[发明专利]一种对多个攻击行为检测的方法、装置及系统

说明书

本发明实施例公开了一种对多个攻击行为信息获取的方法，包括：接收至少一个攻击者信息、攻击者流量信息及根据攻击者信息创建的对应的攻击者标识信息；通过第一端口将攻击者流量信息转发给蜜罐，并通过第二端口将攻击者标识信息与第一端口的映射关系发送至蜜罐并进行暂存，蜜罐根据暂存的攻击者标识信息与第一端口的映射关系，将流量解析结果发送给系统服务模块，本发明公开的技术方案可以达到在多节点管理的情况下完整地记录、还原攻击时间线的效果。

技术领域

本发明涉及攻击检测技术领域，具体涉及一种对多个攻击行为检测的方法、装置及系统。

背景技术

网络安全领域中的伪装欺骗技术是一种通过欺骗、诱骗的手段来阻止攻击者的入侵。典型的实现形式即蜜罐，通过运行高仿真的服务，在不影响任何真实业务的情况下，引诱攻击者进入蜜罐，达到延缓攻击、记录行为路径、分析攻击手法和意图的效果。伪装欺骗技术近年来备受瞩目，但从技术概念实际落地时，仍存在一些难题。

从技术原理上讲，蜜罐最重要的目的是欺骗攻击者、记录行为、分析攻击意图，所以蜜罐越仿真、记录的行为越详细越好。因此早期的蜜罐都比较完备，比如将实际的硬件设备作为蜜罐，诱捕到攻击者后，管理员查看设备操作历史。但实际落地时，系统管理员最需要的是统一的全局监控、高效的部署维护方法，结构化、可读性高的数据。这和蜜罐的完备程度是有所冲突的，多个蜜罐、多个攻击源和各类结构各异的攻击行为，如何由一个管理中心全局监控，让管理员及时、清晰地监控到所有攻击者的行为路径，是一个需要解决的问题。

目前的实现方案一般是舍弃攻击行为的详细程度，管理员只能看到孤立的攻击信息，尤其是SSH、websocket这类行为复杂的tcp长连接，很难将每个告警事件对应到攻击者哪一次的攻击行为。

发明内容

本申请的目的在于克服上述问题或者至少部分地解决或缓减解决上述问题。本发明公开的技术方案使得攻击者对蜜罐系统入侵的记录，能在统一的监控平台进行监控和记录以解决背景技术无法在多节点管理的情况下完整地记录、还原攻击时间线的问题。

根据本申请的第一个方面，提供了一种对多个攻击行为信息获取的方法，包括：

接收攻击者信息、攻击者流量信息及根据攻击者信息创建的对应的攻击者标识信息；

通过第一端口将其中一个攻击者流量信息转发给蜜罐，并通过第二端口将其中一个攻击者标识信息与第一端口的映射关系发送至蜜罐并进行暂存；

接收根据暂存的攻击者标识信息与第一端口的映射关系通过对应的第一端口发送的流量解析结果。

与现有技术相比，本发明提供的技术方案能在一个大体量的蜜罐管理系统中，即含多个攻击来源和多种类蜜罐，区分开每一条攻击者造成的tcp连接，以整合出每次攻击的tcp连接中丰富的信息，更好地做到统计分析、快速排查、实时告警的功能。

第二方面，提供了一种对多个攻击行为信息获取的装置，包括：

第一接收模块，用于接收攻击者信息、攻击者流量信息及根据攻击者信息创建的多个对应的攻击者标识信息；

转发模块，用于通过第一端口将其中一个攻击者流量信息转发给蜜罐，并通过第二端口将其中一个攻击者标识信息与第一端口的映射关系发送至蜜罐并进行暂存；

第一接收模块，用于接收根据暂存的攻击者标识信息与第一端口的映射关系通过对应的第一端口发送的流量解析结果。

与现有技术相比，本发明提供的一种对多个攻击行为信息获取的装置的有益效果与上述技术方案所述一种对多个攻击行为信息获取的方法的有益效果相同，在此不做赘述。

第三方面，提供了一种对多个攻击行为检测的系统，包括：

探针模块，用于获取攻击者信息和攻击者流量并负责记录攻击者信息；