CN111756761A - 基于流量转发的网络防御系统、方法和计算机设备 - Google Patents

Abstract

本申请涉及一种基于流量转发的网络防御系统、方法、计算机设备和存储介质，其中，该系统包括：代理模块、蜜罐服务模块以及控制模块，其中，代理模块配置于业务主机中，与业务主机、控制模块以及蜜罐服务模块均通信连接，控制模块与业务主机通信连接；控制模块用于发送代理规则给代理模块；代理模块用于根据代理规则，在业务主机接收到攻击端发送的流量数据的情况下，将攻击端发送的流量数据转发给述蜜罐服务模块；蜜罐服务模块至少包括一个蜜罐，用于接收并响应代理模块转发的流量数据，以及发送反馈报文给代理模块。通过本申请，解决了相关技术中蜜罐部署占用的服务器资源大的问题，实现了降低蜜罐部署占用的服务器资源的技术效果。

Description

基于流量转发的网络防御系统、方法和计算机设备

技术领域

本申请实施例涉及网络安全技术领域，特别是涉及一种基于流量转发的网络防御系统、方法、计算机设备和存储介质。

背景技术

蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，能够让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。

随着目前互联网的发展，蜜罐作为新兴的网络防御技术，不仅能够主动防御网络攻击，而且还可以收集攻击者的重要信息。但是当前的现状是业务系统的网络结构越来越复杂，重要应用和服务器的数量及种类日益增多，一旦被黑客入侵，就可能会极大的影响业务系统的正常运转。对于蜜罐技术来说，防御黑客攻击其中最有效的方式是，在可能被攻击的环境中，布置海量的蜜罐，增强蜜罐在攻击者前的曝光率。

目前，相关技术中的基于蜜罐的网络防御技术往往是在可能被攻击的环境中，布置海量的蜜罐，增强蜜罐在攻击者前的曝光率。例如：如果蜜罐部署的密度能够和真实的企业资产达到1:1甚至更高的比例，那么攻击者就有很高的概率会踩到蜜罐，从而被感知到。然而，面对成百上千的终端部署量，需要昂贵硬件设备的部署支撑，具有极大的部署成本以及占用大量的服务器资源。

目前针对相关技术中蜜罐部署占用的服务器资源大的问题，尚未提出有效的解决方案。

发明内容

本申请实施例提供了一种基于流量转发的网络防御系统、方法、计算机设备和存储介质，以至少解决相关技术中蜜罐部署占用的服务器资源大的问题。

第一方面，本申请实施例提供了一种基于流量转发的网络防御系统，应用于对业务主机的网络防御，所述系统包括：代理模块、蜜罐服务模块以及控制模块，其中，

所述代理模块配置于所述业务主机中，与所述业务主机、所述控制模块以及所述蜜罐服务模块均通信连接，所述控制模块与所述业务主机通信连接；

所述控制模块用于发送代理规则给所述代理模块；

所述代理模块用于根据所述代理规则，在所述业务主机接收到攻击端发送的流量数据的情况下，将所述攻击端发送的所述流量数据转发给所述蜜罐服务模块；

所述蜜罐服务模块至少包括一个蜜罐，用于接收并响应所述代理模块转发的流量数据，以及发送反馈报文给所述代理模块。

在其中一些实施例中，所述蜜罐服务模块包括以下至少之一：Wordpress蜜罐、渗透蜜罐、工控系统蜜罐、操作系统蜜罐、系统服务蜜罐。

在其中一些实施例中，所述代理规则包括以下至少之一：所述蜜罐的IP、所述蜜罐的端口号、所述业务主机的至少一个允许转发的端口号以及对应的转发协议。

在其中一些实施例中，所述控制模块还用于接收所述代理模块发送的所述蜜罐服务模块的反馈报文，并展示所述反馈报文。

第二方面，本申请实施例提供了一种基于流量转发的网络防御方法，应用于如上述第一方面所述的基于流量转发的网络防御系统，所述方法包括：

控制模块发送代理规则给代理模块；

在所述业务主机接收到攻击端发送的流量数据的情况下，所述代理模块根据所述代理规则，将所述攻击端发送的所述流量数据转发给蜜罐服务模块；

所述蜜罐服务模块接收并响应所述代理模块转发的流量数据，以及发送反馈报文给所述代理模块。

在其中一个实施例中，在控制模块发送代理规则给代理模块之前，所述方法还包括：

所述控制模块获取所述业务主机的系统类型；

所述控制模块根据所述系统类型，在预设代理库中确定对应于所述系统类型的代理模块。

在其中一个实施例中，所述代理模块包括代理客户端以及与所述代理客户端通信连接的代理服务端；在所述业务主机接收到攻击端发送的流量数据的情况下，所述代理模块根据所述代理规则，将所述攻击端发送的所述流量数据转发给蜜罐服务模块包括：

