CN110943969A - 一种网络攻击场景复现方法和系统、设备及存储介质 - Google Patents

Abstract

本发明公开了一种网络攻击场景复现方法和系统、设备及存储介质，属于网络安全技术领域。包括：选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、场景模版；设置网络攻击样本和场景模版的参数；根据设置的网络攻击样本和场景模版申请资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；发送器接收网络攻击样本和背景流量下发，发送流量数据到每个网络攻击样本的拓扑节点，场景复现数据实时展示。针对现有技术中无法满足对关键信息基础设施防御系统测试和人员能力培训的要求的技术问题，可以实现关键信息基础设施网络攻击流量场景复现；为相关人员提供了有效的网络安全能力提升支撑手段。

Description

一种网络攻击场景复现方法和系统、设备及存储介质

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络攻击场景复现方法和系 统、设备及存储介质。

背景技术

关键信息基础设施定义为：面向公众提供网络信息服务或支撑能源、通信、 金融、交通、公共事业等重要行业运行的信息系统或工业控制系统；且这些系 统一旦发生网络安全事故，会影响重要行业正常运行，对国家政治、经济、科 技、社会、文化、国防、环境以及人民生命财产造成严重损失。

当前，网络空间已经成为与空中、陆地、海洋和太空并列的第五空间，无论是国家安全和利益，还是军队的联合作战都日益与网络空间息息相关，世界各国也日益重视网络空间防御能力建设，尤其涉及关键信息基础设施方面加大关注，以应对日益严重的网络空间安全威胁问题。

公布号为CN107942724的中国发明专利申请，公开了一种工业关键基础设 施信息安全防护仿真验证平台，是针对特定领域的完全防护演练，并不能重现 网络攻击的场景，无法满足场景复现的需求。公布号为CN106663168A的中国发 明专利申请，公布了一种网络仿真设施包括控制器，所述控制器具有存储器并 且可操作以获取对所述模型设施发起的网络攻击的取证记录和保护所述模型设 施免受所述网络攻击而采取的防御策略并将所述取证记录和所述防御策略存储 在所述存储器中。

公布号为CN 109361534 A的中国发明专利申请，公开了一种网络安全模拟 系统，包括网络攻击模拟子系统、风险模拟子系统和安全防御模拟子系统。风 险模拟子系统用于构建风险模拟环境。网络攻击模拟子系统提供多种攻击工具 和攻击参数，实现对风险模拟环境中用户选中的目标对象进行攻击，并记录攻 击过程和攻击结果。安全防御模拟子系统根据攻击结果判断是否需要调整目标 对象的安全防御策略，并对需要调整的情况给出确定的安全防御策略。该发明 集成了多种攻击工具，具备安全规则知识库，能够模拟多种攻击场景，并能够 调整安全防御策略。

公布号为CN 107360133 A的中国发明专利申请，公开了一种面向电网信息 物理系统的网络攻击仿真方法及系统，方法包括：电力系统仿真器根据预先设 定的电力系统事件列表进行仿真，并通过信息系统仿真器将仿真结果发送至网 络攻击仿真器；在网络攻击仿真器中建立仿真攻击事件，并通过信息系统仿真 器将仿真攻击事件发送至电力系统仿真器；电力系统仿真器根据仿真攻击事件 更新电力系统事件列表，并根据电力系统事件列表进行仿真；该发明提供的技 术方案，在搭建的电网信息物理系统环境下，加入网络攻击模拟平台，针对不 同的电力网络特征和信息网络特征，按照不同的安全等级防护要求，设定对应 的攻击规模和强度，观察验证网络攻击对电网信息物理系统的影响以及在系统 失稳情况下保护措施的作用。

目前，业内现有网络攻防演训系统，例如：永信至诚公司的网络安全靶场 解决方案，主要面向网络攻击演训提供标靶，全景沙盘，拓扑场景构建，演训 评估等，网络流量主要在靶场平台内部，无法实现根据特殊需要的网络数据流 量输出；现有的网络流量构造系统，例如：思博伦公司Sprint Cyberflood解 决方案，主要实现对已知攻击载荷和背景流量输出，无法满足对关键信息基础 设施防御系统测试和人员能力培训的要求。

