[發(fā)明專利]一種基于通信協(xié)議的操作系統(tǒng)特征隱藏方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202110411609.8
• 申請日: 2021-04-16
• 公開（公告）號: CN113055406A
• 公開（公告）日: 2021-06-29
• 發(fā)明（設(shè)計）人: 賈哲;李炳彰;高小涵;趙賓華;吳巍;焦利彬;賀二路;馮偉坡;張林杰
• 申請（專利權(quán)）人: 中國電子科技集團公司第五十四研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 河北東尚律師事務(wù)所 13124
• 代理人: 王文慶

1.一種基于通信協(xié)議的操作系統(tǒng)特征隱藏方法，其特征在于，包括以下步驟：

（1）配置隱藏策略，策略內(nèi)容包括受保護主機的ip地址以及偽裝操作系統(tǒng)類型；

（2）當(dāng)攻擊者對內(nèi)部網(wǎng)絡(luò)的主機進行操作系統(tǒng)探測時，接收攻擊者發(fā)出的數(shù)據(jù)包，并對數(shù)據(jù)包進行識別與記錄，記錄內(nèi)容如下：

1）若該包是icmp數(shù)據(jù)包，則記錄其源ip、目的ip、icmp序列號和icmp代碼；

2）若該包是nmap的tcp探測包，則記錄其探針名、源ip、目的ip、tcp源端口號、tcp序列號和tcp確認(rèn)號；

3）若該包是nmap的icmp探測包，則記錄其探針名、源ip、目的ip、icmp序列號和icmp代碼；

（3）將識別與記錄后的數(shù)據(jù)包發(fā)送至內(nèi)部網(wǎng)絡(luò)的目標(biāo)主機；

（4）接收內(nèi)部網(wǎng)絡(luò)的目標(biāo)主機返回的數(shù)據(jù)包；

（5）檢測目標(biāo)主機返回的數(shù)據(jù)包的源ip是否在受保護主機名單中，若不在名單中，則直接進行步驟（7）；若在名單中，則進行步驟（6）；

（6）判斷目標(biāo)主機返回的數(shù)據(jù)包的類型，并進行如下處理：

1）若該包是icmp包，則根據(jù)當(dāng)前icmp數(shù)據(jù)包的類型、策略內(nèi)容中的偽裝操作系統(tǒng)類型以及步驟（2）中記錄的內(nèi)容對數(shù)據(jù)包進行修改，然后進行步驟（7）；

2）若該包是tcp包，則判斷該包是否是對步驟（2）中記錄的數(shù)據(jù)包的回復(fù)，若不是則進行步驟（7）；若是，則根據(jù)策略內(nèi)容中的偽裝操作系統(tǒng)類型和步驟（2）中記錄的內(nèi)容對數(shù)據(jù)包進行修改，然后進行步驟（7）；

（7）將數(shù)據(jù)包發(fā)送至外部網(wǎng)絡(luò)。

2.一種基于通信協(xié)議的操作系統(tǒng)特征隱藏系統(tǒng)，其特征在于，包括策略動態(tài)控制單元、數(shù)據(jù)交互單元以及操作系統(tǒng)隱藏單元；

所述策略動態(tài)控制單元根據(jù)用戶的選擇和控制，提供對操作系統(tǒng)特征的隱藏策略，并將隱藏策略下發(fā)至數(shù)據(jù)交互單元和操作系統(tǒng)隱藏單元；

所述數(shù)據(jù)交互單元根據(jù)策略動態(tài)控制單元下發(fā)的隱藏策略，接收內(nèi)部、外部網(wǎng)絡(luò)中一方發(fā)給另一方的數(shù)據(jù)包，將數(shù)據(jù)包發(fā)往操作系統(tǒng)隱藏單元，并接收操作系統(tǒng)隱藏單元返回的數(shù)據(jù)包，然后將操作系統(tǒng)隱藏單元返回的數(shù)據(jù)包發(fā)給所述另一方，從而完成內(nèi)部、外部網(wǎng)絡(luò)之間的數(shù)據(jù)包傳輸；

所述操作系統(tǒng)隱藏單元從策略動態(tài)控制單元下發(fā)的隱藏策略中獲取受保護主機的ip地址以及偽裝操作系統(tǒng)類型，然后對數(shù)據(jù)交互單元發(fā)來的數(shù)據(jù)包進行處理，其中，對于外部網(wǎng)絡(luò)發(fā)往內(nèi)部網(wǎng)絡(luò)目標(biāo)主機的數(shù)據(jù)包，進行識別與記錄，對于內(nèi)部網(wǎng)絡(luò)目標(biāo)主機向外部網(wǎng)絡(luò)返回的數(shù)據(jù)包，進行特征隱藏處理；

所述識別與記錄的具體方式為：

1）若該包是icmp數(shù)據(jù)包，則記錄其源ip、目的ip、icmp序列號和icmp代碼；

2）若該包是nmap的tcp探測包，則記錄其探針名、源ip、目的ip、tcp源端口號、tcp序列號和tcp確認(rèn)號；

3）若該包是nmap的icmp探測包，則記錄其探針名、源ip、目的ip、icmp序列號和icmp代碼；

所述特征隱藏處理的具體方式為：

檢測數(shù)據(jù)包的源ip是否在受保護主機名單中，若不在名單中，則直接將該包返給數(shù)據(jù)交互單元；若在名單中，則判斷數(shù)據(jù)包的類型，并進行如下處理：

1）若該包是icmp包，則根據(jù)當(dāng)前icmp數(shù)據(jù)包的類型、策略內(nèi)容中的偽裝操作系統(tǒng)類型以及之前記錄的對應(yīng)外部網(wǎng)絡(luò)數(shù)據(jù)包的內(nèi)容對該數(shù)據(jù)包進行修改，然后將修改后的數(shù)據(jù)包返給數(shù)據(jù)交互單元；

2）若該包是tcp包，則判斷該包是否是對之前記錄的外部網(wǎng)絡(luò)數(shù)據(jù)包的回復(fù)，若不是則直接將該包返給數(shù)據(jù)交互單元；若是，則根據(jù)策略內(nèi)容中的偽裝操作系統(tǒng)類型和之前記錄的對應(yīng)外部網(wǎng)絡(luò)數(shù)據(jù)包的內(nèi)容對該數(shù)據(jù)包進行修改，然后將修改后的數(shù)據(jù)包返給數(shù)據(jù)交互單元。