CN110099040B

CN110099040B - 一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法

Info

Publication number: CN110099040B
Application number: CN201910154168.0A
Authority: CN
Inventors: 卿婷
Original assignee: Jiangsu Jiyuan Information Technology Co ltd
Current assignee: Jiangsu Jiyuan Information Technology Co ltd
Priority date: 2019-03-01
Filing date: 2019-03-01
Publication date: 2021-11-30
Anticipated expiration: 2039-03-01
Also published as: CN110099040A

Abstract

本发明公开了一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法，包括如下步骤：步骤1：设计交换设备，组建网桥br0；步骤2：将计算机或者工业控制计算机通过网线连接到交换设备；步骤3：在内网中，交换设备进行ARP Ping存活探测；步骤4：交换设备虚拟出诱饵主机；步骤5：黑客进入内网，进行内网渗透，黑客探测到诱饵主机，并进行攻击；步骤6：抵御黑客或者勒索病毒的攻击。本发明可以结合基于CPU的交换设备，部署在基于TCP/IP的所有内网系统中，具有广泛的应用前景。

Description

一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法

技术领域

本发明涉及计算机网络内网防护领域，具体涉及一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法。

背景技术

“南北”向流量指由外网流向内网的流量，一般防火墙部署在网络的出口处，用于“南北”向流量的安全防护。“东西”向流量指网络内部服务器彼此相互访问所产生的内部流量，据统计，目前数据中心75％以上的流量为“东西”向流量。无论是窃取私人信息还是破坏他人声誉，无论是摧毁政府关键基础设施还是让企业处于风险之中，当今的网络犯罪分子正在不断试探网络的安全性和适应性的底线。

尽管技术的发展，随着计算能力、存储能力的大幅度提升，同时“南北”向流量通过边界安全防护已经得到极大的保护，但是“东西”流量(内部边界)的安全，始终是安全防护最薄弱的地方。近期的勒索病毒、黑客的内网渗透，更是撕开了“东西”向流量防护的缺口，任意攻击破坏，给内网安全带来了极大的风险。

(1)传统内网安全防护是采用安全域划分的方式，一般通过划分VLAN/子网的方式进行隔离，并通过防火墙进行控制，这样传统的管理方式带来了以下几个问题：

a)主机数量的增加，使得过大的VLAN/子网划分会给攻击者提供较大的攻击范围，一旦有一台主机被控制，东西流量的防护就会彻底奔溃；

b)安全域的细分，部署大量的防火墙做内网访问控制，是很难实现的；

c)在新增或者改变原有业务的时候，安全人员必须手动修改安全策略，容易造成配置错误；

d)网络拓扑体量大了以后，防火墙的配置容易出错；

e)0day新发现的安全漏洞的每天更新，导致了传统的防护措施不能及时更新，会导致攻击、病毒大量传播；

f)内部人员的外部访问、带来的外部U盘导致外部病毒、木马在内部网络传播无法得到有效的控制。

(2)传统的蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。部署蜜罐存在以下无法解决的问题：

a)蜜罐技术通过虚拟化技术，需要消耗大量的计算和存储资源，一般产生的蜜罐主机数量有限，一般在10个以内。攻击者进入蜜罐环境的概率很低；

b)部署一个蜜罐或蜜网时，保密极为重要。如果攻击者知道这是一个陷阱，除一些自动化的攻击工具(如一些蠕虫)外，攻击者不会尝试攻击它；

c)一些低交互性的蜜罐，其模拟的服务，会很容易被攻击者识别出蜜罐的身份。对于一个复杂系统的任何模仿总与真实的系统有不同点；

d)如果一个高交互性的蜜罐被破坏或利用，那么攻击者会尝试将它用作一个破坏或控制其它系统的中转跳板；

e)由于内网的交换环境是一个完全放行的环境，蜜罐无法快速对内网的攻击者做出快速的拦截措施；

因此，需要一种能够解决当前内网东西向流量安全防护问题的方法。

发明内容

为了克服现有技术中存在的不足，提供了一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法，是一种防止勒索病毒爆发和阻止黑客渗透的攻击发现和安全防护技术，解决了内网中网络攻击难以发现和拦截的问题。

