[发明专利]嵌入式病毒捕获设备和电路板

说明书

技术领域

本发明涉及网络安全技术领域，特别是涉及一种嵌入式病毒捕获设备和电路板。

背景技术

当前互联网对于捕获恶意代码病毒的手段有很多，蜜罐技术被认为是目前最有效的工具之一。一直以来，蜜罐都是以软件形态发布，安装在X86架构的计算机，然后部署到互联网上。当互联网上黑客或恶意代码扫描到这台主机的存在后，会进行远程攻击，完成恶意代码的传播。这时蜜罐会保留黑客在这台主机的行为并保存恶意代码。而自身实际运行状态并未受到恶意代码攻击的影响。而这样一台蜜罐机的成本是一台PC的价格，并且携带不便。

在现有技术中，The Honeynet Project（国际著名蜜罐研究组织）的众多开源项目运行在UNIX服务器上，且提供了足够的Windows系统服务模拟来愚弄大多数自动攻击，如Honeytrap、honeybow等。新西兰的蜜罐项目在Debian系统上安装了猪笼草蜜罐的0.17版本。这个蜜罐侦听了一个/24前缀的255个IP地址。在五天的时间里，它就搜集到了74个病毒样本。

在上述蜜罐项目中，均能实现捕获病毒样本的目的，但现存的任何一款蜜罐都有一个共性——难于管理和维护。几乎所有的蜜罐程序都有较复杂的安装配置步骤，且对系统地依赖很高。目前蜜罐安装部署的方式主要是有两种：PC机直接配置或在虚拟机种部署。这样虽然能充分发挥蜜罐的作用，同时也增加了成本，尤其是在部署数量很大的时候尤其明显。PC部署的另外一些问题也很明显，如：占用物理空间大、功耗高，若集群部署，还需额外提供附带设备，机架、UPS、散热设备等。

发明内容

本发明提供一种嵌入式病毒捕获设备和电路板，用于快速高效部署蜜罐系统。通过移动设备部署的蜜罐，能够有效解决蜜罐携带不便、难于管理和维护的问题。

一种嵌入式病毒捕获设备，包括嵌入式CPU、第一网络模块、RAM模块、Flash模块；

所述第一网络模块，受嵌入式CPU控制，用于捕获来自外部网上主机的数据；

所述嵌入式CPU，用于将第一网络模块捕获的数据读取到RAM模块，加载Flash模块中的蜜罐程序，使用蜜罐程序对第一网络模块捕获的数据进行特征匹配和漏洞识别的分析，并产生病毒样本和模拟系统漏洞的过程中攻击源攻击行为的日志，记录恶意程序文件对应的URL列表；

所述RAM模块，受嵌入式CPU控制，用于在嵌入式CPU加载蜜罐程序时，向蜜罐程序提供和扩展数据分析和模拟漏洞的缓存环境，并接收和缓存来自第一网络模块捕获的数据；

所述Flash模块，受嵌入式CPU控制，用于存储蜜罐程序；

所述嵌入式病毒捕获设备，还包括：第二网络模块，受嵌入式CPU控制，用于捕获来自局域网上主机的数据；

所述嵌入式CPU，还将第二网络模块捕获接收的数据读取到RAM模块，加载Flash模块中的蜜罐程序，使用蜜罐程序对第二网络模块捕获的数据进行特征匹配和漏洞识别的分析，并产生病毒样本和模拟系统漏洞的过程中攻击源攻击行为的日志，记录恶意程序文件对应的URL列表；

所述RAM模块，还接收和缓存来自第二网络模块捕获的数据。

进一步的，第一网络模块或第二网络模块捕获的数据包括：恶意程序文件和网络流数据；

所述恶意程序文件，为嵌入式CPU使用蜜罐程序模拟系统漏洞时下载到RAM模块中的恶意行为对应URL涉及的文件；

所述网络流数据，为第一网络设备模块或第二网络模块捕获的所有流数据以及捕获恶意程序文件中产生的流数据。

进一步的，嵌入式CPU使用特征串识别捕获的数据是否包含恶意内容，所述特征串是包含恶意内容特征的特征串；

如果捕获的数据包含恶意内容，则产生病毒样本和模拟系统漏洞的过程中攻击源攻击行为的日志，记录恶意程序文件对应的URL列表，否则，丢弃捕获的数据。

所述嵌入式病毒捕获设备，还包括：外部存储模块，用于存储病毒样本、日志和记录恶意程序文件对应的URL列表；

嵌入式CPU还将产生的病毒样本、日志和记录的恶意程序文件对应的URL列表暂存到Flash模块，并定期将Flash模块中暂存的病毒样本、日志和URL列表存储到外部存储模块。

所述嵌入式病毒捕获设备，还包括：输出模块，受嵌入式CPU控制，指示嵌入式病毒设备的工作状态；

嵌入式CPU还控制输出模块指示嵌入式病毒设备的工作状态。

所述嵌入式病毒捕获设备，还包括：输入模块，用于触发嵌入式CPU对嵌入式病毒捕获设备进行升级；

嵌入式CPU还根据输入模块的触发，对嵌入式病毒捕获设备进行升级。