发明内容

为了克服上述技术问题，本申请提供了一种网络攻击场景复现方法和系统、 设备及存储介质。可以实现关键信息基础设施网络攻击流量场景复现；为相关 人员提供了有效的网络安全能力提升支撑手段。

为解决上述问题，本发明提供的技术方案为：

第一方面，本发明提供了一种网络攻击场景复现方法，包括下述步骤：

S101、选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、 场景模版；

S102、设置网络攻击样本和场景模版的参数；

S103、根据设置的网络攻击样本和场景模版申请资源，重建所述网络攻击 样本的拓扑结构，模拟网络攻击样本的拓扑节点；

S104、发送器接收网络攻击样本和背景流量下发，下载背景流量，发送流 量数据到每个网络攻击样本的拓扑节点，场景复现数据实时展示。可以从已保 存的设置好的网络攻击样本和场景模版参数中选择一个，不需要每次都进行选 择和设置，方便执行场景复现过程。选择发送器，用于接收网络攻击样本和背 景流量下发，以根据控制器命令完成流量发送、数据同步。

可选地，步骤S103中所述重建所述网络攻击样本的拓扑结构，模拟网络攻 击样本的拓扑节点，进一步为：通过网络虚拟化技术重建所述网络攻击样本的 拓扑结构，采用容器技术来模拟网络攻击样本的拓扑节点。

可选地，步骤S102中，所述设置网络攻击样本和场景模版的参数，包括设 置样本类型、网络拓扑结构、带宽大小、场景名称、场景复现加速控制和网络 拓扑复杂度。

可选地，该场景复现方法还可包括步骤S106、生成报告，以记录场景复现 步骤，从网络流量的时间特性、空间特性、会话特性和关联特性方面对各种类 型的网络攻击样本进行分析。

基于同样的发明构思，本申请还提供了一种网络攻击场景复现系统。

第二方面，所述网络攻击场景复现系统，包括控制器、发送器和数据中心； 其中，数据中心用于保存网络攻击样本、背景流量和场景模版；控制器，用于 选择网络攻击样本、场景模版和发送器，从数据中心导入对应的网络攻击样本、 场景模版；设置网络攻击样本和场景模版的参数；根据设置的网络攻击样本和 场景模版申请资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的 拓扑节点；发送器用于接收控制器下发的网络攻击样本和背景流量，以从数据 中心下载背景流量，根据控制器的控制命令发送流量数据到每个网络攻击样本 的拓扑节点，进行场景复现数据实时展示。

可选地，所述控制器包括应用开发接口、数据接口、流量复现模块、样本 库管理模块、背景流量管理模块、资源管理模块、场景模板管理模块、报告管 理模块；其中，所述应用开发接口，用于业务层进行界面展示；所述数据接口， 用于数据中心和发送器的数据互传；所述流量复现模块，用于选择网络攻击样 本、场景模版和发送器，从数据中心导入对应的网络攻击样本、场景模版；设 置网络攻击样本和场景模版的参数；根据设置的网络攻击样本和场景模版申请 资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；向 发送下发网络攻击样本、背景流量和控制命令；样本库管理模块，用于管理数 据中心存储的网络攻击样本；背景流量管理模块，用于管理数据中心存储的背 景流量；资源管理模块，包含用户信息管理、设备管理、服务器资源、虚拟化 资源管理；场景模板管理模块，用于管理数据中心的场景模版；报告管理模块， 用于管理场景复现后生成的报告文件。

可选地，所述数据中心包括样本库模块、背景流量模块和场景模版库模块； 其中，样本库模块，用于保存、导入、导出和删除网络攻击样本；背景流量模 块，用于保存、导入、导出和删除背景流量；场景模版库模块，用于保存、导 入、导出、新建、修改和删除场景模版。

可选地，所述发送器包括服务组件接口、数据存储模块、数据同步模块； 其中，服务组件接口，用于被控制器调用，以实现与控制器的通信及控制，以 及控制器之间通信和控制；数据存储模块，用于存储从数据中心下载的背景流 量和样本流量。数据同步模块，在执行数据发送过程中，多个发送器之间通过 数据同步模块进行同步。

