[发明专利]一种基于差异化流量处理机制的蜜网系统

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于差异化流量处理机制的蜜网系统。

背景技术

蜜网项目组在2005年推出了第三代蜜网技术，是在Eeyore的基础上实现的。从功能的角度上可分为数据控制功能、数据捕获功能、数据收集功能。目前集中式蜜网系统物理设备可分为两部分即蜜网网关、蜜网主机。蜜网网关集成，snort_inline、IPtable、Sornt Sniff、Swatch、sebek工具，可分别实现网络入侵防御系统、防火墙、流量嗅探器、监视工具、系统活动记录器服务器的功能。蜜网主机主要集成sebek client、Honeypot，分别实现活动监听与提供蜜罐环境资源。

从目前的威胁维度以及威胁的数量上来看，单独依靠蜜网网关内集成的IDS工具、防火墙工具来实现对流量的检测、分析、阻断、数据收集等功能，在实际应用过程中目前蜜网网关表现出来的能力是有限的。因此，在这种能力下很难通过威胁的收集能力，转化为精准的分析能力，再作用于高质量的威胁收集从而形成一个良性的循环，进而提高整体的主动防御能力。另一方面，目前蜜网系统不能实现威胁程度差异化的流量控制。

第三代蜜网系统存在如下缺陷：蜜网数据收集的能力是有限的；蜜网不具有对流量的差异化处理的能力，因此不能将具有针对性高威胁恶意流量进行差别化处理。

发明内容

为了解决上述技术问题，本发明通过系统内各部分之间的协同工作进而提高蜜网系统对高级持续性威胁样本的捕获能力、分析能力等，并且能够针对已有传统防御系统的结果有区别的投放至高交互蜜罐或者初级蜜罐中，进而提升高级持续性威胁样本的检出能力。

本发明采用如下系统来实现：一种基于差异化流量处理机制的蜜网系统，包括：

存储与控制服务器，用于对来自传统防御系统和蜜网网关输出的数据进行格式化处理并存储，并根据所述本地分析端指令对存储的数据进行动态标记；

二级网关蜜罐，用于部署于一级网关后，识别所述存储与控制服务器中的数据，并基于标记级别将数据重定向至高交互蜜罐或者初级蜜罐中；

本地分析端，用于配置系统内各部分对所述存储与控制服务器的访问权限，并对所述存储与控制服务器内存储的数据进行动态标记，所述标记包括：黑名单、白名单、隐性黑名单；

高交互蜜罐，用于接收重定向的数据并基于不同标记执行相应的处理操作。

进一步地，所述存储与控制服务器，包括：

格式化单元，用于对传统防御系统和蜜网网关输出的数据进行格式化处理；

存储单元，用于存储经所述格式化单元处理后的数据；

动态标记单元，用于接收来自本地分析端的指令对所述存储单元内部的数据进行动态标记。

进一步地，所述二级网关蜜罐，包括：

二次网关，用于访问所述存储与控制服务器，并对数据进行识别和匹配后，基于标记级别将数据重定向至高交互蜜罐或者初级蜜罐中；

初级蜜罐，用于模拟不同类型的服务器主机进而实现基本蜜罐功能。

进一步地，所述本地分析端，包括：

权限配置单元，用于配置系统内各部分对所述存储与控制服务器的访问权限；

动态标记单元，用于对所述存储与控制服务器内存储的数据进行动态标记；

数据捕获单元，用于收集系统内各级蜜罐内的恶意代码执行的行为记录。

更进一步地，还包括：数据收集单元，部署于系统内各级蜜罐中，用于记录蜜罐内恶意代码执行的行为记录，并将其发送至所述本地分析端中的数据捕获单元。

上述系统中，所述隐性黑名单标记包括：高级隐性黑名单、初级隐性黑名单或者未知名单；并基于不同标记设置不同处理操作。

综上，本发明给出一种基于差异化流量处理机制的蜜网系统，通过系统内存储与控制服务器、二级网关蜜罐、本地分析端、高交互蜜罐及其他现有蜜网系统中的传统防御系统相结合，不仅能够有效收集各级别蜜罐中的样本执行记录，并能够对现有蜜网中的传统防御系统和蜜网网关的数据进行格式化处理并存储，并对各结果数据进行标记，具体标记不限，包括黑白灰或者威胁等级；在此基础上通过数据标记不同将数据重定向至不同级别蜜罐，例如：高交互蜜罐和初级蜜罐。