CN111600913B - 一种网络靶场攻防场景真实设备自适应接入方法与系统 - Google Patents

Abstract

本发明公开了一种网络靶场攻防场景真实设备自适应接入方法与系统，本发明首先监听交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息，将获取的信息与用户选择或输入的真实设备信息进行匹配，保存接入的真实设备信息至数据库中；然后在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则，根据拓扑信息将流量配置规则发送到虚拟网络所在的各计算节点上；各计算节点将收到的流量配置规则应用到虚拟交换机上，虚拟交换机根据配置的规则进行虚拟机和真实设备之间的流量转发。本发明能够根据不同的场景动态自适应接入，提高了设备接入的灵活性。

Description

一种网络靶场攻防场景真实设备自适应接入方法与系统

技术领域

本发明涉及一种网络靶场攻防场景真实设备自适应接入方法与系统，属于网络技术领域。

背景技术

网络靶场是指通过虚拟环境与真实设备相结合，模拟仿真出真实网络空间攻防作战环境，能够支撑网络作战能力研究和网络武器装备验证试验平台。真实设备指用户现有的一些物理设备，如交换机、路由器、防火墙、服务器、台式机等，在网络靶场场景中，真实设备的接入能够充分利用用户现有的设备，降低项目成本，并且对于一些特殊的真实设备，可以直接接入到网络靶场场景中去，不用先虚拟化再接入，可以大大降低研发成本。

目前网络靶场领域所实现的真实设备接入主要是通过NAT方案或者通过VLAN方案来连接虚拟环境与真实设备的。

如图1所示，NAT方案是通过对虚拟设备及真实设备之间进行IP地址或者端口的映射来实现真实设备与虚拟设备之间网络互通的。在NAT方案中真实设备处于同一个网络中，虚拟网络到达真实设备的流量会在服务器上做NAT地址转换，然后再发送到真实设备上；同样的真实设备的流量在进入服务器之后也会相应的做NAT地址转换之后再将流量发送到虚拟网络中去。NAT方案虽然能够实现虚拟设备与真实设备互相通信，但是该方案有几个缺点：1、NAT方案并不能真正的将真实设备接入到虚拟网络中，虚拟设备与真实设备之间通信是通过NAT地址转换来实现的，二者仍处于不同的网络。2、真实设备都处于相同的物理网络中，设备地址配置受限。3、物理设备数量也会受到物理网络中可用地址范围的限制。

如图2所示，VLAN方案则是通过在虚拟网络与物理交换机上配置相同的VLAN ID来实现真实设备与虚拟设备之间网络互通的，虚拟网络发往真实设备的流量在经过虚拟交换机（br-vlan）时会打上虚拟网络的VLAN ID然后再将流量转发到交换机上，这样如果交换机上配置了对应VLAN ID的access接口即可接收到虚拟网络中发出的流量；同样的真实设备发出的流量在经过服务器br-vlan的时候会通过匹配VLAN ID将流量转发到对应的虚拟网络中去。

但是VLAN方案也有一些明显的缺点：1、VLAN方案虽然能够将真实设备接入到虚拟网络中，但是该方案需要在虚拟网络及物理交换机上配置相同的VLAN，这就需要场景配置人员具有交换机的接入权限，提高密码泄露的风险。2、交换机的配置需要根据不同的攻防场景进行动态配置VLAN及接口，但是目前交换机并没有提供相应的远程配置接口，只能通过COM口、或者SSH等接入到交换机上进行配置。3、真实设备与物理交换机端口对应，真实设备只能接到配置好VLAN的接口上，不能随意接入，如果接错则会导致真实设备与虚拟设备之间不能互相通信，增加了网络调试的复杂度。4、不同交换机的配置命令不一样，网络靶场平台运维人员需要学习不同交换机的配置方法，学习成本较高，并且手动配置出错概率较高。

发明内容

发明目的：针对上述现有技术存在的问题，本发明的目的在于提供一种网络靶场攻防场景真实设备自适应接入方法与系统，能够根据不同的场景动态接入，为真实设备分配不同的网络信息，提高设备接入的灵活性，减少配置出错概率。

