CN111767548A

CN111767548A - 一种漏洞捕获方法、装置、设备及存储介质

Info

Publication number: CN111767548A
Application number: CN202010598588.0A
Authority: CN
Inventors: 钱永存
Original assignee: Hangzhou DPTech Technologies Co Ltd
Current assignee: Hangzhou DPTech Technologies Co Ltd
Priority date: 2020-06-28
Filing date: 2020-06-28
Publication date: 2020-10-13

Abstract

本申请提供了一种漏洞捕获方法、装置、设备及存储介质，该方法包括：利用蜜罐模块捕获目标网络的攻击数据；将所述攻击数据输入仿真引擎中，由所述仿真引擎对所述攻击数据进行仿真，得到仿真结果；基于所述仿真结果，捕获所述目标网络中的漏洞；其中，所述漏洞包括零日0day漏洞。本申请利用蜜罐技术以及仿真技术，不仅能够捕获到已知漏洞类型，还能够捕获到未被公布、未实现修复的0day漏洞，进一步保证了网络数据安全。

Description

一种漏洞捕获方法、装置、设备及存储介质

技术领域

本申请涉及网络安全领域，具体涉及一种漏洞捕获方法、装置、设备及存储介质。

背景技术

互联网的发展过程中一直承受着各类网络安全问题的威胁，随着技术的发展，攻击手段与防护措施也在不断博弈。

目前，漏洞捕获的方法主要是基于与已有漏洞库中漏洞特征的比对实现。具体的，通过采集目标网络的流量，通过对流量的解析以及与漏洞库中的漏洞特征进行匹配，最终确定出流量中的漏洞，保障目标网络的数据安全。

但是，基于已有漏洞库实现漏洞捕获的方式，只能够对已知漏洞类型进行捕获。对于未被公布、未实现修复的漏洞，也称为0day漏洞，目前的漏洞捕获方式无法实现对其的捕获功能。

因此，如何实现对未被公布、未实现修复的0day漏洞的捕获，是目前亟需解决的技术问题。

发明内容

有鉴于此，本申请提供了一种漏洞捕获方法、装置及设备，能够实现对未被公布、未实现修复的0day漏洞的捕获，从而进一步的保障网络安全。

第一方面，为实现上述发明目的，本申请提供了一种漏洞捕获方法，该方法包括：

利用蜜罐模块捕获目标网络的攻击数据；

将所述攻击数据输入仿真引擎中，由所述仿真引擎对所述攻击数据进行仿真，得到仿真结果；

基于所述仿真结果，捕获所述目标网络中的漏洞；其中，所述漏洞包括零日0day漏洞。

一种可选的实施方式中，所述将所述攻击数据输入仿真引擎中之前，还包括：

从所述攻击数据中提取机器指令；

相应的，所述将所述攻击数据输入仿真引擎中，由所述仿真引擎对所述攻击数据进行仿真，得到仿真结果，包括：

将所述机器指令输入仿真引擎中，由所述仿真引擎对所述机器指令进行仿真，得到仿真结果。

一种可选的实施方式中，所述机器指令包括至少两个连续指令。

一种可选的实施方式中，所述方法还包括：

将捕获到的所述0day漏洞加入漏洞库中。

一种可选的实施方式中，所述利用蜜罐模块捕获目标网络的攻击数据之前，还包括：

为目标网络部署蜜罐模块。

第二方面，本申请提供了一种漏洞捕获装置，所述装置包括：

第一捕获模块，用于利用蜜罐模块捕获目标网络的攻击数据；

仿真模块，用于将所述攻击数据输入仿真引擎中，由所述仿真引擎对所述攻击数据进行仿真，得到仿真结果；

第二捕获模块，用于基于所述仿真结果，捕获所述目标网络中的漏洞；其中，所述漏洞包括零日0day漏洞。

一种可选的实施方式中，所述装置还包括：

提取模块，用于从所述攻击数据中提取机器指令；

相应的，所述仿真模块，具体用于：

一种可选的实施方式中，所述装置还包括：

加入模块，用于将捕获到的所述0day漏洞加入漏洞库中。

第三方面，本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当所述指令在终端设备上运行时，使得所述终端设备执行如上述任一项所述的方法。

第四方面，本申请还提供了一种设备，包括：存储器，处理器，及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时，实现如上述任一项所述的方法。

