專利名稱：嵌入式病毒捕獲設(shè)備和電路板的制作方法
技術(shù)領(lǐng)域：
本發(fā)明涉及網(wǎng)絡(luò)安全技術(shù)領(lǐng)域，特別是涉及一種嵌入式病毒捕獲設(shè)備和電路 板。
背景技術(shù)：
當(dāng)前互聯(lián)網(wǎng)對(duì)于捕獲惡意代碼病毒的手段有很多，蜜罐技術(shù)被認(rèn)為是目前最有 效的工具之一。一直以來，蜜罐都是以軟件形態(tài)發(fā)布，安裝在X86架構(gòu)的計(jì)算機(jī)，然后 部署到互聯(lián)網(wǎng)上。當(dāng)互聯(lián)網(wǎng)上黑客或惡意代碼掃描到這臺(tái)主機(jī)的存在后，會(huì)進(jìn)行遠(yuǎn)程攻 擊，完成惡意代碼的傳播。這時(shí)蜜罐會(huì)保留黑客在這臺(tái)主機(jī)的行為并保存惡意代碼。而 自身實(shí)際運(yùn)行狀態(tài)并未受到惡意代碼攻擊的影響。而這樣一臺(tái)蜜罐機(jī)的成本是一臺(tái)PC的 價(jià)格，并且攜帶不便。在現(xiàn)有技術(shù)中，TheHoneynetProject (國(guó)際著名蜜罐研究組織)的眾多開源項(xiàng) 目運(yùn)行在UNIX服務(wù)器上，且提供了足夠的Windows系統(tǒng)服務(wù)模擬來愚弄大多數(shù)自動(dòng)攻 擊，如Honeytrap、honeybow等。新西蘭的蜜罐項(xiàng)目在Debian系統(tǒng)上安裝了豬籠草蜜罐 的0.17版本。這個(gè)蜜罐偵聽了一個(gè)/24前綴的255個(gè)IP地址。在五天的時(shí)間里，它就 搜集到了 74個(gè)病毒樣本。在上述蜜罐項(xiàng)目中，均能實(shí)現(xiàn)捕獲病毒樣本的目的，但現(xiàn)存的任何一款蜜罐都 有一個(gè)共性——難于管理和維護(hù)。幾乎所有的蜜罐程序都有較復(fù)雜的安裝配置步驟，且 對(duì)系統(tǒng)地依賴很高。目前蜜罐安裝部署的方式主要是有兩種PC機(jī)直接配置或在虛擬機(jī) 種部署。這樣雖然能充分發(fā)揮蜜罐的作用，同時(shí)也增加了成本，尤其是在部署數(shù)量很大 的時(shí)候尤其明顯。PC部署的另外一些問題也很明顯，如占用物理空間大、功耗高，若 集群部署，還需額外提供附帶設(shè)備，機(jī)架、UPS、散熱設(shè)備等。

發(fā)明內(nèi)容
本發(fā)明提供一種嵌入式病毒捕獲設(shè)備和電路板，用于快速高效部署蜜罐系統(tǒng)。 通過移動(dòng)設(shè)備部署的蜜罐，能夠有效解決蜜罐攜帶不便、難于管理和維護(hù)的問題。一種嵌入式病毒捕獲設(shè)備，包括嵌入式CPU、第一網(wǎng)絡(luò)模塊、RAM模塊、Flash 模塊；
所述第一網(wǎng)絡(luò)模塊，受嵌入式CPU控制，用于捕獲來自外部網(wǎng)上主機(jī)的數(shù)據(jù)； 所述嵌入式CPU，用于將第一網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)讀取到RAM模塊，加載Flash模 塊中的蜜罐程序，使用蜜罐程序?qū)Φ谝痪W(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)進(jìn)行特征匹配和漏洞識(shí)別的 分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志，記錄惡意程序 文件對(duì)應(yīng)的URL列表；
所述RAM模塊，受嵌入式CPU控制，用于在嵌入式CPU加載蜜罐程序時(shí)，向蜜罐 程序提供和擴(kuò)展數(shù)據(jù)分析和模擬漏洞的緩存環(huán)境，并接收和緩存來自第一網(wǎng)絡(luò)模塊捕獲 的數(shù)據(jù)；所述Flash模塊，受嵌入式CPU控制，用于存儲(chǔ)蜜罐程序；
所述嵌入式病毒捕獲設(shè)備，還包括第二網(wǎng)絡(luò)模塊，受嵌入式CPU控制，用于捕獲 來自局域網(wǎng)上主機(jī)的數(shù)據(jù)；
