[發明專利]一種內生安全WAF蜜罐部署方法

有效

• 申請號: 202011212310.1
• 申請日: 2020-11-03
• 公開（公告）號: CN112367315B
• 公開（公告）日: 2021-09-28
• 發明（設計）人: 陳雙喜;吳春明;王文海;蔡晶晶
• 申請（專利權）人: 浙江大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 邱啟旺

1.一種內生安全WAF蜜罐部署方法，其特征在于，該方法包括以下步驟：

(1)搭建蜜罐終端，在終端上部署數據庫、蜜罐程序以及攻擊指紋識別程序，并實現以下步驟：

(1.1)檢測蜜罐狀態，包含蜜罐是否正常運行，所處環境，以及其它功能是否正常運行；

(1.2)檢測端口掃描：對內網中常用的端口連接請求進行檢測；

(1.3)檢測暴力破解：對暴力破解各個服務登錄認證的行為進行檢測；

(1.4)匹配攻擊指紋：識別攻擊者所使用的工具；

(1.5)檢測攻擊手段；

(1.6)整合步驟(1.1)～(1.5)檢測得到的各個攻擊數據并進行集中存儲，并將各個數據轉發至預警服務器處；

(2)搭建預警服務器，部署數據庫、Web服務、運行環境，并實現以下步驟：

(2.1)接受蜜罐終端傳輸的數據并存儲數據；

(2.2)對數據進行相應分析處理并判斷攻擊行為，得到不同的攻擊者以及攻擊方式；

其中，對于收集到的攻擊數據，每條數據賦予相應標簽，標簽包含攻擊者身份、攻擊目標和攻擊手段；對于每條攻擊數據，A表示攻擊者，S表示一條攻擊數據抽象后的0/1數值序列，T表示攻擊序列的某一位，若當前位表示的攻擊行為與攻擊數據里的攻擊行為匹配的話，對應位標為1，沒有匹配的話標為0，M代表攻擊格式，n代表標簽的特征總數，也是攻擊者的攻擊序列總數；攻擊序列S_A＝T₁T₂T₃...T_n；對于相同攻擊者發出的多條攻擊，若攻擊者A有n條攻擊序列，則攻擊者A的攻擊格式M_A＝S_A,1|S_A,2|S_A,3...|S_A,n，其中|為按位或運算；攻擊格式相似算法為以此來判斷攻擊方是否為同一個或同一類人；其中，M_A1,M_A2表示攻擊方A1、A2的攻擊格式，k為攻擊格式M_A1,M_A2對應位都標為1的總數；如果s大于相似閾值時，表示攻擊方A1、A2為同一個或同一類；

(2.3)發送告警信息給用戶，提示用戶有攻擊者攻擊，并傳遞相應攻擊數據。

2.如權利要求1所述內生安全WAF蜜罐部署方法，其特征在于，所述蜜罐終端上部署MongoDB數據庫，Dionaea蜜罐程序以及P0f攻擊指紋識別程序。

3.如權利要求1所述內生安全WAF蜜罐部署方法，其特征在于，所述預警服務器上部署MongoDB數據庫、Apache Web服務、PHP運行環境和MySQL數據庫。