技术方案：为实现上述发明目的，本发明所述的一种网络靶场攻防场景真实设备自适应接入方法，包括如下步骤：

（1）监听物理交换机上真实设备的接入，在真实设备接入后，通过分析DHCP请求的流量中包含的真实设备的MAC地址、厂商和主机名，获取到对应的真实设备信息；

（2）将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；

（3）在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；

（4）根据网络靶场场景拓扑信息，将流量配置规则发送到虚拟网络所在的各计算节点上；

（5）各计算节点将收到的流量配置规则应用到虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改流量包中的VLANID信息后再发送到对应的VLAN中。

作为优选，真实设备与虚拟设备通过DHCP服务分配的IP地址与虚拟设备的IP地址进行互相访问。

基于相同发明构思，本发明所述的一种网络靶场攻防场景真实设备自适应接入系统，包括：

自动发现模块，用于监听物理交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息，包括MAC地址、厂商和主机名；以及将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；

自适应配置模块，用于在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；以及根据网络靶场场景拓扑信息，将流量配置规则发送到虚拟网络所在的各计算节点上；

以及，自适应配置代理模块，用于将收到的流量配置规则应用到计算节点的虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改流量包中的VLAN ID信息后再发送到对应的VLAN中；

所述自动发现模块和自适应配置模块设于控制节点，所述控制节点为部署有网络靶场平台的服务器；所述自适应配置代理模块设于计算节点，所述计算节点为部署有网络靶场场景中的一台或多台虚拟机的服务器。

基于相同发明构思，本发明所述的一种网络靶场攻防场景真实设备自适应接入系统，包括：控制节点和至少一台计算节点，所述控制节点和计算节点均包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序；

所述控制节点上的计算机程序被加载至处理器时实现如下方法：

监听物理交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息，包括MAC地址、厂商和主机名；将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；以及在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；

所述计算节点上的计算机程序被加载至处理器时实现如下方法：

将收到的流量配置规则应用到虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改流量包中的VLAN ID信息后再发送到对应的VLAN中。

有益效果：本发明与现有NAT方案相比，能够实现真实设备直接接入虚拟网络中，真实设备之间可做端口隔离，可以根据不同的场景动态地接入，为真实设备分配不同的网络信息。本发明与现有VLAN方案相比，能够实现真实设备自适应接入，不再需要手动在交换机上进行VLAN及接口的配置工作，减少配置出错概率；并且真实设备不再需要接入指定的接口，可以任意接入交换机上默认未配置的接口，提高设备接入的灵活性。

附图说明

图1为现有采用NAT方案的真实设备接入示意图。

图2为现有采用VLAN方案的真实设备接入示意图。

图3为本发明实施例的网络拓扑结构示意图。

图4为本发明实施例中的真实设备发现流程图。

图5为本发明实施例中的自适应配置流程图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例仅只是本发明的一部分实施例，而不是全部的实施例。基于本发明的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的其他所有实施例，都属于本发明保护的范围。

本发明实施例公开的一种网络靶场攻防场景真实设备自适应接入方法，首先，监听交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息，将获取的信息与用户选择或输入的真实设备信息进行匹配，保存接入的真实设备信息至数据库中；然后，在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则，根据拓扑信息将流量配置规则发送到虚拟网络所在的各计算节点上；各计算节点再将收到的流量配置规则应用到虚拟交换机上，虚拟交换机根据配置的规则进行虚拟机和真实设备之间的流量转发。

如图3所示，实现本发明实施例的网络靶场攻防场景真实设备自适应接入方法的系统，主要包含真实设备自动发现模块和自适应配置模块，两个模块均部署在控制节点，虚拟机部署在计算节点上。其中，控制节点、计算节点的第一块网卡做为管理网卡，接到交换机划分的管理VLAN网络上。第二块网卡作为真实设备接入网卡，接到交换机预先配置的trunk口。图3中交换机可以有多台，如果有多台则通过交换机级联的方式进行连接。自动发现模块会实时监听交换机上真实设备的接入，获取到对应的真实设备信息后会将信息存储到数据库中，在网络靶场场景启动的时候自适应配置模块会根据场景中的网络拓扑信息将对应的真实设备流量的配置下发到各个计算节点上去。各计算节点上部署的自适应配置代理模块，将流量配置规则应用到虚拟交换机。

