[發明專利]防御網絡攻擊的蜜罐構建方法、裝置、設備及介質

在審

• 申請號: 201911124693.4
• 申請日: 2019-11-18
• 公開（公告）號: CN110719299A
• 公開（公告）日: 2020-01-21
• 發明（設計）人: 白浩;喬棟;王曉宏;張永濤;王升元;王靜
• 申請（專利權）人: 中國移動通信集團內蒙古有限公司;中國移動通信集團有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 11258 北京東方億思知識產權代理有限責任公司
• 代理人: 彭瓊

1.一種防御網絡攻擊的蜜罐構建方法，其特征在于，所述方法包括：

檢測網絡流量；

當網絡流量異常時，根據網絡流量異常時的網絡流量特征確定網絡遭受攻擊的攻擊類型；

根據所述攻擊類型確定與所述攻擊類型對應的檢測函數的容器鏡像；

對所述容器鏡像實例化，構建運行所述檢測函數的容器用作蜜罐。

2.根據權利要求1所述的方法，其特征在于，所述網絡流量包括文件訪問流量和/或暴力破解流量。

3.根據權利要求2所述的方法，其特征在于，所述網絡流量異常包括：

文件的訪問頻率超過預設訪問閾值和/或服務的解析頻率超過預設解析閾值，其中，所述服務包括安全外殼協議SSH服務、湯姆貓Tomcat服務、MySQL服務中的至少一種。

4.根據權利要求3所述的方法，其特征在于，在所述檢測網絡流量之前，所述方法還包括：

獲取所述文件在歷史時間段中每次被訪問的時間和訪問者的互聯網協議IP地址；

所述歷史時間段以日為單位，包括一日或多日，統計所述歷史時間段中每日所述文件的被訪問總次數，每日以小時為單位，統計每日每小時所述文件的被訪問次數；

統計每個IP地址每日訪問所述文件次數和每個IP地址每日訪問時間分布，其中，每個IP地址每日訪問時間分布按照小時分布；

根據每日所述文件的被訪問總次數，每日每小時所述文件的被訪問次數，每個IP地址每日訪問所述文件次數和每個IP地址每日訪問時間分布確定所述預設訪問閾值。

5.根據權利要求1所述的方法，其特征在于，所述攻擊類型包括：端口探測攻擊、結構化查詢語言SQL注入攻擊、溢出攻擊、拒絕服務攻擊、加密攻擊、口令探測攻擊、泛洪攻擊、未知類型攻擊中的至少一種。

6.一種防御網絡攻擊的蜜罐構建裝置，其特征在于，所述裝置包括：

檢測模塊，用于檢測網絡流量；

第一確定模塊，用于當網絡流量異常時，根據網絡流量異常時的網絡流量特征確定網絡遭受攻擊的攻擊類型；

第二確定模塊，用于根據所述攻擊類型確定與所述攻擊類型對應的檢測函數的容器鏡像；

構建模塊，用于對所述容器鏡像實例化，構建運行所述檢測函數的容器用作蜜罐。

7.根據權利要求6所述的裝置，其特征在于，所述網絡流量包括文件訪問流量和/或暴力破解流量。

8.根據權利要求7所述的裝置，其特征在于，所述網絡流量異常包括：

文件的訪問頻率超過預設訪問閾值和/或服務的解析頻率超過預設解析閾值，其中，所述服務包括安全外殼協議SSH服務、湯姆貓Tomcat服務、MySQL服務中的至少一種。

9.根據權利要求8所述的裝置，其特征在于，所述裝置還包括：

第三確定模塊，用于在所述檢測網絡流量之前，獲取所述文件在歷史時間段中每次被訪問的時間和訪問者的互聯網協議IP地址；

所述歷史時間段以日為單位，包括一日或多日，統計所述歷史時間段中每日所述文件的被訪問總次數，每日以小時為單位，統計每日每小時所述文件的被訪問次數；

統計每個IP地址每日訪問所述文件次數和每個IP地址每日訪問時間分布，其中，每個IP地址每日訪問時間分布按照小時分布；

根據每日所述文件的被訪問總次數，每日每小時所述文件的被訪問次數，每個IP地址每日訪問所述文件次數和每個IP地址每日訪問時間分布確定所述預設訪問閾值。

10.根據權利要求6所述的裝置，其特征在于，所述攻擊類型包括：端口探測攻擊、結構化查詢語言SQL注入攻擊、溢出攻擊、拒絕服務攻擊、加密攻擊、口令探測攻擊、泛洪攻擊、未知類型攻擊中的至少一種。