所述代理客户端对所述代理服务端进行身份验证；

在所述代理服务端通过身份验证的情况下，所述代理客户端发送所述蜜罐服务模块的IP以及端口号给所述代理服务端；

所述代理服务端根据所述蜜罐服务模块的IP以及端口号，与所述蜜罐服务模块建立连接，并转发所述流量数据给蜜罐服务模块。

在其中一个实施例中，所述蜜罐服务模块接收并响应所述代理模块转发的流量数据，以及发送反馈报文给所述代理模块包括：

所述蜜罐服务模块接收所述代理模块转发的流量数据，并根据所述流量数据，确定所述流量数据对应的反馈报文；

所述蜜罐服务模块发送所述反馈报文给所述代理服务端；

所述代理服务端发送所述反馈报文给所述代理客户端。

第三方面，本申请实施例提供了一种计算机设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如上述第二方面所述的基于流量转发的网络防御方法。

第四方面，本申请实施例提供了一种存储介质，其上存储有计算机程序，该程序被处理器执行时实现如上述第二方面所述的基于流量转发的网络防御方法。

相比于相关技术，本申请实施例提供的基于流量转发的网络防御系统、方法、计算机设备和存储介质，解决了相关技术中蜜罐部署占用的服务器资源大的问题，实现了降低蜜罐部署占用的服务器资源的技术效果。

本申请实施例的一个或多个实施例的细节在以下附图和描述中提出，以使本申请实施例的其他特征、目的和优点更加简明易懂。

附图说明

此处所说明的附图用来提供对本申请实施例的进一步理解，构成本申请实施例的一部分，本申请实施例的示意性实施例及其说明用于解释本申请实施例，并不构成对本申请实施例的不当限定。在附图中：

图1是根据本申请实施例的基于流量转发的网络防御系统的结构示意图；

图2是根据本申请实施例的基于流量转发的网络防御方法的流程图；

图3是根据本申请优选实施例的基于流量转发的网络防御方法的流程图；

图4是根据本申请实施例的计算机设备的硬件结构示意图。

具体实施方式

为了使本申请实施例的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本申请实施例进行描述和说明。应当理解，此处所描述的具体实施例仅仅用以解释本申请实施例，并不用于限定本申请实施例。基于本申请实施例提供的实施例，本领域普通技术人员在没有作出创造性劳动的前提下所获得的所有其他实施例，都属于本申请实施例保护的范围。

显而易见地，下面描述中的附图仅仅是本申请实施例的一些示例或实施例，对于本领域的普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图将本申请实施例应用于其他类似情景。此外，还可以理解的是，虽然这种开发过程中所作出的努力可能是复杂并且冗长的，然而对于与本申请实施例公开的内容相关的本领域的普通技术人员而言，在本申请实施例揭露的技术内容的基础上进行的一些设计，制造或者生产等变更只是常规的技术手段，不应当理解为本申请实施例公开的内容不充分。

在本申请实施例中提及“实施例”意味着，结合实施例描述的特定特征、结构或特性可以包含在本申请实施例的至少一个实施例中。在说明书中的各个位置出现该短语并不一定均是指相同的实施例，也不是与其它实施例互斥的独立的或备选的实施例。本领域普通技术人员显式地和隐式地理解的是，本申请实施例所描述的实施例在不冲突的情况下，可以与其它实施例相结合。

