CN111953671B - 一种基于区块链的动态蜜网数据处理方法及系统 - Google Patents

Abstract

本发明提供一种基于区块链的动态蜜网数据处理方法及系统，涉及信息安全技术领域。所述方法包括：每个探针节点在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点，并基于所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包；打包节点接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点；所述各个验证节点基于共识机制对所述新区块进行验证，并将通过验证的新区块上链。所述系统用于执行上述方法。本发明实施例提供的基于区块链的动态蜜网数据处理方法及系统，提高了数据的安全性。

Description

一种基于区块链的动态蜜网数据处理方法及系统

技术领域

本发明涉及信息安全技术领域，具体涉及一种基于区块链的动态蜜网数据处理方法及系统。

背景技术

在“互联网+”的时代背景下，网络空间中的攻防对抗已成为信息安全领域中的重点关注的问题之一。其中，蜜罐作为最具代表性的网络欺骗技术得到了广泛的应用。

现有技术中，蜜罐系统通过搭建含有虚假漏洞或缺陷服务的仿真系统以引诱攻击者进行攻击，从而达到扰乱攻击者视线、延缓攻击进程、消耗攻击资源，进而保护真实的业务系统的目的。但是，传统的静态蜜罐系统存在诸多的局限性和缺点。首先，静态蜜罐在被攻击者发现后，攻击者可以选择不再访问此蜜罐，使蜜罐失去作用；其次，攻击者为掩盖自己身份，可以将蜜罐地址随意分发，诱导无关人员访问，污染蜜罐告警数据；然后，高级的攻击者可以利用0DAY或防御者未知的漏洞将蜜罐本地的行为日志删除，从而掩盖自己的行踪；最后，中心化的管理中心和控制中心面临更高的安全风险，需要更高的安全性防护，一旦管理中心和控制中心的服务器宕机，甚至被攻陷，将导致整个蜜罐系统失效或瘫痪，对防御方造成巨大损失。

发明内容

针对现有技术中的问题，本发明实施例提供一种基于区块链的动态蜜网数据处理方法及系统，能够至少部分地解决现有技术中存在的问题。

一方面，本发明提出一种基于区块链的动态蜜网数据处理方法，包括：

每个探针节点在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点，并基于所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包；

打包节点接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点；

所述各个验证节点基于共识机制对所述新区块进行验证，并将通过验证的新区块上链。

另一方面，本发明提供一种基于区块链的动态蜜网数据处理系统，包括至少一个探针节点、打包节点、多个验证节点和与每个探针节点对应的蜜罐节点，其中：

所述打包节点与每个探针节点和每个验证节点通信连接，每个探针节点与对应的蜜罐节点通信连接；

所述探针节点，用于在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点，并基于所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包；

所述打包节点，用于接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点；

各个验证节点，用于基于共识机制对所述新区块进行验证，并将通过验证的新区块上链。

本发明实施例提供的基于区块链的动态蜜网数据处理方法及系统，每个探针节点在监测到异常访问流量之后，将异常访问流量转发至蜜罐节点，并基于异常访问流量和蜜罐节点的节点信息生成异常流量包，打包节点接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，并将新区块广播给多个验证节点，多个验证节点基于共识机制对新区块进行验证，并将通过验证的新区块上链，实现通过区块链存储异常访问流量，可以有效防止攻击者通过利用0DAY漏洞或高级攻击手段将攻击者的访问流量删除，提高了数据的安全性。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。在附图中：

图1是本发明一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图。

图2是本发明一实施例提供的新区块的区块结构示意图。

图3是本发明另一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图。

图4是本发明又一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图。

图5是本发明再一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图。

图6是本发明还一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图。

图7是本发明一实施例提供的基于区块链的动态蜜网数据处理系统的结构示意图。

图8是本发明另一实施例提供的基于区块链的动态蜜网数据处理系统的结构示意图。

图9是本发明又一实施例提供的基于区块链的动态蜜网数据处理系统的结构示意图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚明白，下面结合附图对本发明实施例做进一步详细说明。在此，本发明的示意性实施例及其说明用于解释本发明，但并不作为对本发明的限定。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

图1是本发明一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图，如图1所示，本发明实施例提供的基于区块链的动态蜜网数据处理方法包括：

S101、每个探针节点在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点，并基于所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包；

