[发明专利]基于流量转发的威胁感知方法、设备、装置及存储介质

说明书

本发明提出一种基于流量转发的威胁感知方法、设备、装置及存储介质，所述方法通过将蜜罐部署在公网，并设置公网IP；监听指定端口，当指定端口与蜜罐建立连接时，蜜罐反向连接来源IP对应端口；若所监听端口在预设时间内的连接次数达到预定值，则将所述端口添加到转发列表中；蜜罐将在转发列表中的端口流量全部转发回源IP对应端口；继续监控及转发交互流量，并将对应流量生成Pcap文件，进行深度分析；对Pcap包中的流量信息深度分析，解析出攻击源IP、时间戳、payload数据、URL及被攻击端口，提供给后续统计分析。本发明方法能够降低高交互蜜罐被攻破的风险，也弥补了低交互蜜罐的不足，能够有效获取流量信息。

技术领域

本发明涉及计算机网络安全领域，特别涉及一种基于流量转发的威胁感知方法、设备、装置及存储介质。

背景技术

蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。所有流入流出蜜罐的流量，都预示着扫描、攻击和攻陷的可能性。

现有的蜜罐技术，如一些低交互蜜罐，在监控僵尸网络或者C2时，由于其上部署的不是真实服务，只有简单的模拟，存在明显的交互不足问题，导致无法有效的实现自动化监控以及捕获其行为数据、无法实时并有效的感知威胁的爆发。而高交互蜜罐实质上是一个真实的系统，相当于提供了一个完全开放的系统给黑客，黑客完全可能通过这个开放的系统去攻击其他系统，这就导致高交互蜜罐成为“肉鸡”，所以自然的加大了部署和维护的复杂度，及风险的扩大。

发明内容

基于上述问题，本发明提出了一种基于流量转发的威胁感知方法、系统及存储介质，通过将蜜罐设置为代理，将收到的流量转发回相应端口，使得蜜罐能够完整获取并发送交互信息，并生成pcap包，提供后续分析，解决了低交互蜜罐无法有效感知威胁，高交互蜜罐容易被攻陷的问题。

首先本发明提出一种基于流量转发的威胁感知方法，包括：

将蜜罐部署在公网，并设置公网IP；

蜜罐监听指定端口，当指定端口与蜜罐建立连接时，蜜罐反向连接来源IP对应端口；

判断所监听端口在预设时间内的连接次数是否达到预定值，如果是，则将所述端口添加到转发列表中；否则继续监听；

蜜罐将在转发列表中的端口的流量全部转发回源IP对应端口；

判断源IP对应端口是否有响应，如果是，则继续监控及转发交互流量，并将对应流量生成Pcap文件，用于分析；否则，源IP对应端口不正确或非被感染主机，关闭连接；

对Pcap包中的流量信息深度分析，解析出攻击源IP、时间戳、payload数据、URL及被攻击端口，提供给后续统计分析。

所述的方法中，所述监听指定端口为监听一个或多个指定端口。

所述的方法中，所述判断所监听端口在预设时间内的连接次数是否达到预定值，具体为：判断所监听端口在预设时间内三次握手成功的次数是否达到预定值。

本发明还提出一种基于流量转发的威胁感知设备，所述设备包括：存储器和处理器；将设备部署在公网，并设置公网IP；

所述存储器存储可在处理器上运行的计算机程序，以及转发列表、交互流量及流量生成的Pcap文件；

所述处理器运行计算机程序时，实现如下步骤：

监听指定端口，当指定端口与设备建立连接时，所述设备反向连接来源IP对应端口；

判断所监听端口在预设时间内的连接次数是否达到预定值，如果是，则将所述端口添加到转发列表中；否则继续监听；