[發明專利]在蜜罐場景下獲取攻擊者信息的系統及方法

有效

• 申請號: 202010982410.6
• 申請日: 2020-09-17
• 公開（公告）號: CN112118258B
• 公開（公告）日: 2021-06-29
• 發明（設計）人: 龔致;肖建
• 申請（專利權）人: 四川長虹電器股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 四川省成都市天策商標專利事務所 51213
• 代理人: 陳藝文

1.一種在蜜罐場景下獲取攻擊者信息的方法，其特征在于，應用于在蜜罐場景下獲取攻擊者信息的系統，所述的系統包括蜜罐分析區以及多個分別與所述蜜罐分析區連接的業務區，所述業務區用于部署對攻擊者的攻擊行為進行誘捕的蜜罐誘捕節點，不直接與蜜罐部署在同一區域，便于不同業務的復用；所述蜜罐分析區用于部署TCP轉發模塊和真實攻擊信息獲取模塊，業務區與蜜罐分析區分開部署，提高業務區的安全性和真實蜜罐的可控性；

所述的方法包括以下步驟：

（1）攻擊者攻擊蜜罐誘捕節點：攻擊者攻擊蜜罐誘捕節點某個端口，并進行TCP連接和攻擊數據傳輸；

（2）蜜罐誘捕節點獲取到攻擊者TCP負荷、攻擊者IP端口、MAC地址以及目標蜜罐信息；

（3）誘捕節點檢測到攻擊后，與TCP轉發模塊建立第一TCP連接；

（4）誘捕節點將攻擊者TCP負荷、攻擊者IP端口、MAC地址以及目標蜜罐信息通過第一TCP連接發送給TCP轉發模塊；

（5）TCP轉發模塊接收到第一TCP連接內的攻擊信息，將攻擊者TCP負荷、攻擊者IP端口、MAC地址以及目標蜜罐信息分別進行提??；

（6）TCP轉發模塊創建第一TCP套接字，用于連接目標蜜罐，并通過自定義IP選項將攻擊者IP端口、MAC地址信息傳遞給內核；

（7）內核接收到攻擊者IP端口、MAC地址信息后，將IP端口、MAC地址信息與TCP轉發模塊的應用層第一TCP套接字關聯存儲；

（8）TCP轉發模塊根據目標蜜罐信息，創建與目標蜜罐的第二TCP連接；

（9）TCP轉發模塊所在服務器內核檢測所述第二TCP連接已經配置自定義IP選項，則將攻擊者IP端口、MAC地址信息取出，新增TCP自定義選項頭和TCP自定義選項內容，將攻擊者IP端口、MAC地址信息存儲在TCP自定義選項內容；如果TCP轉發模塊所在服務器內核未檢測到所述第二TCP連接配置自定義IP選項，則不處理；

（10）TCP轉發模塊所在服務器內核添加完成TCP自定義IP選項后，重新計算以太幀相關校驗和，并將TCP握手報文發送給目標蜜罐；

（11）目標蜜罐的真實攻擊信息模塊檢測到TCP握手報文，檢查該TCP握手報文是否攜帶TCP自定義IP選項頭；如果檢測到攜帶TCP自定義IP選項頭，則將TCP自定義IP選項頭和內容解析得到攻擊者信息存儲到與連接對應的第二TCP套接字；如果未檢測到攜帶TCP自定義IP選項頭則不處理；

（12）蜜罐應用層接收連接后創建與連接對應的第二TCP套接字，并在應用層調用getpeername獲取攻擊者IP和端口信息；

（13）蜜罐內核層檢測到第二TCP套接字在獲取攻擊者IP和端口信息，就將真實攻擊者IP和端口信息返回，而不返回TCP轉發模塊的IP和端口信息；

（14）蜜罐應用層如果需要獲取額外的攻擊者MAC地址等其他信息，調用自定義IP選項進行獲取攻擊者額外信息；

（15）蜜罐內核層檢測到TCP第二TCP套接字在獲取攻擊者其他信息，就將攻擊者其他信息返回；

（16）TCP轉發模塊與目標蜜罐建立起第二TCP連接，TCP轉發模塊將攻擊者TCP負荷通過所述第二TCP連接發送給目標蜜罐，完成整個攻擊者TCP負荷、攻擊者IP端口、MAC地址信息的傳遞。