具体地，每个探针节点都可以接收外部访问请求，并对外部访问请求进行监听。所述探针节点如果监测到异常访问流量，那么会将所述异常访问流量转发至蜜罐节点，所述探针节点可以根据异常访问流量包括的目的IP地址和端口号确定转发的蜜罐节点。所述蜜罐节点与所述探针节点对应，每个探针节点与蜜罐节点的对应关系是预先配置的，一个探针节点对应至少一个蜜罐节点。所述探针节点会根据所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包，所述异常访问流量包括数据包，所述探针节点可以获取一定数量的数据包与所述蜜罐节点的节点信息组合在一起生成异常流量包。所述探针节点在生成所述异常流量包之后，会将所述异常流量包发送给打包节点。在异常流量包中加入蜜罐节点的节点信息，有助于在用户在分析攻击者行为时，可以直接根据蜜罐节点进行快速分析、筛选和定位。其中，所述蜜罐节点的节点信息包括但不限于蜜罐节点伪装服务、蜜罐节点IP地址、蜜罐节点接收端口等信息。蜜罐节点和探针节点可以采用服务器或者虚拟机，根据实际需要进行设置，本发明实施例不做限定。可理解的是，所述蜜罐节点可以用于引诱攻击者释放攻击载荷，欺骗攻击者误以为完成攻击，以达到主动防御的目的。所述异常访问流量的具体判断方法为现有技术，此处不进行赘述。

S102、打包节点接收所述探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点；

具体地，打包节点接收每个探针节点发送的异常流量包，并基于在预设时间段内接收到的异常流量包生成新区块，然后将生成的新区块广播给各个验证节点。新区块包括区块头和区块体，区块头可以包括当前区块哈希值、前一区块哈希值、时间戳、区块高度、生成区块的打包节点标识等信息，区块体可以包括预设时间段内接收到的异常流量包。其中，打包节点可以采用服务器或者虚拟机，根据实际需要进行设置，本发明实施例不做限定。所述预设时间段根据实际需要进行设置，本发明实施例不做限定。

例如，图2是本发明一实施例提供的新区块的区块结构示意图，如图2所示，新区块包区块头和区块体，区块头包括当前区块哈希值、前一区块哈希值、时间戳、区块高度、打包节点标识和索引。所述打包节点计算在预设时间段内接收到的异常流量包中每个异常流量包的哈希值，然后根据每两个异常流量包的哈希值计算上一级哈希值，再根据所有的上一级哈希值计算出当前区块哈希值。区块高度从所述打包节点生成第一个新区块开始累加，第一个新区块的区块高度为1，第二个新区块的区块高度为2，第三个新区块的区块高度为3，以此类推。

S103、所述各个验证节点基于共识机制对所述新区块进行验证，并将通过验证的新区块上链。

具体地，每个验证节点会接收所述打包节点发送的新区块，各个验证节点可以基于共识机制对所述新区块进行验证，并在验证通过之后将通过验证的新区块上链，即将新区块接入到区块链中，使所述区块链包括新区块。所述验证节点还会将新区块验证通过的信息反馈给所述打包节点，使所述打包节点将新区块接入到区块链中。其中，所述共识机制可以采用BFT(Byzantine Fault-Tolerant)类共识算法或者POS(Proof of Stake)类共识算法实现，根据实际需要进行选择，本发明实施例不做限定。验证节点可以采用服务器或者虚拟机，根据实际需要进行设置，本发明实施例不做限定。

例如，每个验证节点接收到所述新区块之后，计算区块体中每个异常流量包的哈希值，然后根据每两个异常流量包的哈希值计算上一级哈希值，再根据所有的上一级哈希值计算出当前区块哈希值。每个验证节点将计算出的当前区块哈希值与区块头中的当前区块的哈希值进行比较，得的每个验证节点对所述新区块的验证结果，如果相同，所述验证结果为通过验证；如果不相同，所述验证结果没有通过验证。各个验证节点会根据每个验证节点对所述新区块的验证结果以及共识机制对所述新区块进行验证。

本发明实施例提供的基于区块链的动态蜜网数据处理方法，每个探针节点在监测到异常访问流量之后，将异常访问流量转发至蜜罐节点，并基于异常访问流量和蜜罐节点的节点信息生成异常流量包，打包节点接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，并将新区块广播给多个验证节点，多个验证节点基于共识机制对新区块进行验证，并将通过验证的新区块上链，实现通过区块链存储异常访问流量，可以有效防止攻击者通过利用0DAY漏洞或高级攻击手段将攻击者的访问流量删除，提高了数据的安全性。此外，通过打包节点和验证节点实现去中心化的管理，提高了防护安全性。

图3是本发明另一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图，如图3所示，在上述各实施例的基础上，进一步地，本发明实施例提供的基于区块链的动态蜜网数据处理方法还包括：

S301、所述打包节点若判断获知所述新区块的区块高度等于高度阈值，则广播节点互换触发信息给各个探针节点，所述节点互换触发信息包括当前周期的所有新区块；

具体地，所述打包节点在所述新区块上链之后，会将新区块的区块高度与高度阈值进行比较，如果所述区块高度等于所述高度阈值，说明需要进行探针节点和共识节点的互换，所述打包节点会发送节点互换触发信息给各个探针节点，所述节点互换信息包括当前周期的所有新区块，以便于各个探针节点将本地存储的区块链更新为最新的区块链。其中，当前周期是指上一次进行探针节点与共识节点互换完成之后到将要进行的探针节点与共识节点互换完成之前的时间段，当前周期的所有区块是指在当前周期内生成的新区块。所述高度阈值根据实际经验进行设置，本发明实施例不做限定。在当前周期内，所述打包节点生成的新区块的区块高度是累加的。