除非另作定义，本申请实施例所涉及的技术术语或者科学术语应当为本申请实施例所属技术领域内具有一般技能的人士所理解的通常意义。本申请实施例所涉及的“一”、“一个”、“一种”、“该”等类似词语并不表示数量限制，可表示单数或复数。本申请实施例所涉及的术语“包括”、“包含”、“具有”以及它们任何变形，意图在于覆盖不排他的包含；例如包含了一系列步骤或模块(单元)的过程、方法、系统、产品或设备没有限定于已列出的步骤或单元，而是可以还包括没有列出的步骤或单元，或可以还包括对于这些过程、方法、产品或设备固有的其它步骤或单元。本申请实施例所涉及的“连接”、“相连”、“耦接”等类似的词语并非限定于物理的或者机械的连接，而是可以包括电气的连接，不管是直接的还是间接的。本申请实施例所涉及的“多个”是指两个或两个以上。“和/或”描述关联对象的关联关系，表示可以存在三种关系，例如，“A和/或B”可以表示：单独存在A，同时存在A和B，单独存在B这三种情况。字符“/”一般表示前后关联对象是一种“或”的关系。本申请实施例所涉及的术语“第一”、“第二”、“第三”等仅仅是区别类似的对象，不代表针对对象的特定排序。

本实施例提供了一种基于流量转发的网络防御系统。如以下所使用的，术语“模块”、“单元”、“子单元”等可以实现预定功能的软件和/或硬件的组合。尽管以下实施例所描述的装置较佳地以软件来实现，但是硬件，或者软件和硬件的组合的实现也是可能并被构想的。图1是根据本申请实施例的基于流量转发的网络防御系统的结构示意图，如图1所示，该系统包括：代理模块10、蜜罐服务模块20以及控制模块30，其中，代理模块10配置于业务主机中，与业务主机、控制模块30以及蜜罐服务模块20均通信连接，控制模块30与业务主机通信连接；控制模块30用于发送代理规则给代理模块10；代理模块10用于根据代理规则，在业务主机接收到攻击端发送的流量数据的情况下，将攻击端发送的流量数据转发给蜜罐服务模块20；蜜罐服务模块20至少包括一个蜜罐，用于接收并响应代理模块10转发的流量数据，以及发送反馈报文给代理模块10。

在本实施例中，代理模块10可以配置于业务主机中，与业务主机的至少一个允许转发的端口连接，并根据对应的端口号以及转发协议，获取该端口上的所有TCP(传输控制协议，Transmission Control Protocol，简称为TCP)流量，并将其转发至蜜罐服务模块20。

在其中一个实施例中，代理模块10内还可设置阈值，在业务主机处理器使用率高于阈值的情况下，关闭代理模块10。通过在代理模块10中设置阈值，避免业务主机的处理器超负荷使用。

在其他实施例中，代理模块10还可以配置于业务主机外。

在其中一个实施例中，控制模块30可以被配置为用于管理蜜罐服务模块20，以及存放对应代理模块10的代理规则，其中，代理规则包括但不限于以下至少之一：蜜罐的IP、蜜罐的端口号、业务主机的至少一个允许转发的端口号以及对应的转发协议；管理蜜罐服务模块20可以为对蜜罐服务模块20中的至少一个蜜罐进行管理，例如运行、暂停、停止等操作。上述实施例中的代理模块10可以根据控制模块30提供的蜜罐的IP、蜜罐的端口号将TCP流量转发至对应蜜罐，蜜罐对接收到的TCP流量进行分析，将分析结果为攻击数据的流量包抓取上传到控制模块30。

此外，在其他实施例中，控制模块30还可以被配置为用于接收代理模块10发送的蜜罐服务模块20的反馈报文，并展示反馈报文，其中，反馈报文包括但不限于以下至少之一：攻击端的攻击记录、蜜罐服务模块20的分析结果。

在其中一个实施例中，蜜罐服务模块20包括了至少两个类别的蜜罐，其中，每一类别的蜜罐可以是一个或多个。不同类别的蜜罐可以为不同版本的蜜罐，也可以为不同厂家的蜜罐，也可以为不同检测方式的蜜罐。蜜罐服务模块20可以监听开放服务的相应端口以及捕获异常操作，蜜罐服务模块20包括但不限于以下至少之一：Wordpress蜜罐、渗透蜜罐、工控系统蜜罐、操作系统蜜罐、系统服务蜜罐。蜜罐服务模块20可以配置于虚拟系统中，其中，通过在虚拟系统上部署蜜罐，可以防止用户真实业务环境被攻击端破坏，提高了业务主机的安全性。

