工业互联网安全 课件 任务4 工业设备的发现与定位

任务4工业设备的发现与定位对于工业互联网安全的监管者来说，寻找暴露在互联网中的工业互联网设备和节点，判断它们是否存在漏洞或者是否为非法暴露，对于保障工业互联网的安全具有重要意义。本任务主要讲解如何使用潮汐搜索引擎查找工业互联网中的工业设备。任务描述本任务学习使用网络空间搜索引擎发现工业设备的方法。在线和离线设备安全分析1工业设备安全分析的支撑技术主要包括在线和离线设备安全分析技术。知识导入工业互联网设备的发现2设备发现是在线设备安全分析的重要支撑技术。在进行设备安全分析之前，通常要对工业互联网中的设备进行发现、识别与定位，充分掌握设备信息、网络拓扑结构，了解整个工业互联网的设备分布与拓扑结构，研究系统和设备安全态势等，以便帮助系统管理员更好地进行设备管控工作。知识导入设备发现一般分为两步：第一步是探测发现，主要目的是发现并识别网络中可用的设备；第二步是真实性判断，主要目的是判断目标设备的合法性和真实性。工业互联网设备的发现2目前，有很多成熟的工具和软件可以用于设备发现。根据扫描模式的差异，可分为主动扫描和被动扫描两类；根据其功能也可分为两类，一类是以潮汐、Zoomeye为代表的在线网络空间搜索引擎，另一类是以Nmap、Grassmarlin为代表的离线设备发现工具。知识导入工业互联网设备的发现2离线设备发现工具主要用于对固定范围或目标进行扫描和设备发现。知识导入工具名称工具概述扫描模式工具特性Nmap用于网络发现，设备发现和识别主动扫描支持多种端口扫描机制Masscan一个网络端口扫描程序，其目标是使安全研究人员能够尽快对大型网络进行端口扫描主动扫描实现了自定义的TCP/IP堆栈，使用异步传输来提高扫描速率，具备一定的可移植性和可扩展性Zmap一种快速的单包网络扫描仪，专门用于互联网扫描主动扫描支持包括SYN扫描、ICMP、DNS查询、UPnP、BACNET的探针模块在内的多种扫描模式Grassmarlin提供了一种用于在基于IP的网络上发现和分类SCADA和ICS主机的方法被动扫描具备可移植性，以各种方式对捕获的流量按照预定逻辑布局进行分组，获得对流量和所用协仪的深入了解工业互联网设备的定位3从定位方式上，设备定位技术可以分为基于互联网信息挖掘的设备定位和基于网络特征分析的设备定位。（1）基于互联网信息挖掘的设备定位（2）基于网络特征分析的设备定位（3）定位结果的信心度分析知识导入a）基于WHOIS登记

