[發明專利]一種基于蜜陣協同的攻擊者IP的防御方法和防御系統

在審

• 申請號: 202210854270.3
• 申請日: 2022-07-14
• 公開（公告）號: CN115208679A
• 公開（公告）日: 2022-10-18
• 發明（設計）人: 鄭志彬;方濱興;李昌松
• 申請（專利權）人: 軟極網絡技術（北京）有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 北京市商泰律師事務所 11255
• 代理人: 劉源

1.一種基于蜜陣協同的攻擊者IP的防御方法，其特征在于，包括：

S1選取多個被保護系統，進行蜜陣的蜜點數目的自適應配置；

S2基于被保護系統的結構和內容選取待仿真目標，并對選取的待仿真目標進行驗證評估；若待仿真目標不滿足驗證評估的要求，則重新選取待仿真目標；

S3基于進行了自適應配置的蜜點數目，結合選取完成的待仿真目標，構建多個蜜點；基于該多個蜜點，進行多個蜜陣的搭建和部署；

S4通過多個蜜陣，獲取非法訪問者的屬性信息，形成多個蜜陣訪問日志；

S5基于多個蜜陣訪問日志，分別對非法訪問者進行IP畫像和訪問行為分析；

S6基于非法訪問者的IP畫像和訪問行為分析的結果，對非法訪問者的IP畫像進行聚合操作；

S7基于聚合后的非法訪問者的IP畫像，對非法訪問者的IP進行二次核驗；

S8基于二次核驗的結果，進行攻擊碰撞和IP安全核查；

S9基于攻擊碰撞和IP安全核查的結果，以及二次核驗的結果，完善非法訪問者的IP畫像；

S10基于完善后的非法訪問者的IP畫像，對疑似攻擊行為的IP進行訪問阻斷。

2.根據權利要求1所述的防御方法，其特征在于，步驟S1中，進行蜜陣的蜜點數目的自適應配置包括：基于正態分布，并結合被保護系統的被攻擊數、被攻擊強度、網站重要程度、魯棒性進行蜜陣的蜜點數目的自適應配置。

3.根據權利要求1所述的防御方法，其特征在于，步驟S2包括：

S21基于被保護系統的內容和結構的關聯度，設置被保護系統的關聯度評價閾值；

S22基于所述蜜陣的蜜點數目，從被保護系統中選取對應數目的待仿真目標；

S23計算各所述待仿真目標的內容和結構的關聯度的值；若所述待仿真目標的內容和結構的關聯度的值大于關聯度評價閾值，則返回執行子步驟S22。

4.根據權利要求1所述的防御方法，其特征在于，步驟S3包括：

S31當所述被保護系統在內網中且不對外公開時，所述蜜點靶標被設置在該內網的同一網段中；

S32當所述被保護系統的訪問域名為隨機性質，且僅提供給授權用戶訪問時，所述蜜點靶標被設置為與所述被保護系統對應的具有隨機性質的訪問域名，所述蜜點靶標的訪問域名還位于子域名爆破的列表中；

S33當所述被保護系統僅通過WAF進行域名-地址映射時，所述蜜點靶標基于該被保護系統的設置方式，還接受外網直接IP訪問；

S34當所述蜜點靶標被設置在所述被保護系統的外網區域時，所述蜜點靶標具有與該被保護系統相關的假域名，該假域名不對外關聯。

5.根據權利要求1所述的防御方法，其特征在于，步驟S5包括：

S51基于所述蜜陣訪問日志，獲得非法訪問者的屬性信息，所述非法訪問者的屬性信息包括：訪問IP、訪問設備及瀏覽器信息、訪問者位置、訪問路徑、訪問內容、訪問頻次、訪問時間、訪問時長、訪問請求方式、訪問請求協議、服務器返回狀態和服務器返回字節數；

S52基于所述非法訪問者的屬性信息和蜜點靶標的設置信息，通過歸納整理，分別獲得實體型知識、關系型知識和屬性型知識；

所述實體型知識包括蜜陣類、訪問者類和訪問信息類；所述關系型知識包括：描述蜜陣與疑似攻擊者類別間的從屬關系、描述蜜陣與爬蟲類別間的從屬關系、描述蜜陣與高概率攻擊者類別間的從屬關系、描述訪問者類與訪問者編號間的從屬關系、描述訪問者編號與訪問者IP間的從屬關系、描述訪問者編號與訪問者位置間的從屬關系、描述訪問者IP與訪問路徑間的從屬關系和描述訪問路徑與訪問內容間的從屬關系；

S53基于所述實體型知識、關系型知識和屬性型知識，結合知識圖譜構建規則，構建并保存所述非法訪問者的知識圖譜；

S54基于所述非法訪問者的知識圖譜，對所述非法訪問者的IP進行畫像；

S55基于所述非法訪問者的IP的畫像，分析所述非法訪問者的訪問行為性質。