在其他实施例中，蜜罐服务模块20还可以包括其他高交互蜜罐、低交互蜜罐以及Web服务蜜罐。

在本实施例中，可以将代理模块10转发的流量数据分别放入蜜罐服务模块20中的每一类别的蜜罐中运行，得到多个蜜罐的执行结果，并进一步生成结果矩阵。其中，还可以将流量数据放入蜜罐服务模块20中的其中几个类别的蜜罐中运行，并得到结果矩阵。该结果矩阵包含的执行结果对应的蜜罐类别至少为两种类别。

在其中一个实施例中，控制模块30还被配置为用于获取流量数据的类型，通过获取流量数据的类型，根据流量数据的类型确定流量数据的运行环境，在蜜罐服务模块20中选择与运行环境对应的蜜罐作为检测蜜罐，分别在各检测蜜罐中运行流量数据，可以提升蜜罐服务模块20中各蜜罐的利用效率。

在其中一个实施例中，可以通过识别流量数据中的文件后缀来确定流量数据的类型，在其他实施例中，还可以通过获取流量数据的特征码来确定流量数据的类型。由于每一运行环境中可执行的文件类型都不完全相同，可以根据预设的类型与运行环境的对应关系确定流量数据的运行环境，流量数据的运行环境可以为一个，也可以为多个。若预设的类型与运行环境的对应关系中并未查找到该类型对应的运行环境，则认定流量数据的运行环境为任意一种运行环境，以避免漏报的可能性。具体的，运行环境可以为操作系统，软件系统，工控系统等。

在其中一个实施例中，不同的蜜罐设置于不同的运行环境中，也就是说，针对每一蜜罐，都包含多个设置于不同运行环境中的子蜜罐，在确定流量数据的运行环境后，会在每个蜜罐中查找对应的子蜜罐作为检测蜜罐。

在其中一个实施例中，控制模块30被配置为用于存放多个对应业务主机不同系统类型的代理模块10，并在控制模块30发送代理规则给代理模块10之前，还用于获取业务主机的系统类型并根据该系统类型在预设代理库中确定对应于该系统类型的代理模块10。

在本实施例中，控制模块30可以根据业务主机不同的系统类型(例如Windows系统和/或Linux系统)在预设代理库中确定对应于该系统类型的代理模块10，并生成对应代理模块10的下载链接，业务主机可以根据下载链接，下载代理模块10，将代理模块10配置于业务主机内。

在其中一个实施例中，代理模块10包括代理客户端以及与代理客户端通信连接的代理服务端，其中，代理客户端被配置为用于对代理服务端进行身份验证，以及在代理服务端通过身份验证的情况下，发送蜜罐服务模块20中至少一个蜜罐的IP以及端口号给代理服务端；代理服务端可以被配置于蜜罐服务模块20中，用于根据蜜罐服务模块20中至少一个蜜罐的IP以及端口号与蜜罐服务模块20建立连接，并转发流量数据给蜜罐服务模块20。

在其中一个实施例中，蜜罐服务模块20被配置为用于接收接收代理模块10转发的流量数据，并根据流量数据，确定流量数据对应的反馈报文，并发送反馈报文给代理服务端；代理服务端被配置为用于发送反馈报文给代理客户端。

在其中一个实施例中，当判断流量数据包含恶意流量数据时，控制模块30会发出告警提示，该告警提示用于指示管理员对其进行处理，当判断流量数据为普通流量数据时，会将该流量数据直接返回业务主机，以使得当前业务主机对该流量数据进行访问或处理。

本实施例还提供了一种基于流量转发的网络防御方法，应用于上述实施例中的基于流量转发的网络防御系统。该方法用于实现上述实施例及优选实施方式，已经进行过说明的不再赘述。

图2是根据本申请实施例的基于流量转发的网络防御方法的流程图，如图2所示，在其中一个实施例中，该流程包括如下步骤：

步骤S201，控制模块30发送代理规则给代理模块10；

步骤S202，在业务主机接收到攻击端发送的流量数据的情况下，代理模块10根据代理规则，将攻击端发送的流量数据转发给蜜罐服务模块20。

在其中一个实施例中，代理模块10包括代理客户端以及与代理客户端通信连接的代理服务端；在业务主机接收到攻击端发送的流量数据的情况下，代理模块10根据代理规则，将攻击端发送的流量数据转发给蜜罐服务模块20包括：代理客户端对代理服务端进行身份验证；在代理服务端通过身份验证的情况下，代理客户端发送蜜罐服务模块20的IP以及端口号给代理服务端；代理服务端根据蜜罐服务模块20的IP以及端口号，与蜜罐服务模块20建立连接，并转发流量数据给蜜罐服务模块20。

