[發明專利]一種用于發電廠控制系統的蜜罐防御控制方法及裝置

在審

• 申請號: 202210069594.6
• 申請日: 2022-01-21
• 公開（公告）號: CN114462023A
• 公開（公告）日: 2022-05-10
• 發明（設計）人: 王鋼;姚旭;張立芳;孫葉
• 申請（專利權）人: 內蒙古工業大學
• 主分類號: G06F21/53
• 分類號: G06F21/53;G06F21/55;G06K9/62;G06N20/00
• 代理公司: 深圳眾邦專利代理有限公司 44545
• 代理人: 王紅

1.一種用于發電廠控制系統的蜜罐防御控制方法，其特征在于，包括如下步驟：將發電廠控制系統置于沙盒中營造高仿真的交互場景，以形成工控蜜罐，并通過所述工控蜜罐捕獲不利于所述發電廠控制系統的異常數據； 針對所述異常數據，進行數據分析，以識別出來源于攻擊者發起的攻擊數據；針對所述攻擊數據，進行數據處理。

2.根據權利要求1所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述工控蜜罐包括核心庫psutil和scapy庫；所述異常數據包括進程數據、文件數據和網絡數據包；所述并通過所述工控蜜罐捕獲不利于所述發電廠控制系統的異常數據包括：通過所述核心庫psutil捕獲所述進程數據和所述文件數據；以及通過所述scapy庫捕獲所述網絡數據包。

3.根據權利要求2所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述攻擊數據包括異常進程、異常文件和異常數據包；所述針對所述異常數據，進行數據分析，以識別出來源于攻擊者發起的攻擊數據包括：通過隨機森林模型，對所述異常數據中的所述進程數據和所述文件數據分別進行數據分析，以分別識別出異常進程和異常文件。

4.根據權利要求3所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述針對所述異常數據，進行數據分析，以識別出來源于攻擊者發起的攻擊數據還包括：采用機器學習算法對比的方式，評估所述隨機森林模型的識別性能。

5.根據權利要求4所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述采用機器學習算法對比的方式，評估所述隨機森林模型的識別性能包括：獲取發電廠控制系統在正常運行時的正常數據，以及攻擊樣本數據；其中，所述正常數據包括正常進程和正常文件；對所述正常數據和所述攻擊樣本數據進行數據降維處理，以形成樣本數據集；其中，所述樣本數據集包括訓練數據集和測試數據集；采用同樣的所述訓練數據集分別對所述隨機森林模型和多種不同的參照機器學習模型進行參數學習；其中，所述隨機森林模型和所述參照機器學習模型分別包括模型判別函數；通過所述測試數據集，以及所述隨機森林模型和所述參照機器學習模型中的所述模型判別函數，分別生成第一預測結果和第二預測結果；從多個評價指標，根據所述第一預測結果和所述第二預測結果比對結果，以評估所述隨機森林模型的識別性能。

6.根據權利要求3所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述針對所述攻擊數據，進行數據處理包括：對識別出的所述異常進程進行轉存并告警；和/或，對所述異常進程進行阻斷。

7.根據權利要求3所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述針對所述攻擊數據，進行數據處理包括：對識別出的所述異常文件進行轉存并告警；和/或，對所述異常文件進行提交至所述沙盒的分析工具進行分析或進行刪除處理。

8.根據權利要求2所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述針對所述異常數據，進行數據分析，以識別出來源于攻擊者發起的攻擊數據包括：根據所述異常數據中的網絡數據包，通過端口號方式來判斷是否為EGD協議；若是，則通過EGD協議，對所述異常數據中網絡數據包進行數據分析，以從所述網絡數據包中識別出異常數據包；其中，所述異常數據包是指不符合通訊規約的異常網絡數據。

9.根據權利要求8所述的用于發電廠控制系統的蜜罐防御控制方法，其特征在于，所述針對所述攻擊數據，進行數據處理包括：對識別出的所述異常數據包進行轉存并告警；發送默認響應包，以響應所述異常數據包。

10.一種用于發電廠控制系統的蜜罐防御控制裝置，其特征在于，包括：數據捕獲模塊，用于在將發電廠控制系統置于沙盒中營造高仿真的交互場景，以形成工控蜜罐之后，通過所述工控蜜罐捕獲不利于所述發電廠控制系統的異常數據；數據分析模塊，用于針對所述異常數據，進行數據分析，以識別出來源于攻擊者發起的攻擊數據；數據處理模塊，用于針對所述攻擊數據，進行數據處理。