[发明专利]一种基于拓扑信息的网络攻击路径重构方法

说明书

本发明涉及网络空间安全技术领域，具体涉及一种基于拓扑信息的网络攻击路径重构方法，包括：首先利用分布在网络各个区域的拓扑测量探针通过traceroute技术得到网络拓扑结构，然后通过NetFlow/NetStream技术将攻击流所经过的路由器信息提取出来，随后根据提取出来的路由器以及相关的网络拓扑数据，采用Dijkstra最短路径选择算法，逐步重构出整个攻击流的攻击路径。本发明综合利用了主被动网络测量方法，能够准确和完整地绘制出网络攻击的路径信息，保证重构结构的正确性。

技术领域

本发明涉及网络空间安全技术领域，具体涉及一种基于拓扑信息的网络攻击路径重构方法。

背景技术

随着互联网的飞速发展，越来越多传统的运作方式正在被低耗、开放、高效的分布式网络应用所替代，网络已经成为人们日常生活中不可或缺的一部分。但是随之而来基于网络的攻击也越演越烈，网络安全事件层出不穷,各种网络攻击给国家、社会和个人带来了严重的危害。攻击者利用网络快速而广泛的互联性，使得传统意义上的安全措施基本丧失作用，严重威胁着国家和社会的安全。网络安全威胁给国家和人民生活带来了巨大损失，安全问题已经严重制约着网络的发展，并直接威胁国家和社会的稳定。

网络攻击追踪溯源是指通过网络确定攻击者身份或者位置，以及攻击的中间介质，还原攻击路径的技术。一般来说，攻击者大都使用伪造IP地址、跳板、匿名网络等技术实施网络攻击活动，以逃避追踪，致使防御方难以确定其攻击源头，而不能实施有针对性的防护策略。网络攻击溯源技术通过主动定位攻击的源头，重构攻击时序，重塑攻击事件，进而能及时主动实施针对性的阻截与反制，是网络攻防对抗中的关键技术之一，也是网络主动防御中的重要环节。它对于最小化网络攻击的效果，威慑潜在的网络攻击都有着至关重要的作用。

网络安全已经成为关系国家安全的重大战略问题。传统的被动防御策略在面对日益复杂智能的攻击行为时不能有效地保护网络的安全，抑制攻击，攻击者总是能够利用系统、网络甚至是防御系统本身的漏洞，轻松突破网络防御、瘫痪网络防御系统，使网络直接暴露在攻击者面前。攻击者利用网络的快速和广泛的互联性，使得传统意义上的安全措施基本丧失作用；而且网络攻击者大都使用伪造的IP地址，使防御很难确定真正攻击源的位置，而不能实施有针对性的防御抑制策略。这些都使得追踪溯源技术成为网络主动防御系统中重要一环，它对于最小化网络攻击的效果、威慑潜在的攻击都有着至关重要的作用。同时，在准确追踪定位的基础上，需要采用多种安全策略与技术手段，减轻网络攻击带来更大破坏。

发明内容

本发明所要解决的技术问题是提供一种基于拓扑信息的网络攻击路径重构方法，其能有效解决网络攻击路径难以重构的问题。

为解决上述技术问题，本发明采用了以下技术方案：

一种基于拓扑信息的网络攻击路径重构方法，包括以下步骤：

步骤S1，在网络中部署分布式探针，并利用探针对全网络的IP地址进行traceroute测量，获取网络的各条路径信息，并根据路径信息构建出网络的拓扑结构；

步骤S2，提取出网络攻击流信息，将提取出的网络攻击流信息与收集的NetFlow/NetStream信息进行匹配，并将匹配成功的路由器加入到路由器集合中；

步骤S3，将攻击流的目的IP作为基准节点；

步骤S4，判断路由器集合是否为空，如果不为空，则转入步骤S5，否则转入步骤S7；

步骤S5，根据Dijkstra算法计算出路由器集合中各个路由器与基准节点的跳数；

步骤S6，选择路由器集合中与基准节点跳数最少的路由器作为下一跳节点，并与基准节点相连，然后将选择的路由器作为新的基准节点，并将选择的路由器从路由器集合中删除，然后转入步骤S4；

步骤S7，将基准节点与攻击流的源IP地址相连，保存所有分析结果；