[发明专利]一种蜜罐攻击溯源方法、装置、设备、存储介质

说明书

本申请公开了一种蜜罐攻击溯源方法、装置、设备、存储介质，涉及网络安全技术领域，包括：当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息；判断终端是否存在蜜罐服务；若终端不存在蜜罐服务，则产生告警数据并断开与攻击者的连接；若终端存在蜜罐服务，则基于蜜罐服务端口与本地服务端口的对应关系将攻击流量转发至对应的蜜罐服务端口，以便蜜罐服务端口将包含攻击者IP信息在内的部分攻击者信息发送至蜜罐中心平台，并将MAC信息与部分攻击者信息进行整合，生成完整的攻击者信息。使用终端伪服务的方式触发蜜罐的告警，提高蜜罐告警概率；通过抓包匹配的方式，抓取MAC地址，并匹配溯源到真实的攻击者。

技术领域

本发明涉及网络安全技术领域，特别涉及一种蜜罐攻击溯源方法、装置、设备、存储介质。

背景技术

互联网的攻击事件越来越多，可以使用蜜罐来收集攻击的方法与漏洞，检测业务系统的漏洞。蜜罐的使用方法也越来越多样化，蜜罐对了解攻击方的攻击工具和方法有非常大的作用，能有效的提高了安全防护能力，蜜罐的诱发条件苛刻。常见的蜜罐部署方案中，蜜罐的诱发率极低。而使用终端伪服务流量代理的方式，能代理所有的TCP(Transmission Control Protocol，传输控制协议)/UDP(User Datagram Protocol，用户数据报协议)流量，但是蜜罐告警的攻击者都识别为终端，这样会丢失真正的攻击者信息。有些解决方案，会在终端流量转发的时候做一次封装，这样蜜罐能够获取到攻击者的IP和端口信息，仍然无法获取到攻击者MAC地址。现有技术中往往蜜罐的诱发率极低。基于单纯的伪服务流量转发的方式，蜜罐无法溯源到真实的攻击者信息，更无法获取到攻击者MAC地址。针对现有的一些相关解决方案，都是对终端流量进行包装，带上攻击者信息。该方案对蜜罐改动非常大，需要流量转发者，流量接收者，蜜罐更需要区分转发流量与真实流量。告警入库也需要做区分。

综上，如何提高蜜罐诱发概率，在不改变蜜罐底层代码的前提下确定攻击者的详细信息，确定攻击者身份是本领域有待解决的技术问题。

发明内容

有鉴于此，本发明的目的在于提供一种蜜罐攻击溯源方法、装置、设备、存储介质，能够提高蜜罐诱发概率，在不改变蜜罐底层代码的前提下确定攻击者的详细信息，确定攻击者身份。其具体方案如下：

第一方面，本申请公开了一种蜜罐攻击溯源方法，包括：

当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息；

判断所述终端是否存在蜜罐服务；

若所述终端不存在蜜罐服务，则产生告警数据并断开与所述攻击者的连接；

若所述终端存在蜜罐服务，则基于蜜罐服务端口与本地服务端口的对应关系将所述攻击流量转发至对应的蜜罐服务端口，以便所述蜜罐服务端口将包含攻击者IP信息在内的部分攻击者信息发送至蜜罐中心平台，并将所述MAC信息与所述部分攻击者信息进行整合，生成完整的攻击者信息。

可选的，所述当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息之前，还包括：

预先在终端安装伪服务，并动态开启所述伪服务，以便接收攻击者发起的流量攻击。

可选的，所述当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，抓取攻击者的MAC信息，包括：

当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，通过libpcap抓取攻击者的MAC信息。

可选的，所述当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，通过libpcap抓取攻击者的MAC信息，包括：

当监测到安装伪服务的终端接收到攻击者发送的攻击流量时，通过libpcap对本地服务端口进行握手和挥手的抓包操作，抓取攻击者的MAC信息。