[發明專利]用于檢測進化DDoS攻擊的新型云蜜罐方法及架構

在審

• 申請號: 202010436153.6
• 申請日: 2020-05-21
• 公開（公告）號: CN111641620A
• 公開（公告）日: 2020-09-08
• 發明（設計）人: 黃筱俊
• 申請（專利權）人: 黃筱俊
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 上海光華專利事務所(普通合伙) 31219
• 代理人: 龐紅芳

1.一種用于檢測進化DDoS攻擊的新型云蜜罐方法，其特征在于：所述用于檢測進化DDoS攻擊的新型云蜜罐方法包括：

將惡意流量和/或可疑流量分別引入到由多個不同類型的蜜罐系統組成的云蜜罐服務器；

通過云蜜罐服務器中多個不同類型的所述蜜罐系統同時對惡意流量和/或可疑流量進行監測分析，并分別記錄各自對應的監測分析結果日志；

各所述蜜罐系統分別將各自記錄的所述監測分析結果日志上傳至遠程日志服務器，以供用戶通過所述遠程日志服務器中的多個監測分析結果日志對DDoS攻擊進行分析判斷。

2.根據權利要求1所述的用于檢測進化DDoS攻擊的新型云蜜罐方法，其特征在于：所述用于檢測進化DDoS攻擊的新型云蜜罐方法還包括：

對超過流量最大閾值的惡意流量和/或可疑流量進行分割形成至少兩個子流量，并分別將分割的所述子流量引入到由多個不同類型的蜜罐系統組成的云蜜罐服務器。

3.根據權利要求1所述的用于檢測進化DDoS攻擊的新型云蜜罐方法，其特征在于：在將記錄的所述監測分析結果上傳至遠程日志服務器過程中使用TCP套接字層和緩沖區域，并對上傳的通道進行加密。

4.根據權利要求1所述的用于檢測進化DDoS攻擊的新型云蜜罐方法，其特征在于：多個不同類型的蜜罐系統為產品型蜜罐系統、研究型蜜罐系統、低交互蜜罐系統和高交互蜜罐系統之間的組合。

5.根據權利要求1所述的用于檢測進化DDoS攻擊的新型云蜜罐方法，其特征在于：對惡意流量和/或可疑流量進行的監測分析包括：網絡欺騙分析、端口重定向分析、惡意行為報警、數據控制、數據捕獲以及DDoS特征簽名匹配中的多種組合。

6.一種用于檢測進化DDoS攻擊的新型云蜜罐架構，其特征在于：所述用于檢測進化DDoS攻擊的新型云蜜罐架構包括：防火墻、檢測引流設備、由多個不同類型的蜜罐系統形成的云蜜罐服務器以及遠程日志服務器；

所述防火墻用于對網絡訪問進行篩查過濾；

所述檢測引流設備用于對網絡訪問的流量進行檢測篩選，并將篩選出來的惡意流量和/或可疑流量分別引入到由多個不同類型的蜜罐系統組成的云蜜罐服務器；

所述云蜜罐服務器中所述多個不同類型的蜜罐系統同時對惡意流量和/或可疑流量進行監測分析并生成各自對應的監測分析結果日志，各所述蜜罐系統分別將各自記錄的所述監測分析結果日志上傳至所述遠程日志服務器，以供用戶通過所述遠程日志服務器中的多個監測分析結果日志對DDoS攻擊進行分析判斷。

7.根據權利要求6所述的用于檢測進化DDoS攻擊的新型云蜜罐架構，其特征在于：所述用于檢測進化DDoS攻擊的新型云蜜罐架構還包括：

負載均衡設備，用于對超過流量最大閾值的惡意流量和/或可疑流量進行分割形成至少兩個子流量，并分別將分割的所述子流量引入到由多個不同類型的蜜罐系統組成的云蜜罐服務器。

8.根據權利要求6所述的用于檢測進化DDoS攻擊的新型云蜜罐架構，其特征在于：各所述蜜罐系統在將記錄的所述監測分析結果上傳至遠程日志服務器過程中使用TCP套接字層和緩沖區域，并對上傳的通道進行加密。

9.根據權利要求6所述的用于檢測進化DDoS攻擊的新型云蜜罐架構，其特征在于：所述蜜罐系統包括：

數據捕獲模塊，用于對惡意流量和/或可疑流量進行數據捕獲；

數據控制模塊，用于對惡意流量和/或可疑流量進行數據控制；

網絡欺騙分析模塊，用于對惡意流量和/或可疑流量進行網絡欺騙分析；

端口重定向分析模塊，用于對惡意流量和/或可疑流量進行端口重定向分析；

惡意行為報警功能模塊，用于對惡意流量和/或可疑流量進行惡意行為報警；

DDoS特征簽名匹配模塊，用于對惡意流量和/或可疑流量進行DDoS特征簽名匹配。

10.根據權利要求6所述的用于檢測進化DDoS攻擊的新型云蜜罐架構，其特征在于：將各類型的蜜罐分別安裝于VMware EXSi中，形成多個不同類型的蜜罐系統，通過VMwarevCenter服務管理設備將各不同類型的蜜罐系統串聯，形成所述云蜜罐服務器。