[发明专利]一种工控病毒的分析方法、装置、存储介质和设备

权利要求书

1.一种工控病毒的分析方法，其特征在于，包括：

在获取到用户输入的病毒的情况下，依据预设工控环境模板，创建与所述病毒对应的工控虚拟环境；

将所述病毒传输到所述工控虚拟环境中，并控制所述工控虚拟环境运行所述病毒；

在所述病毒运行的过程中，监控基于所述工控虚拟环境与下位机之间的交互行为所产生的网络流量，以及监控所述病毒的运行数据；其中，所述工控虚拟环境与所述下位机通过虚拟局域网进行交互；

生成所述网络流量的镜像文件，并将所述镜像文件发送给预设的审计服务器，触发所述审计服务器对所述网络流量进行工控协议分析，得到所述病毒的工控行为；

对所述运行数据进行分析，得到所述病毒的运行状态；

依据所述运行状态，判断所述病毒是否运行成功；

在所述病毒运行成功的情况下，基于所述审计服务器反馈的所述工控行为，生成所述病毒的工控行为报告。

2.根据权利要求1所述的方法，其特征在于，所述在获取到用户输入的病毒的情况下，依据预设工控环境模板，创建与所述病毒对应的工控虚拟环境，包括：

按照序位由前至后的顺序，从预设的病毒序列中依次获取各个病毒；所述病毒序列用于存储用户在预设时间段内输入的各个所述病毒；

对于每个所述病毒，依据预设工控环境模板，创建与所述病毒对应的工控虚拟环境。

3.根据权利要求1所述的方法，其特征在于，所述将所述病毒传输到所述工控虚拟环境中，并控制所述工控虚拟环境运行所述病毒，包括：

对所述工控虚拟环境的各项功能进行检测，判断各项所述功能是否均正常；

在各项所述功能均正常的情况下，将所述病毒传输到所述工控虚拟环境中，并控制所述工控虚拟环境运行所述病毒；

在任意一项所述功能不正常的情况下，向所述用户发送提示信息；其中，提示信息用于指示所述工控虚拟环境发生异常。

4.根据权利要求1所述的方法，其特征在于，所述生成所述病毒的工控行为报告之后，还包括：

销毁所述工控虚拟环境。

5.根据权利要求1所述的方法，其特征在于，还包括：

在所述病毒未运行成功的情况下，基于所述运行状态，生成所述病毒的异常报告。

6.一种工控病毒的分析装置，其特征在于，包括：

创建单元，用于在获取到用户输入的病毒的情况下，依据预设工控环境模板，创建与所述病毒对应的工控虚拟环境；

运行单元，用于将所述病毒传输到所述工控虚拟环境中，并控制所述工控虚拟环境运行所述病毒；

监控单元，用于在所述病毒运行的过程中，监控基于所述工控虚拟环境与下位机之间的交互行为所产生的网络流量，以及监控所述病毒的运行数据；其中，所述工控虚拟环境与所述下位机通过虚拟局域网进行交互；

触发单元，用于生成所述网络流量的镜像文件，并将所述镜像文件发送给预设的审计服务器，触发所述审计服务器对所述网络流量进行工控协议分析，得到所述病毒的工控行为；

分析单元，用于对所述运行数据进行分析，得到所述病毒的运行状态；

判断单元，用于依据所述运行状态，判断所述病毒是否运行成功；

生成单元，用于在所述病毒运行成功的情况下，基于所述审计服务器反馈的所述工控行为，生成所述病毒的工控行为报告。

7.根据权利要求6所述的装置，其特征在于，还包括：

销毁单元，用于销毁所述工控虚拟环境。

8.根据权利要求6所述的装置，其特征在于，所述生成单元还用于：

在所述病毒未运行成功的情况下，基于所述运行状态，生成所述病毒的异常报告。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质包括存储的程序，其中，所述程序执行权利要求1-5任一所述的方法工控病毒的分析。

10.一种工控病毒的分析设备，其特征在于，包括：处理器、存储器和总线；所述处理器与所述存储器通过所述总线连接；

所述存储器用于存储程序，所述处理器用于运行程序，其中，所述程序运行时执行权利要求1-5任一所述的工控病毒的分析方法。