[發(fā)明專利]一種發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi)潛在威脅的方法、系統(tǒng)、裝置及存儲(chǔ)介質(zhì)

有效

• 申請(qǐng)?zhí)枺?/td>: 201810503136.2
• 申請(qǐng)日: 2018-05-23
• 公開（公告）號(hào): CN108737421B
• 公開（公告）日: 2022-01-21
• 發(fā)明（設(shè)計(jì)）人: 高群凱
• 申請(qǐng)（專利權(quán)）人: 深信服科技股份有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40
• 代理公司: 深圳市深佳知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 44285
• 代理人: 王仲凱

1.一種發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi)潛在威脅的方法，其特征在于，包括：

利用安裝在全網(wǎng)內(nèi)所有終端上的偽裝程序獲取對(duì)應(yīng)終端的參數(shù)信息；

根據(jù)接收到的參數(shù)信息確定全網(wǎng)的當(dāng)前安全狀況；

在全網(wǎng)偽裝規(guī)則庫(kù)中匹配與所述當(dāng)前安全狀況對(duì)應(yīng)的偽裝規(guī)則；

向各所述終端下發(fā)與所述偽裝規(guī)則對(duì)應(yīng)的偽裝參數(shù)，以使各所述偽裝程序利用接收到的偽裝參數(shù)對(duì)對(duì)應(yīng)終端的參數(shù)進(jìn)行偽裝，相同偽裝規(guī)則對(duì)應(yīng)的偽裝參數(shù)對(duì)下層的各所述終端相同或不同，且各所述終端在進(jìn)行參數(shù)偽裝時(shí)存在聯(lián)系；

利用各完成參數(shù)偽裝操作的終端發(fā)現(xiàn)全網(wǎng)內(nèi)潛在的威脅；

其中，偽裝程序安裝在各終端上，在不影響各終端正常使用的情況下，通過修改對(duì)外的部分參數(shù)誘騙惡意攻擊者上鉤。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，利用安裝在全網(wǎng)內(nèi)所有終端上的偽裝程序獲取對(duì)應(yīng)終端的參數(shù)信息，包括：

為全網(wǎng)內(nèi)所有所述終端均安裝所述偽裝程序；

利用所述偽裝程序收集對(duì)應(yīng)終端的參數(shù)信息；其中，所述參數(shù)信息包括：操作系統(tǒng)、IP地址、通信端口、FTP服務(wù)內(nèi)容、Web服務(wù)內(nèi)容中的至少一項(xiàng)；

根據(jù)預(yù)設(shè)的參數(shù)信息發(fā)送規(guī)則發(fā)送所述參數(shù)信息。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，根據(jù)接收到的參數(shù)信息確定全網(wǎng)的當(dāng)前安全狀況，包括：

匯總接收到的參數(shù)信息，得到匯總信息；

利用預(yù)設(shè)的安全等級(jí)分類模型確定所述匯總信息對(duì)應(yīng)的全網(wǎng)安全等級(jí)。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，在全網(wǎng)偽裝規(guī)則庫(kù)中匹配與所述當(dāng)前安全狀況對(duì)應(yīng)的偽裝規(guī)則，包括：

在所述全網(wǎng)偽裝規(guī)則庫(kù)中尋找與確定的全網(wǎng)安全等級(jí)對(duì)應(yīng)的偽裝規(guī)則。

5.根據(jù)權(quán)利要求4所述的方法，其特征在于，向各所述終端下發(fā)與所述偽裝規(guī)則對(duì)應(yīng)的偽裝參數(shù)，包括：

建立與安裝在各所述終端上的偽裝程序間的IPC通信隧道；

利用各所述IPC通信隧道向各所述偽裝程序下發(fā)所述偽裝規(guī)則對(duì)應(yīng)的偽裝參數(shù)。

6.根據(jù)權(quán)利要求1至5任一項(xiàng)所述的方法，其特征在于，還包括：

所述偽裝程序判斷接收到的偽裝參數(shù)是否與當(dāng)前的偽裝參數(shù)相一致；

若不一致，則先卸載原有的偽裝參數(shù)，再修改為最新接收到的偽裝參數(shù)；

若一致，則無需修改原有的偽裝參數(shù)。

7.根據(jù)權(quán)利要求6所述的方法，其特征在于，還包括：

當(dāng)所述偽裝程序完成參數(shù)的偽裝操作后，通過預(yù)設(shè)路徑返回偽裝實(shí)施結(jié)果及最終使用的偽裝參數(shù)。

8.一種發(fā)現(xiàn)網(wǎng)絡(luò)內(nèi)潛在威脅的系統(tǒng)，其特征在于，包括：

終端參數(shù)信息獲取單元，用于利用安裝在全網(wǎng)內(nèi)所有終端上的偽裝程序獲取對(duì)應(yīng)終端的參數(shù)信息；

當(dāng)前安全狀況確定單元，用于根據(jù)接收到的參數(shù)信息確定全網(wǎng)的當(dāng)前安全狀況；

偽裝規(guī)則匹配單元，用于在全網(wǎng)偽裝規(guī)則庫(kù)中匹配與所述當(dāng)前安全狀況對(duì)應(yīng)的偽裝規(guī)則；

偽裝參數(shù)下發(fā)及實(shí)施單元，用于向各所述終端下發(fā)與所述偽裝規(guī)則對(duì)應(yīng)的偽裝參數(shù)，以使各所述偽裝程序利用接收到的偽裝參數(shù)對(duì)對(duì)應(yīng)終端的參數(shù)進(jìn)行偽裝，相同偽裝規(guī)則對(duì)應(yīng)的偽裝參數(shù)對(duì)下層的各所述終端相同或不同，且各所述終端在進(jìn)行參數(shù)偽裝時(shí)存在聯(lián)系；

潛在威脅發(fā)現(xiàn)單元，用于利用各完成參數(shù)偽裝操作的終端發(fā)現(xiàn)全網(wǎng)內(nèi)潛在的威脅；

其中，偽裝程序安裝在各終端上，在不影響各終端正常使用的情況下，通過修改對(duì)外的部分參數(shù)誘騙惡意攻擊者上鉤。

9.根據(jù)權(quán)利要求8所述的系統(tǒng)，其特征在于，所述終端參數(shù)信息獲取單元包括：

偽裝程序安裝子單元，用于為全網(wǎng)內(nèi)所有所述終端均安裝所述偽裝程序；

參數(shù)信息收集子單元，用于利用所述偽裝程序收集對(duì)應(yīng)終端的參數(shù)信息；其中，所述參數(shù)信息包括：操作系統(tǒng)、IP地址、通信端口、FTP服務(wù)內(nèi)容、Web服務(wù)內(nèi)容中的至少一項(xiàng)；

參數(shù)信息發(fā)送子單元，用于根據(jù)預(yù)設(shè)的參數(shù)信息發(fā)送規(guī)則發(fā)送所述參數(shù)信息。