基于同样的发明构思，本申请还提供了一种设备及存储介质。

第三方面，所述设备包括：一个或多个处理器；存储器，用于存储一个或 多个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述 一个或多个处理器执行如以上所述的网络攻击场景复现方法。

第四方面，本发明提供了一种存储有计算机程序的存储介质，该程序被处 理器执行时实现如以上所述的网络攻击场景复现方法。

采用本发明提供的技术方案，与现有技术相比，具有如下有益效果：

1)便捷的对网络协议类型、网络攻击类型进行网络流量组织和融合，能够 仿真关键信息基础设施网络情况，并且根据时序关系有效的对每一个网络数据 包情况展现。

2)在基于关键信息基础设施网络攻击流量防御演训的场景复现中，打破常 规，提供了更加便于用户操作和增强用户体验的交互，例如在场景复现中网络 流程通过列表、流量时序、攻击发送间隔等多种形式进行展现，提供网络场景 复现的一个体验更好的交互方案。

3)本申请适用于面向网络攻击防御演训中，通过关键信息基础设施网络攻 击流量样本信息，完成样本网络拓扑提取，网络流量模拟发送，还原样本网络 攻击流量特征及网络拓扑结构，最后结合场景复现报告，实现了防御系统评估 人员针对性的直观了解网络攻击的原理。本申请重现了网络攻击的场景，提供 了基于关键信息基础设施网络攻击复现系统，供演训人员体验，参与其中，从 而加深对关键信息基础设施网络攻击的原理的理解。

4)样本数据一般是指带有已知网络攻击特征的网络流量，在场景模拟过程 中，样本数据流量会模拟发送到指定的终端或系统，并人为的确认终端或系统 是否受到网络流量攻击。如果有，那么该终端或系统就应该对模拟的样本数据 做加固防御措施。如样本数据为DDos攻击流量，发送到某web服务器。如果该 web服务器在样本流量的模拟发送过程中受到了ddos攻击，那么应该对该web 服务器采取系统安全加固等措施，从而达到防御系统评估的作用。

5)针对特定关键信息基础设施，提供了正常网络流量和遭受网络攻击的场 景复现能力，核心技术是便捷的对网络协议类型、网络攻击类型进行网络流量 组织和融合，能够仿真关键信息基础设施网络情况。从而实现了关键信息基础 设施网络攻击流量防御演训中针对性的网络场景复现能力；在安全技术人员培 养周期长，培养难度大情况下，提供了人员有效的网络安全能力提升支撑手段。

附图说明

为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施 例或有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中 的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出 创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明提供的一种网络攻击流量场景复现方法流程图。

图2为本发明提供的一种网络攻击流量场景复现系统结构示意图。

图3为图1一优选实施例提供的一种网络攻击流量场景复现方法流程图。

图4为本发明的设备示意图。

图5为数据多级发送示意图。

图6为本申请的控制器模拟的一种网络拓扑结构示意图。

具体实施方式

在下文中，仅简单地描述了某些示例性实施例。正如本领域技术人员可认 识到的那样，在不脱离本发明的精神或范围的情况下，可通过各种不同方式修 改所描述的实施例。因此，附图和描述被认为本质上是示例性的而非限制性的。

本发明中所述的第一、第二等词语，是为了描述本发明的技术方案方便而设 置，并没有特定的限定作用，均为泛指，对本发明的技术方案不构成限定作用。

需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征 可以相互组合。下面将参考附图并结合实施例来详细说明本申请。

下面结合附图对本发明的实施例进行详细说明。

实施例1

如图1所示，一种网络攻击场景复现方法，包括：

S101、选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、 场景模版；

S102、设置网络攻击样本和场景模版的参数；

S103、根据设置的网络攻击样本和场景模版申请资源，重建所述网络攻击 样本的拓扑结构，模拟网络攻击样本的拓扑节点；

S104、发送器接收网络攻击样本和背景流量下发，下载背景流量，发送流 量数据到每个网络攻击样本的拓扑节点，场景复现数据实时展示。

在步骤S102中，设置完以后进行保存，等到下次进行复现时，可以从已保 存的设置好的网络攻击样本和场景模版参数中选择一个，不需要每次都进行选 择和设置，方便执行场景复现过程。

