[發(fā)明專(zhuān)利]一種結(jié)合免疫危險(xiǎn)理論的蜜網(wǎng)安全態(tài)勢(shì)感知方法

有效

• 申請(qǐng)?zhí)枺?/td>: 201710599561.1
• 申請(qǐng)日: 2017-07-21
• 公開(kāi)（公告）號(hào): CN107454068B
• 公開(kāi)（公告）日: 2020-05-15
• 發(fā)明（設(shè)計(jì)）人: 王禹;魏濤;張勞模;程浩;李松陽(yáng);彭天強(qiáng);李華;李浩;柏杏麗;李嘉賓
• 申請(qǐng)（專(zhuān)利權(quán)）人: 河南工程學(xué)院
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/08
• 代理公司: 鄭州金成知識(shí)產(chǎn)權(quán)事務(wù)所(普通合伙) 41121
• 代理人: 郭增欣

1.一種結(jié)合免疫危險(xiǎn)理論的蜜網(wǎng)安全態(tài)勢(shì)感知方法，其特征是：包括下述步驟：

1)根據(jù)相應(yīng)的拓?fù)浣Y(jié)構(gòu)搭建蜜網(wǎng)集群，在節(jié)點(diǎn)中配置虛假數(shù)據(jù)和服務(wù)，并在節(jié)點(diǎn)操作系統(tǒng)及其應(yīng)用軟件中預(yù)留一定數(shù)目用于誘導(dǎo)攻擊者前來(lái)的未保護(hù)漏洞；

2)對(duì)蜜網(wǎng)中既定時(shí)間段內(nèi)的網(wǎng)絡(luò)流量進(jìn)行獲取和存儲(chǔ)，并對(duì)網(wǎng)絡(luò)流量和蜜網(wǎng)中的特定行為特征進(jìn)行統(tǒng)計(jì)后，映射為不同類(lèi)型的信號(hào)，作為危險(xiǎn)理論的輸入信號(hào)；其具體為：

(1)、流量數(shù)據(jù)把HTTP/HTTPS協(xié)議流量的占比偏差、DNS協(xié)議流量的占比偏差、POP3及IMAP電郵協(xié)議流量的占比偏差、FTP協(xié)議流量的占比偏差依次映射為Safe類(lèi)型信號(hào)S5、S6、S7、S8，并將網(wǎng)絡(luò)流量中數(shù)據(jù)包大小的變化比率和數(shù)據(jù)包到達(dá)間隔時(shí)間的變化比率映射為Danger類(lèi)型信號(hào)S1和S2；

(2)、蜜網(wǎng)的特定行為特征為蜜網(wǎng)中既定時(shí)間段內(nèi)，數(shù)據(jù)資源遭受篡改、未授權(quán)刪除威脅的次數(shù)及蜜網(wǎng)系統(tǒng)相對(duì)于真實(shí)生產(chǎn)網(wǎng)絡(luò)的無(wú)故障比率，并將其依次映射為PAMPs類(lèi)型信號(hào)S3及Inflam類(lèi)型信號(hào)S9；

3)統(tǒng)計(jì)蜜網(wǎng)系統(tǒng)中在既定時(shí)間段內(nèi)，對(duì)主機(jī)/服務(wù)器進(jìn)程及其PID、日志、攻擊者擊鍵信息進(jìn)行統(tǒng)計(jì)，映射為抗原信息；

4)利用免疫危險(xiǎn)理論中的DCA算法結(jié)合抗原信息對(duì)輸入信號(hào)實(shí)施基礎(chǔ)分析，獲得輸出信號(hào)Mature(MA)、Semi-Mature(SM)和CSM；

5)在得到輸出信號(hào)之后，蜜網(wǎng)的中心管理節(jié)點(diǎn)利用Mature、Semi-Mature計(jì)算蜜網(wǎng)的全局威脅度值V，并籍此表征蜜網(wǎng)的安全態(tài)勢(shì)，或返回步驟2)；其中，由模型出發(fā)，定義網(wǎng)絡(luò)系統(tǒng)全局威脅度υ_G，

如公式(12)所示，其中，和分別表示針對(duì)模型中所有的蜜網(wǎng)系統(tǒng)，其Mature與Semi-mature輸出信號(hào)數(shù)值之和，全局威脅度則體現(xiàn)出該時(shí)刻整個(gè)網(wǎng)絡(luò)系統(tǒng)的受威脅程度。

2.根據(jù)權(quán)利要求1所述的結(jié)合免疫危險(xiǎn)理論的蜜網(wǎng)安全態(tài)勢(shì)感知方法，其特征是：所述抗原信息不同于危險(xiǎn)信號(hào)，它負(fù)責(zé)提供威脅本身以及相關(guān)來(lái)源的信息，安全態(tài)勢(shì)分析中能夠借助抗原來(lái)挖掘線(xiàn)索和聯(lián)系，查明、追溯潛在的攻擊者。

3.根據(jù)權(quán)利要求1所述的結(jié)合免疫危險(xiǎn)理論的蜜網(wǎng)安全態(tài)勢(shì)感知方法，其特征是：在步驟4)中，使用以下權(quán)重矩陣進(jìn)行基礎(chǔ)分析，從而得到輸出信號(hào)。

4.根據(jù)權(quán)利要求1所述的結(jié)合免疫危險(xiǎn)理論的蜜網(wǎng)安全態(tài)勢(shì)感知方法，其特征是：步驟5)中蜜網(wǎng)全局威脅度值V的計(jì)算或返回步驟2)的具體操作，是在負(fù)責(zé)控制蜜網(wǎng)工作周期的CSM值與既定的遷移閾值進(jìn)行對(duì)比的基礎(chǔ)上進(jìn)行具體操作，其具體操作與CSM值超出遷移閾值和CSM值不超出遷移閾值相對(duì)應(yīng)。

5.根據(jù)權(quán)利要求1所述的結(jié)合免疫危險(xiǎn)理論的蜜網(wǎng)安全態(tài)勢(shì)感知方法，其特征是：日志為防火墻日志、IDS/IPS日志以及反病毒日志。