[發明專利]一種基于蜜罐技術的網絡防御方法及系統

在審

• 申請號: 201711214446.4
• 申請日: 2017-11-28
• 公開（公告）號: CN107707576A
• 公開（公告）日: 2018-02-16
• 發明（設計）人: 鄭天時
• 申請（專利權）人: 深信服科技股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 深圳市深佳知識產權代理事務所(普通合伙)44285
• 代理人: 王仲凱

1.一種基于蜜罐技術的網絡防御方法，其特征在于，包括：

代理服務器接收數據訪問流量，利用攻擊模型檢測所述數據訪問流量中是否存在具有攻擊行為的惡意流量；

若存在惡意流量，則將所述惡意流量引入基于Docker的Web應用場景蜜罐，通過所述Web應用場景蜜罐攔截所述惡意流量的惡意攻擊；

其中，所述Web應用場景蜜罐通過基礎內容管理系統容器以及用戶的網頁標準系統模擬用戶真實場景。

2.根據權利要求1所述的網絡防御方法，其特征在于，所述利用攻擊模型檢測所述數據訪問流量中是否存在具有攻擊行為的惡意流量包括：

檢測所述數據訪問流量是否符合攻擊策略、陷阱文件訪問策略、重點文件監控策略中的至少一種策略；

其中，若所述數據訪問流量符合預定攻擊策略、陷阱文件訪問策略、重點文件監控策略中的至少一種策略，則判定所述數據訪問流量為惡意流量。

3.根據權利要求1所述的網絡防御方法，其特征在于，若存在惡意流量，則所述網絡防御方法還包括：

所述代理服務器設置每個惡意流量的標識；

所述Web應用場景蜜罐攔截所述惡意流量的惡意攻擊時，收集日志數據，并將所述日志數據發送至云端分析設備；其中，所述日志數據通過每個惡意流量的標識進行標記；

所述云端分析設備利用所述日志數據分析攻擊者的攻擊信息；所述攻擊信息包括攻擊者的攻擊手法信息和攻擊者特征信息。

4.根據權利要求3所述的網絡防御方法，其特征在于，所述云端分析設備利用所述日志數據分析攻擊者的攻擊信息之后，還包括：

利用所述攻擊信息訓練所述代理服務器的攻擊模型。

5.根據權利要求3所述的網絡防御方法，其特征在于，所述云端分析設備利用所述日志數據分析攻擊者的攻擊信息之后，

利用所述攻擊信息對攻擊者進行溯源，獲取攻擊者信息。

6.根據權利要求1至5任意一項所述的網絡防御方法，其特征在于，所述Web應用場景蜜罐攔截所述惡意流量的惡意攻擊時，還包括：

檢測所述惡意流量的是否存在破壞蜜罐行為；

若存在，則通過持續集成設備構建與被破壞的Web應用場景蜜罐相同的蜜罐，以替換被破壞的Web應用場景蜜罐。

7.一種基于蜜罐技術的網絡防御系統，其特征在于，包括：

代理服務器，用于接收數據訪問流量，利用攻擊模型檢測所述數據訪問流量中是否存在具有攻擊行為的惡意流量；若存在惡意流量，則將所述惡意流量引入基于Docker的Web應用場景蜜罐；

所述Web應用場景蜜罐，用于攔截所述惡意流量的惡意攻擊；其中，所述Web應用場景蜜罐通過基礎內容管理系統容器以及用戶的網頁標準系統模擬用戶真實場景。

8.根據權利要求7所述的網絡防御系統，其特征在于，所述代理服務器具體用于：

檢測所述數據訪問流量是否符合攻擊策略、陷阱文件訪問策略、重點文件監控策略中的至少一種策略；其中，若所述數據訪問流量符合預定攻擊策略、陷阱文件訪問策略、重點文件監控策略中的至少一種策略，則判定所述數據訪問流量為惡意流量。

9.根據權利要求7所述的網絡防御系統，其特征在于，還包括云端分析設備；其中，所述代理服務器還用于設置每個惡意流量的標識；

所述Web應用場景蜜罐還用于攔截所述惡意流量的惡意攻擊時，收集日志數據，并將所述日志數據發送至云端分析設備；其中，所述日志數據通過每個惡意流量的標識進行標記；

所述云端分析設備用于利用所述日志數據分析攻擊者的攻擊信息；所述攻擊信息包括攻擊者的攻擊手法信息和攻擊者特征信息。

10.根據權利要求9所述的網絡防御系統，其特征在于，所述云端分析設備還用于利用所述攻擊信息訓練所述代理服務器的攻擊模型。

11.根據權利要求9所述的網絡防御系統，其特征在于，所述云端分析設備還用于利用所述攻擊信息對攻擊者進行溯源，獲取攻擊者信息。

12.根據權利要求7至11任意一項所述的網絡防御系統，其特征在于，所述Web應用場景蜜罐還用于檢測所述惡意流量的是否存在破壞蜜罐行為；若存在，則通過持續集成設備構建與被破壞的Web應用場景蜜罐相同的蜜罐，以替換被破壞的Web應用場景蜜罐。