CN109246108A - 拟态化蜜罐指纹混淆系统、方法及其sdn网络架构 - Google Patents

Abstract

本发明属于通信安全技术领域，特别涉及一种拟态化蜜罐指纹混淆系统、方法及其SDN网络架构，该系统包含：控制中心，部署在分发器之上，用于维护蜜罐的工作状态，根据蜜罐反馈的可疑流量行为特征，动态生成蜜罐的调度规则，并依据调度规则启动与关闭相应蜜罐；分发器，部署在蜜罐群和可疑流量源之间，用于接收输出的可疑流量，记录该可疑流量，并广播至蜜罐群中每个蜜罐；接收来自蜜罐的应答消息，并将该应答消息传输至可疑流量源，用于作为虚假应答消息来回复相应攻击者，其中，蜜罐群中包含多种类型的蜜罐。本发明利用动态变换机制对多个蜜罐进行综合调度，降低单个蜜罐系统被攻击者控制对网络安全性能的影响，提高整个系统的可靠性。

Description

拟态化蜜罐指纹混淆系统、方法及其SDN网络架构

技术领域

本发明属于通信安全技术领域，特别涉及一种拟态化蜜罐指纹混淆系统、方法及其SDN网络架构。

背景技术

随着网络技术的迅猛发展，网络的安全威胁也是层出不穷，攻击者可以通过攻击网络的弱点、漏洞，进行信息窃取、系统破环等活动，这严重的威胁了网络的安全性。蜜罐系统是一种部署于网络上，具有吸引和诱捕价值的网络资源，只有在它被攻击或攻陷的时候它的价值才能体现。蜜罐是一种以保护核心网络元件为目标的诱骗技术，它只包含虚假的敏感数据，无法对外提供正常服务。通常，蜜罐可以是一个网络、主机、服务、数据库中无用的数据项、伪装的用户名及弱口令等。一旦蜜罐被部署在网络中或一些关键主机上，任何试图与蜜罐交互的行为都可以被认为是攻击行为，蜜罐可以检测、监视并诱捕这些攻击行为。

蜜罐技术大大提高了网络的安全性，但这种技术存在以下几个问题：一、蜜罐的指纹难以隐藏，可以被嗅探识别。虽然蜜罐系统可以通过诱骗引诱攻击者攻击错误的网络目标进而保护真实系统的安全，但由于蜜罐系统无法隐藏其指纹特征，攻击者可以通过探测攻击、侧信道攻击等手段嗅探出蜜罐系统的指纹、发现蜜罐，进而绕过蜜罐进而攻击真实网络。此时，由于蜜罐系统丧失了隐蔽性，故难以继续保护真实网络。二、孤立静态防御难以有效保护网络的安全性。蜜罐技术虽然相对于防火墙、入侵检测技术等安全防护技术可以主动的检测出网络中的未知攻击，但是它也不是没有漏洞的。若攻击者掌握了某个蜜罐系统的漏洞或预先在蜜罐中预置了后门，蜜罐防御系统很可能失效。一旦攻击者攻陷蜜罐后，进而利用虚拟机逃逸等技术突破蜜罐的隔离空间，进而攻击真实的网络，很可能会给真实网络造成损失。

发明内容

为此，本发明提供一种拟态化蜜罐指纹混淆系统、方法及其SDN网络架构，解决现有蜜罐技术难以抵挡指纹嗅探和孤立静态防御不足的问题，利用动态变换机制对多个蜜罐进行综合调度，减低了单个蜜罐系统被攻击者控制对网络安全性能的影响，进而大大提高整个系统的可靠性。

按照本发明所提供的设计方案，一种拟态化蜜罐指纹混淆系统，包含：分发器和控制中心，其中，

控制中心，部署在分发器之上，用于维护蜜罐的工作状态，根据蜜罐反馈的可疑流量行为特征，动态生成蜜罐的调度规则，并依据调度规则启动与关闭相应蜜罐；

分发器，部署在蜜罐群和可疑流量源之间，用于接收输出的可疑流量，记录该可疑流量，并广播至蜜罐群中每个蜜罐；接收来自蜜罐的应答消息，并将该应答消息传输至可疑流量源，用于作为虚假应答消息来回复相应攻击者，其中，蜜罐群中包含多种类型的蜜罐。

