CN111885041A - 一种基于蜜罐威胁数据的攻击场景重构方法 - Google Patents

Abstract

一种基于蜜罐威胁数据的攻击场景重构方法，包括以下步骤：S1、建立蜜罐系统关键机制并通过蜜罐技术吸引攻击方；S2、建立安全威胁数据捕获机制；S3、对攻击方的攻击行为进行捕获，并建立攻击行为数据库；S4、应用关联分析方法对数据进行分析；S5、在安全知识库的支持下并基于获取的安全威胁数据和分析信息，最终识别出攻击方的攻击规划；S6、基于攻击方的攻击规划重构出攻击过程场景，以此展现出一次攻击行为的整个攻击过程，以便安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景。本发明不仅能够对威胁数据进行获取和分析，还能够基于蜜罐威胁数据来快速有效的重构攻击场景，以此展现出一次攻击行为的整个攻击过程，使用效果极佳。

Description

一种基于蜜罐威胁数据的攻击场景重构方法

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于蜜罐威胁数据的攻击场景重构方法。

背景技术

计算机网络是通信技术和计算机技术发展到一定程度后相结合的产物，网络安全是指网络系统的硬件、软件及其系统中的数据受到保护，不因偶然的或者恶意的原因而遭受到破坏、更改、泄露，系统连续可靠正常地运行，网络服务不中断，具有保密性、完整性、可用性、可控性、可审查性的特性；目前网络已深入现代生活的各个方面，高度发展的网络技术为人们带来快速便捷的信息交互的同时，基于网络的恶意攻击和窃取行为也愈演愈烈，备受关注的网络安全依然存在着巨大的隐患；攻击者利用网络的快速传播性和广泛互联性，大肆地破坏网络基本性能、侵害用户合法权益，威胁社会和国家的安全与利益，对传统意义上的网络安全措施提出了严峻的考验；目前的攻击场景重构方法难以对威胁数据进行获取和分析，因此也就不能快速准确的重构攻击场景，有待进行改进。

发明内容

(一)发明目的

为解决背景技术中存在的技术问题，本发明提出一种基于蜜罐威胁数据的攻击场景重构方法，不仅能够对威胁数据进行获取和分析，还能够基于蜜罐威胁数据来快速有效的重构攻击场景，以此展现出一次攻击行为的整个攻击过程，有助于安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景，使用效果极佳。

(二)技术方案

本发明提出了一种基于蜜罐威胁数据的攻击场景重构方法，包括以下步骤：

S1、建立蜜罐系统关键机制并通过蜜罐技术吸引攻击方，实现对攻击方的欺骗，即布置作为诱饵的主机、网络服务或信息，以诱使攻击方进行攻击；

S2、建立安全威胁数据捕获机制以适应在蜜网体系架构中高交互式蜜罐的数据捕获需求，并结合使用Argus、Snort、Pof、Tcpdump和Sebek开源工具，从网络和系统两个方面为进一步分析攻击行为提供全面而丰富的威胁数据；

S3、对攻击方的攻击行为进行捕获，详细保存捕获信息，并以此建立攻击行为数据库；

S4、从攻击行为数据库中获取相关数据并应用关联分析方法对数据进行分析，以便了解攻击方所使用的工具和方法，并推测攻击方的攻击意图和动机；

S5、在安全知识库的支持下并基于获取的安全威胁数据和分析信息，最终识别出攻击方的攻击规划；

S6、基于攻击方的攻击规划重构出攻击过程场景，以此展现出一次攻击行为的整个攻击过程，以便安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景。

优选的，在S1中，蜜罐系统关键机制包括核心机制与辅助机制；

其中，核心机制包括欺骗环境构建机制、威胁数据捕获机制和威胁数据分析机制，辅助机制包括安全风险控制机制、配置与管理机制和反蜜罐技术对抗机制。

优选的，蜜罐系统基于分布式架构，支持的网络攻击行为覆盖协议攻击、web攻击、会话攻击、口令攻击，系统采用容器技术实现轻量化虚拟集中管理。

优选的，在S2中，网络层面上，通过Argus监控所有流入和流出蜜网的网络连接记录，使用Snort入侵检测系统，使用Pof被动操作系统辨识工具来判断攻击方操作系统的类型，使用Tcpdump监听全部流入流出蜜网的网络连接，记录原始流量数据。

优选的，在S2中，系统层面上，主要使用Sebek捕获攻击者在蜜罐主机上的行为。

优选的，在S4中，包括如下操作：

获取有关攻击行为的威胁数据并以日志形式进行整理；

基于频繁模式增长算法对频繁攻击序列进行挖掘；

依次对所有频繁攻击序列重新进行关联以重构攻击路径，进而得到攻击者的攻击意图。

优选的，频繁模式增长算法为FP-Growth算法。

优选的，在S4中，还包括对网络攻击事件进行语义转换、推理和关联，具体过程如下：

利用预定义或基于谓词自动生成的语义规则集，把融合后得到的攻击事件转换到它们对应的攻击语义；根据推理模型，以攻击步骤发生的时序关系、递进关系、转换关系为指导，对所有攻击语义中存在的语义联系进行推理，得到以攻击语义表示的各攻击事件之间的关系，将所有来自推理引擎的攻击转换向量构建成可能的攻击场景。

