[发明专利]一种网络攻击行为采集与回放方法、装置，系统及电子设备

说明书

本发明提供了一种网络攻击行为采集与回放方法、装置，系统及电子设备，所述方法包括，通过真实服务引诱攻击者持续攻击；获取所述攻击者的输入信息和所述攻击者的攻击行为，检测并解析获取所述攻击者的重点攻击行为；将所述重点攻击行为转发至第一存储器中并进行长期存储；获取所述长期存储的重点攻击行为并进行交互式展示，本发明还提供了一种网络攻击行为采集与回放装置，系统及电子设备，本发明公开的技术方案可以完整地采集和回放攻击者的攻击行为。

技术领域

本发明涉及通信技术领域，具体涉及一种网络攻击行为采集与回放方法、装置、系统及电子设备。

背景技术

伪装欺骗技术主要指在网络安全领域，通过伪装的方法引诱攻击者，混淆视听、采集攻击行为信息，以达到保护真实资产，取证溯源的目的。在伪装欺骗过程中，攻击者的每一步攻击行为都可能暴露其攻击意图、攻击手法，对保护真实资产和追踪攻击源头具有很大的参考价值。

现有技术中，一般仅以时间、攻击目标、payload、病毒文件等特征对攻击者的行为作出描述，但这些描述并不能完整地展示回放攻击者的真实攻击行为，主要是不能区分攻击者和自动化扫描程序；也会遗漏很多揭示攻击者攻击者手法的具体细节，例如信息搜集过程、提权、跳板攻击、清除痕迹等。

发明内容

本申请的目的在于克服上述问题或者至少部分地解决或缓减解决上述问题，本发明公开的技术方案可以完整地采集和回放攻击者的攻击行为。

第一方面，本发明提供了一种网络攻击行为采集与回放方法，包括，

通过真实服务引诱攻击者持续攻击；

获取所述攻击者的输入信息和所述攻击者的攻击行为，检测并解析获取所述攻击者的重点攻击行为；

将所述重点攻击行为转发至第一存储器中并进行长期存储；

获取所述长期存储的重点攻击行为并进行交互式展示。

优选地，所述获取所述攻击者的输入信息和所述攻击者的攻击行为，包括，通过命令行解释器获取所述攻击者远程登录后以命令行进行交互的攻击行为。

优选地，所述获取所述攻击者的输入信息和所述攻击者的攻击行为，包括，通过视频方式获取所述攻击者以图形化界面远程登录后进行交互的攻击行为。

优选地，所述获取所述攻击者的输入信息和所述攻击者的攻击行为，包括，通过采集HTTP请求和响应的方式获取所述攻击者在网页上操作进行交互的攻击行为。

优选地，所述通过所述检测并解析获取所述攻击者的重点攻击行为之后，包括，通过高亮标识的方式标记所述重点攻击行为以便后续进行检索查阅。

优选地，所述将所述重点攻击行为转发至第一存储器中并进行长期存储，包括：将删除所述重点攻击行为中无操作空白时间后的攻击行为存储在第二存储器中，根据预设时间周期将存储在第二存储器中的攻击行为整合后通过TCP 长连接转发至第一存储器。

优选地，所述获取所述长期存储重点攻击行为进行交互式展示，包括，获取所述第一存储器存储的重点攻击行为，根据所述重点攻击行为类别采用相对应的方式进行交互式展示。

优选地，所述获取所述第一存储器存储的重点攻击行为，根据所述重点攻击行为类别采用相对应的方式进行交互式展示，包括，

通过与所述第一存储器存储的重点攻击行为相对应类别播放器进行实景播放、暂停、快进回退交互式展示所述重点攻击行为。

与现有技术相比，本发明公开的一种网络攻击行为采集与回放方法真实地记录攻击者的攻击细节，以交互的方式展示攻击行为，方便验证攻击目的和手段，较好地兼容任意的伪装欺骗系统，节约传输存储资源。

第二个方面，本发明还提供了一种网络攻击行为采集与回放装置，包括，