[發明專利]一種基于蜜場架構的誘捕節點故障實時檢測方法

有效

• 申請號: 202010819327.7
• 申請日: 2020-08-14
• 公開（公告）號: CN111917594B
• 公開（公告）日: 2021-04-06
• 發明（設計）人: 吳建亮;胡鵬;王淼
• 申請（專利權）人: 廣州錦行網絡科技有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 北京精金石知識產權代理有限公司 11470
• 代理人: 楊蘭蘭

本發明提供了一種基于蜜場架構的誘捕節點故障實時檢測方法，涉及網絡安全領域。本發明將蜜場環境分為運行環境和連通環境雙環境，將誘捕節點故障點劃分為六個階段，針對不同環境不同階段，誘捕節點有不同的特征組，誘捕節點將不同環境下不同階段的特征組反饋到狀態觀察表，參照正常值范圍對照表，監控狀態觀察表中信息，發現異常并報警。該方法基于蜜場架構的誘捕節點故障實時檢測，有利于網絡安全人員及時了解誘捕節點的故障情況，精準定位故障點，有利于快速恢復蜜場可用狀態。

技術領域

本發明涉及網絡安全領域，尤其涉及一種基于蜜場架構的誘捕節點故障實時檢測方法。

背景技術

隨著互聯網的飛速發展，網絡安全已成為人們非常關注的問題。提升網絡安全性，成為互聯網中的頭等大事。在網絡安全領域中，蜜罐是網絡安全人員熟知的網絡攻擊檢測技術，其實質是通過布置一些作為誘餌的主機、網絡服務或者信息，也就是作為網絡安全中的一種入侵誘餌，誘使攻擊方對它們實施攻擊，捕獲黑客相關的證據和信息，從而可以對攻擊行為進行分析。蜜網是采用了其他技術的蜜罐，從而以合理方式記錄下黑客的行動，同時盡量減小或排除對因特網上其它系統造成的風險。密網是一個網路系統，這一網路系統是隱藏在防火墻后面的，所有進出的資料都受到監控、捕獲及控制。蜜場是一種分布式的蜜罐系統，它是蜜罐技術發展的新趨勢。如果要在一個大型的分布式環境中部署蜜網，為了對各個子網的安全威脅進行收集，就需要部署大量高交互的蜜罐。但按傳統的方法來部署和維護這些高交互蜜罐則代價太高，針對此問題，為了簡化大規模網蜜罐的部署和維護，可以將這些蜜罐放在一個蜜場中。集中部署蜜罐的單一化網絡就是一個蜜場，它是一個專用的安全資源。

蜜場采用網絡隧道和回流標簽技術，可以有效管控蜜罐資源，并可以從網絡層面隔離攻擊者，防止攻擊者從蜜場內對真實網絡展開攻擊。所以蜜場是一種資源高度集中，可對網絡管控進行有效管控的新一代蜜罐技術。

誘捕節點的穩定性是蜜場的穩定性的重要基石，如果誘捕節點穩定性不良，那么攻擊者將無法進入蜜場，或者在蜜場中展開攻擊時連接不穩定，會極大的影響蜜場吸引攻擊者偏離真正攻擊目標的效果。

由于蜜場架構下的誘捕節點運行環境和連通環境比普通蜜罐節點復雜，所以蜜場架構下的誘捕節點容易出現運行故障和連通故障，而當前缺少實時檢測誘捕節點故障的方法，難以快速定位故障點。現有技術對蜜場中誘捕節點狀態的常見故障檢測方法一般包括兩種：一種是逐個檢查各個組件的日志并匯總；另一種是通過現場測試的方式，查看通過誘捕節點的網絡攻擊，是否在蜜罐中產生數據。這些手段既繁瑣，又費時。

中國專利申請文獻CN110474787A中，公開了一種節點故障檢測方法：主節點將任務發送至從節點，獲取從節點的故障概率模型；根據從節點的故障概率模型，確定第一故障檢測組；第一故障檢測組為從節點運行任務時所述的故障檢測組，第一故障檢測組為至少一個故障檢測組中的一個，其中，至少一個故障檢測組中不同的故障檢測組采用不同的故障檢測方法；若接收到從節點發送的任務運行成功消息，且第一故障檢測組與第二故障檢測組不同，第二故障檢測組為從節點當前所述故障檢測組，則發送與第一故障檢測組對應的故障檢測任務到從節點。該方法主要解決當前不能根據節點運行任務的不同調整故障檢測方法的問題，采用主從串聯方式，順序排查，一個故障檢測組如果出錯，則會影響后續所有的檢測組，而且沒有細分環境和特征組，難于定位故障點，耗時長。