[发明专利]基于服务状态机的反馈式蜜罐系统的识别方法及系统

权利要求书

1.一种基于服务状态机的反馈式蜜罐系统的识别方法，其特征在于，包括：

利用待检测节点的多个属性的信息构造服务状态机，即以IP为维度，端口数量、端口类别和服务类型为约束条件，结合现有的知识库构造服务状态机；

通过判断所述服务状态机的运行合理性，评估所述待检测节点为蜜罐节点的可能性；

其中，判断所述服务状态机的运行合理性具体包括：

A、待检测节点的服务类型与操作系统是否对应；

B、待检测节点的服务类型与ISP提供商是否对应；

C、待检测节点的服务响应内容大小与实际真实服务响应大小是否存在差异；

D、待检测节点的服务响应编码与实际真实服务响应编码是否存在差异；

E、待检测节点的服务应用场景与实际应用场景是否符合；

F、待检测节点的服务指纹与实际指纹是否存在差异；

G、待检测节点的服务编程语言与实际服务编程语言是否符合；

H、待检测节点的单机多服务服务类别是否存在反差；

I、待检测节点的单机同类型是否存在多种服务；以及

J、待检测节点的服务功能较真实功能是否存在功能缺陷。

2.如权利要求1所述的基于服务状态机的反馈式蜜罐系统的识别方法，其特征在于，

所述知识库由对已知的网络资产的分析数据组合构成。

3.如权利要求1所述的基于服务状态机的反馈式蜜罐系统的识别方法，其特征在于，评估待检测节点是否为蜜罐节点的触发条件为：网络节点开放的服务端口数量超出预设的平均端口数量。

4.如权利要求3所述的基于服务状态机的反馈式蜜罐系统的识别方法，其特征在于，通过判断所述服务状态机的运行合理性，评估所述待检测节点为蜜罐节点的可能性，包括：

所述待检测节点开放的服务端口数量大于平均端口数量，且所有服务端口的提示信息相同时，直接判定所述待检测节点为蜜罐节点；

采用A-J中任一种或多种方式判定所述待检测节点为蜜罐节点的可能性。

5.一种基于服务状态机的反馈式蜜罐系统的识别系统，其特征在于，包括：

构建模块，其利用待检测节点的多个属性的信息构造服务状态机，即 以IP为维度，端口数量、端口类别和服务类型为约束条件，结合已有的知识库构造服务状态机；

检测评估模块，其通过判断所述服务状态机的运行合理性，评估所述待检测节点为蜜罐节点的可能性；

其中，检测评估模块判断所述服务状态机的运行合理性具体包括：

A、待检测节点的服务类型与操作系统是否对应；

B、待检测节点的服务类型与ISP提供商是否对应；

C、待检测节点的服务响应内容大小与实际真实服务响应大小是否存在差异；

D、待检测节点的服务响应编码与实际真实服务响应编码是否存在差异；

E、待检测节点的服务应用场景与实际应用场景是否符合；

F、待检测节点的服务指纹与实际指纹是否存在差异；

G、待检测节点的服务编程语言与实际服务编程语言是否符合；

H、待检测节点的单机多服务服务类别是否存在反差；

I、待检测节点的单机同类型是否存在多种服务；以及

J、待检测节点的服务功能较真实功能是否存在功能缺陷。

6.如权利要求5所述的基于服务状态机的反馈式蜜罐系统的识别系统，其特征在于，所述检测评估模块评估待检测节点是否为蜜罐节点的触发条件为：网络节点开放的服务端口数量超出预设的平均端口数量。

7.如权利要求6所述的基于服务状态机的反馈式蜜罐系统的识别系统，其特征在于，所述检测评估模块通过判断所述服务状态机的运行合理性，评估所述待检测节点为蜜罐节点的可能性，包括：

当所述待检测节点开放的服务端口数量大于平均端口数量，且所有服务端口的提示信息相同时，所述检测评估模块直接判定所述待检测节点为蜜罐节点；

采用A-J中任一种或多种方式判定所述待检测节点为蜜罐节点的可能性。