[发明专利]一种蜜罐攻击溯源方法、装置、设备、存储介质

权利要求书

1.一种蜜罐攻击溯源方法，其特征在于，包括：

当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息；

判断所述终端是否存在蜜罐服务；

若所述终端不存在蜜罐服务，则产生告警数据并断开与所述攻击者的连接；

若所述终端存在蜜罐服务，则基于蜜罐服务端口与本地服务端口的对应关系将所述攻击流量转发至对应的蜜罐服务端口，以便所述蜜罐服务端口将包含攻击者IP信息在内的部分攻击者信息发送至蜜罐中心平台，并将所述MAC信息与所述部分攻击者信息进行整合，生成完整的攻击者信息。

2.根据权利要求1所述的蜜罐攻击溯源方法，其特征在于，所述当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息之前，还包括：

预先在终端安装伪服务，并动态开启所述伪服务，以便接收攻击者发起的流量攻击。

3.根据权利要求1所述的蜜罐攻击溯源方法，其特征在于，所述当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息，包括：

当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，通过libpcap抓取攻击者的MAC信息。

4.根据权利要求3所述的蜜罐攻击溯源方法，其特征在于，所述当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，通过libpcap抓取攻击者的MAC信息，包括：

当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，通过libpcap对本地服务端口进行握手和挥手的抓包操作，抓取攻击者的MAC信息。

5.根据权利要求1所述的蜜罐攻击溯源方法，其特征在于，所述若所述终端存在蜜罐服务，则基于蜜罐服务端口与本地服务端口的对应关系将所述攻击流量转发至对应的蜜罐服务端口，包括：

若所述终端存在蜜罐服务，则确定所述攻击流量攻击的本地服务端口，并基于蜜罐服务端口与本地服务端口的对应关系从关系列表中确定对应的蜜罐服务端口；

将所述攻击流量转发至对应的蜜罐服务端口。

6.根据权利要求5所述的蜜罐攻击溯源方法，其特征在于，所述确定所述攻击流量攻击的本地服务端口，并基于蜜罐服务端口与本地服务端口的对应关系从关系列表中确定对应的蜜罐服务端口之前，还包括：

预先绑定本地服务端口与对应的蜜罐服务端口，以生成对应的关系列表。

7.根据权利要求1至6任一项所述的蜜罐攻击溯源方法，其特征在于，所述将所述MAC信息与所述部分攻击者信息进行整合，生成完整的攻击者信息，包括：

将所述MAC信息上传至蜜罐中心平台；

当收到部分攻击者信息时，将对应的所述MAC信息与所述部分攻击者信息进行整合，生成完整的攻击者信息。

8.一种蜜罐攻击溯源装置，其特征在于，包括：

信息抓取模块，用于当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息；

服务判断模块，用于判断所述终端是否存在蜜罐服务；

连接断开模块，用于若所述终端不存在蜜罐服务，则产生告警数据并断开与所述攻击者的连接；

信息生成模块，用于若所述终端存在蜜罐服务，则基于蜜罐服务端口与本地服务端口的对应关系将所述攻击流量转发至对应的蜜罐服务端口，以便所述蜜罐服务端口将包含攻击者IP信息在内的部分攻击者信息发送至蜜罐中心平台，并将所述MAC信息与所述部分攻击者信息进行整合，生成完整的攻击者信息。

9.一种电子设备，其特征在于，包括：

存储器，用于保存计算机程序；

处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的蜜罐攻击溯源方法的步骤。

10.一种计算机可读存储介质，其特征在于，用于存储计算机程序；其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的蜜罐攻击溯源方法的步骤。