所述嵌入式CPU，還將第二網(wǎng)絡(luò)模塊捕獲接收的數(shù)據(jù)讀取到RAM模塊，加載Flash 模塊中的蜜罐程序，使用蜜罐程序?qū)Φ诙W(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)進(jìn)行特征匹配和漏洞識(shí)別 的分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志，記錄惡意程 序文件對(duì)應(yīng)的URL列表；
所述RAM模塊，還接收和緩存來自第二網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)。進(jìn)一步的，第一網(wǎng)絡(luò)模塊或第二網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)包括惡意程序文件和網(wǎng) 絡(luò)流數(shù)據(jù)；
所述惡意程序文件，為嵌入式CPU使用蜜罐程序模擬系統(tǒng)漏洞時(shí)下載到RAM模塊中 的惡意行為對(duì)應(yīng)URL涉及的文件；
所述網(wǎng)絡(luò)流數(shù)據(jù)，為第一網(wǎng)絡(luò)設(shè)備模塊或第二網(wǎng)絡(luò)模塊捕獲的所有流數(shù)據(jù)以及捕獲 惡意程序文件中產(chǎn)生的流數(shù)據(jù)。進(jìn)一步的，嵌入式CPU使用特征串識(shí)別捕獲的數(shù)據(jù)是否包含惡意內(nèi)容，所述特 征串是包含惡意內(nèi)容特征的特征串；
如果捕獲的數(shù)據(jù)包含惡意內(nèi)容，則產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻 擊行為的日志，記錄惡意程序文件對(duì)應(yīng)的URL列表，否則，丟棄捕獲的數(shù)據(jù)。所述嵌入式病毒捕獲設(shè)備，還包括外部存儲(chǔ)模塊，用于存儲(chǔ)病毒樣本、日志 和記錄惡意程序文件對(duì)應(yīng)的URL列表；
嵌入式CPU還將產(chǎn)生的病毒樣本、日志和記錄的惡意程序文件對(duì)應(yīng)的URL列表暫存 到Flash模塊，并定期將Flash模塊中暫存的病毒樣本、日志和URL列表存儲(chǔ)到外部存儲(chǔ) 模塊。所述嵌入式病毒捕獲設(shè)備，還包括輸出模塊，受嵌入式CPU控制，指示嵌入 式病毒設(shè)備的工作狀態(tài)；
嵌入式CPU還控制輸出模塊指示嵌入式病毒設(shè)備的工作狀態(tài)。所述嵌入式病毒捕獲設(shè)備，還包括輸入模塊，用于觸發(fā)嵌入式CPU對(duì)嵌入式 病毒捕獲設(shè)備進(jìn)行升級(jí)；
嵌入式CPU還根據(jù)輸入模塊的觸發(fā)，對(duì)嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)。進(jìn)一步的，所述Flash模塊還存儲(chǔ)操作系統(tǒng)、配置文件、設(shè)備日志和服務(wù)程序； 所述配置文件，保存應(yīng)用服務(wù)器遠(yuǎn)程控制及管理嵌入式病毒捕獲設(shè)備的配置信息； 所述設(shè)備日志，記錄所述嵌入式病毒捕獲設(shè)備的運(yùn)行狀態(tài)和錯(cuò)誤狀態(tài)及錯(cuò)誤自恢復(fù)
的處理信息；
所述服務(wù)程序，包括SSH服務(wù)程序、LED輸出控制程序、升級(jí)程序、與服務(wù)器交 互服務(wù)程序和自檢測(cè)/自修復(fù)服務(wù)程序。
一種電路板，其特征在于，包括嵌入式CPU、RAM、Flash、網(wǎng)卡芯片；
網(wǎng)卡芯片，受嵌入式CPU控制，用于捕獲來自網(wǎng)絡(luò)主機(jī)上的數(shù)據(jù)；
嵌入式CPU，與RAM、Flash和網(wǎng)卡芯片通過總線連接，用于將網(wǎng)卡芯片捕獲的數(shù)據(jù)讀取到RAM，加載Flash中的蜜罐程序，使用蜜罐程序?qū)W(wǎng)卡芯片捕獲的數(shù)據(jù)進(jìn)行特 征匹配和漏洞識(shí)別的分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的 日志，記錄惡意程序文件對(duì)應(yīng)的URL列表；
