工业控制系统是国家关键基础设施的神经中枢,直接关系着工业生产环境的安全。随着工业互联网的发展,工业控制系统与外部互联网的连接愈加频繁,其暴露了更多的攻击路径,面临的安全威胁也更加严重。针对此问题,传统的安全防护手段已无法有效防御。所以本文提出使用工控蜜罐技术进行威胁诱捕,保护真实设备。并在诱捕失效的时候,调用入侵检测模块进一步去除攻击流量。主要工作及创新点如下:(1)本文提出了一种依赖于高交互蜜罐的工控轻量级虚拟蜜罐构建方法,该方法用于解决工控虚拟蜜罐交互能力有限且构建过于复杂的问题。通过观察、记录攻击者与高交互蜜罐的交互过程,建立通信模版,在之后接收到攻击流时,查询通信模版,构建响应包进行响应。实验结果显示,该方法在保证交互能力的基础上,可以降低资源的占用率,达到轻量化部署的目的。(2)本文提出了一种基于虚实结合技术的工控蜜网框架,该框架用于解决工控虚拟蜜罐仿真性难以提高,实物蜜罐难以大规模部署的问题。通过在云端部署工控虚拟蜜罐,本地部署真实工控设备的方式,实现云端本地的多对一映射。在攻击流到来后,通过动态调度蜜罐,实现攻击响应。测试结果表明,该框架的入侵诱捕能力优于当前主流的工控蜜罐方案。(3)本文提出了一种分层依赖关系建模的工控入侵检测方法,用于解决蜜罐被识别后入侵诱捕失效的问题。该方法将流量分为流量、数据包以及内容三个层次,通过并行LSTM神经网络分别建立不同层次内数据间的依赖关系,最大限度的利用LSTM的长序列学习能力,检测工控流量中存在的异常。通过实验评估,该方法检测精确率达到了96.9%,与不分层的模型相比检测精确率提高了7.2%。