[发明专利]防御网络攻击的蜜罐构建方法、装置、设备及介质

权利要求书

1.一种防御网络攻击的蜜罐构建方法，其特征在于，所述方法包括：

检测网络流量；

当网络流量异常时，根据网络流量异常时的网络流量特征确定网络遭受攻击的攻击类型；

根据所述攻击类型确定与所述攻击类型对应的检测函数的容器镜像；

对所述容器镜像实例化，构建运行所述检测函数的容器用作蜜罐。

2.根据权利要求1所述的方法，其特征在于，所述网络流量包括文件访问流量和/或暴力破解流量。

3.根据权利要求2所述的方法，其特征在于，所述网络流量异常包括：

文件的访问频率超过预设访问阈值和/或服务的解析频率超过预设解析阈值，其中，所述服务包括安全外壳协议SSH服务、汤姆猫Tomcat服务、MySQL服务中的至少一种。

4.根据权利要求3所述的方法，其特征在于，在所述检测网络流量之前，所述方法还包括：

获取所述文件在历史时间段中每次被访问的时间和访问者的互联网协议IP地址；

所述历史时间段以日为单位，包括一日或多日，统计所述历史时间段中每日所述文件的被访问总次数，每日以小时为单位，统计每日每小时所述文件的被访问次数；

统计每个IP地址每日访问所述文件次数和每个IP地址每日访问时间分布，其中，每个IP地址每日访问时间分布按照小时分布；

根据每日所述文件的被访问总次数，每日每小时所述文件的被访问次数，每个IP地址每日访问所述文件次数和每个IP地址每日访问时间分布确定所述预设访问阈值。

5.根据权利要求1所述的方法，其特征在于，所述攻击类型包括：端口探测攻击、结构化查询语言SQL注入攻击、溢出攻击、拒绝服务攻击、加密攻击、口令探测攻击、泛洪攻击、未知类型攻击中的至少一种。

6.一种防御网络攻击的蜜罐构建装置，其特征在于，所述装置包括：

检测模块，用于检测网络流量；

第一确定模块，用于当网络流量异常时，根据网络流量异常时的网络流量特征确定网络遭受攻击的攻击类型；

第二确定模块，用于根据所述攻击类型确定与所述攻击类型对应的检测函数的容器镜像；

构建模块，用于对所述容器镜像实例化，构建运行所述检测函数的容器用作蜜罐。

7.根据权利要求6所述的装置，其特征在于，所述网络流量包括文件访问流量和/或暴力破解流量。

8.根据权利要求7所述的装置，其特征在于，所述网络流量异常包括：

文件的访问频率超过预设访问阈值和/或服务的解析频率超过预设解析阈值，其中，所述服务包括安全外壳协议SSH服务、汤姆猫Tomcat服务、MySQL服务中的至少一种。

9.根据权利要求8所述的装置，其特征在于，所述装置还包括：

第三确定模块，用于在所述检测网络流量之前，获取所述文件在历史时间段中每次被访问的时间和访问者的互联网协议IP地址；

所述历史时间段以日为单位，包括一日或多日，统计所述历史时间段中每日所述文件的被访问总次数，每日以小时为单位，统计每日每小时所述文件的被访问次数；

统计每个IP地址每日访问所述文件次数和每个IP地址每日访问时间分布，其中，每个IP地址每日访问时间分布按照小时分布；

根据每日所述文件的被访问总次数，每日每小时所述文件的被访问次数，每个IP地址每日访问所述文件次数和每个IP地址每日访问时间分布确定所述预设访问阈值。

10.根据权利要求6所述的装置，其特征在于，所述攻击类型包括：端口探测攻击、结构化查询语言SQL注入攻击、溢出攻击、拒绝服务攻击、加密攻击、口令探测攻击、泛洪攻击、未知类型攻击中的至少一种。