步骤S101中首先在选择在特定关键信息基础设施所遭受的网络攻击样本， 在选择时也提供了网络攻击样本的描述信息供操作用户进行理解和适配性参考 依据；

本实施例中的样本和模板都是预先做好的，直接可以选择，所以不需要再 去考虑如何形成特定关键信息基础设施所遭受的网络攻击样本了。网络攻击样 本提取的提取过程比较复杂，首先需要在特定网络环境中尽可能多的节点进行 抓包；其次，对抓包文件进行分析、清洗，通过时间、空间、会话、场景关联 等特性进行样本特征提取、标注工作，生成样本特征信息；最后，提取每个节 点抓包文件中的网络拓扑信息，生成样本网络拓扑。其中操作用户包括演训人 员、防御系统人员等。

步骤S103中所述重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的 拓扑节点，进一步为：通过网络虚拟化技术(SDN、VMware等)重建所述网络攻 击样本的拓扑结构，采用容器技术(Docker容器技术)来模拟网络攻击样本的 拓扑节点，所述网络攻击样本的拓扑节点包括路由器、交换机、终端等，根据 样本拓扑图，来部署各个节点，并标注其用途。

步骤S103中所述根据设置的网络攻击样本和场景模版申请资源，是指根据 网络拓扑节点数量申请虚拟化设备的硬件开支。即申请硬件资源来满足虚拟化 交换机、路由器、终端等的开销。

步骤S104中发送器接收网络攻击样本和背景流量下发，为流量数据(样本 流量、背景流量)配置数据，所述配置数据指网络攻击样本ID、背景流量ID等 信息，便于数据读取和管理。

步骤S102中设置网络攻击样本和场景模版的参数，包括设置网络攻击样本、 带宽大小、场景名称、场景复现加速控制和网络拓扑复杂度。比如增加、删除 网络拓扑节点，修改网络拓扑节点IP地址等；可以自定义加入单个或多个背景 流量，或是已生成好的背景流量模版。

网络攻击样本根据攻击类型和攻击层次进行划分。按照攻击类型一般包括： DDos攻击、钓鱼网站、木马后门蠕虫、APT攻击、邮件攻击等；按照攻击层次 一般分为：简单拒绝服务(DDos)，本地用户获得非授权读权限，本地用户获 得非授权写权限，远程用户获得非授权账号信息，远程用户获得特权文件的读 权限，远程用户获得特权文件的写权限，远程用户拥有了系统管理员权限。

复现加速控制只是调节复现过程中，数据发送间隔时间。如样本流量包含1 小时的数据包，那复现的时候可以对速度进行调节，可以让复现过程在10分钟、 5分钟或是更少的时间内完成。

网络拓扑复杂度由网络拓扑图中节点数量、网络层次等因素决定。目前只 提取3层及以下的网络拓扑。

复现不加速的情况下，场景复现时间和样本的时序是一致的。如果样本数 据时间跨度大，那么复现的时间就会长，为了减少等待，因此用户可以提高数 据发送间隔及场景加速功能来加快场景复现，缩短时间。本实施例中仅与网络 带宽有关系，当流量发送时的带宽大于了设置的最大网络带宽，那么时间就会 增加。

所述的方法还包括步骤S106、生成报告，以记录场景复现步骤，从网络流 量的时间特性、空间特性、会话特性和关联特性方面对各种类型的网络攻击样 本进行分析。

场景复现完成后，用户需要反馈复现效果情况，并生成相应报告。报告记 录了整个场景复现步骤，并从网络流量时间特性、空间特性、会话特性、关联 特性等诸多方面对各种类型的流量样本进行分析，用户能通过报告更深刻、直 观的学习和理解各种网络流量攻击的原理、实现步骤及破坏性，同时也提高网 络防御人员的能力。从复现的过程中能够学习到攻击样本的原理、实现步骤， 这就提高了能力，且以后遇到类似原理及攻击步骤的网络流量时，可做出有效 防御措施。

