[发明专利]一种基于拟态防御的蜜罐防御方法、系统、设备及介质

权利要求书

1.一种基于拟态防御的蜜罐防御方法，其特征在于，包括以下步骤：

S1、构建拟态蜜罐：构建异构蜜罐镜像，将所述异构蜜罐镜像通过KVM虚拟机镜像技术生成拟态蜜罐及拟态蜜罐系统；

S2、拟态蜜罐数据采集：在拟态蜜罐接收外部流量后，采集拟态蜜罐的响应结果；

S3、拟态蜜罐响应结果监控：对所有的响应结果进行裁决，并输出裁决结果，裁决结果中包括判定为已被攻陷的拟态蜜罐信息；

S4、拟态蜜罐管理：根据裁决结果，对拟态蜜罐和拟态蜜罐系统进行动态切换，包括将判定为已被攻陷的拟态蜜罐切换为未被攻陷的拟态蜜罐，对判定为已被攻陷的拟态蜜罐执行回滚操作，将拟态蜜罐对应的拟态蜜罐系统进行调度切换。

2.根据权利要求1所述的一种基于拟态防御的蜜罐防御方法，其特征在于：所述步骤S1中镜像管理模块构建异构蜜罐镜像，其具体过程为：

构建异构蜜罐环境：制作上层应用相同而底层基础架构不同的异构蜜罐环境，实现异构性；

异构蜜罐环境镜像化：将所述异构蜜罐环境镜像化处理，转换为qcow2镜像格式。

3.根据权利要求2所述的一种基于拟态防御的蜜罐防御方法，其特征在于：所述底层基础架构包括操作系统、数据库、Web中间件、系统服务和综合服务，在构建异构蜜罐环境时，在底层基础架构中采用不同的操作系统、数据库、Web中间件、系统服务以及综合服务，确保通过不同异构蜜罐环境生成的拟态蜜罐之间具有异构性。

4.根据权利要求1所述的一种基于拟态防御的蜜罐防御方法，其特征在于：所述步骤S2中拟态蜜罐数据采集的具体过程为：

S21、中间人程序接收外部流量：在控制应用层的虚拟化管理子系统中，虚拟网络管理模块的中间人程序接收外部流量；

S22、拟态蜜罐接收流量访问：中间人程序接收外部流量，通过虚拟网桥下发至对应拟态蜜罐系统中的每一个节点，所述每一个节点都是一个拟态蜜罐；

S23、拟态蜜罐数据采集：拟态蜜罐接收外部流量后，虚拟化管理子系统中的虚拟网络管理模块控制采集层的数据采集子系统采集拟态蜜罐的响应结果。

5.一种基于拟态防御的蜜罐防御系统，其特征在于，包括：表示层、控制应用层、数据层和采集层；

所述采集层包括若干拟态蜜罐系统和数据采集子系统，数据采集子系统用于采集拟态蜜罐系统中拟态蜜罐的内部信息，所述内部信息包括响应结果；

所述数据层用于接收数据采集子系统发送的拟态蜜罐的内部信息，对拟态蜜罐的内部信息进行初步处理以及对拟态蜜罐的访问流程进行分析并获取分析结果；

所述控制应用层包括相互连接的业务中心子系统和虚拟化管理子系统，所述业务中心子系统用于业务配置、数据组合和管理调度配置，具体包括查询、管理数据存储子系统的数据以及读取分析数据分析子系统中的拟态蜜罐访问流程分析结果；虚拟化管理子系统用于实现拟态蜜罐虚拟化资源的配置与管理；

所述表示层包括图形界面交互式系统，图形界面交互式系统与业务中心子系统连接，图形界面交互式系统用于用户操作、查看数据和配置系统。

6.根据权利要求5所述的一种基于拟态防御的蜜罐防御系统，其特征在于：所述虚拟化管理子系统包括依次连接的镜像管理模块、蜜罐管理模块、虚拟网络管理模块和控制调度器，所述镜像管理模块用于通过KVM虚拟机镜像技术构建拟态蜜罐镜像，获取若干个虚拟高交互的拟态蜜罐及拟态蜜罐系统；所述蜜罐管理模块用于对蜜罐的管理操作和监控蜜罐状态；所述虚拟网络管理模块用于控制拟态蜜罐系统进行数据访问与网络通信；所述控制调度器用于根据拟态蜜罐的输出裁决结果，对拟态蜜罐和拟态蜜罐系统进行动态切换。