RAM,受嵌入式CPU控制，用于在嵌入式CPU加載蜜罐程序時(shí)，向蜜罐程序提供和 擴(kuò)展數(shù)據(jù)分析和模擬漏洞的緩存環(huán)境，并接收和緩存來自網(wǎng)卡芯片捕獲的數(shù)據(jù)； Flash,受嵌入式CPU控制，用于存儲(chǔ)蜜罐程序。進(jìn)一步的，嵌入式CPU是ARM體系架構(gòu)的嵌入式CPU。所述電路板，還包括外部存儲(chǔ)接口，嵌入式CPU通過外部存儲(chǔ)接口將病毒樣 本、模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志和記錄的惡意程序文件對(duì)應(yīng)的URL列 表存儲(chǔ)到外部存儲(chǔ)模塊中。進(jìn)一步的，外部存儲(chǔ)接口包括SD卡接口、CF卡接口、USB卡接口、TF卡接口 和便攜式存儲(chǔ)設(shè)備接口中的至少一種接口。所述電路板，還包括狀態(tài)指示燈，受嵌入式CPU控制，用于指示所述電路板 所在的嵌入式病毒捕獲設(shè)備的工作狀態(tài)。進(jìn)一步的，狀態(tài)指示燈包括LED指示燈、數(shù)字管指示燈和LCD指示燈中的至少 一種指示燈。所述電路板，還包括輸入控制開關(guān)，與嵌入式CPU連接，用于觸發(fā)嵌入式 CPU對(duì)所述電路板所在的嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)。
本發(fā)明提供了一種嵌入式病毒捕獲設(shè)備和電路板。所述嵌入式病毒捕獲設(shè)備采用 ARM架構(gòu)的蜜罐程序捕獲病毒樣本，用于快速高效部署蜜罐系統(tǒng)，并在一定程度上記錄 病毒的行為和特征，建立惡意程序的捕獲體系。相對(duì)X86架構(gòu)，采用ARM架構(gòu)的嵌入 式硬件設(shè)備具有成本低，體積小，功耗低，散熱好，無(wú)噪音，部署簡(jiǎn)單，攜帶方便的優(yōu) 點(diǎn)。X86架構(gòu)下運(yùn)行的病毒在ARM架構(gòu)下無(wú)法運(yùn)行，使得誘捕的系統(tǒng)不會(huì)被病毒攻擊的 癱瘓而無(wú)法正常工作。


為了更清楚地說明本發(fā)明或現(xiàn)有技術(shù)中的技術(shù)方案，下面將對(duì)實(shí)施例或現(xiàn)有技 術(shù)描述中所需要使用的附圖作簡(jiǎn)單地介紹，顯而易見地，下面描述中的附圖僅僅是本發(fā) 明中記載的一些實(shí)施例，對(duì)于本領(lǐng)域普通技術(shù)人員來講，在不付出創(chuàng)造性勞動(dòng)的前提 下，還可以根據(jù)這些附圖獲得其他的附圖。圖1為本發(fā)明提供的嵌入式病毒捕獲設(shè)備的硬件整體框架圖。圖2為本發(fā)明提供的嵌入式病毒捕獲設(shè)備的啟動(dòng)流程圖。圖3為本發(fā)明提供的嵌入式病毒捕獲設(shè)備自啟動(dòng)/自恢復(fù)服務(wù)工作流程圖。圖4為本發(fā)明提供的嵌入式病毒捕獲設(shè)備的工作原理示意圖。
具體實(shí)施例方式為了使本技術(shù)領(lǐng)域的人員更好地理解本發(fā)明實(shí)施例中的技術(shù)方案，并使本發(fā)明的上述目的、特征和優(yōu)點(diǎn)能夠更加明顯易懂，下面結(jié)合附圖對(duì)本發(fā)明中技術(shù)方案作進(jìn)一 步詳細(xì)的說明。本發(fā)明提供一種嵌入式病毒捕獲設(shè)備，解決了采用ARM架構(gòu)的蜜罐系統(tǒng)捕獲病 毒樣本的問題。首先介紹本發(fā)明提供的一種嵌入式病毒捕獲設(shè)備，如圖1所示，包括嵌入式 CPUlOU第一網(wǎng)絡(luò)模塊102、RAM模塊104、Flash模塊105 ；
所述第一網(wǎng)絡(luò)模塊102，受嵌入式CPUlOl控制，用于捕獲來自外部網(wǎng)上主機(jī)的數(shù) 據(jù)，并與管理中心的應(yīng)用服務(wù)器進(jìn)行通信；