上述的，所述的控制中心包含定时模块、调度模块及调度规则库，其中，

定时模块，用于维护蜜罐群中每个蜜罐的生命周期，并触发调度模块；

调度模块，用于根据定时模块中的蜜罐生命周期，通过动态调度模型选取调度规则库中蜜罐的调度规则，并根据该调度规则启动与关闭相应蜜罐。

调度规则库，用于根据用户需求及蜜罐运行状态动态生成蜜罐群的调度策略，并向调度模块提供调度规则。

上述的，所述的分发器包含记录模块、请求模块和回复模块，其中，

记录模块，用于针对接收到的可疑流量进行编码、记录并反馈到控制中心；

请求模块，用于将编码后的可疑流量发送至蜜罐群；

回复模块，用于接收针对可疑流量蜜罐所做出的应答消息，并将该应答消息传输至可疑流量源来回复相应攻击者。

上述的，蜜罐群中每个蜜罐设置有信息收集模块和攻击检测模块，其中，信息收集模块，用于接收可疑流量信息并维持与可疑流量的通信；攻击检测模块，用于对可疑流量进行检测并分析其攻击行为特征，将分析结果反馈至控制中心。

一种拟态化蜜罐指纹混淆方法，包含如下内容：接收并记录可疑流量，将其发送至控制中心，并广播至蜜罐群中每个蜜罐；控制中心根据蜜罐反馈的可疑流量行为特征生成调度规则，并依据调度规则动态选取蜜罐群中对应的蜜罐；蜜罐针对该可疑流量进行检测及反馈，并生成用于回复攻击者的虚假应答消息，维持可疑流量的正常通信。

一种SDN网络架构，包含：SDN控制器、交换机、蜜罐群及部署在交换机和蜜罐群之间的拟态化蜜罐指纹混淆系统，其中，SDN控制器用于检测网络流量转发规则的合法性，不符合转发规则的网络即被认为可疑流量；针对可疑流量，向交换机下发流规则，并将可疑流量通过交换机转移至拟态化蜜罐指纹混淆系统中；拟态化蜜罐指纹混淆系统，用于针对接收到的可疑流量进行分发，并根据蜜罐检测出的可疑流量行为特征动态调度蜜罐群中蜜罐，同时还用于将蜜罐生成的用于回复攻击者的虚假应答消息反馈至交换机。

本发明的有益效果：

本发明在蜜罐前端增设安全分发器，对攻击者而言透明无感；同时，利用主动、被动的动态变换机制模型实现对蜜罐集群的改进，使其可以有效地降低了攻击者对蜜罐群的指纹识别率，避免了单一蜜罐被识别或被控制对整个网络的影响，保证了真实网络的安全性和可靠性，对通信网络的安全具有重要的指导意义。

附图说明：

图1为实施例中拟态化蜜罐指纹混淆系统示意图之一；

图2为实施例中拟态化蜜罐指纹混淆系统之二；

图3为实施例中分发器请求消息处理流程示意图；

图4为实施例中分发器回复消息处理流程示意图；

图5为实施例中控制中心处理流程示意图；

图6为实施例中蜜罐设备工作流程示意图；

图7为实施例中SDN网络架构。

具体实施方式：

为使本发明的目的、技术方案和优点更加清楚、明白，下面结合附图和技术方案对本发明作进一步详细的说明。

目前，蜜罐指纹难以隐藏、孤立静态防御难以有效保护网络安全性等。为此，本发明实施例，参见图1所示，提供一种拟态化蜜罐指纹混淆系统，包含：分发器和控制中心，其中，

控制中心，部署在分发器之上，用于维护蜜罐的工作状态，根据蜜罐反馈的可疑流量行为特征，动态生成蜜罐的调度规则，并依据调度规则启动与关闭相应蜜罐；

分发器，部署在蜜罐群和可疑流量源之间，用于接收输出的可疑流量，记录该可疑流量，并广播至蜜罐群中每个蜜罐；接收来自蜜罐的应答消息，并将该应答消息传输至可疑流量源，用于作为虚假应答消息来回复相应攻击者，其中，蜜罐群中包含多种类型的蜜罐。

