[发明专利]一种高级可持续威胁诱捕系统及方法

权利要求书

1.一种高级可持续威胁诱捕系统，其特征在于，包括：

应用型蜜罐，用于根据要模拟的应用服务器，建立相同服务器应用及应用环境的应用型蜜罐，设置所述应用型蜜罐的登陆账户与要模拟的应用服务器相同，并设置登录账户口令为弱口令；

将所述要模拟的应用服务器中的可公开信息，拷贝到所述应用型蜜罐中；

设置所述应用型蜜罐的IP地址与要模拟的应用服务器IP地址相邻或相近；

所述应用型蜜罐检测从应用客户端代理模块获取的可疑数据；

应用数据捕获模块，用于部署在交换机、安全数据过滤产品中或后台审计系统中，将数据重定向到应用客户端代理模块中；

应用客户端代理模块，用于将收到的数据代理提交到应用型蜜罐当中，并保存数据来源。

2.如权利要求1所述的系统，其特征在于，所述应用型蜜罐还用于，直接获取攻击者的访问数据，并根据IP地址来源，确认所获取的数据来源于应用客户端代理模块，或攻击者，如果来源于攻击者，则报警并输出日志信息。

3.如权利要求1所述的系统，其特征在于，所述应用型蜜罐还用于，当确定所述可疑数据为恶意时，将所述可疑数据上报到指定的安全事件上报服务器或定期在本地保存，并向管理员报警。

4.如权利要求1所述的系统，其特征在于，如果所述应用数据捕获模块部署在交换机中，则根据IP端口镜像功能，将流量定向到协议解析模块中，在协议解析模块中将流量还原为数据，发送到应用客户端代理模块中。

5.如权利要求1所述的系统，其特征在于，如果所述应用数据捕获模块部署在安全数据过滤产品中，则设定将属于所述安全数据过滤产品的非白名单的数据定向到应用客户端代理模块中。

6.如权利要求1所述的系统，其特征在于，如果所述应用数据捕获模块部署在后台审计系统中，则获取所述后台审计系统的全部数据，并发送到应用客户端代理模块中。

7.一种高级可持续威胁诱捕方法，其特征在于，包括：

根据要模拟的应用服务器，建立相同服务器应用及应用环境的应用型蜜罐；

设置所述应用型蜜罐的登陆账户与要模拟的应用服务器相同，并设置登录账户口令为弱口令；

将所述要模拟的应用服务器中的可公开信息，拷贝到所述应用型蜜罐中；

设置所述应用型蜜罐的IP地址与要模拟的应用服务器IP地址相邻或相近；

所述应用型蜜罐检测从应用客户端代理获取的可疑数据；

应用数据捕获模块部署在交换机、安全数据过滤产品中或后台审计系统中，将数据重定向到应用客户端代理模块中；

应用客户端代理将收到的数据代理提交到应用型蜜罐当中，并保存数据来源。

8.如权利要求7所述的方法，其特征在于，所述应用型蜜罐还用于，直接获取攻击者的访问数据，并根据IP地址来源，确认所获取的数据来源于应用客户端代理模块，或攻击者，如果来源于攻击者，则报警并输出日志信息。

9.如权利要求7所述的方法，其特征在于，所述应用型蜜罐还用于，当确定所述可疑数据为恶意时，将所述可疑数据上报到指定的安全事件上报服务器或定期在本地保存，并向管理员报警。

10.如权利要求7所述的方法，其特征在于，如果所述应用数据捕获模块部署在交换机中，则根据IP端口镜像功能，将流量定向到协议解析模块中，在协议解析模块中将流量还原为数据，发送到应用客户端代理中。

11.如权利要求7所述的方法，其特征在于，如果所述应用数据捕获模块部署在安全数据过滤产品中，则设定将属于所述安全数据过滤产品的非白名单的数据定向到应用客户端代理中。

12.如权利要求7所述的方法，其特征在于，如果所述应用数据捕获模块部署在后台审计系统中，则获取所述后台审计系统的全部数据，并发送到应用客户端代理中。