[发明专利]一种蜜罐系统的攻击数据获取方法、装置

说明书

本申请涉及一种蜜罐系统的攻击数据获取方法、装置。所述方法包括：运行蜜罐系统中真实工控设备、虚拟工控设备和上位机；其中，所述上位机用于向所述真实工控设备和所述虚拟工控设备发送控制指令和读取状态数据；流量监听设备监听所述蜜罐系统的通讯流量信息，分析并记录所述通讯流量信息中的攻击行为数据。采用本方法能够提高蜜罐系统的仿真程度，避免被攻击者识破。

技术领域

本申请涉及计算机技术领域，特别是涉及一种蜜罐系统的攻击数据获取方法、装置。

背景技术

工业控制系统由DCS/PLC等控制设备、温度/压力等传感器以及上位主机构成，对工业生产过程进行监视控制，是工业生产的核心中枢。随着工业互联网的发展，工业控制系统的封闭性被逐渐打破，由于工业控制系统中存在大量未被修复的漏洞，工业控制系统存在极大的风险隐患，若遭受网络攻击，将会导致难以预估的严重后果。现有的工业控制系统防护手段主要包括部署防火墙、入侵检测等安全防护设备，从攻防角度来看属于被动防御技术，难以实现主动防御攻击的目标。蜜罐系统是近年来逐渐兴起的一种主动防御技术，通过布置作为诱饵的设备，对攻击方进行欺骗，诱使攻击方对其实施攻击，从而对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法来推测攻击意图和动机，能够让防御方清晰地了解所面对的安全威胁。

蜜罐系统根据交互深度可分为低交互蜜罐系统和高交互蜜罐系统。低交互蜜罐系统通过代码对设备服务进行模拟，仅能模拟有限的服务，只能与攻击者进行极为有限的交互，很容易被攻击者识别；高交互蜜罐系统能够对设备行为进行模拟，引诱攻击者展开更深入的交互。

然而，现有的蜜罐系统，只能对工控设备部分常见功能进行模拟，且运行机制较为固定，在有经验的攻击者面前依旧容易暴露。

发明内容

基于此，有必要针对上述技术问题，提供一种能够蜜罐系统仿真程度的蜜罐系统的攻击数据获取方法、装置。

一种蜜罐系统的攻击数据获取方法，所述方法包括：

运行蜜罐系统中真实工控设备、虚拟工控设备和上位机；其中，所述上位机用于向所述真实工控设备和所述虚拟工控设备发送控制指令和读取状态数据；

流量监听设备监听所述蜜罐系统的通讯流量信息，分析并记录所述通讯流量信息中的攻击行为数据。

在其中一个实施例中，所述蜜罐系统的攻击数据获取方法，还包括：所述上位机向所述真实工控设备发送所述控制指令；所述真实工控设备根据所述控制指令运行，生成所述真实工控设备的状态数据，并将所述状态数据发送至所述上位机。。

在其中一个实施例中，所述一种蜜罐系统的攻击数据获取方法还包括；所述上位机向所述虚拟工控设备发送所述控制指令；所述虚拟工控设备根据所述控制指令，通过预设的数据生成规则生成所述虚拟工控设备的状态数据，并将所述状态数据发送至上位机。

在其中一个实施例中，所述流量监听设备监听所述蜜罐系统的内部通讯流量，分析并记录所述通讯流量信息中的攻击行为数据，包括：所述流量监听设备监听所述蜜罐系统的通讯流量信息，并将所述通讯流量信息中的IP地址与预先收集的攻击者列表中的IP地址进行比对；在所述IP地址与所述预先收集的攻击者列表的IP地址对比成功时，将所述通讯流量信息记录为攻击行为数据。

在其中一个实施例中，在所述流量监听设备监听所述蜜罐系统的通讯流量信息，并将所述通讯流量信息中的IP地址与预先收集的攻击者列表的IP地址进行比对之后，包括：在所述IP地址与所述预先收集的攻击者列表的IP地址对比失败时，将所述通讯流量信息与符合正常通信的白名单规则进行比对；在所述通讯流量信息与所述符合正常通信的白名单规则比对失败时，将所述通讯流量信息中的IP地址添加至所述攻击者列表，并将所述通讯流量信息记录为攻击行为数据。