下面结合图4、5对本实施例的真实设备自动发现和自适应配置进行详细说明。

真实设备在接入物理交换机的时候会自动发送DHCP请求到DHCP服务器请求IP地址，真实设备的流量会通过交换机的trunk口发送到控制节点的网卡上，真实设备自动发现模块会采用混杂模式一直监听经过服务器网卡的DHCP的流量。真实设备自动发现模块主要是通过监听网络中的DHCP请求的流量，分析出流量中包含的物理设备的MAC地址、厂商、主机名等信息来精确匹配出对应的物理设备。

如图4所示，详细的真实设备发现流程包括：

1、启动真实设备自动发现模块，监控服务器网卡流量；

2、真实设备接入到交换机上，自动DHCP获取地址；

3、DHCP流量通过交换机trunk口发送到控制节点服务器网卡；

4、自动发现模块通过流量抓取脚本获取真实设备的DHCP请求包；

5、自动发现模块通过对DHCP请求包进行分析，解析出包中包含的MAC地址、Vendor及hostname信息；

6、用户在网络靶场平台上点击添加真实设备，选择或者输入真实设备的厂商信息、设备类型；

7、将解析出的厂商信息、hostname（主机名）信息与用户选择或者输入的厂商信息、设备类型进行相似度匹配，返回匹配度最高的MAC地址认为是添加的真实设备的MAC地址，并将真实设备信息返回给网络靶场平台（如果相同匹配度的有多条，则会以列表的形式返回给网络靶场平台再由用户手动选择）；具体进行相似度匹配时，可将厂商信息、主机名信息分别进行匹配，将较高匹配度的值作为当前信息的匹配度，或将厂商信息、主机名信息串联后进行匹配，匹配度计算可使用python自带的字符串相似度检测库 difflib来进行计算（基于Ratcliff-Obershelp算法）。

8、网络靶场平台将接收到的真实设备信息保存至数据库中。

自适应配置模块主要是对进出虚拟交换机的流量进行源、目的MAC地址匹配，并根据匹配的结果来修改源、目的VLAN ID。这样即可将虚拟VLAN网络中的流量转发到真实设备上，实现真实设备与虚拟设备互通。

如图5所示，详细的自适应配置流程包括：

1、用户启动选中的网络靶场场景；

2、网络靶场平台获取当前场景的拓扑信息，并根据拓扑信息在各个节点创建虚拟网络；

3、自适应配置模块从数据库中获取当前场景中的真实设备信息；

4、自适应配置模块根据真实设备信息及虚拟网络信息生成流量配置规则；

5、自适应配置模块根据网络靶场场景拓扑信息，通过管理网络将流量配置规则发送到虚拟网络所在的各个计算节点；

6、计算节点上的自适应配置代理模块（Agent程序）收到流量配置规则后会将规则应用到虚拟交换机上。

如图5中真实设备08:9e:01:95:60:52与虚拟网络VLAN101的流量配置规则示例（以openvswitch虚拟交换机软件配置为例）：

规则1：ovs-ofctl add-flow br-vlan 'table=0,in_port=phy-br-vlan, dl_dst=08:9e:01:95:60:52 actions=strip_vlan,NORMAL'

规则2：ovs-ofctl add-flow br-vlan 'table=0,dl_src=08:9e:01:95:60:52actions=mod_vlan_vid:101,NORMAL'

规则说明：当虚拟机向真实设备发流量的时候，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，流量包会匹配到预先配置的规则1，虚拟交换机会将流量包中的VLAN ID去掉，然后再将流量包转发到物理网卡上去，物理网卡会将流量转发到交换机的trunk口，然后再由交换机将流量转发到真实设备上去。当真实设备向虚拟机发流量的时候，源MAC地址为真实设备的MAC地址，流量会通过交换机的trunk口转发到服务器的物理网卡上，物理网卡会将流量直接发送到虚拟交换机上去，当虚拟交换机收到流量的时候，流量包会匹配到预先配置的规则2，这时虚拟交换机会修改数据包中的VLAN ID信息，修改后再将数据包发送到对应的VLAN中。

