[發明專利]一種蜜罐系統多個節點綁定一個蜜罐的方法

有效

• 申請號: 202010929490.9
• 申請日: 2020-09-07
• 公開（公告）號: CN112134857B
• 公開（公告）日: 2021-08-27
• 發明（設計）人: 吳建亮;胡鵬;盧偉民
• 申請（專利權）人: 廣州錦行網絡科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京精金石知識產權代理有限公司 11470
• 代理人: 楊蘭蘭

本發明一種蜜罐系統多個節點綁定一個蜜罐的方法利用了Linux系統的虛擬網卡轉發技術和iptables，節點誘捕程序通過虛擬網卡把攻擊流量轉發到Linux節點轉發服務器上，節點轉發服務器再把攻擊流量轉發到Linux中間層服務器，最后Linux中間層服務器通過iptables策略把攻擊流量轉發到對應蜜罐里面。該發明可以充分利用已經部署好的蜜罐，添加節點時候不用新增蜜罐，有效利用現有的資源，減少部署時候的資源消耗、設備成本、維護成本。提高了節點部署密度和蜜罐復用率，使得攻擊者更容易受到欺騙，從而使得用戶盡早感知受到了攻擊。

技術領域

本發明涉及蜜罐技術領域，具體涉及蜜罐系統多個節點綁定一個蜜罐的方法

背景技術

蜜罐技術是一種主動的欺騙防御手段，在復雜的網絡環境中，主動誘惑攻擊者進行攻擊，從而及時感知到攻擊者的攻擊行為，并使得攻擊者在多個蜜罐組成的蜜網中盡可能逗留時間長一些，使得防御者有時間做出充分的防御手段。

每個蜜罐是一個單一主機，每種蜜罐提供不同的模擬的虛假服務，需要通過誘捕節點實現把攻擊的轉發到蜜罐內。每個節點綁定一個蜜罐，通過轉發攻擊數據，使得攻擊者在無感知的狀態下從誘捕節點進入到蜜罐，從而迷失在蜜網中。

為了盡可能的欺騙到攻擊者，需要增加誘捕節點的部署密度，和在不同網段或者同一個網段使用同一種蜜罐，現有的誘捕節點與蜜罐之間的綁定關系存在以下不足和缺點：

蜜罐與節點一對一綁定關系，增加節點就要增加對應的蜜罐，蜜罐的部署時間、硬件分配、網絡分配等會增加資源消耗和設備成本，如專利文獻專利CN107360145A公開了一種多節點蜜罐系統及其數據分析方法，所述多節點蜜罐系統包括多個單節點蜜罐系統，所述多個單節點蜜罐系統互聯形成網絡拓撲結構；所述方法包括：獲取各個單節點蜜罐系統的原始數據；利用主成分分析法對所述原始數據進行特征篩選，得到中間數據；對所述中間數據進行聚類分析以及監督學習，得到多個簇，其中，每個簇包括多個實例；在各個所述簇內針對惡意攻擊命令進行關聯規則提??；將提取出的關聯規則作為攻擊特征存儲至特征標注集中。該專利文獻中公開的多節點蜜罐系統包括多個單節點蜜罐系統，實際上節點與蜜罐也是一對一綁定關系。

現有技術中也有多個蜜罐對應一個節點的，如圖1所示，專利文獻CN110391937A公開了一種基于SOAP服務模擬的物聯網蜜網系統技術，該技術根據一個路由器SOAP服務漏洞CVE-2017-17215設計了一種中高交互蜜罐；為了防止黑客利用模擬服務未完成的服務細節進行注入，導致模擬服務蜜罐無法響應從而不能捕獲后續惡意代碼和樣本，使用帶有漏洞的設備固件實現了提供真實SOAP服務的蜜罐補充模擬服務蜜罐的功能；為了對更多類型的SOAP攻擊進行捕獲，針對2018年暴露最多的SOAP端口進行分析并制作了相應的多端口蜜罐。通過將這些蜜罐部署到多個節點，同時設計控制中心進行命令的分發和文件的傳輸，輔以Docker技術封裝實現快速部署。上述SOAP服務是把蜜罐(docker虛擬機)部署在節點上面的，占用節點資源比較大，而且SOAP服務中一個節點能部署多個蜜罐，但是不同節點內的蜜罐不能在節點之間共享；

在多個網段使用同種蜜罐進行防御時候需要部署多個同種的蜜罐，如果對這種蜜罐進行人工定制化配置時候，需要對這種蜜罐一一進行人工配置，增加了維護成本。

沒有受到攻擊者攻擊的蜜罐處于閑置狀態，沒有實現蜜罐的復用率。因此，現有技術中的單個蜜罐綁定單個節點存在的資源消耗多、設備成本高、維護成本高，蜜罐復用等問題。

發明內容

對于目前單個蜜罐綁定單個節點存在的資源消耗多、設備成本高、維護成本高，蜜罐復用等問題，本發明提供了一種蜜罐系統多個節點綁定一個蜜罐的方法，該方法可以充分利用已經部署好的蜜罐，添加節點時候不用新增蜜罐，有效利用現有的資源，減少部署時候的資源消耗、設備成本、維護成本。提高了節點部署密度和蜜罐復用率，使得攻擊者更容易受到欺騙，從而使得用戶盡早感知受到了攻擊。

本發明提供了一種蜜罐系統多個節點綁定一個蜜罐的方法，