基于上述的拟态化蜜罐指纹混淆系统，本发明实施例提供一种拟态化蜜罐指纹混淆方法，包含如下内容：分发器接收并记录可疑流量，将其发送至控制中心，并广播至蜜罐群中每个蜜罐；控制中心根据蜜罐反馈的可疑流量行为特征生成调度规则，并依据调度规则动态选取蜜罐群中对应的蜜罐；蜜罐针对该可疑流量进行检测及反馈，并生成用于回复攻击者的虚假应答消息，维持可疑流量的正常通信。

可疑流量传输到拟态化蜜罐指纹混淆系统的分发器，分发器就会对可疑流量进行编码，并将编码信息存储在控制中心中，同时分发器会将异常流量广播至蜜罐群中每个蜜罐，只有被控制中心激活的蜜罐才可以检测可疑流量的行为特征与维持可疑流量的通信；在蜜罐完成可疑流量的检测后，蜜罐生成用于回复攻击者的虚假应答消息会通过转发器反馈给攻击者，维持与攻击者的通信；一旦蜜罐的生命周期结束，控制中心会根据蜜罐的生命周期、可疑流量的行为特征等信息，生成新的蜜罐调度规则，并激活对应的蜜罐进行回应，从而实现指纹混淆，最大程度上迷惑攻击者，让其无法通过预先设置的漏洞直接瘫痪网络。

为更好地实现蜜罐的动态调度，本发明在一个实施例中，参见图2所示，通过分析蜜罐指纹的暴露情况、漏洞被利用情况等指标，在控制中心设置定时模块、调度模块及调度规则库来实现，其中，

定时模块，用于维护蜜罐群中每个蜜罐的生命周期，并触发调度模块；

调度模块，用于根据定时模块中的蜜罐生命周期，通过动态调度模型选取调度规则库中蜜罐的调度规则，并根据该调度规则启动与关闭相应蜜罐。

调度规则库中维护蜜罐调度规则，可以根据蜜罐的运行状态信息、收集到的攻击特征动态(例如蜜罐服务器的状态信息系数、定时时长、检测阈值等)等，通过动态调度模型(例如历史信息线性回归模型、机器学习模型等)动态调整蜜罐群的调度策略，以便针对性的有效应对相应的攻击，混淆攻击者探测到的蜜罐指纹，并减少由于单个蜜罐损坏对整个网络的影响。

参见图5所示，一旦定时模块收到可疑流量编码信息，激发调度模块，准备对蜜罐群进行调度，根据调度规则库确定合适的蜜罐调度规则，调度模块依据调度规则启动蜜罐，一旦调度模块完成调度，则通知定时模块进行计时，并将计时信息作为下一次调度的参考信息。

针对可疑流量，本发明另一个实施例中，参见图2所示，分发器设置为包含记录模块、请求模块和回复模块，其中，

记录模块，用于针对接收到的可疑流量进行编码、记录并反馈到控制中心；

请求模块，用于将编码后的可疑流量发送至蜜罐群；

回复模块，用于接收针对可疑流量蜜罐所做出的应答消息，并将该应答消息传输至可疑流量源来回复相应攻击者。

参见图3所示，分发器接收到可疑流量，调用记录模块对数据请求进行编号，并将编号信息反馈给定时模块；编号完成后，分发器调用消息请求模块将消息请求广播给每一个蜜罐。如图4所示，分发器接收到来自蜜罐群的虚假回应消息，调用回复模块接收，并通过记录模块传出实现对攻击者的虚假回复，以完成一次可疑流量的通信。

为对可疑流量进行检测，并实现与攻击者进行交互，本发明另一个实施例中，参见图2所示，要求蜜罐包含信息收集模块和攻击检测模块，其中，

信息收集模块，用于接收可疑流量信息并维持与可疑流量的通信；

攻击检测模块，用于对可疑流量进行检测并分析其攻击行为特征，将分析结果反馈至控制中心。

参见图6所示，一旦信息收集模块接收到分发器转发的可疑流量，攻击检测模块对可疑流量进行检测，分析出其中的攻击行为特征，然后信息收集模块构造虚假应答消息，将该虚假应答消息传输至分发器，并将检测结果反馈给控制中心。

