系统配置太低就无法实现IOT安全吗？你太OUT了！

在这届 BlackHat 会议上，Tripwire 的首席安全研究员特拉维斯·史密斯（Travis Smith）会发布一款开源的网络监控软件 Sweet Security。

物联网IOT设备和工业控制系统ICS设备在底层硬件上有很多许多相似之处，两者都面临这两大安全难题：一方面，因为计算和内存资源有限，常见的监控软件很难运行，更糟糕的是其操作系统也往往因为过于老旧或者定制开发而导致常见的安全监控软件无法安装。另一方面，IOT和ICS的通讯协议使用大量定制的协议，比如Modbus和DNP3，现有的开源监控软件很少能够支持。

基于这样的现状，特拉维斯·史密斯开发了一套基于 Bro 和 ELK 的针对 IOT 和 ICS 的安全监控软件——Sweet Security。它通过开源软件 Bro 支持了常见的 DNS、HTTP 等协议，同时支持了工控系统常用的 Modbus 和 DNP3 协议，减少开源软件上不必要的功能以降低资源消耗，让这套软件可以在计算和内存资源相对贫乏的IOT设备上运行。这样很好的解决了上面的两个问题。

举例来说，一个典型的配置为单核700 MHz 的处理器和512MB的内存，硬件配置就相当于是常见的树莓派Raspberry Pi 入门配置，即使这样的简单系统也可以运行Sweet Security系统。

Sweet Security通过监控IOT和ICS的通讯流量识别攻击行为，包括基于Modbus和DNP3协议的攻击。监测到的结果会保存在本地存储，并且支持进一步发送给ELK或者常见的日志收集系统，比如SIEM。

Sweet Security支持的操作系统为Raspbian Jessie、Debian Jessie、Ubuntu 16.04，目前支持的硬件平台为RaspberryPi 、x86、x86_64；推荐的硬件配置为ARM, x86, or x86_64 CPU；2GB RAM；8GB Disk Storage；100 MB NIC 。

总体上看，该软件从架构上使用开源的大数据处理架构 Bro和ELK，具有良好的可扩展性，并且它针对IOT和ICS特有协议的解析，支持检测通过这些协议的攻击行为。它的开源可以很好地促进IOT和ICS安全产品的发展。

在国内，还没有出现大量使用的针对通用工控、IOT通讯协议的开源安全解决方案。百度安全基于“全流量镜像技术”、“大数据处理技术”研发的智能Web入侵检测与威胁感知系统，在某种程度上，跟Sweety Security有一定的相似性，深入挖掘黑客针对Web的拖库、远程命令执行、敏感文件泄漏、Webshell后门等攻击事件并且发出准确的报警。后续，百度安全会逐步开放针对IOT及ICS领域的安全能力。

 

Sweet Security的下载地址和安装方法具体如下：

Sweet Security的GitHub地址为：

https://github.com/TravisFSmith/SweetSecurity

安装方法为：

git clone https://github.com/travisfsmith/sweetsecurity

sudo python setup.py

安装软件前建议安装Python和Java环境。

Python 2.7

sudo apt install python

Java 1.8

sudo apt install default-jre

安装模式支持三种：

Full Install: This will install Bro IDS,Critical Stack (optional), Logstash, Elasticsearch, Kibana, Apache, and SweetSecurity Client/Server. Choose this option ONLY if you have 2GB of memory ormore.

Sensor Only: This will install Bro IDS,Critical Stack (optional), Logstash, and Sweet Security Client

Web Server Only: This will installElasticsearch, Kibana, Apache, and Sweet Security Server

 

Sweet Security也支持分布式部署，一个推荐的分布式架构包括分别执行ARP Spoofing、Network Scans和Bro IDS Inspection的三个客户端以及一个基于Web的服务器。

Client: ARP Spoofing

Client: Network Scans

Client: Bro IDS Inspection

Server: Website Hosting