[发明专利]一种蜜场系统中抗大流量攻击的动态防御系统

摘要

本发明提供一种蜜场系统中抗大流量攻击的动态防御系统，通过在蜜场流量入口处部署流量分发器，能够根据蜜场中各个蜜罐的负载状况调整等待队列长度和流量分配，从而使得蜜场能够抵抗突发的大流量攻击。同时，本发明通过在控制中心部署攻击特征动态反馈模块，将蜜场与重定向器的IDS，防火墙有机结合到一起，系统整体联动，动态防御，增强了系统的防护性能。

主权项

一种蜜场系统中抗大流量攻击的动态防御系统，包括部署在每个受保护的子网的网关上的重定向器、控制中心和蜜罐群，所述重定向器包括数据捕获模块、数据检测模块、数据转发模块和规则库，所述控制中心部署有分发器、数据预处理模块、数据分析模块和动态反馈模块，所述蜜罐群中的每个蜜罐系统设置负载采集模块和攻击检测模块；所述数据捕获模块，用于捕获来自攻击者的流量，并发送到数据检测模块；所述数据检测模块，用于调用规则库中的攻击规则对来自攻击者的流量进行检测分析，如果为恶意流量，则将流量转发给数据转发模块；所述数据转发模块，用于将数据检测模块发送的流量转发给分发器，将控制中心的分发器回复的流量进行外网转发或重定向；所述规则库，用于接受并保存动态反馈模块发送的攻击规则；所述分发器，用于不断接收重定向器的数据转发模块转发的流量，并将流量分发到各个蜜罐系统，同时分发器记录分发流量中的数据包，并将数据包发送给数据预处理模块；分发器将流量分发到各个蜜罐系统过程中，实时接收来自各个蜜罐系统的负载采集模块发送的负载信息反馈，为每个蜜罐系统建立动态的等待队列并根据负载信息实时调整队列长度，分发器接收的重定向器的数据转发模块转发的流量中所有数据包被添加到等待队列，当等待队列已满时后面接收的数据包将被丢弃；还将各个蜜罐系统返回的流量回复到重定向器的数据转发模块，同时分发器记录回复流量中的数据包；所述数据预处理模块，用于对分发器发送的数据包进行会话重组，得到数据流并发送给数据分析模块；所述数据分析模块，用于同时接收数据预处理模块发送的数据流和蜜罐系统的攻击检测模块检测出的攻击特征，然后对接收的数据流和攻击特征进行关联和聚类分析，提取得到攻击规则并发送到动态反馈模块；所述动态反馈模块，用于将攻击规则发送到规则库；所述攻击检测模块，用于实时监控攻击者的行为，并将检测出的攻击特征发送给控制中心的数据分析模块；    所述负载采集模块，用于获取蜜罐系统负载信息并发送给分发器。