为实现上述目的，本发明提供了一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法，包括如下步骤：

步骤1：设计交换设备，组建网桥br0；

步骤2：将计算机或者工业控制计算机通过网线连接到交换设备；

步骤3：在内网中，交换设备进行ARP Ping存活探测；

步骤4：交换设备虚拟出诱饵主机；

步骤5：黑客进入内网，进行内网渗透，黑客探测到诱饵主机，并进行攻击；

步骤6：抵御黑客或者勒索病毒的攻击。

进一步改进，所述的步骤1：设计交换设备，组建网桥br0的具体步骤如下：

1)设计一种交换设备，该交换设备上有多个网络接口，每个网络接口连接到网络芯片，每个网络接口均可独立控制；

2)网络芯片通过PCI-E Switch芯片连接到CPU的PCI-E总线；

3)交换设备连接有用于安装运行嵌入式操作系统的存储设备；

4)在交换设备上面运行一个嵌入式操作系统；

5)在嵌入式操作系统中将多个网络接口组成一个网桥br0，并给网桥br0绑定一个内网地址。

进一步改进，所述步骤3：在内网中，交换设备进行ARP Ping存活探测的具体步骤为：

3-1：通过网桥br0的内网地址向整个内网发送ARP Ping广播报文；

3-2：通过ARP Ping判断内网存活的主机，并记录没有存活主机的IP和MAC地址。

进一步改进，所述的ARP Ping存活探测具体为对整个内网发送ARP Ping广播报文，确认内网存活的真实主机IP地址。

进一步改进，所述步骤4：交换设备虚拟出诱饵主机的具体步骤为：

4-1：在网桥br0上面批量绑定没有存活主机的IP和MAC地址，作为诱饵主机的IP和MAC地址；

4-2：在没有存活主机的IP上面开启监听常用网络端口，如22/139/445/1433/1521/3389等常用端口，作为诱饵端口；

4-3：交换设备通过CPU和内存在网络里面虚拟产生超过真实主机数量1万台诱饵主机，那么攻击者在进行攻击时，有极大的概率访问到诱饵主机。

进一步改进，所述步骤5：黑客进入内网，进行内网渗透，黑客探测到诱饵主机，并进行攻击的具体步骤为：当攻击者访问到诱饵主机的诱饵端口，通过病毒或木马进行攻击，来获取控制权，诱饵主机立即记录攻击者的IP。

进一步改进，所述步骤6：抵御黑客或者勒索病毒的攻击的具体步骤为：

6-1:在网桥br0上丢弃所有来自于攻击者IP地址的数据包，阻止内网黑客攻击或者勒索病毒的传播；

6-2:诱饵主机受到攻击并到达3次以上的攻击次数，诱饵主机会通知交换设备攻击机的IP地址，交换设备会立刻对该黑客攻击主机进行阻断并封锁所有端口，避免攻击主机去攻击其它真实主机或诱饵主机，从而抵御黑客或者勒索病毒的攻击。

进一步改进，所述的交换设备为通过CPU、网络芯片和多个网络接口组合而成的工业计算机，该工业计算机包括主板、CPU、DDRIII 2G内存、128G SSD存储设备、Inter I211AT网络芯片以及电源，组装成该交换设备；该主板包括CPU，与与CPU通过PCI-E Switch交换芯片相连接的48个RJ45网络接口，1个VGA接口，1个SATA接口，1个mSATA接口，4个USB接口、1个DDR3L SO-DIMM Slot接口以及1个Super I/O输入端口；所述的48个RJ45网络接口分为多组通过1转3转换插座、1转15转换插座分别对应与网络芯片的多个PCI-E接口相连。

进一步改进，所述的Super I/O输入端口连接2个COM接口。

进一步改进，所述网络芯片为Intel Celeron J1900或其他处理器系统芯片。

该交换设备部署在内网中，替代传统的交换机；通过对整个内网发送ARP PING(ARP，Address Resolution Protocol，是根据IP地址获取物理地址的一个TCP/IP协议)广播报文，确认内网存活的真实主机IP地址；接着，在不存活主机的IP地址中投放大量的虚拟的诱饵主机；该交换设备通过CPU和内存在网络层虚拟出可达真实主机1万倍数量的诱饵主机(比如真实主机100台，诱饵主机为100万台)；诱饵主机有虚拟的IP地址和TCP端口，内部或者外部设备可以PING通并可以访问这些诱饵主机开放端口。

当黑客进行内网渗透时，从内网中获得真实的主机概率为0.001％(扫描所有主机的成本过高，也难以实现)，因此，黑客攻击到诱饵主机的概率将高达99.99％。一旦诱饵主机受到攻击并到达一定次数，诱饵主机会通知交换设备攻击机的IP地址，交换设备会立刻对该黑客攻击主机进行阻断并封锁所有端口，避免攻击主机去攻击其它真实主机或诱饵主机,从而抵御黑客或者勒索病毒的攻击。