优选的，在S6中，具体操作如下：

选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、场景模版；

设置网络攻击样本和场景模版的参数，并根据设置的网络攻击样本和场景模版申请资源，重建网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；

发送器接收网络攻击样本和背景流量下发，下载背景流量并发送流量数据到每个网络攻击样本的拓扑节点，攻击场景复现数据实时展示。

本发明的上述技术方案具有如下有益的技术效果：

本发明不仅能够对威胁数据进行获取和分析，还能够基于蜜罐威胁数据来快速有效的重构攻击场景，以此展现出一次攻击行为的整个攻击过程，有助于安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景，使用效果极佳。

具体实施方式

为使本发明的目的、技术方案和优点更加清楚明了，下面结合具体实施方式，对本发明进一步详细说明。应该理解，这些描述只是示例性的，而并非要限制本发明的范围。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本发明的概念。

本发明提出的一种基于蜜罐威胁数据的攻击场景重构方法，包括以下步骤：

S1、建立蜜罐系统关键机制并通过蜜罐技术吸引攻击方，实现对攻击方的欺骗，即布置作为诱饵的主机、网络服务或信息，以诱使攻击方进行攻击；

S2、建立安全威胁数据捕获机制以适应在蜜网体系架构中高交互式蜜罐的数据捕获需求，并结合使用Argus、Snort、Pof、Tcpdump和Sebek开源工具，从网络和系统两个方面为进一步分析攻击行为提供全面而丰富的威胁数据；

S3、对攻击方的攻击行为进行捕获，详细保存捕获信息，并以此建立攻击行为数据库；

S4、从攻击行为数据库中获取相关数据并应用关联分析方法对数据进行分析，以便了解攻击方所使用的工具和方法，并推测攻击方的攻击意图和动机；

S5、在安全知识库的支持下并基于获取的安全威胁数据和分析信息，最终识别出攻击方的攻击规划；

S6、基于攻击方的攻击规划重构出攻击过程场景，以此展现出一次攻击行为的整个攻击过程，以便安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景。

在一个可选的实施例中，在S1中，蜜罐系统关键机制包括核心机制与辅助机制；

其中，核心机制包括欺骗环境构建机制、威胁数据捕获机制和威胁数据分析机制，辅助机制包括安全风险控制机制、配置与管理机制和反蜜罐技术对抗机制。

在一个可选的实施例中，蜜罐系统基于分布式架构，支持的网络攻击行为覆盖协议攻击、web攻击、会话攻击、口令攻击，系统采用容器技术实现轻量化虚拟集中管理。

在一个可选的实施例中，在S2中，网络层面上，通过Argus监控所有流入和流出蜜网的网络连接记录，使用Snort入侵检测系统，使用Pof被动操作系统辨识工具来判断攻击方操作系统的类型，使用Tcpdump监听全部流入流出蜜网的网络连接，记录原始流量数据；在S2中，系统层面上，主要使用Sebek捕获攻击者在蜜罐主机上的行为。

在一个可选的实施例中，在S4中，包括如下操作：获取有关攻击行为的威胁数据并以日志形式进行整理；基于频繁模式增长算法对频繁攻击序列进行挖掘，频繁模式增长算法为FP-Growth算法；依次对所有频繁攻击序列重新进行关联以重构攻击路径，进而得到攻击者的攻击意图。

在一个可选的实施例中，在S4中，还包括对网络攻击事件进行语义转换、推理和关联，具体过程如下：利用预定义或基于谓词自动生成的语义规则集，把融合后得到的攻击事件转换到它们对应的攻击语义；根据推理模型，以攻击步骤发生的时序关系、递进关系、转换关系为指导，对所有攻击语义中存在的语义联系进行推理，得到以攻击语义表示的各攻击事件之间的关系，将所有来自推理引擎的攻击转换向量构建成可能的攻击场景。

在一个可选的实施例中，在S6中，具体操作如下：选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、场景模版；设置网络攻击样本和场景模版的参数，并根据设置的网络攻击样本和场景模版申请资源，重建网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；发送器接收网络攻击样本和背景流量下发，下载背景流量并发送流量数据到每个网络攻击样本的拓扑节点，攻击场景复现数据实时展示。

本发明中，首先建立蜜罐系统关键机制并通过蜜罐技术吸引攻击方，实现对攻击方的欺骗，即布置作为诱饵的主机、网络服务或信息，以诱使攻击方进行攻击；蜜罐系统基于分布式架构，支持的网络攻击行为覆盖协议攻击、web攻击、会话攻击、口令攻击，系统采用容器技术实现轻量化虚拟集中管理，能够为威胁情报、攻击溯源和态势感知需求提供及时、真实、详细的数据支撑；然后建立安全威胁数据捕获机制以适应在蜜网体系架构中高交互式蜜罐的数据捕获需求，并结合使用Argus、Snort、Pof、Tcpdump和Sebek开源工具，从网络和系统两个方面为进一步分析攻击行为提供全面而丰富的威胁数据；