基于上述的拟态化蜜罐指纹混淆系统，本发明实施例还提供一种SDN网络架构，参见图7所示，包含：SDN控制器、交换机、蜜罐群及部署在交换机和蜜罐群之间的拟态化蜜罐指纹混淆系统，其中，SDN控制器用于检测网络流量转发规则的合法性，不符合转发规则的网络即被认为可疑流量；针对可疑流量，向交换机下发流规则，并将可疑流量通过交换机转移至拟态化蜜罐指纹混淆系统中；拟态化蜜罐指纹混淆系统，用于针对接收到的可疑流量进行分发，并根据蜜罐检测出的可疑流量行为特征动态调度蜜罐群中蜜罐，同时还用于将蜜罐生成的用于回复攻击者的虚假应答消息反馈至交换机。

若攻击者向网络发送恶意流量，由于交换机中不存在恶意流量的匹配规则，故交换机会将该请求转发到控制器。控制器接收到该流量后会对该流量进行转发规则的合法性检查(防火墙、入侵防御系统snort等)，若流量的转发规则不合法(比如访问被禁止的端口)，则会被控制器认为是可疑流量，控制器会向交换机下发流规则，将可疑流量转移到蜜罐网络中。一旦可疑流量传输到拟态化蜜罐指纹混淆系统的分发器，分发器就会对可疑流量进行编码，并将编码信息存储在控制中心中，同时分发器会将异常流量广播至蜜罐群中每个蜜罐，只有被控制中心激活的蜜罐才可以检测可疑流量的行为特征与维持可疑流量的通信；在蜜罐完成可疑流量的检测后，蜜罐生成用于回复攻击者的虚假应答消息会通过转发器反馈给攻击者，维持与攻击者的通信；一旦蜜罐的生命周期结束，控制中心会根据蜜罐的生命周期、可疑流量的行为特征等信息，生成新的蜜罐调度规则，并激活对应的蜜罐进行回应，从而实现指纹混淆，最大程度上迷惑攻击者，让其无法通过预先设置的漏洞直接瘫痪网络。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

结合本文中所公开的实施例描述的各实例的单元及方法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已按照功能一般性地描述了各示例的组成及步骤。这些功能是以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。本领域普通技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不认为超出本发明的范围。

本领域普通技术人员可以理解上述方法中的全部或部分步骤可通过程序来指令相关硬件完成，所述程序可以存储于计算机可读存储介质中，如：只读存储器、磁盘或光盘等。可选地，上述实施例的全部或部分步骤也可以使用一个或多个集成电路来实现，相应地，上述实施例中的各模块/单元可以采用硬件的形式实现，也可以采用软件功能模块的形式实现。本发明不限制于任何特定形式的硬件和软件的结合。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本申请。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本申请的精神或范围的情况下，在其它实施例中实现。因此，本申请将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (10)

1.一种拟态化蜜罐指纹混淆系统，其特征在于，包含：分发器和控制中心，其中，

控制中心，部署在分发器之上，用于维护蜜罐的工作状态，根据蜜罐反馈的可疑流量行为特征，动态生成蜜罐的调度规则，并依据调度规则启动与关闭相应蜜罐；

分发器，部署在蜜罐群和可疑流量源之间，用于接收输出的可疑流量，记录该可疑流量，并广播至蜜罐群中每个蜜罐；接收来自蜜罐的应答消息，并将该应答消息传输至可疑流量源，用于作为回复相应攻击者的虚假应答消息，其中，蜜罐群中包含多种类型的蜜罐。