本申请实施例提供的漏洞捕获方法中，利用蜜罐模块捕获目标网络的攻击数据，并对攻击数据进行仿真，然后基于仿真结果捕获目标网络中的漏洞。本申请实施例利用蜜罐技术以及仿真技术，不仅能够捕获到已知漏洞类型，还能够捕获到未被公布、未实现修复的0day漏洞，进一步保证了网络数据安全。

附图说明

为了更清楚地说明本申请实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请实施例提供的一种漏洞捕获方法流程图；

图2为本申请实施例提供的一种网漏洞捕获装置的结构示意图；

图3为本申请实施例提供的一种漏洞捕获设备的结构示意图。

具体实施方式

下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

零日漏洞，又称为0day漏洞，是指未被公布、未实现修复的漏洞。由于0day漏洞是未知漏洞，因此，基于现有的漏洞库无法实现对0day漏洞的捕获。

本申请提供了一种漏洞捕获方法，利用蜜罐技术以及仿真技术，不仅能够捕获到已知漏洞类型，还能够捕获到未被公布、未实现修复的0day漏洞，进一步保证了网络数据安全。

具体的，本申请实施例提供的漏洞捕获方法中，首先利用蜜罐模块捕获目标网络的攻击数据，然后将攻击数据输入仿真引擎中，由仿真引擎对攻击数据进行仿真，得到仿真结果。最终，基于仿真结果捕获目标网络中包括0day漏洞在内的漏洞，进一步提高了网络数据安全。

基于上述内容，本申请实施例提供了一种漏洞捕获方法，参考图1，为本申请实施例提供的一种漏洞捕获方法的流程图，该漏洞捕获方法包括：

S101：利用蜜罐模块捕获目标网络的攻击数据。

本申请实施例提供的漏洞捕获方法应用于网络安全设备中，例如防火墙设备等。

实际应用中，互联网发展的过程中一直承受着各类网络安全问题的威胁，随着技术的发展，攻击手段与防护措施也在不断博弈。但是由于攻守双方的角度不同，防守方往往处于被动局面，攻击方只需要找到一个突破点就能攻击成功，而防守方不仅要考虑全局还要具备快速的检测和应急机制才能尽可能确保信息系统安全。蜜罐技术(honeypot)就是为了改变这种被动的防护状况而出现的一种更加主动的防护技术。蜜罐相当于一种安全资源，它不需要提供实际的应用，蜜罐的存在价值就是诱导和记录攻击行为，从而了解攻击者的入侵方法和手段，并能够延缓其攻击进程。

蜜罐技术的工具较多，而Dionaea是由Markus Koetter开发出交互能力相对较低的蜜罐，它通过模拟一台安装有攻击者通常所针对的HTTP、FTP、SSH、SMB等具有漏洞服务的Windows系统实现蜜罐，其由C语言编写而成，但使用Python来模拟不同的协议来引诱攻击者。一种可选的实施方式中，可以利用Dionaea蜜罐工具实现本申请实施例中的蜜罐模块，实现对目标网络的攻击数据的捕获功能。

值得注意的是，Dionaea蜜罐工具只是本申请实施例的一个示例，本申请不限制利用其它蜜罐工具实现本申请中的蜜罐模块。

实际应用中，在利用蜜罐模块捕获目标网络的攻击数据之前，首先实现对蜜罐模块的部署，以下以Dionaea蜜罐工具为例，对蜜罐模块的部署过程进行介绍：

第一部分需要完成蜜罐模块的搭建，首先，安装Dionaea蜜罐工具的依赖项。

Dionaea蜜罐工具是一款复杂的软件，需要大量的依赖关系，而这些依赖关系通常未安装在Ubuntu或其他Debian发行版中，因此需要在安装和配置Dionaea蜜罐工具之前安装好所需的依赖项，

一种可选的实施方式中，可以从GitHub下载现有的依赖项安装脚本，然后利用该脚本下载并安装所有依赖项和应用程序(如p0f，SQLite等)，完成Dionaea蜜罐工具的依赖项的安装工作。

其次，在下载完成应用程序和依赖项之后，Dionaea蜜罐工具可以开始进行自我配置，并选择希望蜜罐模块监听的网络接口。本申请实施例中需要蜜罐模块监听的网络接口可以设置为目标网络的接口，例如企业内网的接口等。

再次，在完成上述工作后，检查Dionaea蜜罐工具是否已正确且完整地安装，以确保后续利用蜜罐模块捕获攻击数据的功能正常实现。

第二部分需要对Dionaea蜜罐工具进行配置，首先打开Dionaea蜜罐工具的配置文件，然后在其默认配置下，Dionaea蜜罐工具将在生产环境中创建大量日志。

如果基于其默认配置运行Dionaea蜜罐工具，则会产生大量的日志文件，为了防止上述情况的发生，本申请实施例可以将Dionaea蜜罐工具的日志记录配置为仅记录“error”优先级及更高级别。

