[發(fā)明專利]一種網(wǎng)絡(luò)流量的發(fā)送方法、裝置及混合蜜罐系統(tǒng)

有效

• 申請?zhí)枺?/td>: 201780095673.1
• 申請日: 2017-12-27
• 公開（公告）號: CN111183612B
• 公開（公告）日: 2023-08-29
• 發(fā)明（設(shè)計(jì)）人: 李銳;齊麟
• 申請（專利權(quán)）人: 西門子股份公司
• 主分類號: H04L9/36
• 分類號: H04L9/36
• 代理公司: 北京康信知識產(chǎn)權(quán)代理有限責(zé)任公司 11240
• 代理人: 趙冬梅

1.一種網(wǎng)絡(luò)流量的發(fā)送方法，其特征在于，包括：

接收一個第一攻擊業(yè)務(wù)流；

確定所述第一攻擊業(yè)務(wù)流的請求類型為第一請求類型；

確定針對所述第一請求類型的虛擬蜜罐模型的成熟度；其中，針對第一請求類型的虛擬蜜罐模型的成熟度用于指示一個第一虛擬響應(yīng)業(yè)務(wù)流與一個第一物理響應(yīng)業(yè)務(wù)流之間的相似程度，一個第一虛擬響應(yīng)業(yè)務(wù)流為使用該模型的一個虛擬蜜罐響應(yīng)于一個具有第一請求類型的攻擊業(yè)務(wù)流可生成的響應(yīng)業(yè)務(wù)流，一個第一物理響應(yīng)業(yè)務(wù)流為一個物理蜜罐響應(yīng)于一個具有第一請求類型的攻擊業(yè)務(wù)流可生成的響應(yīng)業(yè)務(wù)流；

若所述虛擬蜜罐模型的成熟度高于預(yù)設(shè)的針對所述第一請求類型而設(shè)置的成熟度閾值，則將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至使用所述虛擬蜜罐模型的一個虛擬蜜罐，否則將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至一個物理蜜罐；或者，

若所述虛擬蜜罐模型的成熟度高于預(yù)設(shè)的所述成熟度閾值，則將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至一個物理蜜罐和使用所述虛擬蜜罐模型的一個虛擬蜜罐，否則將所述第一攻擊業(yè)務(wù)流僅轉(zhuǎn)發(fā)至一個物理蜜罐。

2.如權(quán)利要求1所述的方法，其特征在于，在將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至一個物理蜜罐之后，還包括：

獲取一個第一響應(yīng)業(yè)務(wù)流，所述第一響應(yīng)業(yè)務(wù)流為收到所述第一攻擊業(yè)務(wù)流的物理蜜罐響應(yīng)于所述第一攻擊業(yè)務(wù)流而生成的響應(yīng)業(yè)務(wù)流；

根據(jù)所述第一攻擊業(yè)務(wù)流和所述第一響應(yīng)業(yè)務(wù)流訓(xùn)練所述虛擬蜜罐模型，并提高所述虛擬蜜罐模型的成熟度。

3.如權(quán)利要求1或2所述的方法，其特征在于，

在接收所述第一攻擊業(yè)務(wù)流之前，還包括：

獲取至少兩個攻擊業(yè)務(wù)流；

對于所述至少兩個攻擊業(yè)務(wù)流中的每一個，獲取該攻擊業(yè)務(wù)流的響應(yīng)業(yè)務(wù)流，其中，該攻擊業(yè)務(wù)流的響應(yīng)業(yè)務(wù)流是一個物理蜜罐響應(yīng)于該攻擊業(yè)務(wù)流而生成的響應(yīng)業(yè)務(wù)流；

對于所述至少兩個攻擊業(yè)務(wù)流中的每一個，確定收到該攻擊業(yè)務(wù)流的物理蜜罐響應(yīng)于該攻擊業(yè)務(wù)流而生成的響應(yīng)業(yè)務(wù)流的生成方式；

確定所述至少兩個攻擊業(yè)務(wù)流中具有相同生成方式的攻擊業(yè)務(wù)流具有相同的請求類型；

記錄所述至少兩個攻擊業(yè)務(wù)流中具有相同的請求類型的攻擊業(yè)務(wù)流的特征和對應(yīng)的請求類型；

確定所述第一攻擊業(yè)務(wù)流的請求類型為第一請求類型，包括：若所述第一攻擊業(yè)務(wù)流具有記錄的所述第一請求類型的攻擊業(yè)務(wù)流的特征，則確定所述第一攻擊業(yè)務(wù)流的請求類型為所述第一請求類型。

4.如權(quán)利要求1所述的方法，其特征在于，還包括：

更新針對所述第一請求類型而設(shè)置的成熟度閾值。

5.一種網(wǎng)絡(luò)流量的發(fā)送裝置，其特征在于，包括：一個網(wǎng)絡(luò)業(yè)務(wù)流分發(fā)器(101)，被配置為用于：

接收一個第一攻擊業(yè)務(wù)流；

確定所述第一攻擊業(yè)務(wù)流的請求類型為第一請求類型；

確定針對所述第一請求類型的虛擬蜜罐模型的成熟度；其中，針對第一請求類型的虛擬蜜罐模型的成熟度用于指示一個第一虛擬響應(yīng)業(yè)務(wù)流與一個第一物理響應(yīng)業(yè)務(wù)流之間的相似程度，一個第一虛擬響應(yīng)業(yè)務(wù)流為使用該模型的一個虛擬蜜罐響應(yīng)于一個具有第一請求類型的攻擊業(yè)務(wù)流可生成的響應(yīng)業(yè)務(wù)流，一個第一物理響應(yīng)業(yè)務(wù)流為一個物理蜜罐響應(yīng)于一個具有第一請求類型的攻擊業(yè)務(wù)流可生成的響應(yīng)業(yè)務(wù)流；

若所述虛擬蜜罐模型的成熟度高于預(yù)設(shè)的針對所述第一請求類型而設(shè)置的成熟度閾值，則將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至使用所述虛擬蜜罐模型的一個虛擬蜜罐(104)，否則將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至一個物理蜜罐(103)；或者，

若所述虛擬蜜罐模型的成熟度高于預(yù)設(shè)的所述成熟度閾值，則將所述第一攻擊業(yè)務(wù)流轉(zhuǎn)發(fā)至一個物理蜜罐(103)和使用所述虛擬蜜罐模型的一個虛擬蜜罐(104)，否則將所述第一攻擊業(yè)務(wù)流僅轉(zhuǎn)發(fā)至一個物理蜜罐(103)。