模，在此基础上分析蜜罐数据中的同源攻击。实验结果表明，该方法具有较高的准确率和召回率，结合威胁情报后能够在蜜罐数据中发现包括shodan在内的10个恶意组织。
关键词：IP溯源,工业控制系统,功能码序列,同源攻击分析,恶意组织
基金资助：山西省自然科学基金（201701D111002，201601D021074）；山西省重点研发项目（201903D121121）。
