工控蜜罐的诱捕能力受仿真程度显著影响，针对现有工控蜜罐缺乏业务逻辑仿真的问题，提出了一种基于工控业务仿真的高交互可编程逻辑控制器（PLC）蜜罐设计框架和搭建方法。首先，基于工控系统的交互层次提出了一种新的工控系统（ICS）蜜罐分类方法；然后，根据工控设备的不同仿真维度，将蜜罐诱捕过程分为过程仿真循环和服务仿真循环；最后，通过定制的数据转存模块将过程数据转换到服务仿真循环中，以实现业务逻辑数据的实时响应。实验以西门子S7-300 PLC设备为参考，结合典型工控蜜罐软件Conpot和建模仿真工具Matlab/Simulink，实现了信息服务仿真和控制过程仿真的协同工作。实验结果表明，相较于Conpot，高交互PLC蜜罐系统新增了11种西门子S7设备私有功能，其中读（04 Read功能码）写（05 Write功能码）操作实现了对PLC的I区7个通道的监测和Q区1个通道的控制。这种全新的蜜罐系统突破了现有交互层次和方式的局限，为工控蜜罐设计拓展了新方向。

为解决多源告警中的复杂攻击难以被发现的问题，提出一种攻击序列模式挖掘算法。利用正则表达式匹配告警，将多源告警规范化为统一格式。对冗余告警信息进行压缩，利用强关联规则训练得到的规则集聚合同一阶段的告警，有效去除冗余告警，精简告警数量。利用滑动窗口对聚合后的告警进行划分得到候选攻击事件数据集，通过改进的PrefixSpan算法挖掘得到多阶段攻击事件的攻击序列模式。实验结果表明，该算法在不依赖专家知识的前提下，能够准确并高效地分析告警相关性，还原攻击事件中的攻击步骤。相比传统PrefixSpan算法，提出的改进算法的攻击模式挖掘效率提升了48.05%。