2.根据权利要求1所述的拟态化蜜罐指纹混淆系统，其特征在于，所述的控制中心包含定时模块、调度模块及调度规则库，其中，

定时模块，用于维护蜜罐群中每个蜜罐的生命周期，并触发调度模块；

调度模块，用于根据定时模块中的蜜罐生命周期，通过动态调度模型选取调度规则库中蜜罐的调度规则，并根据该调度规则启动与关闭相应蜜罐；

调度规则库，用于根据用户需求及蜜罐运行状态动态生成蜜罐群的调度策略，并向调度模块提供调度规则。

3.根据权利要求1所述的拟态化蜜罐指纹混淆系统，其特征在于，所述的分发器包含记录模块、请求模块和回复模块，其中，

记录模块，用于针对接收到的可疑流量进行编码、记录并反馈到控制中心；

请求模块，用于将编码后的可疑流量发送至蜜罐群；

回复模块，用于接收针对可疑流量蜜罐所做出的应答消息，并将该应答消息传输至可疑流量源以回复相应攻击者。

4.根据权利要求1所述的拟态化蜜罐指纹混淆系统，其特征在于，蜜罐群中每个蜜罐设置有信息收集模块和攻击检测模块，其中，信息收集模块，用于接收可疑流量信息并维持与可疑流量的通信；攻击检测模块，用于对可疑流量进行检测并分析其攻击行为特征，将分析结果反馈至控制中心。

5.一种拟态化蜜罐指纹混淆方法，其特征在于，包含如下内容：分发器接收并记录可疑流量，并广播至蜜罐群中每个蜜罐；控制中心根据蜜罐反馈的可疑流量行为特征生成调度规则，并依据调度规则动态选取蜜罐群中对应的蜜罐；蜜罐针对该可疑流量进行检测及反馈，并生成用于回复攻击者的虚假应答消息，维持可疑流量的正常通信。

6.根据权利要求5所述的拟态化蜜罐指纹混淆方法，其特征在于，控制中心根据可疑流量行为特征，生成动态调度模型；并依据动态调度模型选取调度规则库中对应蜜罐的调度规则。

7.一种SDN网络架构，其特征在于，包含：SDN控制器、交换机、蜜罐群及部署在交换机和蜜罐群之间的拟态化蜜罐指纹混淆系统，其中，SDN控制器用于检测网络流量转发规则的合法性，将不符合转发规则的网络流量判定为可疑流量；针对可疑流量，向交换机下发流规则，并将可疑流量通过交换机转移至拟态化蜜罐指纹混淆系统中；拟态化蜜罐指纹混淆系统，用于对接收到的可疑流量进行分发，并根据蜜罐检测出的可疑流量行为特征动态调度蜜罐群中蜜罐，同时将蜜罐生成的用于回复攻击者的虚假应答消息转发至交换机。

8.根据权利要求7所述的SDN网络架构，其特征在于，所述的拟态化蜜罐指纹混淆系统包含：分发器和控制中心，其中，

控制中心，部署在分发器之上，用于维护蜜罐的工作状态，根据蜜罐反馈的可疑流量行为特征，动态生成蜜罐的调度规则，并依据调度规则启动与关闭相应蜜罐；

分发器，部署在蜜罐群和可疑流量源之间，用于接收输出的可疑流量，记录该可疑流量，并广播至蜜罐群中每个蜜罐；接收来自蜜罐的应答消息，并将该应答消息传输至可疑流量源，用于作为虚假应答消息来回复相应攻击者，其中，蜜罐群中包含多种类型的蜜罐。

9.根据权利要求8所述的SDN网络架构，其特征在于，所述的控制中心包含定时模块、调度模块及调度规则库，其中，

定时模块，用于维护蜜罐群中每个蜜罐的生命周期，并触发调度模块；

调度模块，用于根据定时模块中的蜜罐生命周期，通过动态调度模型选取调度规则库中蜜罐的调度规则，并根据该调度规则启动与关闭相应蜜罐；

调度规则库，用于根据用户需求及蜜罐运行状态动态生成蜜罐群的调度策略，并向调度模块提供调度规则。

10.根据权利要求8所述的SDN网络架构，其特征在于，所述的分发器包含记录模块、请求模块和回复模块，其中，

记录模块，用于针对接收到的可疑流量进行编码、记录并反馈到控制中心；

请求模块，用于将编码后的可疑流量发送至蜜罐群；

回复模块，用于接收针对可疑流量蜜罐所做出的应答消息，并将该应答消息传输至可疑流量源来回复相应攻击者。