真实设备自动发现与自适应配置完成后在逻辑上真实设备与虚拟设备就会处于同一个网络，这时真实设备可以向当前虚拟网络中的DHCP服务请求IP地址，DHCP服务接收到请求之后会在自己的地址池中随机选择一个可用的地址发送给真实设备。真实设备得到IP地址之后即可以与虚拟设备通过IP地址进行互相访问。

基于相同发明构思，本发明实施例提供的一种网络靶场攻防场景真实设备自适应接入系统，包括：控制节点和至少一台计算节点，控制节点和计算节点均包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序；

控制节点上的计算机程序被加载至处理器时实现如下方法：监听交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息；将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；以及在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；

计算节点上的计算机程序被加载至处理器时实现如下方法：将收到的流量配置规则应用到虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改数据包中的VLAN ID信息后再发送到对应的VLAN中。

Claims (4)

1.一种网络靶场攻防场景真实设备自适应接入方法，其特征在于，包括如下步骤：

（1）监听物理交换机上真实设备的接入，在真实设备接入后，通过分析DHCP请求的流量中包含的真实设备的MAC地址、厂商和主机名，获取到对应的真实设备信息；

（2）将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；

（3）在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；

（4）根据网络靶场场景拓扑信息，将流量配置规则发送到虚拟网络所在的各计算节点上；

（5）各计算节点将收到的流量配置规则应用到虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改流量包中的VLAN ID信息后再发送到对应的VLAN中。

2.根据权利要求1所述的网络靶场攻防场景真实设备自适应接入方法，其特征在于，真实设备与虚拟设备通过DHCP服务分配的IP地址与虚拟设备的IP地址进行互相访问。

3.一种网络靶场攻防场景真实设备自适应接入系统，其特征在于，包括：

自动发现模块，用于监听物理交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息，包括MAC地址、厂商和主机名；以及将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；

自适应配置模块，用于在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；以及根据网络靶场场景拓扑信息，将流量配置规则发送到虚拟网络所在的各计算节点上；

以及，自适应配置代理模块，用于将收到的流量配置规则应用到计算节点的虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改流量包中的VLAN ID信息后再发送到对应的VLAN中；

所述自动发现模块和自适应配置模块设于控制节点，所述控制节点为部署有网络靶场平台的服务器；

所述自适应配置代理模块设于计算节点，所述计算节点为部署有网络靶场场景中的一台或多台虚拟机的服务器。

4.一种网络靶场攻防场景真实设备自适应接入系统，其特征在于，包括：控制节点和至少一台计算节点，所述控制节点和计算节点均包括存储器、处理器及存储在存储器上并可在处理器上运行的计算机程序；

所述控制节点上的计算机程序被加载至处理器时实现如下方法：

监听物理交换机上真实设备的接入，在真实设备接入后获取到对应的真实设备信息，包括MAC地址、厂商和主机名；将获取的信息与用户选择或输入的真实设备信息进行相似度匹配，将匹配度最高的一条真实设备信息，或用户从匹配度最高的多条真实设备信息选择的一条保存至数据库中；以及在网络靶场场景启动时，从数据库中获取当前场景中的真实设备信息，并根据真实设备的MAC地址及虚拟网络的VLAN ID生成流量配置规则；

所述计算节点上的计算机程序被加载至处理器时实现如下方法：

将收到的流量配置规则应用到虚拟交换机上；对于虚拟机向真实设备发的流量，目标MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机将流量包中的VLAN ID去掉后再转发；对于真实设备向虚拟机发的流量，源MAC地址为真实设备的MAC地址，当流量通过虚拟交换机的时候，虚拟交换机会修改流量包中的VLAN ID信息后再发送到对应的VLAN中。

Images