与现有技术相比，本发明的有益效果在于：

本发明提供了一种有效地进行内网(“东西”向流量)的安全防护，提高了引诱攻击者进入诱饵主机的概率，降低了攻击者访问到真实主机的概率，能用于解决勒索病毒爆发、黑客进行内网渗透的安全问题，而且能准确定位攻击主机的IP地址，并有效封锁。本发明可以结合基于CPU的交换设备，部署在基于TCP/IP的所有内网系统中，具有广泛的应用前景。

附图说明

图1为本发明的交换设备的主板结构示意图；

图2为本发明的流程图。

具体实施方式

下面结合附图和具体实施例，进一步阐明本发明，应理解这些实施例仅用于说明本发明而不用于限制本发明的范围，在阅读了本发明之后，本领域技术人员对本发明的各种等价形式的修改均落于本申请所附权利要求所限定的范围。

本发明提供一种交换设备，该交换设备为通过CPU、网络芯片和多个网络接口组合而成的工业计算机，该工业计算机主要包括主板、CPU(Inter CeleronJ1900)、DDRIII 2G内存、128G SSD存储设备、Inter I211AT网络芯片以及电源，组装成该交换设备；如图1所示，该主板上包括CPU(Intel Celeron j1900处理器系统芯片)，与CPU通过PCI-E Switch交换芯片相连接的48个RJ45网络接口，1个VGA接口，1个SATA接口，1个mSATA接口，4个USB接口、1个DDR3L SO-DIMM Slot接口以及1个Super I/O输入端口；所述的48个RJ45网络接口分为多组通过多个Inter I211AT网络芯片与1转3转换插座(1转3Switch芯片)、1转15转换插座(1转15Switch芯片)相接，再通过1转3转换插座(1转3Switch芯片)、1转15转换插座(1转15Switch芯片)分别对应与CPU(Intel Celeron J1900处理器系统芯片)的多个PCI-E接口相连，所述的Super I/O输入端口连接2个COM接口。该主板连接有用于安装运行嵌入式操作系统的128G SSD存储设备，在嵌入式操作系统中将多个网络接口组成一个网桥br0，并给网桥br0绑定一个内网地址。

如图2所示，一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法，包括如下步骤：

步骤1：设计交换设备，组建网桥br0：具体步骤为：

1-1：设计一种交换设备，该交换设备上有48个网络接口，每个网络接口连接到网络芯片，每个网络接口均可独立控制；

1-2：网络芯片通过PCI-E Switch芯片连接到CPU的PCI-E总线；

1-3：交换设备连接有用于安装运行嵌入式操作系统的存储设备；

1-4：在交换设备上面运行一个嵌入式操作系统，如Linux操作系统；

1-5:在嵌入式操作系统中将48个网络接口组成一个网桥br0，并给网桥br0绑定一个内网地址；

步骤3：在内网中，交换设备进行ARP Ping存活探测：具体步骤为：

3-2：通过ARP Ping判断内网存活的主机，并记录没有存活主机的IP和MAC地址；

步骤4：交换设备虚拟出诱饵主机：具体步骤为：

4-3：交换设备通过CPU和内存在网络里面虚拟产生超过真实主机数量1万台诱饵主机(例如真实主机100台，诱饵主机为100万台)，那么攻击者在进行攻击时，有极大的概率访问到诱饵主机；

步骤5：黑客进入内网，进行内网渗透，黑客探测到诱饵主机，并进行攻击：具体步骤为当攻击者访问到诱饵主机的诱饵端口，通过病毒或木马进行攻击，来获取控制权，诱饵主机立即记录攻击者的IP；

步骤6：抵御黑客或者勒索病毒的攻击：具体步骤为：

6-2:诱饵主机受到攻击并到达所设定好的攻击次数(大于3次)，诱饵主机会通知交换设备攻击机的IP地址，交换设备会立刻对该黑客攻击主机进行阻断并封锁所有端口，避免攻击主机去攻击其它真实主机或诱饵主机，从而抵御黑客或者勒索病毒的攻击。

实施例1：

某内网里有20台计算机，30台CNC数控工业控制计算机(具有计算机CPU、硬盘、内存、外设及接口、并有实时的操作系统、控制网络和协议、计算能力，友好的人机界面等)，通过TCP/IP协议进行连接，之前通过48口的交换机2台组成局域网；现利用本申请的方法，用2台交换设备替换传统的交换机。主要工作原理如下：

1)交换设备组成一个网桥br0，并给网桥br0绑定一个内网地址(192.168.5.2)，通过ARP Ping探测到20台计算机和30台CNC数控工业控制计算机的IP和MAC；

