[發明專利]一種基于網絡陷阱的DDoS攻擊防御系統

無效

• 申請號: 201210299322.1
• 申請日: 2012-08-22
• 公開（公告）號: CN102790778A
• 公開（公告）日: 2012-11-21
• 發明（設計）人: 倪彤光;顧曉清;汪巍;丁輝
• 申請（專利權）人: 常州大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/56;H04L12/26
• 代理公司: 南京經緯專利商標代理有限公司 32200
• 代理人: 樓高潮

1.一種基于網絡陷阱的DDoS攻擊防御系統，包括蜜罐控制臺、多個蜜罐系統、報警代理和數據分流器，其特征在于：

所述蜜罐系統安裝在主機設備上，并掛入主機設備的操作系統，通過模擬正常服務的網絡流量，對網絡探測、掃描和訪問進行欺騙，吸引攻擊者進入；并在日志中記錄進入陷阱網絡的攻擊者的所有活動；

所述蜜罐控制臺安裝在服務器設備上，用于對蜜罐系統上捕獲的網絡數據進行分析，當發現DDoS攻擊數據流時，向數據分流器發送警報信號；所述蜜罐控制臺還用于對網絡中部署的所有蜜罐系統進行管理和監控，完成對蜜罐系統的配置和信息查詢；

所述警報代理安裝在主機設備上，用于向數據分流器或網絡管理員發出報警；

所述數據分流器安裝在服務器設備上，用于根據過濾策略對數據流進行分流，過濾掉DDoS攻擊數據流，保證合法數據包繼續傳送到目的主機。

2.根據權利要求1所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：所述蜜罐系統包括數據欺騙模塊、數據捕獲模塊和數據通信模塊，

所述數據欺騙模塊用于對網絡探測、掃描和訪問進行欺騙，模擬正常服務的網絡流量，吸引攻擊者進入；

所述數據捕獲模塊用于用戶實時監聽陷阱系統中的各種探測、掃描和訪問，并對各種行為進行記錄，形成標準格式的信息；

所述數據通信模塊用于在蜜罐系統和蜜罐控制臺之間的通信，其包括加密和解密模塊。

3.根據權利要求1所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：所述蜜罐控制臺包括數據庫模塊和數據分析模塊；

所述數據庫模塊用于捕獲數據的處理和存儲，并根據需要提供查詢、打印和統計的功；

所述數據分析模塊用于對可疑的攻擊流進行分析，以確定是否是DDoS攻擊。

4.根據權利要求1所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：所述數據分流器包括規則數據庫模塊和過濾模塊；

所述規則數據庫模塊用于形成描述數據流的行為特征的規則集，所述規則用于描述各種DDoS攻擊流的特征；

所述過濾模塊用于根據規則數據庫中的規則對數據流進行分析和過濾，將合法流和攻擊流分開，并將合法數據流導向正常服務區，濾掉已知的DDoS攻擊流。

5.根據權利要求2所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：所述數據捕獲模塊捕獲的數據通過所述數據通信模塊保存于蜜罐控制臺的數據庫模塊中；所述數據欺騙模塊欺騙的方式為偽裝服務、開放端口或放置敏感文件。

6.根據權利要求1所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：還包括防火墻，所述防火墻設置在網絡入口處，直接與因特網相連，用于監聽和阻塞向外發送的數據包；所述防火墻還用于動態分流將可疑數據流轉接到陷阱系統中。

7.根據權利要求6所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：還包括路由器，所述路由器設置在防火墻和蜜罐系統之間，用于保護蜜罐系統不被用做攻擊其它系統的跳板。

8.根據權利要求7所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：還包括入侵檢測系統，所述入侵檢測系統設置在防火墻之后，用于初步檢測流入的數據流，針對可疑攻擊主動向所述防火墻，并通過所述防火墻將后續的數據流轉向蜜罐系統中。

9.根據權利要求4所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：所述規則集形成的步驟為：

步驟1?利用所述數據庫模塊獲取的蜜罐系統捕獲的數據，通過預處理轉化為連接記錄；

步驟2?采用聚類k-means方法對連接記錄進行處理，將連接記錄轉化為流量特征；

步驟3?進行DDoS攻擊數據流的判別，當發現DDoS攻擊時，向警報代理發出信號;

步驟4?采用Apriori關聯規則數據挖掘方法進行知識發現，根據數據流的特征產生的新規則，并根據新規則對入侵檢測系統的規則庫進行更新。

10.根據權利要求9所述的一種基于網絡陷阱的DDoS攻擊防御系統，其特征在于：所述步驟2的具體步驟為：

?步驟2.1?選k個初始聚類中心：z₁(1),z₂(1),…,z_k(1)；

步驟2.2?逐個將需分類的數據包樣本{x}按最小距離原則分配給聚類中心的任意值z_j(1)；假如i=j時，D_j(l)=min{，i=1,2,…,k}，則x∈S_j(l)，其中l為迭代運算次序號，第一次迭代則l=1，S_j表示第j個聚類，其聚類中心為z_j；

步驟2.3?計算各聚類域中包含樣本的均值向量：

z_j(l+1)=????????????????????????????????????????????????，j=1,2,…,k；其中N_j是第j個聚類域S_j?中所包含的樣本數，以均值向量為新的聚類中心，使聚類準則函數J_j=最小，其中j?=1,2,…,k；

步驟2.4?如果z_j(l+1)≠z_j(l)，j=1,2,…,k，則l=l+1，回到步驟2.2；如果z_j(l+1)=z_j(l)，j?=1,2,…,k，則計算完畢，形成數據的流量特征。