所述嵌入式CPU101，用于將第一網(wǎng)絡(luò)模塊102捕獲的數(shù)據(jù)讀取到RAM模塊104，加 載Flash模塊105中的蜜罐程序，使用蜜罐程序?qū)Φ谝痪W(wǎng)絡(luò)模塊102捕獲的數(shù)據(jù)進(jìn)行特征 匹配和漏洞識(shí)別的分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日 志，記錄惡意程序文件對(duì)應(yīng)的URL列表；
所述RAM模塊104，受嵌入式CPUlOl控制，用于在嵌入式CPUlOl加載蜜罐程序 時(shí)，向蜜罐程序提供和擴(kuò)展數(shù)據(jù)分析和模擬漏洞的緩存環(huán)境，并接收和緩存來自第一網(wǎng) 絡(luò)模塊102捕獲的數(shù)據(jù)；
所述Flash模塊105，受嵌入式CPUlOl控制，用于存儲(chǔ)蜜罐程序。所述嵌入式病毒捕獲設(shè)備，還包括第二網(wǎng)絡(luò)模塊103，受嵌入式CPUlOl控 制，用于捕獲來自局域網(wǎng)上主機(jī)的數(shù)據(jù)；
所述嵌入式CPU101，還將第二網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)讀取到RAM模塊104，加載 Flash模塊105中的蜜罐程序，使用蜜罐程序?qū)Φ诙W(wǎng)絡(luò)模塊103捕獲的數(shù)據(jù)進(jìn)行特征 匹配和漏洞識(shí)別的分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日 志，記錄惡意程序文件對(duì)應(yīng)的URL列表；
所述RAM模塊104，還接收和緩存來自第二網(wǎng)絡(luò)模塊103捕獲的數(shù)據(jù)。進(jìn)一步的，所述管理中心，用于管理嵌入式病毒捕獲設(shè)備，與所述嵌入式病毒 捕獲設(shè)備通信的信息包括所述嵌入式病毒捕獲設(shè)備的配置與管理、調(diào)試、策略和轉(zhuǎn)儲(chǔ) 數(shù)據(jù)。進(jìn)一步的，第一網(wǎng)絡(luò)模塊102或第二網(wǎng)絡(luò)模塊103捕獲的數(shù)據(jù)包括惡意程序文 件和網(wǎng)絡(luò)流數(shù)據(jù)；
所述惡意程序文件，為嵌入式CPUlOl使用蜜罐程序模擬系統(tǒng)漏洞時(shí)下載到RAM模 塊104中的惡意行為對(duì)應(yīng)URL涉及的文件；
所述網(wǎng)絡(luò)流數(shù)據(jù)，為第一網(wǎng)絡(luò)設(shè)備模塊102或第二網(wǎng)絡(luò)模塊103捕獲的所有流數(shù)據(jù)以 及捕獲惡意程序文件中產(chǎn)生的流數(shù)據(jù)。進(jìn)一步的，嵌入式CPUlOl使用特征串識(shí)別捕獲的數(shù)據(jù)是否包含惡意內(nèi)容，所述 特征串是包含惡意內(nèi)容特征的特征串；
如果捕獲的數(shù)據(jù)包含惡意內(nèi)容，則產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻 擊行為的日志，記錄惡意程序文件對(duì)應(yīng)的URL列表，否則，丟棄捕獲的數(shù)據(jù)。所述嵌入式病毒捕獲設(shè)備，還包括外部存儲(chǔ)模塊106，用于存儲(chǔ)病毒樣本、 日志和記錄惡意程序文件對(duì)應(yīng)的URL列表；
嵌入式CPUlOl還將產(chǎn)生的病毒樣本、日志和記錄的惡意程序文件對(duì)應(yīng)的URL列表暫存到Flash模塊105，并定期將Flash模塊105中暫存的病毒樣本、日志和URL列表存 儲(chǔ)到外部存儲(chǔ)模塊106。所述嵌入式病毒捕獲設(shè)備，還包括輸出模塊107，受嵌入式CPUlOl控制，指 示嵌入式病毒設(shè)備的工作狀態(tài)；
