[發(fā)明專利]一種內(nèi)生安全WAF蜜罐部署方法

有效

• 申請?zhí)枺?/td>: 202011212310.1
• 申請日: 2020-11-03
• 公開（公告）號: CN112367315B
• 公開（公告）日: 2021-09-28
• 發(fā)明（設(shè)計）人: 陳雙喜;吳春明;王文海;蔡晶晶
• 申請（專利權(quán)）人: 浙江大學(xué)
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州求是專利事務(wù)所有限公司 33200
• 代理人: 邱啟旺

1.一種內(nèi)生安全WAF蜜罐部署方法，其特征在于，該方法包括以下步驟：

(1)搭建蜜罐終端，在終端上部署數(shù)據(jù)庫、蜜罐程序以及攻擊指紋識別程序，并實現(xiàn)以下步驟：

(1.1)檢測蜜罐狀態(tài)，包含蜜罐是否正常運行，所處環(huán)境，以及其它功能是否正常運行；

(1.2)檢測端口掃描：對內(nèi)網(wǎng)中常用的端口連接請求進(jìn)行檢測；

(1.3)檢測暴力破解：對暴力破解各個服務(wù)登錄認(rèn)證的行為進(jìn)行檢測；

(1.4)匹配攻擊指紋：識別攻擊者所使用的工具；

(1.5)檢測攻擊手段；

(1.6)整合步驟(1.1)～(1.5)檢測得到的各個攻擊數(shù)據(jù)并進(jìn)行集中存儲，并將各個數(shù)據(jù)轉(zhuǎn)發(fā)至預(yù)警服務(wù)器處；

(2)搭建預(yù)警服務(wù)器，部署數(shù)據(jù)庫、Web服務(wù)、運行環(huán)境，并實現(xiàn)以下步驟：

(2.1)接受蜜罐終端傳輸?shù)臄?shù)據(jù)并存儲數(shù)據(jù)；

(2.2)對數(shù)據(jù)進(jìn)行相應(yīng)分析處理并判斷攻擊行為，得到不同的攻擊者以及攻擊方式；

其中，對于收集到的攻擊數(shù)據(jù)，每條數(shù)據(jù)賦予相應(yīng)標(biāo)簽，標(biāo)簽包含攻擊者身份、攻擊目標(biāo)和攻擊手段；對于每條攻擊數(shù)據(jù)，A表示攻擊者，S表示一條攻擊數(shù)據(jù)抽象后的0/1數(shù)值序列，T表示攻擊序列的某一位，若當(dāng)前位表示的攻擊行為與攻擊數(shù)據(jù)里的攻擊行為匹配的話，對應(yīng)位標(biāo)為1，沒有匹配的話標(biāo)為0，M代表攻擊格式，n代表標(biāo)簽的特征總數(shù)，也是攻擊者的攻擊序列總數(shù)；攻擊序列S_A＝T₁T₂T₃...T_n；對于相同攻擊者發(fā)出的多條攻擊，若攻擊者A有n條攻擊序列，則攻擊者A的攻擊格式M_A＝S_A,1|S_A,2|S_A,3...|S_A,n，其中|為按位或運算；攻擊格式相似算法為以此來判斷攻擊方是否為同一個或同一類人；其中，M_A1,M_A2表示攻擊方A1、A2的攻擊格式，k為攻擊格式M_A1,M_A2對應(yīng)位都標(biāo)為1的總數(shù)；如果s大于相似閾值時，表示攻擊方A1、A2為同一個或同一類；

(2.3)發(fā)送告警信息給用戶，提示用戶有攻擊者攻擊，并傳遞相應(yīng)攻擊數(shù)據(jù)。

2.如權(quán)利要求1所述內(nèi)生安全WAF蜜罐部署方法，其特征在于，所述蜜罐終端上部署MongoDB數(shù)據(jù)庫，Dionaea蜜罐程序以及P0f攻擊指紋識別程序。

3.如權(quán)利要求1所述內(nèi)生安全WAF蜜罐部署方法，其特征在于，所述預(yù)警服務(wù)器上部署MongoDB數(shù)據(jù)庫、Apache Web服務(wù)、PHP運行環(huán)境和MySQL數(shù)據(jù)庫。