实施例2

一种网络攻击场景复现系统，包括控制器、发送器和数据中心；其中，数 据中心用于保存网络攻击样本、背景流量和场景模版；

控制器用于选择网络攻击样本、场景模版和发送器，从数据中心导入对应 的网络攻击样本、场景模版；设置网络攻击样本和场景模版的参数；根据设置 的网络攻击样本和场景模版申请资源，重建所述网络攻击样本的拓扑结构，模 拟网络攻击样本的拓扑节点；发送器用于接收控制器下发的网络攻击样本和背 景流量，以从数据中心下载背景流量，根据控制器的控制命令发送流量数据到 每个网络攻击样本的拓扑节点，进行场景复现数据实时展示。

控制器管理业务流程、系统资源、场景模版、用户权限等；通过数据中心 接口读取样本库、背景流量及模块库，将它们导入到控制器中，流量复现模块 再根据用户的业务需求来完成业务场景的搭建，生成对应的网络拓扑结构。当 用户业务场景建立完毕后，控制器会下发场景数据到发送器。

如图2所示，所述控制器包括应用开发接口、数据接口、流量复现模块、 样本库管理模块、背景流量管理模块、资源管理模块、场景模板管理模块、报 告管理模块；其中，所述应用开发接口，用于业务层进行界面展示；所述数据 接口，用于数据中心和发送器的数据互传；

所述流量复现模块，用于选择网络攻击样本、场景模版和发送器，从数据 中心导入对应的网络攻击样本、场景模版，提供流量模拟过程中的一些参数化 配置功能；

设置网络攻击样本和场景模版的参数；根据设置的网络攻击样本和场景模 版申请资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节 点，如图6所示为模拟的一种网络拓扑结构的示例；

向发送下发网络攻击样本、背景流量和控制命令；

样本库管理模块，用于管理数据中心存储的网络攻击样本，提供样本数据 从数据中心的样本库的导入、查询、筛选功能；

背景流量管理模块，用于管理数据中心存储的背景流量，包括对背景流量 从数据中心的背景流量的导入、修改、删除等功能；

资源管理模块，包含用户信息管理、设备管理、服务器资源、虚拟化资源 管理；

场景模板管理模块，用于管理数据中心的场景模版；包括场景模版的新增 (从数据中心的模版库)、修改、删除等操作；

报告管理模块，用于管理场景复现后生成的报告文件，对场景复现后生成 的报告文件进行管理，支持删除、下载、导出等功能。

所述数据中心包括样本库模块、背景流量模块和场景模版库模块；数据中 心的流量数据是靠外部用户导入的，其中，

样本库模块，用于保存、导入、导出和删除网络攻击样本；

背景流量模块，用于保存、导入、导出和删除背景流量；

场景模版库模块，用于保存、导入、导出、新建、修改和删除场景模版。

所述发送器包括服务组件接口、数据存储模块、数据同步模块；其中，

服务组件接口，提供统一的数据收发及控制接口，用于被控制器调用，以 实现与控制器的通信及控制，以及控制器之间通信和控制；

数据存储模块，用于存储从数据中心下载的背景流量和样本流量。

数据同步模块，在执行数据发送过程中，多个发送器之间通过数据同步模 块进行同步。发送器完成网络流量数据的发送(发送器之间的数据同步，数据 流量发送的接收方，即，使数据流量到达的设备)、控制器命令的分发(通过 控制器中流量复现模块经发送器实现调用组件接口，实现通信及控制)、发送 器状态的回传(任务进度状态、资源使用的状态等一系列数据，通过服务器组件 接口回传给控制器的流量复现模块)等，并在场景任务开始前，通过数据中心接 口进行流量下载。

如图3所示，选择样本(网络攻击样本)，从数据中心导入对应的样本； 选择场景模版，从数据中心导入对应的场景模版，设置样本的场景参数，选择 发送器，判断是否修改网络拓扑，若是，则设置网络拓扑结构，若网络拓扑结 构修改成功，或者若不修改网络拓扑结构，则建立复现场景，若网络拓扑结构 修改不成功，则结束。建立复现场景后，判断是否加入背景流量，若是，则设 置背景流量，若背景流量设置不成功，则结束；若背景流量设置成功，或若不 加入背景流量，则场景复现开始，数据实时展示，场景复现结束，判断是否达 到效果，若是，则生成报告结束，若否，则直接结束。

