[發明專利]一種基于容器級蜜罐群的入侵檢測方法及系統有效
| 申請號： | 202011162834.4 | 申請日： | 2020-10-27 |
| 公開（公告）號： | CN112367307B | 公開（公告）日： | 2023-05-23 |
| 發明（設計）人： | 溫馨;產院東;郭喬進;梁中巖;劉新華;胡杰;宮世杰;祁駿;吳其華;樊婧雯 | 申請（專利權）人： | 中國電子科技集團公司第二十八研究所 |
| 主分類號： | H04L9/40 | 分類號： | H04L9/40 |
| 代理公司： | 江蘇圣典律師事務所 32237 | 代理人： | 胡建華 |
| 地址： | 210000 江*** | 國省代碼： | 江蘇;32 |
| 權利要求書： | 查看更多 | 說明書： | 查看更多 |
| 摘要： | |||
| 搜索關鍵詞： | 一種 基于 容器 蜜罐 入侵 檢測 方法 系統 | ||
1.一種基于容器級蜜罐群的入侵檢測方法，其特征在于，包括：
步驟S1，通過Docker鏡像進行模擬，得到蜜罐元素；
步驟S2，根據所獲取的蜜罐元素，進行網絡拓撲并得到蜜罐群；
步驟S3，在蜜罐元素中部署數據采集探針，并采集蜜罐群的數據信息；
步驟S4，對采集到的數據信息進行入侵檢測分析；
步驟S5，將所獲取的分析結果，顯示在可視化界面中；
所述步驟S4包括：
獲取日志信息之間的關聯規則；
從所獲取的關聯規則中，篩選出攻擊關聯規則和可疑網絡行為數據；
所述獲取日志信息之間的關聯規則，包括：
對于日志信息F，創建副本D，其中，日志信息F中記錄的屬性至少包括：協議、源IP地址、端口號、目標IP地址和端口號；
根據各個屬性的屬性值進行事務計數，并丟棄低于期望閾值的1項集，得到只包含一個項的頻繁項集C1；
根據輸入的最小支持度對所有C1進行統計，如果屬性沒有出現過，則加入到D當中，并且計數為1，如果D中存在該屬性，則計數加1，得到1-頻繁項集L1；
對Lk-1進行自連接運算和剪枝，生成k-候選項集Dk，k為表示項集中的元素個數的動態變量，Lk-1表示頻繁k-1項集；
根據最小支持度從Dk中，得到頻繁項集k-項集的集合Lk，并將不包含任何頻繁項集的元素從F中刪除；
重復上述過程，直至Lk為空，其中，在重復迭代中k進行自增；
根據最小置信度，對生成的頻繁項集L進行篩選，生成數據的強關聯規則。
2.根據權利要求1所述的方法，其特征在于，所述步驟S1包括：
至少兩個Docker鏡像分別進行實例化，并各自模擬蜜罐元素，所述蜜罐元素的類型至少包括：工控蜜罐、Mysql數據庫蜜罐和NTP蜜罐；
利用模擬得到的蜜罐元素組成Docker鏡像模板并記錄。
3.根據權利要求1或2所述的方法，其特征在于，所述步驟S2包括：
根據用戶在所述可視化界面上的操作，選擇Docker鏡像模板；
根據所述Docker鏡像模板將所獲取的蜜罐元素添加到網絡拓撲中，得到所述蜜罐群。
4.根據權利要求3所述的方法，其特征在于，在進行網絡拓撲之前，還包括：
通過回溯法驗證所述網絡拓撲的結構和網絡節點屬性；
并排除存在環狀結構的網絡拓撲。
5.根據權利要求1所述的方法，其特征在于，所述步驟S3包括：
通過Logstash數據收集處理引擎，接受所述蜜罐群所在的服務器發送的日志信息，其中，數據采集探針至少包括了流量傳感器和日志采集器，日志信息的格式為JSON格式；
將采集到的日志信息進行預處理后，輸出到Elasticsearch分布式搜索引擎中存儲。
該專利技術資料僅供研究查看技術是否侵權等信息，商用須獲得專利權人授權。該專利全部權利屬于中國電子科技集團公司第二十八研究所，未經中國電子科技集團公司第二十八研究所許可，擅自商用是侵權行為。如果您想購買此專利、獲得商業授權和技術合作，請聯系【客服】
本文鏈接：http://www.szxzyx.cn/pat/books/202011162834.4/1.html，轉載請聲明來源鉆瓜專利網。