2)交换设备通过CPU和内存在网络层虚拟出500000个具有虚拟的IP和MAC的诱饵主机，并在网桥br0上面批量绑定；

3)当20台计算机里有一台计算机(192.168.5.88)被黑客控制，进行内网攻击其它计算机或CNC数控工业控制计算机；

4)黑客攻击到真实主机的概率为0.01％，攻击到诱饵主机的概率为99.99％；

5)当诱饵主机(192.168.6.55)受到黑客攻击的次数达到3次以后，通过网桥告知交换设备攻击者的计算机IP(192.168.5.88)；

6)交换设备会立即对攻击者的计算机(192.168.5.88)阻断并封锁所有端口，黑客无法进行端口探测或攻击；

7)黑客攻击失败，东西向流量安全(内网安全)得到了保障。

上述方法有效地进行内网(“东西”向流量)的安全防护，提高了引诱攻击者进入诱饵主机的概率，降低了攻击者访问到真实主机的概率，能用于解决勒索病毒爆发、黑客进行内网渗透的安全问题，而且能准确定位攻击主机的IP地址，并有效封锁。本发明可以结合基于CPU的交换设备，部署在基于TCP/IP的所有内网系统中，具有广泛的应用前景。

以上所述仅是本发明的优选实施方式，应当指出，对于本领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干变型和改进，这些也应视为属于本发明的保护范围。

Claims

1.一种基于大量部署诱饵主机探测拦截内网攻击源的防御方法，其特征在于：包括如下步骤：

步骤1：设计交换设备，组建网桥br0：

1.1：设计一种交换设备，该交换设备上有多个网络接口，每个网络接口连接到网络芯片；

1.2：网络芯片通过PCI-E Switch芯片连接到CPU的PCI-E总线；

1.3：交换设备的主板连接有用于安装运行嵌入式操作系统的存储设备；

1.4：在交换设备上面运行一个嵌入式操作系统；

1.5:在嵌入式操作系统中将多个网络接口组成一个网桥br0，并给网桥br0绑定一个内网地址；

步骤3：在内网中，交换设备进行ARP Ping存活探测：

3.1：通过网桥br0的内网地址向整个内网发送ARP Ping 广播报文；

3.2：通过ARP Ping判断内网存活的主机，并记录没有存活主机的IP和MAC地址；

步骤4：交换设备虚拟出诱饵主机：

4.1：在网桥br0上面批量绑定没有存活主机的IP和MAC地址，作为诱饵主机的IP和MAC地址；

4.2：在没有存活主机的IP上面开启监听常用网络端口，作为诱饵端口；

4.3：交换设备通过CPU和内存在网络里面虚拟产生超过真实主机数量1万台诱饵主机，那么攻击者在进行攻击时，有极大的概率访问到诱饵主机；

步骤5：黑客进入内网，进行内网渗透，黑客探测到诱饵主机，并进行攻击：

当攻击者访问到诱饵主机的诱饵端口，通过病毒或木马进行攻击，来获取控制权，诱饵主机立即记录攻击者的IP；

步骤6：抵御黑客或者勒索病毒的攻击：

6.1:在网桥br0上丢弃所有来自于攻击者IP地址的数据包，阻止内网黑客攻击或者勒索病毒的传播；

6.2:诱饵主机受到攻击并到达3次以上的攻击次数，诱饵主机会通知交换设备攻击机的IP地址，交换设备会立刻对该黑客攻击主机进行阻断并封锁所有端口，避免攻击主机去攻击其它真实主机或诱饵主机，从而抵御黑客或者勒索病毒的攻击。

2.根据权利要求1所述的基于大量部署诱饵主机探测拦截内网攻击源的防御方法，其特征在于：所述的交换设备为一种工业计算机，该工业计算机主要包括主板、CPU、内存、存储设备、网络芯片以及电源，所述主板上包括CPU、与CPU通过PCI-E Switch交换芯片相连接的48个RJ45网络接口，1个VGA接口，1个SATA接口，1个mSATA接口，4个USB接口、1个DDR3LSO-DIMM Slot接口以及1个Super I/O输入端口。

3.根据权利要求2所述的基于大量部署诱饵主机探测拦截内网攻击源的防御方法，其特征在于：所述的Super I/O输入端口连接2个COM接口。

4.根据权利要求2所述的基于大量部署诱饵主机探测拦截内网攻击源的防御方法，其特征在于：所述交换设备的CPU为Intel CeleronJ1900或者其他处理器系统芯片。