[发明专利]基于SDN构建动态网络的欺骗防御方法和系统

权利要求书

1.一种基于SDN构建动态网络的欺骗防御方法，其特征在于，包括以下步骤：

采用旁路模式监控云平台的所有流量数据，从中获取六元组信息数据，并存储至流量数据库中；

根据相关正则表达式匹配策略，建立恶意特征库和威胁情报库；

根据威胁情报库依次对流量数据库的每个六元组信息数据进行相似度匹配，判断六元组信息数据是否存在携带威胁情报，若是，则将所述六元组信息数据初步识别为攻击者；若不是，则与恶意特征库继续匹配，判断六元组信息数据是否匹配，若匹配，则将所述六元组信息数据初步识别为攻击者；

记录所述攻击者的相关信息，所述攻击者的相关信息包括攻击者服务器的IP、攻击者服务器的端口、被攻击服务器的IP、被攻击服务器的端口、网络协议类型和数据内容；

根据所述攻击者的相关信息调用SDN接口，将从攻击者服务器的IP到被攻击者服务器的IP和相应端口的流量数据转发到蜜罐的相同端口上；

若所述蜜罐捕捉到攻击者的流量数据，则将攻击者服务器IP地址定义为高危IP地址并对所述高危IP地址进行拦截封堵。

2.根据权利要求1所述的基于SDN构建动态网络的欺骗防御方法，其特征在于，所述六元组信息数据包括源IP、源端口、目标IP、目标端口、协议以及数据内容；

所述恶意特征库中包含至少两条正则表达式匹配策略，所述威胁情报库中包含至少两条恶意IP。

3.根据权利要求2所述的基于SDN构建动态网络的欺骗防御方法，其特征在于，所述根据威胁情报库依次对流量数据库的每个六元组信息数据进行相似度匹配，判断六元组信息数据是否存在携带威胁情报，若是，则将所述六元组信息数据初步识别为攻击者；若不是，则与恶意特征库继续匹配，判断六元组信息数据是否匹配，若匹配，则将所述六元组信息数据初步识别为攻击者，具体是指：将威胁情报库中的IP依次轮询取出与所述六元组中源IP进行对比，若两者相同，则认为是攻击者；将恶意特征库中的正则表达式匹配策略依次轮询取出与六元组中数据内容进行匹配，若匹配成功，则识别为攻击者。

4.根据权利要求2所述的基于SDN构建动态网络的欺骗防御方法，其特征在于，所述判断六元组信息数据是否存在恶意特征或携带威胁情报，还包括，若六元组信息数据不存在恶意特征或携带威胁情报，则统计选定时间间隔内访问目标IP的目标端口的六元组信息数据并判断是否大于预设数值，若大于，则将所述六元组信息数据初步识别为攻击者，若不大于，则认定为非攻击者。

5.根据权利要求4所述的基于SDN构建动态网络的欺骗防御方法，其特征在于，所述时间间隔为25S-30S；所述预设数值为8-12。

6.一种基于SDN构建动态网络的欺骗防御系统，其特征在于，包括获取模块、建立模块、判断模块、记录模块、调用模块和拦截模块；

所述获取模块，用于采用旁路模式监控云平台的所有流量数据，从中获取六元组信息数据，并存储至流量数据库中；

所述建立模块，用于根据相关正则表达式匹配策略，建立恶意特征库和威胁情报库；

所述判断模块，用于根据威胁情报库依次对流量数据库的每个六元组信息数据进行相似度匹配，判断六元组信息数据是否存在携带威胁情报，若是，则将所述六元组信息数据初步识别为攻击者；若不是，则与恶意特征库继续匹配，判断六元组信息数据是否匹配，若匹配，则将所述六元组信息数据初步识别为攻击者；

所述记录模块，用于记录所述攻击者的相关信息，所述攻击者的相关信息包括攻击者服务器的IP、攻击者服务器的端口、被攻击服务器的IP、被攻击服务器的端口、网络协议类型和数据内容；

所述调用模块，用于根据所述攻击者的相关信息调用SDN接口，将从攻击者服务器的IP到被攻击者服务器的IP和相应端口的流量数据转发到蜜罐的相同端口上；

所述拦截模块，用于若所述蜜罐捕捉到攻击者的流量数据，则将攻击者服务器IP地址定义为高危IP地址并对所述高危IP地址进行拦截封堵。