[发明专利]基于暗网的专用IP网络安全监测系统及方法

摘要

本发明公开一种基于暗网的专用IP网络安全监测系统及方法，能准确、快速识别、发现攻击者，还能处理未知网络攻击行为。系统包括与被监测网络相连的暗网感应器和与暗网感应器相连的蜜罐服务器；暗网感应器包括流量导入模块、数据控制模块、攻击检测模块、记录模块、报警显示模块、未知网络攻击提取模块、数据库和日志文件；蜜罐服务器包括虚拟机蜜罐群和虚拟机蜜罐群控制模块，虚拟机蜜罐群由多个正在运行的虚拟机蜜罐组成。方法包括将目的IP地址属于所监测暗网的报文导入监测系统，控制攻击者与蜜罐服务器的通信，检测所有报文是否包含攻击特征，记录报文，分析并显示当前系统监测到的攻击信息，提取形成未知网络攻击样本步骤。

主权项

一种基于暗网的专用IP网络安全监测系统，包括与被监测网络相连的暗网感应器（10）和与所述暗网感应器相连的蜜罐服务器（20），其特征在于：    所述暗网感应器（10）包括流量导入模块（11）、数据控制模块（12）、攻击检测模块（13）、记录模块（14）、报警显示模块（15）、未知网络攻击提取模块（16）、数据库（17）和日志文件（18）；       所述蜜罐服务器（20）包括虚拟机蜜罐群（21）和虚拟机蜜罐群控制模块（22），所述虚拟机蜜罐群（21）由多个正在运行的虚拟机蜜罐组成；    所述流量导入模块（11）的输入端与被监测网络相连，其输出端同时与数据控制模块（12）、攻击检测模块（13）、记录模块（14）的输入端相连，所述数据控制模块（12）的双向接口与虚拟机蜜罐群（21）相连，其一个输出端与被监测网络相连的同时还与攻击检测模块（13）、记录模块（14）的输入端相连，所述数据控制模块（12）的另一个输出端与虚拟机蜜罐群控制模块（22）的输入端相连，所述虚拟机蜜罐群控制模块（22）的输出端与虚拟机蜜罐群（21）相连，所述记录模块（14）的第二输入端与攻击检测模块（13）的输出端相连，所述记录模块（14）的输出端与数据库（17）和日志文件（18）的输入端相连，所述日志文件（18）的输出端与未知网络攻击提取模块（16）相连，所述数据库（17）的输出端同时与报警显示模块（15）和未知网络攻击提取模块（16）相连；所述流量导入模块（11），用于将目的IP地址属于所监测暗网的报文导入监测系统，导入的报文转交至数据控制模块（12）、攻击检测模块（13）和记录模块（14）；所述数据控制模块（12），用于控制攻击者与蜜罐服务器的通信；所述攻击检测模块（13），用于检测流量导入模块（11）接收和数据控制模块（12）发出的所有报文是否包含攻击特征；所述记录模块（14），用于记录流量导入模块（11）接收和数据控制模块（12）发出的所有报文和攻击检测模块（13）的输出；所述报警显示模块（15），用于分析并显示当前系统监测到的攻击信息，这些信息包括攻击的攻击特征、源IP地址、目的IP地址、源端口、目的端口和攻击时间等；所述未知网络攻击提取模块（16），用于将以数据库和日志文件形式存储的未知网络攻击的攻击交互报文提取出来，形成未知网络攻击样本；所述虚拟机蜜罐群（21）由多个正在运行的虚拟机蜜罐组成，用于组成蜜罐池，每一个虚拟机蜜罐包含一个IP地址切换模块；所述虚拟机蜜罐群控制模块（22），用于控制虚拟机蜜罐群（21），实现虚拟机蜜罐的更新。