[发明专利]一种捕获攻击的方法及蜜罐系统

权利要求书

1.一种捕获攻击的方法，其特征在于，所述方法应用于蜜罐系统，所述蜜罐系统包括：

上位机实例、SCADA数据采集与监视控制系统实例和工控设备实例；

所述蜜罐系统通过上位机实例、SCADA实例和工控设备实例之间的交互进行工控环境模拟；

所述方法包括：

检测上位机实例、SCADA实例或者工控设备实例是否受到攻击；

当检测到上位机实例受到攻击时，对攻击指令做出相应的响应，收集上位机实例的攻击数据，并将所述攻击数据保存为攻击日志；

当检测到SCADA实例受到攻击时，对攻击指令做出相应的响应，收集SCADA实例的攻击数据，并将所述攻击数据保存为攻击日志；

当检测到工控设备实例受到攻击时，对攻击指令做出相应的响应，收集工控设备的攻击数据，并将所述攻击数据保存为攻击日志。

2.根据权利要求1所述的方法，其特征在于，所述检测上位机实例、SCADA实例或者工控设备实例是否受到攻击，包括：

分别监控上位机实例的开放端口、SCADA实例的开放端口以及工控设备实例的开放端口；

若在上位机实例的开放端口、SCADA实例的开放端口或者工控设备实例的开放端口监测到连接请求，确定所述上位机实例、SCADA实例或者工控设备实例受到了攻击；

若上位机实例、SCADA实例或者工控设备实例的特定的开放端口检测到数据包，确定所述上位机实例、SCADA实例或者工控设备实例受到了攻击。

3.根据权利要求1所述的方法，其特征在于，所述检测上位机实例、SCADA实例或者工控设备实例是否受到攻击，包括：

当检测到上位机实例或者SCADA实例通过预设的攻击方式被访问时，确定所述上位机实例或者SCADA实例受到了攻击。

4.根据权利要求1所述的方法，其特征在于，所述检测上位机实例、SCADA实例或者工控设备实例是否受到攻击，包括：

当检测到修改工控设备实例运行状态的指令或者数据包时，确定所述工控设备实例受到了攻击。

5.根据权利要求1-3中任一项所述的方法，其特征在于，还包括：

确定第一攻击日志的类型；所述第一攻击日志为上位机实例、SCADA实例受到攻击时收集的攻击日志；

当所述攻击日志为远程攻击日志，则将远程攻击日志按照IP地址进行分类；

若攻击日志的类型为文件变化攻击或者CMD命令，则将攻击日志按照日期进行分类。

6.根据权利要求1或2或4所述的方法，其特征在于，还包括：

将第二攻击日志按照攻击目标和攻击行为进行分类；所述第二攻击日志为工控设备实例受到攻击时收集到的攻击日志。

7.根据权利要求1所述的方法，其特征在于，还包括：

确定预设的展示指标；

读取与所述展示指标相关的攻击日志；

分析与所述展示指标相关的攻击日志，并将所述与所述展示指标相关的攻击日志转换成预设的图表形式。

8.一种捕获攻击的装置，其特征在于，所述装置应用于蜜罐系统，所述蜜罐系统包括：

上位机实例、SCADA数据采集与监视控制系统实例和工控设备实例；

所述蜜罐系统通过上位机实例、SCADA实例和工控设备实例之间的交互进行工控环境模拟；

所述装置包括：

检测单元，用于检测上位机实例、SCADA实例或者工控设备实例是否受到攻击；

第一攻击处理单元，用于当检测到上位机实例受到攻击时，对攻击指令做出相应的响应，收集上位机实例的攻击数据，并将所述攻击数据保存为攻击日志；

第二攻击处理单元，用于当检测到SCADA实例受到攻击时，对攻击指令做出相应的响应，收集SCADA实例的攻击数据，并将所述攻击数据保存为攻击日志；

第三攻击处理单元，用于当检测到工控设备实例受到攻击时，对攻击指令做出相应的响应，收集工控设备的攻击数据，并将所述攻击数据保存为攻击日志。