在场景复现运行过程中，控制器会实时接收各个发送器节点数据发送状态， 调节各个节点之间的数据级同步性，根据数据实时模拟发送状态反馈，保证模 拟发送数据与样本数据的一致性。如图5所示，多级数据同步实际是根据样本 数据包发送时序图进行控制的，任务开始时，每个发送器(图5中vhost1-N为 虚拟发送器，host1-N为发送器)只需要读取系列中属于自己的部分样本数据包 (对应图5中的样本攻击序列Packet1-N,图5中的靶机与图6的目标1和2对 应，均指发送数据流量到达的设备包括交换机，客户端，服务器等)，包括发 送的样本数据包序号及发送时间等，并根据时序进行数据包发送，发送过程中 需对控制器回复发送状态，即，进行状态回传。

实施例3

一种设备，所述设备包括：一个或多个处理器；存储器，用于存储一个或多 个程序，当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一 个或多个处理器执行如以上所述的方法。

一种存储有计算机程序的存储介质，该程序被处理器执行时实现如以上实施 例1所述的方法。

图4为本发明一实施例提供的一种设备的结构示意图。

如图4所示，作为另一方面，本申请还提供了一种设备500，包括一个或多 个中央处理单元(CPU)501，其可以根据存储在只读存储器(ROM)502中的程 序或者从存储部分508加载到随机访问存储器(RAM)503中的程序而执行各种 适当的动作和处理。在RAM503中，还存储有设备500操作所需的各种程序和数 据。CPU501、ROM502以及RAM503通过总线504彼此相连。输入/输出(I/O)接 口505也连接至总线504。

以下部件连接至I/O接口505：包括键盘、鼠标等的输入部分506；包括诸 如阴极射线管(CRT)、液晶显示器(LCD)等以及扬声器等的输出部分507；包 括硬盘等的存储部分508；以及包括诸如LAN卡、调制解调器等的网络接口卡的 通信部分509。通信部分509经由诸如因特网的网络执行通信处理。驱动器510 也根据需要连接至I/O接口505。可拆卸介质511，诸如磁盘、光盘、磁光盘、 半导体存储器等等，根据需要安装在驱动器510上，以便于从其上读出的计算 机程序根据需要被安装入存储部分508。

特别地，根据本申请公开的实施例，上述任一实施例描述的方法可以被实现 为计算机软件程序。例如，本申请公开的实施例包括一种计算机程序产品，其 包括有形地包含在机器可读介质上的计算机程序，所述计算机程序包含用于执 行上述任一实施例描述的方法的程序代码。在这样的实施例中，该计算机程序 可以通过通信部分509从网络上被下载和安装，和/或从可拆卸介质511被安装。

作为又一方面，本申请还提供了一种计算机可读存储介质，该计算机可读存 储介质可以是上述实施例的装置中所包含的计算机可读存储介质；也可以是单 独存在，未装配入设备中的计算机可读存储介质。计算机可读存储介质存储有 一个或者一个以上程序，该程序被一个或者一个以上的处理器用来执行描述于 本申请的方法。

附图中的流程图和框图，图示了按照本发明各种实施例的系统、方法和计算 机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中 的每个方框可以代表一个模块、程序段、或代码的一部分，该模块、程序段、 或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应 当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图 中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执 行，它们有时也可以按相反的顺序执行，这根据所涉及的功能而定。也要注意 的是，框图和/或流程图中的每个方框、以及框图和/或流程图中的方框的组合， 可以通过执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以通 过专用硬件与计算机指令的组合来实现。

描述于本申请实施例中所涉及到的单元或模块可以通过软件的方式实现，也 可以通过硬件的方式来实现。所描述的单元或模块也可以设置在处理器中，例 如，各所述单元可以是设置在计算机或移动智能设备中的软件程序，也可以是 单独配置的硬件装置。其中，这些单元或模块的名称在某种情况下并不构成对 该单元或模块本身的限定。

以上描述仅为本申请的较佳实施例以及对所运用技术原理的说明。本领域技 术人员应当理解，本申请中所涉及的发明范围，并不限于上述技术特征的特定 组合而成的技术方案，同时也应涵盖在不脱离本申请构思的情况下，由上述技 术特征或其等同特征进行任意组合而形成的其它技术方案。例如上述特征与本 申请中公开的(但不限于)具有类似功能的技术特征进行互相替换而形成的技术 方案。

