[發明專利]一種基于蜜罐技術的網絡安防系統

在審

• 申請號: 202111573914.3
• 申請日: 2021-12-21
• 公開（公告）號: CN114268491A
• 公開（公告）日: 2022-04-01
• 發明（設計）人: 關澤武;楊航;劉家豪;蒙家曉;樊凱;黃國柱;劉欣;陳鋒;付志博;黃勁斌;謝銘;戴濤;賴博宇;李攀登;徐培明;張宇南;徐傳懋;楊祎巍;陳霖;匡曉云
• 申請（專利權）人: 南方電網科學研究院有限責任公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 深圳市中興達專利代理有限公司 44637
• 代理人: 危禎

1.一種基于蜜罐技術的網絡安防系統，其特征在于，包括軟件定義網絡控制子系統和欺騙服務器；所述軟件定義網絡控制子系統包括虛擬網絡拓撲模塊和IP隨機化模塊；所述虛擬網絡拓撲模塊主要負責生成虛擬網絡拓撲以及根據虛擬網絡拓撲的規范分發流表；所述IP隨機化模塊負責協調網絡中主機和誘餌節點的地址變換；所述欺騙服務器負責根據虛擬網絡視圖的規范制作響應來欺騙惡意掃描程序。

2.根據權利要求1所述的系統，其特征在于，所述虛擬網絡拓撲模塊包括虛擬網絡拓撲生成模塊、誘餌節點生成模塊和流表分發模塊三個子模塊；所述虛擬網絡拓撲生成模塊負責提供虛擬網絡拓撲規范，即描述主機、誘餌節點的真實和虛擬的地址信息，以及它們之間的連接性，包括：

目標主機的真實IP地址、虛擬IP地址、真實MAC地址和交換機端口；

內網主機的真實IP地址、虛擬IP地址、真實MAC地址和交換機端口；

誘餌節點的真實IP地址、虛擬IP地址、真實MAC地址、虛擬MAC地址和交換機端口；

目標主機到內網主機和誘餌節點的虛擬路徑信息。

3.根據權利要求2所述的系統，其特征在于，所述誘餌節點生成模塊負責根據虛擬網絡拓撲規范生成大量的誘餌節點。

4.根據權利要求3所述的系統，其特征在于，本系統采用一對多映射的方式生成誘餌節點，即在虛擬網絡拓撲配置文件中為一個蜜罐主機分配多個虛擬IP，在響應掃描探測時，由軟件定義網絡控制子系統將虛擬IP反向映射到其母體蜜罐，由母體蜜罐響應具體的探測行為。

5.根據權利要求2所述的系統，其特征在于，所述流表分發模塊監聽來自交換機的PackIn報文，根據虛擬網絡拓撲的規范動態生成特定的流表，并將其推送到SDN交換機以控制網絡傳輸；為了引導和控制網絡傳輸，采取反應式流表生成方法，而不是主動式方法，即在到達SDN交換機中的數據包與存儲在交換機中的任何流表都不匹配時，軟件定義網絡控制子系統動態生成流規則。

6.根據權利要求1-5中任意一項所述的系統，其特征在于，所述IP隨機化模塊包括地址管理模塊之一、變換決策模塊和連接維持模塊三個子模塊，所述地址管理模塊之一負責根據虛擬網絡拓撲規范實時統計每個子網中的主機和誘餌節點、每個子網中的還未使用的IP地址以及為子網內的主機和誘餌節點分配IP地址，確保在IP地址分配中不會相互干擾；所述變換決策模塊負責設置IP地址隨機化的的周期以及虛擬網絡拓撲的構造方法，根據實際網絡系統狀態設定IP地址隨機化的周期；所述變換決策模塊根據實際情況確定虛擬網絡拓撲的大小、子網數、每個子網中誘餌節點的數量以及主機在網絡中的位置。

7.根據權利要求6所述的系統，其特征在于，所述欺騙服務器包括地址管理模塊之二，消息處理模塊，DHCP處理模塊，ARP處理模塊，ICMP處理模塊，路由模擬模塊；所述地址管理模塊之二負責確保與軟件定義網絡控制子系統維護相同的虛擬網絡拓撲規范；所述消息處理模塊負責解析接收到的數據包，并根據據數據包的類型發往相應的模塊處理；所述DHCP處理模塊，ARP處理模塊，ICMP處理模塊和路由模擬模塊負責對惡意掃描程序的請求做出欺騙性的響應。

8.根據權利要求7所述的系統，其特征在于，所述路由模擬模塊實現欺騙的步驟包括：

S1.惡意掃描程序使用tarceroute向節點發送探測數據包，依次將數據包的TTL設置為1，2，3，…，n；

S2.虛擬網絡拓撲模塊將數據包轉發到欺騙服務器，并由消息處理子模塊發往路由模擬子模塊處理；

S3.虛擬網絡拓撲規范中描述網絡中兩個主機之間的虛擬的路由信息，路由模擬模塊首先根據虛擬路由信息向源主機發送ICMP超時報文，證明數據包經過了虛擬路由；

S4.路由模擬模塊根據目的主機的虛擬IP生成ICMP端口不可達報文，證明數據包已到達目的地。