基于物联网蜜罐的主动防御研究与应用

◆陈伟

（中国电子科技集团公司第五十八研究所 江苏 214000）

嵌入式Linux 因其优异的性能，多CPU 架构的支持，可裁剪，可配置，丰富的软件资源及活跃的社区支持，越来越广泛地应用于边缘计算、机器视觉、数字孪生等物联网设备中，是收集、生产、处理和传输有价值数据的实际载体，而未加安全防范的嵌入式Linux 设备的漏洞和攻击点无处不在，成为恶意攻击的重要目标[1]。利用Shodan搜索引擎，可以发现大量的基于嵌入式Linux 系统的IPC、NVR、NAS、打印机、路由器等设备以默认密码、弱密码或空密码的形式暴露在互联网上，时刻遭受被入侵的威胁。物联网蜜罐技术通过构建安全可控的诱饵环境，主动引诱入侵者攻击，捕捉入侵者信息并进行入侵行为审计，为后续的攻击组织画像及溯源工作提供情报支撑，同时与具有真实服务的物联网设备建立情报共享，及时阻断入侵行为，尽可能地减少损失。

1 物联网蜜罐定义

物联网蜜罐是指以物联网计算、网络、感知及执行等资源为诱饵，部署于真实物联网设备周边，具有物联网安全威胁发现、捕获、分析和告警功能，保护真实物联网设备的网络欺骗技术[2]。区别于常规蜜罐，物联网蜜罐硬件平台多源异构，例如基于不同的CPU 架构（ARM64、ARMv7、MIPS32）、运行不同的操作系统（Ubuntu-core、Debian、Fedora IoT）以及具有多样的硬件资源（LTE、Wi-Fi、Ethernet、RS232、RS485），使得物联网蜜罐诱饵环境多样化，通用性有所限制。虽然物联网蜜罐诱饵环境多样，架构封闭且构建难度高，但由于物联网蜜罐改变了传统入侵防御的被动局面，其所带来的优势也是显而易见的[3]。……