再次，针对Dionaea蜜罐工具的接口和IP部分的配置。

对于本申请实施例中的目标网络，可以将目标网络的接口和IP地址等信息配置于Dionaea蜜罐工具中，以使Dionaea蜜罐工具能够对目标网络的攻击数据进行捕获。

值得注意的是，针对Dionaea蜜罐工具的其他配置工作可以参照现有实现方式，在此不做详细介绍，但是并不影响本申请的保护范围。

本申请实施例在完成蜜罐模块的部署之后，可以对蜜罐模块进行测试，以保证后续能够正常的运行。具体的测试过程本申请实施例不做说明。

本申请实施例中，蜜罐模块可以对目标网络中攻击数据进行捕获，以便后续基于攻击数据对漏洞进行捕获。

S102：将所述攻击数据输入仿真引擎中，由所述仿真引擎对所述攻击数据进行仿真，得到仿真结果。

本申请实施例中，蜜罐模块在捕获到目标网络的攻击数据之后，将攻击数据输入至仿真引擎中，由仿真引擎对攻击数据进行仿真，得到仿真结果。

一种可选的实施方式中，可以采用libemu仿真引擎对攻击数据进行仿真。对于其他类型的仿真引擎本申请不做限制。

一种可选的实施方式中，为了提高仿真结果的准确性，还可以在对攻击数据进行仿真之前，先对攻击数据进行预处理。具体的，可以从攻击数据中提取机器指令，并将从攻击数据中提取到的机器指令输入至仿真引擎中，由仿真引擎对攻击数据中的机器指令进行仿真，得到仿真数据。由于攻击数据中的机器指令能够体现漏洞特征，因此，将攻击数据中的干扰数据剔除后，仅对机器指令进行仿真，能够提高仿真结果的准确性，使得仿真结果更能够体现漏洞的特征。

一种可选的实施方式中，由于体现漏洞特征的机器指令通常包括连续多条指令，因此，本申请实施例中从攻击数据提取的机器指令可以为至少两个连续指令，从而进一步的提高仿真数据的准确性。

一种应用场景中，攻击数据可以先提交到检测模块，由检测模块从中提取出机器指令，并将提取到的机器指令传入程序自带的虚拟机中进行仿真执行。其中，检测模块和仿真引擎均可以采用libemu，libemu同样是由Honeynet Project开发的x86下shellcode检测和仿真程序库。它采用GetPC启发式模式来检测数据流中是否有shellcode,一旦发现则在虚拟机中运行代码，并记录API调用和参数，对于多级shellcode同样可以实现仿真。另外，libemu按字节检查输入数据，发现连续的机器指令则提取出来，交给程序的虛拟机进行仿真。

S103：基于所述仿真结果，捕获所述目标网络中的漏洞；其中，所述漏洞包括零日0day漏洞。

由于仿真结果能够更直观的显示出漏洞的特征，因此，基于仿真结果中显示出的特征，可以捕获到目标网络中的漏洞。

一种可选的实施方式中，在得到仿真结果后，对仿真结果进行展示，网络安全工程师可以基于仿真结果中展示特征，确定目标网络中是否存在漏洞。

实际应用中，针对仿真结果中展示的特征，可以确定出已有漏洞，另外，对于仿真结果中展示的非已有漏洞的特征，则可以确定为0day漏洞的特征，从而实现0day漏洞的捕获。

为了便于后续能够基于漏洞库对本申请实施例捕获到的0day漏洞进行捕获，本申请实施例还可以将捕获到的0day漏洞加入漏洞库，以便后续基于漏洞库能够捕获到该0day漏洞。

本申请实施例提供的漏洞捕获方法中，首先利用蜜罐模块捕获目标网络的攻击数据，然后将攻击数据输入仿真引擎中，由仿真引擎对攻击数据进行仿真，得到仿真结果。最终，基于仿真结果捕获目标网络中包括0day漏洞在内的漏洞。本申请实施例利用蜜罐技术以及仿真技术，不仅能够捕获到已知漏洞类型，还能够捕获到未被公布、未实现修复的0day漏洞，进一步保证了网络数据安全。