在本实施例中，代理模块10可以基于SOCKS5协议对流量数据进行转发，其中，SOCKS5协议是基于传输层的协议，客户端和服务器经过两次握手协商之后服务端为客户端建立一条到目标服务器的通道，在传输层转发TDP/UDP(User Datagram Protocol，用户数据报协议，简称为UDP)协议。

在本实施例中，代理客户端可以发送至少一个版本标志符或方法选择器给代理服务端，代理服务端可以从给定的协商认证方式中选择一个协商认证方式完成认证，在代理服务端完成协商认证后将认证结果返回代理客户端；代理客户端在代理服务端通过协商认证的情况下，向代理服务端发送蜜罐服务模块20中至少一个蜜罐的IP以及端口号，并根据该IP和端口号与蜜罐服务模块20建立连接，最后将经过SS加密的流量数据发送给蜜罐服务模块20。

步骤S203，蜜罐服务模块20接收并响应代理模块10转发的流量数据，以及发送反馈报文给代理模块10。

在其中一个实施例中，蜜罐服务模块20接收并响应代理模块10转发的流量数据，以及发送反馈报文给代理模块10包括：蜜罐服务模块20接收代理模块10转发的流量数据，并根据流量数据，确定流量数据对应的反馈报文；蜜罐服务模块20发送反馈报文给代理服务端；代理服务端发送反馈报文给代理客户端。

图3是根据本申请优选实施例的基于流量转发的网络防御方法的流程图，如图3所示，在其中一个实施例中，该流程包括如下步骤：

步骤S301，控制模块30获取业务主机的系统类型；

步骤S302，控制模块30根据系统类型，在预设代理库中确定对应于系统类型的代理模块10；

步骤S303，控制模块30发送代理规则给代理模块10。

步骤S304，在业务主机接收到攻击端发送的流量数据的情况下，代理模块10根据代理规则，将攻击端发送的流量数据转发给蜜罐服务模块20。

步骤S305，蜜罐服务模块20接收并响应代理模块10转发的流量数据，以及发送反馈报文给代理模块10。

通过步骤S301至步骤S305，通过控制模块30获取业务主机的系统类型，并根据系统类型，在预设代理库中确定对应于系统类型的代理模块10，避免出现同一个代理模块10处理多个不同操作系统所带来的兼容性问题，提高了该防御方法的可靠性；通过代理模块10进行流量数据转发，降低了传统方法在大量业务主机上部署蜜罐的成本，有效的扩大蜜罐的部署覆盖面；通过在蜜罐服务模块20上设置多个不同类型的蜜罐，提高了业务主机对不同攻击的防御能力；在通过在业务主机上配置代理模块10，通过代理模块10进行流量数据的转发处理，由于业务主机上存在真实的业务，更容易误导攻击端认为攻击的是业务主机，提高了蜜罐服务模块20的伪装性。

另外，结合图2描述的本申请实施例的基于流量转发的网络防御方法可以由计算机设备来实现。图4为根据本申请实施例的计算机设备的硬件结构示意图。

计算机设备可以包括存储器42、处理器41以及存储在存储器上并可在处理器上运行的计算机程序。

具体地，上述处理器41可以包括中央处理器(CPU)，或者特定集成电路(Application Specific Integrated Circuit，简称为ASIC)，或者可以被配置成实施本申请实施例的一个或多个集成电路。

