[發明專利]一種基于網關遠程控制攻擊的反制系統

在審

• 申請號: 201911415881.2
• 申請日: 2019-12-31
• 公開（公告）號: CN111224975A
• 公開（公告）日: 2020-06-02
• 發明（設計）人: 孫勇;徐勤
• 申請（專利權）人: 北京安碼科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京力量專利代理事務所(特殊普通合伙) 11504
• 代理人: 姚遠方

1.一種基于網關遠程控制攻擊的反制系統：其特征在于：包括：

監控模塊，用于實時監控網絡數據包，發現網絡數據包異常后，向靜態分析模塊發送報警信號及異常的網絡數據包；

靜態分析模塊，用于接收監控模塊發送的報警信號，對異常的網絡數據包進行靜態分析，獲取攻擊主機位置、被攻擊主機位置及被攻擊主機中惡意軟件位置；提取惡意軟件并對惡意軟件進行逆向分析，獲取監控配置文件，將獲取的配置文件發送給密鑰獲取模塊；將攻擊主機位置發送給網關注入模塊；

密鑰獲取模塊，用于接收靜態分析模塊發送的監控配置文件，對監控配置文件加載，獲取密鑰，并發送至網關注入模塊；

網關注入模塊，用于接收密鑰獲取模塊發送的密鑰及用于接收靜態分析模塊發送的攻擊主機的位置，根據攻擊主機的位置搜索攻擊主機，通過密鑰與攻擊主機連接，向攻擊主機注入反制攻擊數據包。

2.根據權利要求1所述的基于網關遠程控制攻擊的反制系統：其特征在于：還包括隔離模塊，用于接收監控模塊發出的報警信號指定的異常網路數據包，對異常網路數據包進行隔離。

3.根據權利要求2所述的基于網關遠程控制攻擊的反制系統，其特征在于：還包括數據存儲模塊，用于接收監控模塊發出的報警信號指定的異常網路數據包，對異常網路數據包進行存儲。

4.根據權利要求3所述的基于網關遠程控制攻擊的反制系統，其特征在于：監控模塊包括：

采集單元，用于實時采集網絡數據包，并將采集的網絡數據包發送給數據比對單元；

比對單元，用于接收采集單元采集的網絡數據包，將獲取的網絡數據包與威脅情報數據庫對比，提取網絡數據包中域名、IP地址，與威脅情報數據庫中已知惡意域名和IP地址比對，如果一致，判斷為異常數據，向報警單元發送異常網路數據包信號，并將異常數據包發送給傳輸單元；若不一致，則編輯未發現異常數據包信號反饋給采集單元。

傳輸單元，用于接收比對單元發送的異常網路數據包，并將異常網路數據包發送給靜態分析模塊；

報警單元，用于接收比對單元發送的異常網路數據包信號，編輯報警信號發送給靜態分析模塊。

5.根據權利要求4所述的基于網關遠程控制攻擊的反制系統，其特征在于：靜態分析模塊包括：

啟動單元，用于接收監控模塊發送的報警信號，控制解析單元的開啟；

解析單元，用于接收啟動單元發送的啟動信號，對監控模塊發送異常的網絡數據包進行逐層解析，提取數據包內容，對數據包內容進行關聯分析和數據包重組，還原應用層數據包內容，獲取攻擊主機位置、被攻擊主機位置及被攻擊主機中惡意軟件位置，將獲取的被攻擊主機的位置和被攻擊主機中惡意軟件位置發送給提取單元，將獲取的攻擊主機的位置發送給網關注入模塊；

提取單元，用于根據獲取的被攻擊主機的位置和被攻擊主機中惡意軟件位置，提取被攻擊主機中的惡意軟件，并對惡意軟件進行逆向分析，獲取監控配置文件，將獲取的監控配置文件發送給密鑰獲取模塊。

6.根據權利要求5所述的基于網關遠程控制攻擊的反制系統，其特征在于：獲取攻擊主機和被攻擊主機的網絡地址包括MAC地址和IP地址。

7.根據權利要求6所述的基于網關遠程控制攻擊的反制系統，其特征在于：提取單元包括逆向分析組件，逆向分析組件，用于對惡意軟件的結構、流程、算法、代碼進行逆向拆解和分析，導出惡意軟件的源代碼、設計原理、結構、算法、處理過程、運行方法及文檔，獲取程序構架、通信協議和命令格式，生成監控配置文件。

8.根據權利要求7所述的基于網關遠程控制攻擊反制方法，其特征在于：網關注入模塊中的反制攻擊數據包包括攻擊載荷或畸形數據包。

9.根據權利要求8所述的基于網關遠程控制攻擊反制方法，其特征在于：攻擊荷載包括反制的遠程控制代碼。

10.根據權利要求1所述的基于網關遠程控制攻擊反制方法，其特征在于：密鑰包括通信密鑰和加密密鑰。