之后对攻击方的攻击行为进行捕获，详细保存捕获信息，并以此建立攻击行为数据库；然后从攻击行为数据库中获取相关数据并应用关联分析方法对数据进行分析，以便了解攻击方所使用的工具和方法，并推测攻击方的攻击意图和动机，在安全知识库的支持下并基于获取的安全威胁数据和分析信息，以识别出攻击方的攻击规划；最终基于攻击方的攻击规划重构出攻击过程场景。

本发明不仅能够对威胁数据进行获取和分析，还能够基于蜜罐威胁数据来快速有效的重构攻击场景，以此展现出一次攻击行为的整个攻击过程，有助于安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景，使用效果极佳。

应当理解的是，本发明的上述具体实施方式仅仅用于示例性说明或解释本发明的原理，而不构成对本发明的限制。因此，在不偏离本发明的精神和范围的情况下所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。此外，本发明所附权利要求旨在涵盖落入所附权利要求范围和边界、或者这种范围和边界的等同形式内的全部变化和修改例。

Claims (9)

1.一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，包括以下步骤：

S1、建立蜜罐系统关键机制并通过蜜罐技术吸引攻击方，实现对攻击方的欺骗，即布置作为诱饵的主机、网络服务或信息，以诱使攻击方进行攻击；

S2、建立安全威胁数据捕获机制以适应在蜜网体系架构中高交互式蜜罐的数据捕获需求，并结合使用Argus、Snort、Pof、Tcpdump和Sebek开源工具，从网络和系统两个方面为进一步分析攻击行为提供全面而丰富的威胁数据；

S3、对攻击方的攻击行为进行捕获，详细保存捕获信息，并以此建立攻击行为数据库；

S4、从攻击行为数据库中获取相关数据并应用关联分析方法对数据进行分析，以便了解攻击方所使用的工具和方法，并推测攻击方的攻击意图和动机；

S5、在安全知识库的支持下并基于获取的安全威胁数据和分析信息，最终识别出攻击方的攻击规划；

S6、基于攻击方的攻击规划重构出攻击过程场景，以此展现出一次攻击行为的整个攻击过程，以便安全研究人员更好的发现和理解捕获数据中蕴含的攻击场景。

2.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，在S1中，蜜罐系统关键机制包括核心机制与辅助机制；

其中，核心机制包括欺骗环境构建机制、威胁数据捕获机制和威胁数据分析机制，辅助机制包括安全风险控制机制、配置与管理机制和反蜜罐技术对抗机制。

3.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，蜜罐系统基于分布式架构，支持的网络攻击行为覆盖协议攻击、web攻击、会话攻击、口令攻击，系统采用容器技术实现轻量化虚拟集中管理。

4.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，在S2中，网络层面上，通过Argus监控所有流入和流出蜜网的网络连接记录，使用Snort入侵检测系统，使用Pof被动操作系统辨识工具来判断攻击方操作系统的类型，使用Tcpdump监听全部流入流出蜜网的网络连接，记录原始流量数据。

5.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，在S2中，系统层面上，主要使用Sebek捕获攻击者在蜜罐主机上的行为。

6.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，在S4中，包括如下操作：

获取有关攻击行为的威胁数据并以日志形式进行整理；

基于频繁模式增长算法对频繁攻击序列进行挖掘；

依次对所有频繁攻击序列重新进行关联以重构攻击路径，进而得到攻击者的攻击意图。

7.根据权利要求6所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，频繁模式增长算法为FP-Growth算法。

8.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，在S4中，还包括对网络攻击事件进行语义转换、推理和关联，具体过程如下：

利用预定义或基于谓词自动生成的语义规则集，把融合后得到的攻击事件转换到它们对应的攻击语义；根据推理模型，以攻击步骤发生的时序关系、递进关系、转换关系为指导，对所有攻击语义中存在的语义联系进行推理，得到以攻击语义表示的各攻击事件之间的关系，将所有来自推理引擎的攻击转换向量构建成可能的攻击场景。

9.根据权利要求1所述的一种基于蜜罐威胁数据的攻击场景重构方法，其特征在于，在S6中，具体操作如下：

选择网络攻击样本、场景模版和发送器，导入对应的网络攻击样本、场景模版；

设置网络攻击样本和场景模版的参数，并根据设置的网络攻击样本和场景模版申请资源，重建网络攻击样本的拓扑结构，模拟网络攻击样本的拓扑节点；

发送器接收网络攻击样本和背景流量下发，下载背景流量并发送流量数据到每个网络攻击样本的拓扑节点，攻击场景复现数据实时展示。