其中，存储器42可以包括用于数据或指令的大容量存储器。举例来说而非限制，存储器42可包括硬盘驱动器(Hard Disk Drive，简称为HDD)、软盘驱动器、固态驱动器(SolidState Drive，简称为SSD)、闪存、光盘、磁光盘、磁带或通用串行总线(Universal SerialBus，简称为USB)驱动器或者两个或更多个以上这些的组合。在合适的情况下，存储器42可包括可移除或不可移除(或固定)的介质。在合适的情况下，存储器42可在数据处理装置的内部或外部。在特定实施例中，存储器42是非易失性(Non-Volatile)存储器。在特定实施例中，存储器42包括只读存储器(Read-Only Memory，简称为ROM)和随机存取存储器(RandomAccess Memory，简称为RAM)。在合适的情况下，该ROM可以是掩模编程的ROM、可编程ROM(Programmable Read-Only Memory，简称为PROM)、可擦除PROM(Erasable ProgrammableRead-Only Memory，简称为EPROM)、电可擦除PROM(Electrically Erasable ProgrammableRead-Only Memory，简称为EEPROM)、电可改写ROM(Electrically Alterable Read-OnlyMemory，简称为EAROM)或闪存(FLASH)或者两个或更多个以上这些的组合。在合适的情况下，该RAM可以是静态随机存取存储器(Static Random-Access Memory，简称为SRAM)或动态随机存取存储器(Dynamic Random Access Memory，简称为DRAM)，其中，DRAM可以是快速页模式动态随机存取存储器(Fast Page Mode Dynamic Random Access Memory，简称为FPMDRAM)、扩展数据输出动态随机存取存储器(Extended Date Out Dynamic RandomAccess Memory，简称为EDODRAM)、同步动态随机存取内存(Synchronous Dynamic Random-Access Memory，简称SDRAM)等。

存储器42可以用来存储或者缓存需要处理和/或通信使用的各种数据文件，以及处理器41所执行的可能的计算机程序指令。

处理器41通过读取并执行存储器42中存储的计算机程序指令，以实现上述实施例中的任意一种电子设备的唤醒方法。

在其中一些实施例中，电子设备的唤醒设备还可包括通信接口43和总线40。其中，如图4所示，处理器41、存储器42、通信接口43通过总线40连接并完成相互间的通信。

通信接口43用于实现本申请实施例中各模块、装置、单元和/或设备之间的通信。通信接口43还可以实现与其他部件例如：外接设备、图像/数据采集设备、数据库、外部存储以及图像/数据处理工作站等之间进行数据通信。

总线40包括硬件、软件或两者，将电子设备的唤醒设备的部件彼此耦接在一起。总线40包括但不限于以下至少之一：数据总线(Data Bus)、地址总线(Address Bus)、控制总线(Control Bus)、扩展总线(Expansion Bus)、局部总线(Local Bus)。举例来说而非限制，总线40可包括图形加速接口(Accelerated Graphics Port，简称为AGP)或其他图形总线、增强工业标准架构(Extended Industry Standard Architecture，简称为EISA)总线、前端总线(Front Side Bus，简称为FSB)、超传输(Hyper Transport，简称为HT)互连、工业标准架构(Industry Standard Architecture，简称为ISA)总线、无线带宽(InfiniBand)互连、低引脚数(Low Pin Count，简称为LPC)总线、存储器总线、微型道架构(Micro ChannelArchitecture，简称为MCA)总线、外围组件互连(Peripheral Component Interconnect，简称为PCI)总线、PCI-Express(PCI-X)总线、串行高级技术附件(Serial AdvancedTechnology Attachment，简称为SATA)总线、视频电子标准协会局部(Video ElectronicsStandards Association Local Bus，简称为VLB)总线或其他合适的总线或者两个或更多个以上这些的组合。在合适的情况下，总线40可包括一个或多个总线。尽管本申请实施例描述和示出了特定的总线，但本申请实施例考虑任何合适的总线或互连。

另外，结合上述实施例中的基于流量转发的网络防御方法，本申请实施例可提供一种存储介质来实现。该存储介质上存储有计算机程序指令；该计算机程序指令被处理器执行时实现上述实施例中的任意一种基于流量转发的网络防御方法。

相关技术中的基于蜜罐的网络防御技术往往是在可能被攻击的环境中，布置海量的蜜罐，增强蜜罐在攻击者前的曝光率。例如：如果蜜罐部署的密度能够和真实的企业资产达到1:1甚至更高的比例，那么攻击者就有很高的概率会踩到蜜罐，从而被感知到。然而，面对成百上千的终端部署量，需要昂贵硬件设备的部署支撑，具有极大的部署成本以及占用大量的服务器资源。

本申请实施例提供的基于流量转发的网络防御系统，通过代理模块获取业务主机指定端口上的所有TCP流量并转发到配置了蜜罐的虚拟系统中，通过蜜罐对TCP流量进行分析以及将分析为攻击数据的流量包抓取并上传到控制模块。相比于相关技术，本申请实施例有以下优势：

