[發明專利]一種網絡靶場數據采集系統及方法

有效

• 申請號: 202111571483.7
• 申請日: 2021-12-21
• 公開（公告）號: CN114265666B
• 公開（公告）日: 2022-12-02
• 發明（設計）人: 蔡晶晶;陳俊;張凱;程磊
• 申請（專利權）人: 北京永信至誠科技股份有限公司
• 主分類號: G06F9/455
• 分類號: G06F9/455;H04L12/46;H04L41/0803
• 代理公司: 北京天方智力知識產權代理事務所(普通合伙) 11719
• 代理人: 路遠

本發明提供了一種網絡靶場數據采集系統及方法，其中方法包括：數據控制模塊，用于制定網絡靶場的流量數據的采集策略，解析采集策略，確定流量采集虛擬機所在的物理計算節點，并將采集策略下發到物理節點上的采集軟探針；至少一個采集軟探針，每個采集軟探針設置在物理計算節點上，連接虛擬機的虛擬網卡，接收采集策略，根據采集策略采集虛擬機的虛擬網卡流量，將采集到的流量數據通過獨立的主機網卡發送至數據分析節點；數據分析節點模塊，部署在物理計算節點上，接收采集軟探針發送的流量數據，進行外傳。

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種網絡靶場數據采集系統及方法。

背景技術

網絡靶場已經成為各國進行網絡空間安全研究、學習、測試、驗證、演練等必不可少的網絡空間安全核心基礎設施。世界各國均高度重視網絡靶場建設，將其作為安全能力建設支撐的重要手段。

數據采集和分析是網絡靶場平臺的核心能力。靶場中的網絡架構、業務系統、訪問行為等均是主要通過虛擬化技術來實現，而虛擬化后給網絡流量的采集帶來諸多問題，原有適用的靜態的鏡像端口采集和運維的方式已不能適用虛擬化環境的變化，如何高速、靈活的進行數據動態采集也是當前的一個技術難點。

現有網絡靶場廠家的通用網絡數據采集方法可參見：202010769634.9，一種網絡靶場的流量采集系統與方法，通過對虛擬機的虛擬網卡分離為：網絡通信網卡和專用的流量網卡。其中專用的流量網卡負責將網絡通信網卡的流量進行鏡像，并通過單獨的物理網卡連接到物理的交換機，物理的交換機開啟/設置鏡像功能，將所有采集的流量鏡像到指定的流量采集虛擬機網卡，通過該種方式實現網絡靶場中的虛擬機流量數據的采集。

然而該通用網絡數據采集方法存在的問題包括以下幾個方面：

1、至少要每個虛擬機的網絡流量實現兩次鏡像，第一次在虛擬機的虛擬交換機處，第二次在物理交換機處，增加了配置管理復雜度以及增大計算節點的性能開銷。

2、可鏡像的流量大小由虛擬交換機性能決定，對虛擬交換機穩定性有一定影響，如果計算節點的虛擬機數量較多，一旦內部流量較大，虛擬交換機的穩定性將受到影響，直接導致正常的業務受損。

3、KVM(Keyboard Video Mouse)環境中需由虛擬管理控制節點統一下發鏡像流表，管理維護復雜。

發明內容

本發明旨在提供一種克服上述問題或者至少部分地解決上述問題的網絡靶場數據采集系統及方法。

為達到上述目的，本發明的技術方案具體是這樣實現的：

本發明的一個方面提供了一種網絡靶場數據采集系統，包括：數據控制模塊，用于制定網絡靶場的流量數據的采集策略，解析所述采集策略，確定流量采集虛擬機所在的物理計算節點，并將所述采集策略下發到所述物理節點上的采集軟探針；至少一個所述采集軟探針，每個所述采集軟探針設置在所述物理計算節點上，連接虛擬機的虛擬網卡，接收所述采集策略，根據所述采集策略采集所述虛擬機的虛擬網卡流量，將采集到的流量數據通過獨立的主機網卡發送至數據分析節點；所述數據分析節點，部署在所述物理計算節點上，接收所述采集軟探針發送的所述流量數據，進行外傳。

其中，所述采集策略包括：采集網絡靶場基本信息、采集虛擬機信息、數據采集點信息和流量規則，其中，所述采集虛擬機信息包括虛擬機ID號和IP地址，所述數據采集點信息包括數據采集點ID號，所述流量規則包括：指定的網卡、指定IP地址、指定端口和/或時間段。

其中，所述數據控制模塊通過API接口與所述網絡靶場連接。

其中，所述采集軟探針通過所述獨立的主機網卡與所述數據分析節點建立VxLAN隧道。

其中，所述數據分析節點通過VxLAN隧道將所述流量數據進行外傳。