[发明专利]一种结合免疫危险理论的蜜网安全态势感知方法

说明书

本发明涉及一种结合免疫危险理论的蜜网安全态势感知方法，对进入/流出蜜网的数据包认为是恶意流量，对其中账户、数据与服务等信息的操作，包括窃取、篡改、删除等行为作为免疫危险理论的输入信号予以映射，并结合映射的抗原信息，利用免疫危险理论计算获得反映整个蜜网遭袭程度的全局威胁度值，并直观映射网络安全态势；本发明针对目前蜜网数据融合方法的不足，提出结合免疫危险理论的蜜网安全态势感知方法，在面对远程扫描、拒绝服务攻击、软件及操作系统漏洞等典型网络威胁时，能够准确反映蜜网遭袭强度，实施有效的态势感知与安全预警。

技术领域

本发明涉及一种针对蜜网的安全态势感知方法，尤其是结合免疫危险理论的蜜网安全态势感知方法。

背景技术

蜜罐(Honeypot)和蜜网(Honeynet)作为一种主动防御技术，针对大规模网络面临的普遍性威胁能够实施有效地诱骗、捕获与分析。随着新型攻击手段的逐步演进，身处博弈劣势的防御方在利用防火墙、入侵检测系统等传统手段保护网络资源时，愈发力不从心；蜜网技术通过部署逼真诱饵吸引攻击者，全面而深入地掌握攻击行为，推测攻击意图，分析攻击机理，降低生产网络遭受风险的同时增强整体网络系统的安全防护能力。

安全态势感知负责分析网络安全态势和评估网络风险，从而预先采取防御手段。首先特征提取，例如基本的实证分析方法针对蜜网的采集数据进行统计，提取威胁特征；继而实施攻击分析，利用多元信息融合方法挖掘数据背后的真相；最后，计算生成威胁态势评估报告，为网络安全管理提供安全预警与决策支持。然而蜜网数据通常存在多类型、高冗余及低语义特性，已有方面难于直观阐释网络安全态势。

发明内容

本发明针对目前蜜网数据融合方法的不足，提出结合免疫危险理论的蜜网安全态势感知方法，在面对远程扫描、拒绝服务攻击、软件及操作系统漏洞等典型网络威胁时，能够准确反映蜜网遭袭强度，实施有效的态势感知与安全预警。

本发明所采用的技术方案：

一种结合免疫危险理论的蜜网安全态势感知方法，其特征是：包括下述步骤：

1)根据相应的拓扑结构搭建蜜网集群，在节点中配置虚假数据和服务，并在节点操作系统及其应用软件中预留一定数目用于诱导攻击者前来的未保护漏洞；

2)对蜜网中既定时间段内的网络流量进行获取和存储，并对网络流量和蜜网中的特定行为特征进行统计后，映射为不同类型的信号，作为危险理论的输入信号；

3)统计蜜网系统中在既定时间段内，对主机/服务器进程及其PID、日志、攻击者击键信息进行统计，映射为抗原信息；

4)利用免疫危险理论中的DCA算法结合抗原信息对输入信号实施基础分析，获得输出信号Mature(MA)、Semi-Mature(SM)和CSM；

5)在得到输出信号之后，蜜网的中心管理节点利用Mature、Semi-Mature计算蜜网的全局威胁度值V，并籍此表征蜜网的安全态势，或返回步骤2)。

根据步骤2)的流量数据把HTTP/HTTPS协议流量的占比偏差、DNS协议流量的占比偏差、POP3及IMAP电邮协议流量的占比偏差、FTP协议流量的占比偏差依次映射为Safe类型信号S5、S6、S7、S8，并将网络流量中数据包大小的变化比率和数据包到达间隔时间的变化比率映射为Danger类型信号S1和S2。

步骤2)中蜜网的特定行为特征为蜜网中既定时间段内，数据资源遭受篡改、未授权删除威胁的次数及蜜网系统相对于真实生产网络的无故障比率，并将其依次映射为PAMPs类型信号S3及Inflam类型信号S9。

所述抗原信息不同于危险信号，它负责提供威胁本身以及相关来源的信息，安全态势分析中能够借助抗原来挖掘线索和联系，查明、追溯潜在的攻击者。

在步骤4)中，使用以下权重矩阵进行基础分析，从而得到输出信号。