与上述方法实施例相对应的，本申请还提供了一种漏洞捕获装置，参考图2，为本申请实施例提供的一种漏洞捕获装置的结构示意图，所述装置包括：

第一捕获模块201，用于利用蜜罐模块捕获目标网络的攻击数据；

仿真模块202，用于将所述攻击数据输入仿真引擎中，由所述仿真引擎对所述攻击数据进行仿真，得到仿真结果；

第二捕获模块203，用于基于所述仿真结果，捕获所述目标网络中的漏洞；其中，所述漏洞包括零日0day漏洞。

一种可选的实施方式中，所述装置还包括：

提取模块，用于从所述攻击数据中提取机器指令；

相应的，所述仿真模块，具体用于：

其中，所述机器指令可以包括至少两个连续指令。

另一种可选的实施方式中，所述装置还包括：

加入模块，用于将捕获到的所述0day漏洞加入漏洞库中。

另一种可选的实施方式中，所述装置还包括：

部署模块，用于为目标网络部署蜜罐模块。

本申请实施例提供的漏洞捕获装置，首先利用蜜罐模块捕获目标网络的攻击数据，然后将攻击数据输入仿真引擎中，由仿真引擎对攻击数据进行仿真，得到仿真结果。最终，基于仿真结果捕获目标网络中包括0day漏洞在内的漏洞。本申请实施例利用蜜罐技术以及仿真技术，不仅能够捕获到已知漏洞类型，还能够捕获到未被公布、未实现修复的0day漏洞，进一步保证了网络数据安全。

另外，本申请实施例还提供了一种漏洞捕获设备，参见图3所示，可以包括：

处理器301、存储器302、输入装置303和输出装置304。漏洞捕获设备中的处理器301的数量可以一个或多个，图3中以一个处理器为例。在本发明的一些实施例中，处理器301、存储器302、输入装置303和输出装置304可通过总线或其它方式连接，其中，图3中以通过总线连接为例。

存储器302可用于存储软件程序以及模块，处理器301通过运行存储在存储器302的软件程序以及模块，从而执行漏洞捕获设备的各种功能应用以及数据处理。存储器302可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序等。此外，存储器302可以包括高速随机存取存储器，还可以包括非易失性存储器，例如至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。输入装置303可用于接收输入的数字或字符信息，以及产生与漏洞捕获设备的用户设置以及功能控制有关的信号输入。

具体在本实施例中，处理器301会按照如下的指令，将一个或一个以上的应用程序的进程对应的可执行文件加载到存储器302中，并由处理器401来运行存储在存储器302中的应用程序，从而实现上述漏洞捕获方法中的各种功能。

另外，本申请还提供了一种计算机可读存储介质，所述计算机可读存储介质中存储有指令，当所述指令在终端设备上运行时，使得所述终端设备执行上述的漏洞捕获方法。

可以理解的是，对于装置实施例而言，由于其基本对应于方法实施例，所以相关之处参见方法实施例的部分说明即可。以上所描述的装置实施例仅仅是示意性的，其中所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部模块来实现本实施例方案的目的。本领域普通技术人员在不付出创造性劳动的情况下，即可以理解并实施。

需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。

以上对本申请实施例所提供的一种漏洞捕获方法、装置、设备及存储介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术人员，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。

Claims

1.一种漏洞捕获方法，其特征在于，所述方法包括：

利用蜜罐模块捕获目标网络的攻击数据；

2.根据权利要求1所述的方法，其特征在于，所述将所述攻击数据输入仿真引擎中之前，还包括：

从所述攻击数据中提取机器指令；

3.根据权利要求2所述的方法，其特征在于，所述机器指令包括至少两个连续指令。

4.根据权利要求1所述的方法，其特征在于，所述方法还包括：

将捕获到的所述0day漏洞加入漏洞库中。

5.根据权利要求1所述的方法，其特征在于，所述利用蜜罐模块捕获目标网络的攻击数据之前，还包括：

为目标网络部署蜜罐模块。

6.一种漏洞捕获装置，其特征在于，所述装置包括：

7.根据权利要求6所述的装置，其特征在于，所述装置还包括：

提取模块，用于从所述攻击数据中提取机器指令；

相应的，所述仿真模块，具体用于：

8.根据权利要求6所述的装置，其特征在于，所述装置还包括：

加入模块，用于将捕获到的所述0day漏洞加入漏洞库中。

9.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质中存储有指令，当所述指令在终端设备上运行时，使得所述终端设备执行如权利要求1-5任一项所述的方法。

10.一种设备，其特征在于，包括：存储器，处理器，及存储在所述存储器上并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时，实现如权利要求1-5任一项所述的方法。