[發明專利]應對網絡攻擊的信息處理方法、裝置、系統、介質及程序

在審

• 申請號: 202011242869.9
• 申請日: 2020-11-09
• 公開（公告）號: CN114531261A
• 公開（公告）日: 2022-05-24
• 發明（設計）人: 計東
• 申請（專利權）人: 奇安信科技集團股份有限公司;網神信息技術（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 中科專利商標代理有限責任公司 11021
• 代理人: 趙婷

1.一種應對網絡攻擊的信息處理方法，包括：

在誘捕到攻擊數據后，識別出攻擊數據中的攻擊行為的攻擊類別；

獲取預置的與所述攻擊類別對應的原子響應數據；

將所述原子響應數據與所述攻擊數據所要訪問的資產的信息相結合，構造與所述攻擊數據對應的響應數據；以及

將所述響應數據反饋給發送所述攻擊數據的攻擊者，以誘騙并分析所述攻擊者進一步的攻擊行為。

2.根據權利要求1所述的方法，其中，所述將所述原子響應數據與所述攻擊數據所要訪問的資產的信息相結合，構造與所述攻擊數據對應的響應數據包括：

根據所述攻擊數據中的目的IP及目的端口，獲取所述目的IP及目的端口提供的服務中的第一頁面，其中，所述第一頁面為所述服務中的一個或多個頁面的其中之一；以及

將所述原子響應數據和所述第一頁面合并，得到所述響應數據。

3.根據權利要求2所述的方法，其中，所述獲取所述目的IP及目的端口提供的服務中的第一頁面的信息包括：

根據所述目的IP以及目的端口，從日志系統中查詢與所述服務對應的M個頁面的日志數據，其中，M為大于1的整數；以及

按照預定規則從M個頁面中選擇所述第一頁面。

4.根據權利要求3所述的方法，其中，所述按照預定規則從M個頁面中選擇所述第一頁面包括：

基于頁面的復雜度、頁面引用外部資源的數量、以及頁面的大小，評估所述M個頁面中每個頁面的響應仿真度；以及

選擇響應仿真度最高的頁面作為所述第一頁面。

5.根據權利要求2所述的方法，其中，所述將所述原子響應數據和所述第一頁面合并，得到所述響應數據包括：

在所述第一頁面中選擇駐點位置，其中，所述駐點位置包括頁面的開頭位置、段落位置或結束位置；以及

將所述原子響應數據設置于所述第一頁面中的所述駐點位置。

6.根據權利要求1或2所述的方法，其中，所述將所述原子響應數據與所述攻擊數據所要訪問的資產的信息相結合，構造與所述攻擊數據對應的響應數據包括：

根據所述攻擊數據中的目的IP及目的端口，獲取所述目的IP以及目的端口所提供的服務中的數據的數據特征；以及

將所述原子響應數據調整為與所述數據特征相適應的數據。

7.根據權利要求6所述的方法，其中，所述攻擊類別包括SQL注入攻擊；其中

根據所述攻擊數據中的目的IP及目的端口，獲取所述目的IP以及目的端口所提供的服務中的數據的數據特征，包括：

根據所述目的IP以及目的端口，從日志系統中查詢所述攻擊數據要訪問的數據庫中的數據表的數據結構；

將所述原子響應數據調整為與所述數據特征相適應的數據，包括：

按照所述數據表的數據結構設置所述原子響應數據中的各個字段，以調整所述原子響應數據。

8.一種應對網絡攻擊的信息處理裝置，包括：

識別模塊，用于在誘捕到攻擊數據后，識別出攻擊數據中的攻擊行為的攻擊類別；

獲取模塊，用于獲取預置的與所述攻擊類別對應的原子響應數據；

構造模塊，用于將所述原子響應數據與所述攻擊數據所要訪問的資產的信息相結合，構造與所述攻擊數據對應的響應數據；以及

發送模塊，用于將所述響應數據反饋給發送所述攻擊數據的攻擊者，以誘騙并分析所述攻擊者進一步的攻擊行為。

9.一種應對網絡攻擊的信息處理系統，包括：

一個或多個存儲器，存儲有可執行指令；以及

一個或多個處理器，執行所述可執行指令，以實現根據權利要求1～7中任一項所述的方法。

10.一種計算機可讀存儲介質，其上存儲有可執行指令，該指令被處理器執行時使處理器執行根據權利要求1～7中任一項所述的方法。

11.一種計算機程序，所述計算機程序包括計算機可執行指令，所述指令在被執行時用于實現根據權利要求1～7中任一項所述的方法。