(1)本申请实施例通过代理模块进行流量数据转发，降低了传统方法在大量业务主机上部署蜜罐的成本，有效的扩大蜜罐的部署覆盖面。

(2)本申请实施例通过在蜜罐服务模块上设置多个不同类型的蜜罐，提高了业务主机对不同攻击的防御能力。

(3)本申请实施例在通过在业务主机上配置代理模块，通过代理模块进行流量数据的转发处理，由于业务主机上存在真实的业务，更容易误导攻击端认为攻击的是业务主机，提高了蜜罐服务模块的伪装性。

以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。

以上实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (10)

1.一种基于流量转发的网络防御系统，应用于对业务主机的网络防御，其特征在于，所述基于流量转发的网络防御系统包括：代理模块、蜜罐服务模块以及控制模块，其中，

所述代理模块配置于所述业务主机中，与所述业务主机、所述控制模块以及所述蜜罐服务模块均通信连接，所述控制模块与所述业务主机通信连接；

所述控制模块用于发送代理规则给所述代理模块；

所述代理模块用于根据所述代理规则，在所述业务主机接收到攻击端发送的流量数据的情况下，将所述攻击端发送的所述流量数据转发给所述蜜罐服务模块；

所述蜜罐服务模块至少包括一个蜜罐，用于接收并响应所述代理模块转发的流量数据，以及发送反馈报文给所述代理模块。

2.根据权利要求1所述的基于流量转发的网络防御系统，其特征在于，所述蜜罐服务模块包括以下至少之一：Wordpress蜜罐、渗透蜜罐、工控系统蜜罐、操作系统蜜罐、系统服务蜜罐。

3.根据权利要求1所述的基于流量转发的网络防御系统，其特征在于，所述代理规则包括以下至少之一：所述蜜罐的IP、所述蜜罐的端口号、所述业务主机的至少一个允许转发的端口号以及对应的转发协议。

4.根据权利要求1所述的基于流量转发的网络防御系统，其特征在于，所述控制模块还用于接收所述代理模块发送的所述蜜罐服务模块的反馈报文，并展示所述反馈报文。

5.一种基于流量转发的网络防御方法，应用于如权利要求1至4中任一项所述的基于流量转发的网络防御系统，其特征在于，所述方法包括：

所述控制模块发送代理规则给代理模块；

在所述业务主机接收到攻击端发送的流量数据的情况下，所述代理模块根据所述代理规则，将所述攻击端发送的所述流量数据转发给蜜罐服务模块；

所述蜜罐服务模块接收并响应所述代理模块转发的流量数据，以及发送反馈报文给所述代理模块。

6.根据权利要求5所述的基于流量转发的网络防御方法，其特征在于，在控制模块发送代理规则给代理模块之前，所述方法还包括：

所述控制模块获取所述业务主机的系统类型；

所述控制模块根据所述系统类型，在预设代理库中确定对应于所述系统类型的代理模块。

7.根据权利要求5所述的基于流量转发的网络防御方法，其特征在于，所述代理模块包括代理客户端以及与所述代理客户端通信连接的代理服务端；在所述业务主机接收到攻击端发送的流量数据的情况下，所述代理模块根据所述代理规则，将所述攻击端发送的所述流量数据转发给蜜罐服务模块包括：

所述代理客户端对所述代理服务端进行身份验证；

在所述代理服务端通过身份验证的情况下，所述代理客户端发送所述蜜罐服务模块的IP以及端口号给所述代理服务端；

所述代理服务端根据所述蜜罐服务模块的IP以及端口号，与所述蜜罐服务模块建立连接，并转发所述流量数据给蜜罐服务模块。

8.根据权利要求7所述的基于流量转发的网络防御方法，其特征在于，所述蜜罐服务模块接收并响应所述代理模块转发的流量数据，以及发送反馈报文给所述代理模块包括：

所述蜜罐服务模块接收所述代理模块转发的流量数据，并根据所述流量数据，确定所述流量数据对应的反馈报文；

所述蜜罐服务模块发送所述反馈报文给所述代理服务端；

所述代理服务端发送所述反馈报文给所述代理客户端。

9.一种计算机设备，包括存储器、处理器以及存储在所述存储器上并可在所述处理器上运行的计算机程序，其特征在于，所述处理器执行所述计算机程序时实现如权利要求5至8中任一项所述的基于流量转发的网络防御方法。

10.一种存储介质，其上存储有计算机程序，其特征在于，该计算机程序被处理器执行时实现如权利要求5至8中任一项所述的基于流量转发的网络防御方法。

Images