[發(fā)明專(zhuān)利]基于虛擬網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)流量沙箱檢測(cè)方法

有效

• 申請(qǐng)?zhí)枺?/td>: 202110057637.4
• 申請(qǐng)日: 2021-01-15
• 公開(kāi)（公告）號(hào): CN112866244B
• 公開(kāi)（公告）日: 2021-09-07
• 發(fā)明（設(shè)計(jì)）人: 任傳倫;郭世澤;呂帥;夏建民;俞賽賽;劉曉影;烏吉斯古愣;孟祥頔
• 申請(qǐng)（專(zhuān)利權(quán)）人: 中國(guó)電子科技集團(tuán)公司第十五研究所
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/12;G06F21/53
• 代理公司: 北京豐浩知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11781
• 代理人: 李學(xué)康

1.一種基于虛擬網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)流量沙箱檢測(cè)方法，其特征在于，其步驟包括：

S1,搭建虛擬分析環(huán)境，配置控制主機(jī)和分析主機(jī)的ip地址，在分析主機(jī)上安裝virtualbox虛擬機(jī)軟件并且對(duì)其進(jìn)行配置，利用該軟件創(chuàng)建虛擬網(wǎng)卡，配置分析主機(jī)的DNS域名解析服務(wù)器地址，該地址也是通過(guò)virtualbox建立的分析主機(jī)的虛擬網(wǎng)卡ip地址，確保控制主機(jī)和分析主機(jī)能通過(guò)虛擬網(wǎng)卡進(jìn)行相互訪問(wèn)；

S2,在控制主機(jī)中安裝對(duì)訪問(wèn)流量可進(jìn)行回復(fù)的交互式虛擬網(wǎng)絡(luò)服務(wù),修改虛擬網(wǎng)絡(luò)服務(wù)偵聽(tīng)的ip地址為虛擬網(wǎng)卡的ip地址，修改服務(wù)運(yùn)行端口為相應(yīng)動(dòng)態(tài)端口，并以守護(hù)進(jìn)程的方式在后臺(tái)運(yùn)行；

S3,實(shí)現(xiàn)分析主機(jī)全端口到虛擬網(wǎng)絡(luò)環(huán)境的惡意流量轉(zhuǎn)發(fā)，為了自動(dòng)化重定向所有端口的惡意流量，使用linux系統(tǒng)的基于包過(guò)濾的防火墻工具對(duì)分析主機(jī)建立的虛擬網(wǎng)卡進(jìn)行規(guī)則添加，實(shí)現(xiàn)將分析主機(jī)流經(jīng)網(wǎng)卡的所有端口的流量重定向到虛擬網(wǎng)卡地址的對(duì)應(yīng)端口，虛擬網(wǎng)卡的ip地址和端口同時(shí)也是虛擬網(wǎng)絡(luò)服務(wù)的地址和對(duì)應(yīng)服務(wù)的端口；虛擬網(wǎng)卡的ip地址是分析主機(jī)綁定的DNS服務(wù)器地址，同時(shí)也是虛擬網(wǎng)絡(luò)服務(wù)偽裝的DNS服務(wù)器地址，從而將請(qǐng)求域名的惡意流量重定向到虛擬網(wǎng)絡(luò)服務(wù)中；虛擬網(wǎng)絡(luò)開(kāi)啟模擬服務(wù)，即開(kāi)啟服務(wù)偵聽(tīng)對(duì)應(yīng)的端口，從而對(duì)發(fā)送過(guò)來(lái)的數(shù)據(jù)包做出相應(yīng)的回復(fù)和應(yīng)答；

S4,實(shí)現(xiàn)對(duì)惡意加密流量的解密，對(duì)分析主機(jī)虛擬網(wǎng)絡(luò)服務(wù)添加自定義生成的證書(shū)，并利用該證書(shū)來(lái)對(duì)惡意加密流量進(jìn)行解密，獲取其通信內(nèi)容；所述的惡意加密流量，是指會(huì)產(chǎn)生HTTPS流量的惡意代碼發(fā)生網(wǎng)絡(luò)交互行為后所產(chǎn)生的網(wǎng)絡(luò)流量；

S5,截取分析主機(jī)網(wǎng)卡的惡意流量，從而將惡意代碼產(chǎn)生的惡意流量與虛擬網(wǎng)絡(luò)的交互行為保存到網(wǎng)絡(luò)數(shù)據(jù)報(bào)存儲(chǔ)文件中，方便后續(xù)查看和解析。

2.如權(quán)利要求1所述的基于虛擬網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)流量沙箱檢測(cè)方法，其特征在于，所述的自定義生成的證書(shū)，是指通過(guò)BurpSuite滲透測(cè)試工具含有的證書(shū)導(dǎo)出功能導(dǎo)出.der格式的二進(jìn)制證書(shū)，對(duì)其使用Openssl轉(zhuǎn)化為.pem的證書(shū)文件，從而生成有針對(duì)性的自定義證書(shū)。

3.如權(quán)利要求1或2所述的基于虛擬網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)流量沙箱檢測(cè)方法，其特征在于，所述的步驟S2，其具體包括，

S21，在控制主機(jī)上開(kāi)啟相應(yīng)的虛擬網(wǎng)絡(luò)服務(wù)，以實(shí)現(xiàn)對(duì)分析主機(jī)的網(wǎng)絡(luò)流量進(jìn)行應(yīng)答；

S22，修改虛擬網(wǎng)絡(luò)服務(wù)偵聽(tīng)的ip地址為虛擬網(wǎng)卡的ip地址，虛擬網(wǎng)絡(luò)服務(wù)偽裝的DNS服務(wù)器地址為虛擬網(wǎng)卡的地址，同時(shí)在相應(yīng)的端口運(yùn)行模擬服務(wù)；

S23，關(guān)閉控制主機(jī)的網(wǎng)絡(luò)名稱(chēng)解析服務(wù)，防止其與虛擬網(wǎng)絡(luò)服務(wù)的DNS服務(wù)器沖突。

4.如權(quán)利要求1或2所述的基于虛擬網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)流量沙箱檢測(cè)方法，其特征在于，步驟S3所述的實(shí)現(xiàn)分析主機(jī)全端口到虛擬網(wǎng)絡(luò)環(huán)境的惡意流量轉(zhuǎn)發(fā)，其具體包括：如果需要回傳獲取分析主機(jī)的狀態(tài)和報(bào)告，在iptables規(guī)則中設(shè)置放棄轉(zhuǎn)發(fā)對(duì)應(yīng)的回傳端口的流量到虛擬網(wǎng)卡相應(yīng)的端口。

5.如權(quán)利要求1或2所述的基于虛擬網(wǎng)絡(luò)環(huán)境的網(wǎng)絡(luò)流量沙箱檢測(cè)方法，其特征在于，步驟S5所述的截取分析主機(jī)網(wǎng)卡的流量，其具體包括，采用tcpdump工具實(shí)現(xiàn)對(duì)經(jīng)過(guò)分析主機(jī)虛擬網(wǎng)卡流量的截取，將網(wǎng)絡(luò)行為完整的記錄下來(lái)，方便后續(xù)解析查看。