[发明专利]一种工控网络蜜罐系统

权利要求书

1.一种工控网络蜜罐系统，其特征在于：包括

外网蜜罐节点，含有一定的漏洞，或者含有各种伪造的文件和信息，模拟真实的网络资源以吸引攻击者对蜜罐进行攻击和入侵；

内网蜜罐节点，允许所有进入的访问，同时对外出的访问也会进行严格控制，进而用于控制攻击者的行为；

蜜罐管理系统，捕获攻击者的连接情况、远程命令、系统日志和系统调用序列等数据，以及对蜜网中机器的系统日志进行实时备份，并提取攻击者的入侵规则，对入侵检测系统中的入侵规则库进行更新；

Internt，搭建一个用于特征码提取的简易模型，模型基于蜜罐网络来捕获可疑攻击数据；

PC，将捕获的各种数据分析成为有意义、易于理解的信息；

其中，所述外网蜜罐节点分别与Internt进行连接，所述内网蜜罐节点通常有连接控制和路由控制，所述蜜罐管理系统与外网蜜罐节点内和网蜜罐节点共同构成蜜网系统，所述PC主要通过Swatch工具和Walleye工具进行分析。

2.根据权利要求1所述的一种工控网络蜜罐系统，其特征在于：所述蜜罐管理系统包括工控协议仿真模块、工控业务仿真模块和攻击者行为记录和指令分析，所述工控协议仿真模块支持对Modbus、西门子S7和IEC104协议的仿真，所述工控业务仿真模块和与暴露的工控协议实现联动，所述攻击者行为记录和指令分析支持对攻击者操作行为的记录和关键指令分析对指令记录的分类并分级。

3.根据权利要求1所述的一种工控网络蜜罐系统，其特征在于：所述外网蜜罐节点可以帮助用户在核心服务器IP地址周围架设伪装的“业务系统”。

4.根据权利要求1所述的一种工控网络蜜罐系统，其特征在于：所述蜜罐管理系统可以模拟SCADA以及PLC系统服务。

5.根据权利要求2所述的一种工控网络蜜罐系统，其特征在于：所述工控协议仿真模块为攻击者创造一个真实的工控系统的服务的运行环境。

6.一种工控网络蜜罐系统的操作方法，其特征在于：所述蜜罐系统包括以下步骤：

步骤A、利用蜜罐的诱捕特性，蜜罐管理系统与外网蜜罐节点内和网蜜罐节点共同构造一个包含多台蜜罐主机的蜜网系统；

步骤B、通过外网蜜罐节点模拟真实的网络资源以吸引攻击者，从而拖延了攻击者对真实主机实施攻击的时间；

步骤C、攻击者将被蜜罐管理系统监视并被控制，并联合监控管理网络中的日志服务器和入侵检测系统，对蜜网中机器的系统日志进行实时备份，并提取攻击者的入侵规则；

步骤D、PC端发现并报警，将捕获的各种数据分析成为有意义、易于理解的信息，以便于对入侵检测系统中的入侵规则库进行更新。