加强工控蜜罐反识别的方式有哪些

加强工控蜜罐反识别的方式有：

• 如果蜜罐服务要部署在外网，尽量避免使用云服务厂商提供的服务。

• 如果蜜罐服务部署在企业内网，尽量在蜜罐服务或者仿真程序前面部署一个vxworks系统的设备，并在上面开启端口转发服务，或者利用Qmenu模拟运行vxworks操作系统，使攻击者误以为扫描到的工控设备使用的是vxworks实时操作系统。

• 定期修改蜜罐内部特征，如conpot蜜罐模板信息，conpot源码中返回报文的协议特征。同一个ip蜜罐节点，尽量只开放如真实plc设备的端口和服务，如502、80、161等端口，避免开放过多及无效的应用端口，被攻击者快速识别蜜罐。

• 修改宿主机mac地址，尽可能修改成西门子、GE等工控设备的MAC地址，增加攻击者识别蜜罐的难度。

• 服务蜜罐尽可能实现协议规约必须的功能码，如施耐德plc的17、42、90信息获取功能码任何一个。

• 尽可能实现高交付服务蜜罐，也可以采用虚实结合部署方式进行部署，增加蜜罐识别难度。