[發明專利]一種基于動態偽裝的網絡安全漏洞防御系統

有效

• 申請號: 201910326789.2
• 申請日: 2019-04-23
• 公開（公告）號: CN111835694B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 張長河
• 申請（專利權）人: 張長河
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種基于動態偽裝的網絡安全漏洞防御系統，其特征在于，包括漏洞分析單元、偽裝單元和動態變換單元，所述漏洞分析單元實時處理網絡通信流量，進行漏洞的識別和檢測，所述偽裝單元為每一臺真實/虛假主機隨機生成虛假漏洞庫，所述動態變換單元定期通知偽裝單元對虛假漏洞庫進行隨機動態變換；

所述的基于網絡欺騙的動態防御系統還包括管理單元、流量收發單元；

所述管理單元連接于流量收發單元、偽裝單元和動態變換單元；

所述流量收發單元連接于漏洞分析單元；

所述管理單元用于配置和展示，其中配置信息包括但不限于黑名單規則、虛假響應信息、動態變換間隔；

所述黑名單規則配置于流量收發單元，用于對通信數據包進行過濾，黑名單啟用后，被列入到黑名單的用戶的數據包不能通過；

所述虛假響應信息配置于偽裝單元，所述虛假響應信息包括但不限于虛假主機的IP地址范圍、真實主機IP地址和漏洞配置信息，所述漏洞配置信息包括每個漏洞的特征字段、針對該漏洞進行掃描時的響應內容和/或重定向蜜罐的IP地址和端口；

所述流量收發單元用于接收和發送網絡數據包；所述流量收發單元采用DPDK技術提升數據包的處理性能；

所述漏洞分析單元包括協議還原和會話重組模塊、虛假主機漏洞分析模塊和真實主機漏洞分析模塊，所述協議還原和會話重組模塊依據流量收發單元的數據包，按照協議棧的順序從底至上依次對數據包進行捕獲和逐層分析，并最終還原出用戶原始的會話信息；

所述協議還原和會話重組模塊采用以下的還原流程：利用五元組信息提取出不同流的數據包，然后再按照順序對其進行排序，待TCP/IP流數據包接收完畢后即可進行應用層協議解析的工作，其中所述五元組信息包括源目的IP地址、源目的端口號、協議號。

2.根據權利要求1所述基于動態偽裝的網絡安全漏洞防御系統，其特征在于，所述漏洞分析單元對數據包的目的IP地址進行匹配，如果匹配成功，則用數據包內容匹配該IP地址對應的漏洞特征字段，如果匹配成功，則根據偽裝單元生成的該漏洞對應的響應內容進行虛假響應和/或發送至蜜罐中，同時生成對虛假漏洞的訪問日志。

3.根據權利要求1所述基于動態偽裝的網絡安全漏洞防御系統，其特征在于，所述偽裝單元包括主機偽裝模塊和漏洞偽裝模塊，所述主機偽裝模塊根據配置的虛假主機的IP地址范圍隨機生成若干虛假主機，所述漏洞偽裝模塊為每一臺真實/虛假主機隨機生成虛假漏洞庫，包括每個漏洞的特征字段、針對該漏洞進行掃描時的響應內容和/或重定向蜜罐的IP地址和端口。

4.根據權利要求1-3任一項所述基于動態偽裝的網絡安全漏洞防御系統，其特征在于，在正常情況下，合法用戶一般不會對虛假主機進行掃描和漏洞探測，對虛假主機的頻繁訪問或對虛假漏洞進行探測和利用都是疑似高危的攻擊行為，通過將攻擊流量重定向至蜜罐中作進一步的行為分析，可有效發現未知漏洞；此外，虛假構建的漏洞能夠迷惑攻擊者，虛假主機的IP地址、漏洞信息可以動態隨機變化，大大增加網絡的復雜性，從而能夠打破攻擊者對目標主機漏洞信息的認知積累。

5.根據權利要求1-3任一項所述基于動態偽裝的網絡安全漏洞防御系統，其特征在于，針對某些計算機漏洞難以及時修復的網絡，可下發如下配置信息：真實主機IP、真實主機上真實存在的漏洞特征字段以及對應的虛假響應的內容、和/或重定向蜜罐的IP地址和端口，當防御系統發現攻擊者對真實主機上真實存在的漏洞進行訪問時，可對其進行虛假響應或重定向至蜜罐中，從而有效防御了攻擊者對真實主機上真實存在的漏洞的利用。