[發明專利]一種網絡追蹤系統

無效

• 申請號: 200810047068.X
• 申請日: 2008-05-13
• 公開（公告）號: CN101262351A
• 公開（公告）日: 2008-09-10
• 發明（設計）人: 易再堯;黃本雄;黃辰;潘柳青;胡海;王芙蓉;何娟
• 申請（專利權）人: 華中科技大學
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L29/06
• 代理公司: 北京市德權律師事務所
• 代理人: 張偉

1.?一種利用數字水印和蜜罐技術的網絡追蹤系統，其特征在于，它包括，

蜜罐系統模塊，安裝在主機設備上，并掛入主機設備的操作系統；它以偽裝服務、開放訪問端口和設置敏感信息文件等方式對網絡掃描、探測和訪問進行欺騙，并引誘攻擊者對其實施攻擊；監聽網絡上的掃描、探測事件，判斷該事件是否符合系統安全策略，若不符合，則蜜罐系統根據欺騙、誘導策略對攻擊者進行欺騙，將攻擊連接引向蜜罐主機，并誘導其訪問敏感信息文件；一旦蜜罐系統監控到有對數字水印系統的訪問，馬上生成追蹤申請信息發送到追蹤服務控制臺，并且接收追蹤服務控制臺的返回結果；

數字水印系統模塊，安裝在主機設備上，并掛入主機設備的操作系統；其主要包括水印設置模塊，用于生成數字水印，并將數字水印嵌入到所述蜜罐系統的敏感信息文件中；

追蹤服務控制臺系統模塊，安裝在所述追蹤服務控制臺設備上，其作用在于，追蹤服務控制臺系統接收到蜜罐系統的追蹤申請信息后，對該追蹤申請信息進行編號，提取該追蹤申請信息中的數字水印特征，然后對追蹤Agent發出追蹤該水印的追蹤指令；追蹤服務控制臺接收追蹤Agent的初步追蹤結果并進行數據融合分析，構造出攻擊路徑，確定攻擊源，形成追蹤事件信息，包括編號、發起追蹤申請源、發起追蹤時間、各追蹤Agent返回的追蹤結果及證據數據、融合處理后的追蹤結果等存入數據庫模塊，并提供統計查詢功能；

追蹤Agent系統模塊，安裝在所述追蹤Agent設備上，其作用在于，追蹤Agent收到所述追蹤指令后，對最近滑動時間窗內網絡的入流量和出流量進行分析，并根據該追蹤指令包含的數字水印特征進行水印檢測，根據檢測結果，形成初步追蹤結果返回到追蹤服務控制臺系統；

上述蜜罐系統模塊和數字水印系統模塊構成網絡追蹤系統中的陷阱系統，追蹤服務控制臺系統模塊和追蹤Agent系統模塊構成網絡追蹤系統中攻擊追蹤系統。

2.?根據權利要求1所述的利用數字水印和蜜罐技術的網絡追蹤系統，其特征在于，所述蜜罐系統模塊包括，

網絡欺騙功能模塊，其作用在于以偽裝服務、開放訪問端口和設置敏感信息等方式對網絡掃描、探測和訪問進行欺騙，并引誘攻擊者對其實施攻擊；

信息捕獲功能模塊，其作用在于實時地監聽各種事件，包括來自網絡中的各種掃描、探測和訪問，也包括攻擊者侵入到蜜罐系統后進行的文件讀取、數據刪改等操作，并對各種行為進行記錄；當監聽到某事件后，先判斷其行為是否符合系統安全策略，若不符合，則根據欺騙、誘導策略進行欺騙和誘導，將攻擊連接引向蜜罐主機，并誘導其對數字水印文件進行訪問，一旦監控到有對數字水印文件的訪問，馬上生成追蹤申請信息并提交通信控制功能模塊。其中，追蹤信息包含水印文件的水印特征信息、水印文件的大小、訪問時間和水印文件接收方的目的IP地址；

信息控制功能模塊，其用于對進入蜜罐系統的行為進行限制，一旦蜜罐系統被攻陷，將阻止攻擊者利用蜜罐作為跳板去攻擊其它系統；

第三通信控制功能模塊，其用于對接收到信息捕獲模塊提交的追蹤申請信息后立即上報追蹤服務控制臺系統并負責接收追蹤服務控制臺系統返回的最終追蹤結果。

3.?根據權利要求1所述的利用數字水印和蜜罐技術的網絡追蹤系統，其特征在于，所述追蹤服務控制臺系統模塊包括，

第一時統模塊，其用于為追蹤服務控制臺系統提供與追蹤Agent系統相一致的時間，為系統進行時間關聯追蹤提供條件，同時為追蹤事件信息記錄入庫提供統一的時間；

數據融合處理模塊，其用于對追蹤Agent系統返回的追蹤信息進行融合處理，構造攻擊路徑，形成最終追蹤結果，并提交數據庫模塊存儲；

數據庫模塊，其提供兩方面的功能，一方面存儲記錄追蹤事件信息，包括攻擊事件的編號、發起追蹤申請源、發起追蹤時間、各追蹤Agent返回的追蹤結果及證據數據、融合處理后的追蹤結果等；另一方面是對所有追蹤事件信息提供統計查詢功能，提供統計查詢界面，根據查詢條件，自動生成相關查詢結果；

第一通信控制模塊，其作用在于，一方面接收蜜罐系統發來的追蹤申請信息，并返回最終追蹤結果；另一方面對追蹤申請進行編號，向各追蹤Agent系統發送追蹤指令，并接收追蹤Agent系統返回的追蹤結果信息與證據數據，即含有數字水印的數據包。