信息的定位方法WHOIS是用来查询IP注册信息的传输协议。是一个用来查询IP是否已经被注册，以及注册IP的详细信息的数据库。知识导入b）基于主机名称的定位方法主机名称是分配给连接到计算机网络的设备的标签，它可以是一个由单个单词或短语组成的简单名称，也可以是一个结构化的名称。c）基于IP历史位置分析的定位方法通过采集IP的历史基准点数据、预处理IP的历史基准点数据和聚类IP的历史基准点数据，实现设备IP的定位。基于主机名称的定位方法通常情况下，主机名称包含设备的接口类型、接口编号、设备角色和地址标识等关键信息。知识导入a）基于网络拓扑分析的定位方法基于网络拓扑分析的定位方法就是对IP进行网络拓扑与网络时延测绘，将其与具有相似网络拓扑结构的、时延相似度高的已定位IP进行绑定，从而实现定位。这种定位方法有三个步骤：网络路径采集、网络路径修复和网络拓扑分析定位。知识导入b）基于IP块特征分析的定位方法除了用基于网络路径分析的方法进行定位外，还可以利用IP块的特征辅助进行定位。如果这些较小的IP块下多个IP的历史基准点数据都处于同一区域，则可以判定该块下的其他IP也在这一区域。定位方法的信心度分析知识导入定位方法定位信息度判断理由基于WHOIS登记信息的定位方法中WHOIS登记信息较为准确，但可能存在更新不及时的问题基于主机名称的定位方法低定位半径较大，且可能存在信息更新不及时的问题使用IP历史位置分析的定位方法高IP真实出现在的GPS位置，在经过过滤和聚类后，准确度较高使用网络拓扑分析的定位方法中由于网络不稳定，网络拓扑分析的结果可能不准确，准确度适中使用IP块特征分析的定位方法高IP块较不上，且同一IP块下的特征相似，准确度较高网络空间搜索引擎发现工业设备任务实施【任务目的】了解网络空间搜索引擎；掌握潮汐网络空间搜索引擎的使用。【使用工具】运行系统：Linux软件：TideCyber网络空间搜索引擎【步骤1】了解潮汐搜索引擎01潮汐搜索引擎概述TideCyber搜索引擎的官方地址是【步骤1】了解潮汐搜索引擎02潮汐搜索引擎Web语法os="linux"，指定服务器系统类型。例：Linux服务器port="443"，查找对应443端口的资产。CIDR格式的IP地址，net:/24area="北京"，搜索指定城市的资产服务器，product:"Apachehttpd"cms="dedeCMS"，指定cms类型title="山东省政府"，从标题中搜索山东省政府相关资产url=""，搜索域名或IP的网站或主机ip=""，搜索域名或IP的网站或主机product="Apache"，搜索web服务器类型名称product_ver="6.0"，指定web服务器版本号xpb="php"，搜索制定组件信息banner="waf"，搜索banner信息中带有waf文本的资产httpserver="http"，搜索返回头包含http的信息service="ssh"，搜索开启ssh服务的信息【步骤2】使用潮汐搜索引擎网站01搜索指定端口的主机搜索开发80端口的主机，格式为port=80，在TideCyber搜索引擎网站的搜索框中输入代码，即可得到相应的搜索结果。【步骤2】使用潮汐搜索引擎网站01搜索指定端口的主机搜索开发80端口的主机并且服务器是apache，格式为port=80&product=Apache，在TideCyber搜索引擎网站的搜索框中输入代码，即可得到相应的搜索结果。【步骤2】使用潮汐搜索引擎网站02指定标题探测网站标题的地址，格式为title=山东省政府，在TideCyber搜索引擎网站的搜索框中输入代码，即可得到相应的搜索结果。【步骤2】使用潮汐搜索引擎网站03搜索Linux服务主机搜索Linux服务主机的格式为os=linux，在TideCyber搜索引擎网站的搜索框中输入代码，即可得到相应的搜索结果。【步骤3】使用潮汐搜索引擎api请求结构：GET/api/v1/服务地址：接口接入域名

通信协议：所有接口均通过HTTPS进行通信，提供高安全的通信通道请求方法：支持GET的HTTP请求字符编码：均使用UTF-8编码【步骤3】使用潮汐搜索引擎api01获取API的参数获取个人账户的API的Key、Email信息，登录个人中心，点击个人中心可看到Key具体的值。【步骤3】使用潮汐搜索引擎api02测试API格式：curl-XGET"/api/v1/info/my?email=your_email&key=your_key"。【步骤3】使用潮汐搜索引擎api03搜索标题为百度格式：curl-XGET"/api/v1/search/all?email=your_email&key=your_key&qbase64=dGl0bGU9ImJpbmci"。【步骤3】使用潮汐搜索引擎api04统计聚合格式：curl-XGET"/api/v1/search/stats?fields=title&qbase64=dGl0bGU9IueZvuW6piI%3D&email=your_email&key=your_key"，例如：title="百度。任务评价任务评价了解在线和离线设备安全了解工业互联网设备的发现方法和常用工具了解工业互联网设备的定位掌握TideCyber搜索引擎的使用方法掌握TideCyberAPI的使用方法任务测验选择题

A.设备安全分析B.在线设备安全分析C.离线设备安全分析D.查找设备

（）技术包括设备发现和定位技术，即如何有效地发现并定位不同类型的设备。A.潮汐B.ZoomeyeC.NmapD.Google

以下哪个选项不属于发现工业互联网设备的工具和软件？（）A.基于WHOIS登记信息的定位方法B.基于主机名称的定位方法

C.基于设备型号的定位方法D.基于IP历史位置分析的定位方法

以下哪种不属于基于互联网信息挖掘的设备定位的方法？（）简答题任务测验1.什么是工业互联网设备发现