嵌入式CPUlOl還控制輸出模塊指示嵌入式病毒設(shè)備的工作狀態(tài)。所述嵌入式病毒捕獲設(shè)備，還包括輸入模塊108，用于觸發(fā)嵌入式CPUlOl對(duì) 嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)；
嵌入式CPUlOl還根據(jù)輸入模塊的觸發(fā)，對(duì)嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)。進(jìn)一步的，所述Flash模塊105還存儲(chǔ)操作系統(tǒng)、配置文件、設(shè)備日志和服務(wù)程 序；
所述配置文件，保存應(yīng)用服務(wù)器遠(yuǎn)程控制及管理嵌入式病毒捕獲設(shè)備的配置信息； 所述設(shè)備日志，記錄所述嵌入式病毒捕獲設(shè)備的運(yùn)行狀態(tài)和錯(cuò)誤狀態(tài)及錯(cuò)誤自恢復(fù) 的處理信息；
所述服務(wù)程序，包括SSH服務(wù)程序、LED輸出控制程序、升級(jí)程序、與服務(wù)器交 互服務(wù)程序和自檢測(cè)/自修復(fù)服務(wù)程序。
一種電路板，其特征在于，包括嵌入式CPU、RAM、Flash、網(wǎng)卡芯片；
網(wǎng)卡芯片，受嵌入式CPU控制，用于捕獲來自網(wǎng)絡(luò)主機(jī)上的數(shù)據(jù)； 嵌入式CPU，與RAM、Flash和網(wǎng)卡芯片通過總線連接，用于將網(wǎng)卡芯片捕獲的數(shù) 據(jù)讀取到RAM，加載Flash中的蜜罐程序，使用蜜罐程序?qū)W(wǎng)卡芯片捕獲的數(shù)據(jù)進(jìn)行特 征匹配和漏洞識(shí)別的分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的 日志，記錄惡意程序文件對(duì)應(yīng)的URL列表；
RAM,受嵌入式CPU控制，用于在嵌入式CPU加載蜜罐程序時(shí)，向蜜罐程序提供和 擴(kuò)展數(shù)據(jù)分析和模擬漏洞的緩存環(huán)境，并接收和緩存來自網(wǎng)卡芯片捕獲的數(shù)據(jù)； Flash,受嵌入式CPU控制，用于存儲(chǔ)蜜罐程序。進(jìn)一步的，嵌入式CPU是ARM體系架構(gòu)的嵌入式CPU。所述電路板，還包括外部存儲(chǔ)接口，嵌入式CPU通過外部存儲(chǔ)接口將病毒樣 本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志，記錄惡意程序文件對(duì)應(yīng)的URL列表 存儲(chǔ)到外部存儲(chǔ)模塊中。進(jìn)一步的，外部存儲(chǔ)接口包括SD卡接口、CF卡接口、USB卡接口、TF卡接口 和便攜式存儲(chǔ)設(shè)備接口中的至少一種接口。所述電路板，還包括狀態(tài)指示燈，受嵌入式CPU控制，用于指示所述電路板 所在的嵌入式病毒捕獲設(shè)備的工作狀態(tài)。進(jìn)一步的，狀態(tài)指示燈包括LED指示燈、數(shù)字管指示燈和LCD指示燈中的至少 一種指示燈。所述狀態(tài)指示燈與錯(cuò)誤狀態(tài)對(duì)應(yīng)關(guān)系為
工作指示燈閃爍次數(shù)錯(cuò)誤定義2系統(tǒng)異常3網(wǎng)絡(luò)撥號(hào)異常4網(wǎng)絡(luò)能撥號(hào)但網(wǎng)絡(luò)不能連通
權(quán)利要求
1. 一種嵌入式病毒捕獲設(shè)備，其特征在于，包括嵌入式CPU、第一網(wǎng)絡(luò)模塊、RAM 模塊、Flash模塊;所述第一網(wǎng)絡(luò)模塊，受嵌入式CPU控制，用于捕獲來自外部網(wǎng)上主機(jī)的數(shù)據(jù)；所述嵌入式CPU，用于將第一網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)讀取到RAM模塊，加載Flash模 塊中的蜜罐程序，使用蜜罐程序?qū)Φ谝痪W(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)進(jìn)行特征匹配和漏洞識(shí)別的 分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志，記錄惡意程序 文件對(duì)應(yīng)的URL列表；所述RAM模塊，受嵌入式CPU控制，用于在嵌入式CPU加載蜜罐程序時(shí)，向蜜罐 程序提供和擴(kuò)展數(shù)據(jù)分析和模擬漏洞的緩存環(huán)境，并接收和緩存來自第一網(wǎng)絡(luò)模塊捕獲 的數(shù)據(jù)；所述Flash模塊，受嵌入式CPU控制，用于存儲(chǔ)蜜罐程序。
