[發明專利]一種網絡誘騙與反攻擊的主動防御方法

有效

• 申請號: 201310355000.9
• 申請日: 2013-08-15
• 公開（公告）號: CN103457931A
• 公開（公告）日: 2013-12-18
• 發明（設計）人: 胡漢平;王文龍;熊偉;劉翔;丁才華;王祖喜
• 申請（專利權）人: 華中科技大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L12/26
• 代理公司: 華中科技大學專利中心 42201
• 代理人: 朱仁玲

1.一種網絡誘騙與反攻擊的主動防御方法，其特征在于，包括以下步驟：

（1）發送方根據地址端口跳變服務器隨機地選擇一臺主機作為當前通信主機，然后選擇一條或多條傳輸鏈路發送誘騙報文，以檢測傳輸鏈路的安全性和信道質量，檢測結果包括節點安全狀態、鏈路傳輸延遲和丟包率；

（2）中間節點收到轉發的數據報后，首先進行節點校驗，通過檢測報文的狀態來判斷是否有攻擊發生和攻擊類型，并根據具體的攻擊行為向網絡管理員發出相應的告警；

（3）網絡管理員監聽整個網絡的安全狀態，接收通信鏈路中節點發來的告警，若發現某個節點遭到了攻擊，則標記該節點為不安全節點并啟動該節點上的入侵檢測系統，對包括流量和網絡連接服務的狀況進行分析，定位攻擊源并作出相應的反向攻擊；

（4）發送方在發送誘騙報文的同時監聽網絡管理員發來的決策，若收到網絡管理員發來的安全告警，則重新選擇一條新的路徑并繼續發送誘騙報文探測鏈路的安全性和信道質量；若管理員未發出告警，則開始發送帶反向攻擊性的真實數據；

（5）接收方根據地址端口跳變服務器隨機地選擇一臺主機作為當前通信主機，收到數據報后，根據報文的類型來決定接收或丟棄報文，并動態監聽網絡管理員的決策，若接收方收到網絡管理員的告警，說明之前接收到的數據可能遭到了破壞，則丟棄這段時間的數據并等待重傳；若通信結束后還未收到網絡管理員的告警，則存儲數據并解密恢復出真實有用的數據。

2.根據權利要求1所述的網絡誘騙與反攻擊的主動防御步驟，其特征在于，步驟（1）包括下述步驟：

（1.1）采用流密碼加密系統產生的序列作為報文的數據部分；

（1.2）在網絡各個節點都安裝流密碼加密系統，同步產生隨機序列；

（1.3）對原始的IP數據報格式重新設計，新增IP選路、時間-ID、類型標識和摘要信息4個字段，并將這4個字段隱藏在IP報文的數據部中；

（1.4）發送方通過地址端口跳變服務器動態選擇一臺主機發送誘騙報文檢測傳輸鏈路的安全性和信道質量。

3.根據權利要求1所述的網絡誘騙與反攻擊的主動防御方法，其特征在于，步驟（2）包括下述步驟：

（2.1）判斷報文的摘要信息是否正確，如果不正確，則表示報文已經遭到了篡改攻擊，標記該節點并向網絡管理員告警；否則執行步驟（2.2）；

（2.2）判斷報文路徑是否合法，如果途經節點的IP地址不存在于IP選路中，則表示網絡已經遭到了截獲攻擊，標記該節點并告警網絡管理員；否則執行步驟（2.3）；

（2.3）判斷報文時間是否有效，若報文的發送時間、本地當前時間、延遲時間三者的差值（即本地當前時間-發送時間-延遲時間）不在門限閥值以內，則表明遭到了重放攻擊，標記該節點并預警網絡管理員；否則在緩存表中查找是存在此報文的ID項，若包含則說明此報文是一個快重放報文，丟棄該報文后告警網絡管理員，若不存在，則將該報文的IP源、目的地址、IP發送時間和唯一標識ID存放于緩存表中，然后執行步驟（2.4）；

（2.4）判斷報文的類型：若報文類型是真實報文，則更新報文的發送時間，然后將報文向下個節點轉發；若該報文是誘騙報文，則比較本節點產生的動態隨機序列和收到的報文數據部分隨機序列的值，如果值不相同，表明該數據已被篡改，則標記此節點并告警網絡管理員，同時用節點產生的隨機序列來填充數據報文的數據部分，然后更新報文的發送時間并向下個節點轉發該數據；如果值相同，則更新報文的發送時間并向下個節點轉發。

4.根據權利要求1所述的網絡誘騙與反攻擊的主動防御方法，其特征在于，步驟（3）包括下述步驟：

（3.1）根據步驟（2）的檢測結果，分析節點發來的告警信息，將告警節點標記為不安全節點并啟動節點上的入侵檢測系統，分析該節點的流量和網絡連接服務，定位攻擊源并對攻擊源發起包括阻塞、掃描、拒絕服務的攻擊；

（3.2）通知發送方另選一條傳輸路徑并重傳之前的數據，通知接收方刪除之前收到的數據并等待重傳。