Claims (10)

1.一种网络攻击场景复现方法，其特征在于，包括：

S101、选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、场景模版；

S102、设置网络攻击样本和场景模版的参数；

S103、根据设置的网络攻击样本和场景模版申请资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；

S104、发送器接收网络攻击样本和背景流量下发，下载背景流量，发送流量数据到每个网络攻击样本的拓扑节点，场景复现数据实时展示。

2.根据权利要求1所述的网络攻击场景复现方法，其特征在于：

步骤S102中，所述设置网络攻击样本和场景模版的参数，包括设置样本类型、网络拓扑结构、带宽大小、场景名称、场景复现加速控制和网络拓扑复杂度。

3.根据权利要求1所述的网络攻击场景复现方法，其特征在于：

步骤S103中所述重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点，进一步为：通过网络虚拟化技术重建所述网络攻击样本的拓扑结构，采用容器技术来模拟网络攻击样本的拓扑节点。

4.根据权利要求1所述的网络攻击场景复现方法，其特征在于，该方法还包括步骤S106、生成报告，以记录场景复现步骤，从网络流量的时间特性、空间特性、会话特性和关联特性方面对各种类型的网络攻击样本进行分析。

5.一种网络攻击场景复现系统，其特征在于，包括：

数据中心，用于保存网络攻击样本、背景流量和场景模版；

控制器，用于选择网络攻击样本、场景模版和发送器，从数据中心导入对应的网络攻击样本、场景模版；设置网络攻击样本和场景模版的参数；根据设置的网络攻击样本和场景模版申请资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；

发送器，用于接收控制器下发的网络攻击样本和背景流量，以从数据中心下载背景流量，根据控制器的控制命令发送流量数据到每个网络攻击样本的拓扑节点，进行场景复现数据实时展示。

6.根据权利要求5所述的网络攻击场景复现系统，其特征在于，所述控制器包括：应用开发接口、数据接口、流量复现模块、样本库管理模块、背景流量管理模块、资源管理模块、场景模板管理模块、报告管理模块；

其中，

所述应用开发接口，用于业务层进行界面展示；

所述数据接口，用于数据中心和发送器的数据互传；

所述流量复现模块，用于选择网络攻击样本、场景模版和发送器，从数据中心导入对应的网络攻击样本、场景模版；

设置网络攻击样本和场景模版的参数；根据设置的网络攻击样本和场景模版申请资源，重建所述网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；向发送下发网络攻击样本、背景流量和控制命令；

样本库管理模块，用于管理数据中心存储的网络攻击样本；

背景流量管理模块，用于管理数据中心存储的背景流量；

资源管理模块，包含用户信息管理、设备管理、服务器资源、虚拟化资源管理；

场景模板管理模块，用于管理数据中心的场景模版；

报告管理模块，用于管理场景复现后生成的报告文件。

7.根据权利要求5所述的网络攻击场景复现系统，其特征在于：

所述数据中心包括样本库模块、背景流量模块和场景模版库模块；

其中，

样本库模块，用于保存、导入、导出和删除网络攻击样本；

背景流量模块，用于保存、导入、导出和删除背景流量；

场景模版库模块，用于保存、导入、导出、新建、修改和删除场景模版。

8.根据权利要求5的网络攻击场景复现系统，其特征在于：

所述发送器包括服务组件接口、数据存储模块、数据同步模块；

其中，

服务组件接口，用于被控制器调用，以实现与控制器的通信及控制，以及控制器之间通信和控制；

数据存储模块，用于存储从数据中心下载的背景流量和样本流量；

数据同步模块，在执行数据发送过程中，多个发送器之间通过数据同步模块进行同步。

9.一种设备，其特征在于，所述设备包括：

一个或多个处理器；

存储器，用于存储一个或多个程序，

当所述一个或多个程序被所述一个或多个处理器执行时，使得所述一个或多个处理器执行如权利要求1-4中任一项所述的方法。

10.一种存储有计算机程序的存储介质，其特征在于，该程序被处理器执行时实现如权利要求1-4中任一项所述的方法。

Images