2.如權(quán)利要求1所述的嵌入式病毒捕獲設(shè)備，其特征在于，還包括第二網(wǎng)絡(luò)模 塊，受嵌入式CPU控制，用于捕獲來自局域網(wǎng)上主機(jī)的數(shù)據(jù)；所述嵌入式CPU，還將第二網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)讀取到RAM模塊，加載Flash模塊 中的蜜罐程序，使用蜜罐程序?qū)Φ诙W(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)進(jìn)行特征匹配和漏洞識(shí)別的分 析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志，記錄惡意程序文 件對(duì)應(yīng)的URL列表；所述RAM模塊，還接收和緩存來自第二網(wǎng)絡(luò)模塊接收的數(shù)據(jù)。
3.如權(quán)利要求1或2所述的嵌入式病毒捕獲設(shè)備，其特征在于，第一網(wǎng)絡(luò)模塊或第二 網(wǎng)絡(luò)模塊捕獲的數(shù)據(jù)包括惡意程序文件和網(wǎng)絡(luò)流數(shù)據(jù)；所述惡意程序文件，為嵌入式CPU使用蜜罐程序模擬系統(tǒng)漏洞時(shí)下載到RAM模塊中 的惡意行為對(duì)應(yīng)URL涉及的文件；所述網(wǎng)絡(luò)流數(shù)據(jù)，為第一網(wǎng)絡(luò)設(shè)備模塊或第二網(wǎng)絡(luò)模塊捕獲的所有流數(shù)據(jù)以及捕獲 惡意程序文件中產(chǎn)生的流數(shù)據(jù)。
4.如權(quán)利要求1或2所述的嵌入式病毒捕獲設(shè)備，其特征在于，嵌入式CPU使用特 征串識(shí)別捕獲的數(shù)據(jù)是否包含惡意內(nèi)容，所述特征串是包含惡意內(nèi)容特征的特征串；如果捕獲的數(shù)據(jù)包含惡意內(nèi)容，則產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻 擊行為的日志，記錄惡意程序文件對(duì)應(yīng)的URL記錄，否則，丟棄捕獲的數(shù)據(jù)。
5.如權(quán)利要求1或2所述的嵌入式病毒捕獲設(shè)備，其特征在于，還包括外部存儲(chǔ)模 塊，用于存儲(chǔ)病毒樣本、日志和記錄惡意程序文件對(duì)應(yīng)的URL列表；嵌入式CPU還將產(chǎn)生的病毒樣本、日志和記錄的惡意程序文件對(duì)應(yīng)的URL列表暫存 到Flash模塊，并定期將Flash模塊中暫存的病毒樣本、日志和URL列表存儲(chǔ)到外部存儲(chǔ) 模塊。
6.如權(quán)利要求1或2所述的嵌入式病毒捕獲設(shè)備，其特征在于，還包括輸出模塊， 受嵌入式CPU控制，指示嵌入式病毒設(shè)備的工作狀態(tài)；嵌入式CPU還控制輸出模塊指示嵌入式病毒設(shè)備的工作狀態(tài)。
7.如權(quán)利要求1或2所述的嵌入式病毒捕獲設(shè)備，其特征在于，還包括輸入模塊， 用于觸發(fā)嵌入式CPU對(duì)嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)；嵌入式CPU還根據(jù)輸入模塊的觸發(fā)，對(duì)嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)。
