工业控制系统(ICS)广泛应用于监督和控制关键性基础设施以及公共交通系统等重要领域。随着工业信息化与数字化的快速发展,工业控制系统与外部互联网的连接更加频繁,大量的工控设备被暴露在互联网中,因此传统的网络攻击也逐渐进入到工控领域,对工控系统造成严重威胁。Shodan搜索引擎的出现使得这种威胁得到放大。由于Shodan搜索引擎可以识别和索引联网的工业控制设备,因此它成为了攻击者和渗透测试人员最喜欢的工具。为了阻止Shodan扫描带来的更多攻击,需要深入分析Shodan扫描方案。本文采用蜜罐技术来捕获Shodan扫描流量,基于现有的Minicps框架,实施了一个模拟污水处理系统的蜜罐系统。该蜜罐系统全面仿真了Modbus、S7comm、IEC 60870-5-104和BACnet四种工控协议,工控系统中PLC的控制逻辑和传感器、执行器等状态的变化过程,以及较为完整的工控网络拓扑。通过使用VPS将蜜罐部署在六个国家和地区,并进行了长达三个月的数据收集工作。本文针对捕获的工控流量提出一种分层式的DFA-SVM流量识别模型。该模型通过对应用层流量进行分析,提取协议功能码序列作为载荷特征,并结合传统的流量统计特征,分别采用确定性有限状态自动机(Deterministic Finite Automation,DFA)和支持向量机(Support Vector Machine,DFA)算法对流量进行识别。这种分层式的识别模型将DPI技术与基于机器学习的流量识别相结合,有效提高了对Shodan流量与类Shodan流量的识别能力。本文使用两个数据集来评估此流量识别模型,第一个数据集为9883条Shodan交互数据,第二个数据集包含所有32,522条交互数据。结果表明,在两个数据集上,DFA-SVM模型的平均识别准确率分别达到99.3%和95.6%,共识别出29个Shodan扫描器IP。该模型适用于发现动态或隐藏的Shodan扫描器,其性能优于域名解析方法。最后,本文对Shodan流量进行了深入的分析,并从扫描时间、扫描频率、扫描端口、区域偏好、ICS协议偏好和ICS协议功能码占比等方面展示了分析结果。此外,本文还评估了Shodan对工业控制系统的影响,分析结果证实了Shodan扫描与非Shodan攻击之间存在正相关,这意味着Shodan可能成为攻击者工具的一部分。针对这种负面影响,本文提供了一些缓解Shodan威胁的解决方案。