[發(fā)明專利]基于宿主的擬態(tài)威脅感知預(yù)警方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 202210412924.7
• 申請日: 2022-04-20
• 公開（公告）號: CN114513372B
• 公開（公告）日: 2022-06-28
• 發(fā)明（設(shè)計）人: 雷奕康;葛永文;蔡敬忠
• 申請（專利權(quán)）人: 中科星啟（北京）科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京格允知識產(chǎn)權(quán)代理有限公司 11609
• 代理人: 王文雅

1.一種基于宿主的擬態(tài)威脅感知預(yù)警方法，其特征在于，包括：

基于真實宿主機的狀態(tài)形成異構(gòu)體集合，在所述異構(gòu)體集合中選擇多個異構(gòu)體以對所述真實宿主機進行擬態(tài)；所述異構(gòu)體集合中異構(gòu)體的狀態(tài)互不相同；

基于擬態(tài)后的真實宿主機創(chuàng)建多個擬態(tài)影子機；多個所述擬態(tài)影子機對應(yīng)不同IP地址，且均與所述真實宿主機的IP地址不同；所述擬態(tài)影子機模擬所述真實宿主機的業(yè)務(wù)；

所述真實宿主機和每一個所述擬態(tài)影子機，分別利用各自的多個異構(gòu)體對輸入的訪問流量進行裁決，根據(jù)裁決結(jié)果對所述訪問流量進行響應(yīng)，并根據(jù)裁決結(jié)果確定所述訪問流量存在威脅時將相關(guān)信息上報至威脅感知處理中心，以進行預(yù)警；

在所述對輸入的訪問流量進行裁決之后，還包括：所述真實宿主機和每一個所述擬態(tài)影子機，根據(jù)裁決結(jié)果和所述異構(gòu)體集合對各自的多個異構(gòu)體進行重組，以利用重組后的多個異構(gòu)體對下一次輸入的訪問流量進行裁決。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述基于擬態(tài)后的真實宿主機創(chuàng)建多個擬態(tài)影子機，包括：

根據(jù)擬態(tài)后所述真實宿主機的形成架構(gòu)，搭建架構(gòu)相同的多個擬態(tài)影子機，并將預(yù)先訓(xùn)練好的業(yè)務(wù)模擬模型注入至每一個擬態(tài)影子機中，得到創(chuàng)建好的擬態(tài)影子機；所述業(yè)務(wù)模擬模型是基于所述真實宿主機的業(yè)務(wù)信息訓(xùn)練得到的。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，在所述搭建架構(gòu)相同的多個擬態(tài)影子機之后，所述得到創(chuàng)建好的擬態(tài)影子機之前，還包括：

基于所述真實宿主機中每一個異構(gòu)體的狀態(tài)生成狀態(tài)矩陣；

生成隨機的擾動矩陣，將所述擾動矩陣與所述狀態(tài)矩陣相乘得到擾動后的狀態(tài)矩陣；

根據(jù)擾動后的狀態(tài)矩陣重組每一個所述擬態(tài)影子機中的異構(gòu)體。

4.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述業(yè)務(wù)模擬模型可模擬所述真實宿主機所對應(yīng)七層模型中的至少兩層。

5.根據(jù)權(quán)利要求1所述的方法，其特征在于，

在所述對輸入的訪問流量進行裁決之后，所述根據(jù)裁決結(jié)果和所述異構(gòu)體集合對各自的多個異構(gòu)體進行重組之前，還包括：根據(jù)裁決結(jié)果對所述異構(gòu)體集合中異構(gòu)體標(biāo)記的裁決錯誤率進行修改；

所述根據(jù)裁決結(jié)果和所述異構(gòu)體集合對各自的多個異構(gòu)體進行重組，包括：根據(jù)所述異構(gòu)體集合中異構(gòu)體標(biāo)記的裁決錯誤率選擇重組的多個異構(gòu)體。

6.根據(jù)權(quán)利要求5所述的方法，其特征在于，

所述擬態(tài)影子機中包括兩套異構(gòu)體；

所述擬態(tài)影子機的第一套異構(gòu)體或所述真實宿主機，在所述異構(gòu)體集合中裁決錯誤率較低的異構(gòu)體中選擇重組的多個異構(gòu)體；

所述擬態(tài)影子機的第二套異構(gòu)體，在所述異構(gòu)體集合中裁決錯誤率較高的異構(gòu)體中選擇重組的多個異構(gòu)體；

所述擬態(tài)影子機的第一套異構(gòu)體和第二套異構(gòu)體分別對輸入的訪問流量進行裁決，基于所述第二套異構(gòu)體的裁決結(jié)果對所述訪問流量進行響應(yīng)，基于所述第一套異構(gòu)體的裁決結(jié)果確定是否上報。

7.根據(jù)權(quán)利要求5所述的方法，其特征在于，所述根據(jù)裁決結(jié)果對所述異構(gòu)體集合中異構(gòu)體標(biāo)記的裁決錯誤率進行修改，包括：

若根據(jù)裁決結(jié)果確定所述訪問流量存在威脅時，則確定參與本次裁決的異構(gòu)體以及裁決錯誤的異構(gòu)體，并在所述異構(gòu)體集合中為確定的異構(gòu)體進行標(biāo)記，以根據(jù)所述異構(gòu)體集合中每一個異構(gòu)體的參與裁決的次數(shù)和裁決錯誤的次數(shù)，計算裁決錯誤率，并進行標(biāo)記。

8.根據(jù)權(quán)利要求1-7中任一所述的方法，其特征在于，

所述真實宿主機和多個所述擬態(tài)影子機分布式部署；

和/或，

所述威脅感知處理中心利用上報的相關(guān)信息分析威脅特征，基于所述威脅特征對所述異構(gòu)體集合中的異構(gòu)體進行清洗。

9.一種基于宿主的擬態(tài)威脅感知預(yù)警系統(tǒng)，其特征在于，包括：真實宿主機和多個擬態(tài)影子機；所述擬態(tài)影子機是在基于真實宿主機的狀態(tài)形成異構(gòu)體集合中選擇多個異構(gòu)體之后進行擬態(tài)的宿主機，所述異構(gòu)體集合中異構(gòu)體的狀態(tài)互不相同；所述擬態(tài)影子機是基于擬態(tài)后的真實宿主機創(chuàng)建的，多個所述擬態(tài)影子機對應(yīng)不同IP地址，且均與所述真實宿主機的IP地址不同；所述擬態(tài)影子機模擬所述真實宿主機的業(yè)務(wù)；

所述真實宿主機和每一個所述擬態(tài)影子機，分別利用各自的多個異構(gòu)體對輸入的訪問流量進行裁決，根據(jù)裁決結(jié)果對所述訪問流量進行響應(yīng)，并根據(jù)裁決結(jié)果確定所述訪問流量存在威脅時將相關(guān)信息上報至威脅感知處理中心，以進行預(yù)警；

所述真實宿主機和每一個所述擬態(tài)影子機在每一次對輸入的訪問流量進行裁決之后，根據(jù)裁決結(jié)果和所述異構(gòu)體集合對各自的多個異構(gòu)體進行重組，以利用重組后的多個異構(gòu)體對下一次輸入的訪問流量進行裁決。