8.如權(quán)利要求1或2所述的嵌入式病毒捕獲設(shè)備，其特征在于，所述Flash模塊還存 儲(chǔ)操作系統(tǒng)、配置文件、設(shè)備日志和服務(wù)程序；所述配置文件，保存應(yīng)用服務(wù)器遠(yuǎn)程控制及管理嵌入式病毒捕獲設(shè)備的配置信息；所述設(shè)備日志，記錄所述嵌入式病毒捕獲設(shè)備的運(yùn)行狀態(tài)和錯(cuò)誤狀態(tài)及錯(cuò)誤自恢復(fù) 的處理信息；所述服務(wù)程序，包括SSH服務(wù)程序、LED輸出控制程序、升級(jí)程序、與服務(wù)器交 互服務(wù)程序和自檢測(cè)/自修復(fù)服務(wù)程序。
9.一種電路板，其特征在于，包括嵌入式CPU、RAM、Flash、網(wǎng)卡芯片；網(wǎng)卡芯片，受嵌入式CPU控制，用于捕獲來自網(wǎng)絡(luò)主機(jī)上的數(shù)據(jù)；嵌入式CPU，與RAM、Flash和網(wǎng)卡芯片通過總線連接，用于將網(wǎng)卡芯片捕獲的數(shù) 據(jù)讀取到RAM，加載Flash中的蜜罐程序，使用蜜罐程序?qū)W(wǎng)卡芯片捕獲的數(shù)據(jù)進(jìn)行特 征匹配和漏洞識(shí)別的分析，并產(chǎn)生病毒樣本和模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的 日志，記錄惡意程序文件對(duì)應(yīng)的URL列表；RAM,受嵌入式CPU控制，用于在嵌入式CPU加載蜜罐程序時(shí)，向蜜罐程序提供和 擴(kuò)展數(shù)據(jù)分析和模擬漏洞的緩存環(huán)境，并接收和緩存來自網(wǎng)卡芯片捕獲的數(shù)據(jù)；Flash,受嵌入式CPU控制，用于存儲(chǔ)蜜罐程序。
10.如權(quán)利要求9所述的電路板，其特征在于，嵌入式CPU是ARM體系架構(gòu)的嵌入 式 CPU。
11.如權(quán)利要求9所述的電路板，其特征在于，還包括外部存儲(chǔ)接口，嵌入式CPU 通過外部存儲(chǔ)接口將病毒樣本、模擬系統(tǒng)漏洞的過程中攻擊源攻擊行為的日志和記錄的 惡意程序文件對(duì)應(yīng)的URL列表存儲(chǔ)到外部存儲(chǔ)模塊中。
12.如權(quán)利要求11所述的電路板，其特征在于，外部存儲(chǔ)接口包括SD卡接口、CF卡 接口、USB卡接口、TF卡接口和便攜式存儲(chǔ)設(shè)備接口中的至少一種接口。
13.如權(quán)利要求9所述的電路板，其特征在于，還包括狀態(tài)指示燈，受嵌入式CPU 控制，用于指示所述電路板所在的嵌入式病毒捕獲設(shè)備的工作狀態(tài)。
14.如權(quán)利要求13所述的電路板，其特征在于，狀態(tài)指示燈包括LED指示燈、數(shù)字 管指示燈和LCD指示燈中的至少一種指示燈。
15.如權(quán)利要求9所述的電路板，其特征在于，還包括輸入控制開關(guān)，與嵌入式 CPU連接，用于觸發(fā)嵌入式CPU對(duì)所述電路板所在的嵌入式病毒捕獲設(shè)備進(jìn)行升級(jí)。
全文摘要
本發(fā)明公開了一種嵌入式病毒捕獲設(shè)備，該設(shè)備包括嵌入式CPU、第一網(wǎng)絡(luò)模塊、RAM模塊、Flash模塊，設(shè)備還包括第二網(wǎng)絡(luò)模塊、外部存儲(chǔ)模塊、輸出模塊和輸入模塊。本發(fā)明還公開了一種電路板，該電路板包括嵌入式CPU、RAM、Flash、網(wǎng)卡芯片，電路板還包括外部存儲(chǔ)接口、狀態(tài)指示燈和輸入控制開關(guān)。本發(fā)明采用ARM架構(gòu)，ARM設(shè)備具有成本低，體積小，功耗低，散熱好，無(wú)噪音，部署簡(jiǎn)單，攜帶方便的優(yōu)點(diǎn)。
文檔編號(hào)H04L29/06GK102014138SQ201010591298
公開日2011年4月13日 申請(qǐng)日期2010年12月16日 優(yōu)先權(quán)日2010年12月16日
發(fā)明者桑勝田, 王維, 趙長(zhǎng)宇, 黃顯澍 申請(qǐng)人:北京安天電子設(shè)備有限公司