[發(fā)明專利]基于行為的攻擊檢測方法、裝置、計算設備及存儲介質(zhì)

在審

• 申請?zhí)枺?/td>: 201910642024.X
• 申請日: 2019-07-16
• 公開（公告）號: CN112242974A
• 公開（公告）日: 2021-01-19
• 發(fā)明（設計）人: 包森成;方國強;計晨曉
• 申請（專利權(quán)）人: 中國移動通信集團浙江有限公司;中國移動通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京市浩天知識產(chǎn)權(quán)代理事務所(普通合伙) 11276
• 代理人: 王廣濤

1.一種基于行為的攻擊檢測方法，其特征在于，所述方法包括：

在網(wǎng)絡中散布誘餌以誘導攻擊者對虛擬沙箱進行攻擊；

在真實業(yè)務服務器上配置網(wǎng)關(guān)代理和偽裝代理，將攻擊者對真實業(yè)務服務器的攻擊行為轉(zhuǎn)發(fā)至所述虛擬沙箱；

通過所述虛擬沙箱記錄攻擊者的攻擊行為。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述在網(wǎng)絡中散布誘餌以誘導攻擊者對虛擬沙箱進行攻擊，包括：

在攻擊者經(jīng)常使用的代碼搜索網(wǎng)站中上傳欺騙信息；

給重點保護的郵箱中發(fā)送郵箱誘餌；

在個人電腦中散布欺騙誘餌；

在真實業(yè)務服務器上散布欺騙誘餌。

3.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述在真實業(yè)務服務器上配置網(wǎng)關(guān)代理和偽裝代理，將攻擊者對真實業(yè)務服務器的攻擊行為轉(zhuǎn)發(fā)至所述虛擬沙箱，包括：

在真實業(yè)務服務器上配置網(wǎng)關(guān)代理，將攻擊者探測特定敏感路徑的請求通過反向代理，轉(zhuǎn)發(fā)至所述虛擬沙箱；

在真實業(yè)務服務器上配置偽裝代理，通過模擬高危漏洞的虛擬端口，將訪問到所述虛假端口的流量重定向到所述虛擬沙箱。

4.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述在真實業(yè)務服務器上配置網(wǎng)關(guān)代理，將攻擊者探測特定敏感路徑的請求通過反向代理，轉(zhuǎn)發(fā)至所述虛擬沙箱，包括：

建立敏感目錄特征庫，其中，所述敏感目錄特征庫中記錄經(jīng)常被攻擊者探測的敏感路徑；

在攻擊者訪問所述敏感目錄特征庫時，將攻擊者流量轉(zhuǎn)發(fā)至所述虛擬沙箱，使攻擊者攻擊所述虛擬沙箱。

5.根據(jù)權(quán)利要求3所述的方法，其特征在于，所述在真實業(yè)務服務器上配置偽裝代理，通過模擬高危漏洞的虛假端口，將訪問到所述虛假端口的流量重定向到所述虛擬沙箱，包括：

應用偽裝代理腳本在真實業(yè)務機器上開放所述虛假端口；

將所述虛假端口的流量轉(zhuǎn)移到虛擬沙箱中，將攻擊者對真實業(yè)務服務器的攻擊行為被轉(zhuǎn)移到所述虛擬沙箱存在漏洞的服務端口中。

6.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述通過所述虛擬沙箱記錄攻擊者的攻擊行為，包括：

限制攻擊者利用所述虛擬沙箱跳轉(zhuǎn)到所述虛擬沙箱以外的服務器；

通過所述虛擬沙箱記錄攻擊者的攻擊行為。

7.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述通過所述虛擬沙箱記錄攻擊者的攻擊行為，還包括：

將記錄的攻擊者的攻擊行為上傳至云端以進行分析和溯源。

8.一種基于行為的攻擊檢測裝置，其特征在于，所述裝置包括：

誘餌散布單元，用于在網(wǎng)絡中散布誘餌以誘導攻擊者對虛擬沙箱進行攻擊；

攻擊轉(zhuǎn)發(fā)單元，用于在真實業(yè)務服務器上配置網(wǎng)關(guān)代理和偽裝代理，將攻擊者對真實業(yè)務服務器的攻擊行為轉(zhuǎn)發(fā)至所述虛擬沙箱；

攻擊記錄單元，用于通過所述虛擬沙箱記錄攻擊者的攻擊行為。

9.一種計算設備，包括：處理器、存儲器、通信接口和通信總線，所述處理器、所述存儲器和所述通信接口通過所述通信總線完成相互間的通信；

所述存儲器用于存放至少一可執(zhí)行指令，所述可執(zhí)行指令使所述處理器執(zhí)行根據(jù)權(quán)利要求1-7任一項所述基于行為的攻擊檢測方法的步驟。

10.一種計算機存儲介質(zhì)，所述存儲介質(zhì)中存儲有至少一可執(zhí)行指令，所述可執(zhí)行指令使處理器執(zhí)行根據(jù)權(quán)利要求1-7任一項所述基于行為的攻擊檢測方法的步驟。