《工业控制系统安全与实践》习题及答案4.docx

4.5习题一、选择题1、以下哪种数据不能作为指纹库的特征？DA.MAC地址B.时钟偏移C.协议端口D.内存大小2、资产探测技术分为哪几种？DA.被动探测B.主动探测C.基于搜索引擎的探测D.以上都是3、以下哪一个不是工控设备的通用协议？DA.地址解析协议B.域名解析协议C.传输控制协议D.用户数据包协议4、以下哪个应用没有使用搜索引擎的探测技术？DA. FofaB. ZoomEyeC.shodanD.hydra二、简答题1、请简要介绍一下工业控制系统中的资产都包括什么？相应的资产都有哪些信息？答：控制器(Controller)：包括可编程逻辑控制器(PLC).远程终端单元(RTU)等，用于接收和执行控制指令。监测设备(Sensors)：包括各类传感器，如温度传感器、压力传感器、流量传感器等，用于采集和监测目标系统或过程的参数。执行设备(ACtUators)：包括执行机构、阀门、驱动器等，用于根据控制指令执行具体的动作。通信设备(CommunicationDevices):包括网络交换机、路由器、无线设备等，用于实现各个设备之间的通信和数据传输。存储设备(StorageDevices)：包括各类存储介质和服务器，用于存储和管理系统的配置信息、数据记录和日志等。2、你知道哪些基于搜索引擎的探测技术的应用软件，以及它们都有什么功能？答：Fofa：FOfa是一款基于搜索引擎的网络空间搜索和资产识别工具。它能够通过针对特定关键词、语法和过滤器的搜索查询，发现和识别暴露在公开网络上的各种网络设备和敏感信息，如IP地址、端口、域名、网站、协议等。FOfa还提供了强大的过滤和导出功能，方便用户对搜索结果进行筛选和导出。ZoomEye：ZoomEye是一个网络空间搜索引擎，旨在帮助用户发现和识别与网络安全相关的设备和信息。它可以通过搜索关键字、过滤器和语法，快速定位特定类型的设备或信息，如服务器、数据库、网络摄像头等。ZoomEye还提供了漏洞扫描和Web应用探测等功能，帮助用户评估目标设备和应用的安全性。Shodan：ShOdan被称为全球首个和最古老的搜索引擎，专门用于搜索与互联网上连接的设备相关的信息。它可以扫描和识别各种设备,包括工业控制系统、物联网设备、摄像头、路由器等，并提供关于这些设备的详细信息，如开放的端口、协议、国家/地区分布等。Shodan还提供了漏洞搜索和订阅功能，帮助用户发现存在的安全风险。3、基于机器学习的资产探测技术总体思路是什么？答：数据收集：首先，需要收集网络流量数据、服务器日志、网络扫描结果等多种数据源，这些数据包含了网络中各种资产的信息。数据预处理：对收集到的数据进行预处理，包括数据清洗、去噪、特征提取等操作，以准备好用于机器学习模型的输入数据。特征工程：根据需要，进行特征工程，即根据数据特点和问题要求，提取一些能够代表资产特征和属性的指标或特征。这可能涉及到网络协议分析、端口扫描结果分析、主机特征分析等。数据标注：对己知的资产进行标注，即给定正样本（已知的资产）和负样本（非资产），为了训练机器学习模型。模型训练：使用标注好的数据集，训练机器学习模型。常用的机器学习算法包括决策树、支持向量机（SVM）、神经网络、随机森林等。模型评估和优化：评估训练好的模型在验证集或测试集上的性能，如准确度、召回率、Fl值等。根据评估结果，优化模型参数、调整特征选择和优化算法。资产探测：使用训练好的模型对新的网络数据进行预测，识别和判断未知的网络资产。根据模型输出结果，标记或分类网络中的资产与非资产。结果展示和应用：根据资产探测结果，生成报告或可视化结果，提供给安全团队或管理员。结果可以用于漏洞评估、网络扫描和资产管理等方面。4、基于规则生成引擎（ARE）收集事务数据集的步骤是什么？答：确定数据来源：首先需要确定数据集的来源，包括可能涉及的数据源，比如数据库、日志文件、传感器数据等。这些数据来源应当覆盖需要分析的业务或系统范围。数据提取：根据确定的数据来源，执行数据提取操作，获取事务数据集需要的原始数据。这可能涉及编写数据库查询、使用API接口获取数据、或者直接读取日志文件等操作。数据清洗：在数据提取之后，可能需要进行数据清洗，包括去除重复数据、填补缺失值、处理异常值等，以确保数据的质量和可用性。数据转换：在数据收集过程中，可能需要对原始数据进行一定的转换操作，以便后续分析和建模。这可能包括将数据格式转换为适合分析的格式,进行数据规范化等操作。标记与标识：在数据收集的过程中，针对需要进行规则生成的数据，可能需要进行人工标记或标识，以便在后续的分析中可以基于有监督学习的方法进行规则生成。存储和管理：收集好的事务数据集需要进行适当的存储和管理，包括选择合适的数据库或数据仓库进行存储，确保数据的安全性和完整性。