S302、各个探针节点基于探针节点互换规则确定互换节点的探针节点；

具体地，各个探针节点会接收所述打包节点广播的互换触发信息，然后基于探针节点互换规则确定互换节点的探针节点，即确定出哪些探针节点要转换成共识节点。其中，探针节点互换规则是预设，根据实际需要进行设置，本发明实施例不做限定。

例如，可以从各个探针节点中随机选择预设数量个探针节点进行节点互换，或者可以对各个探针节点进行轮换，每次轮换预设数量个探针节点。其中，所述预设数量根据实际情况进行设置，本发明实施例不做限定。

S303、互换节点的探针节点中的每个探针节点基于共识节点互换规则确定对应的共识节点，并与对应的共识节点进行节点互换；其中，所述共识节点包括所述打包节点和各个验证节点；

具体地，所述探针节点在确定本身为互换节点的探针节点之后，会基于共识节点互换规则确定对应的共识节点，即确定哪个共识节点要替换所述探针节点。所述探针节点在确定对应的共识节点之后，可以将所述探针节点对应的蜜罐节点信息发送给所述探针节点对应的共识节点，然后更改所述探针节点的类型标志位，将所述探针节点的类型标志位由探针更改为打包或者验证，如果所述探针节点对应的共识节点的类型标志位为打包，则更改为打包，如果所述探针节点对应的共识节点的类型标志位为验证，则更改为验证。所述探针节点在更改类型标志位之后，将不再接收外部访问请求。所述探针节点对应的共识节点在接收到所述探针节点对应的蜜罐节点信息之后，将本地的类型标志位更改为探针，并根据所述探针节点对应的蜜罐节点信息将本地节点与蜜罐信息对应的蜜罐节点进行对应。经过上述处理过程，所述探针节点与对应的共识节点进行了节点互换。其中，所述共识节点包括所述打包节点和各个验证节点。类型标志位是预设的，包括探针、打包和验证三种类型，探针节点的类型标志位为探针，打包节点的类型标志位为打包，验证节点的类型标志位为验证。

例如，类型标志位探针采用0表示，类型标志位打包采用1表示，类型标志位验证采用2表示。

S304、完成互换的探针节点和共识节点广播互换完成信息。

具体地，所述探针节点在更改类型标志位之后，会广播互换完成信息，通知其他节点所述探针节点变成了共识节点。所述探针节点对应的共识节点，在更改类型标志位之后，也会广播互换完成信息，通知其他节点所述共识节点变成了探针节点。其中，所述探针节点广播的互换完成信息可以包括所述探针节点的节点标识和更改后的类型标志位。所述共识节点广播的互换完成信息可以包括所述共识节点的节点标识和更改后的类型标志位。

本发明实施例提供的基于区块链的动态蜜网数据处理方法，通过互换探针节点和共识节点，能有效防止蜜罐在被攻击者发现后，选择不再访问此探针地址，使蜜罐失去作用；此外，防止攻击者将探针地址随意分发，诱导无关人员访问，污染蜜罐系统的告警数据，提升了蜜罐系统的可用性。

图4是本发明又一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图，如图4所示，所述各个探针节点基于探针节点互换规则确定互换节点的探针节点包括：

S3021、每个探针节点向其他探针节点广播在当前周期接收到的异常访问流量总和；

具体地，每个探针节点会记录在当前周期接收到的异常访问流量，在接收到所述互换触发信息之后，可以统计出当前周期接收到的异常访问流量总和，然后向其他探针节点广播在当前周期接收到的异常访问流量总和。

S3022、每个探针节点根据各个探针节点在当前周期接收到的异常访问流量总和，确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点；

具体地，每个探针节点会接收到其他探针节点广播的在当前周期接收到的异常访问流量总和，然后对比各个探针节点在当前周期接收到的异常访问流量总和，可以确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点。其中，a和b为正整数，具体数值根据实际需要进行设置，本发明实施例不做限定。

S3023、每个探针节点若判断获知本地探针节点属于a个接收异常访问流量最多的探针节点或者b个接收异常访问流量最少的探针节点，则确定本地探针节点属于互换节点的探针节点。

具体地，每个探针节点在确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点之后，会判断本地探针节点是否属于a个接收异常访问流量最多的探针节点，如果不属于a个接收异常访问流量最多的探针节点，还会判断本地探针节点是否属于b个接收异常访问流量最少的探针节点。如果本地探针节点属于a个接收异常访问流量最多的探针节点或者b个接收异常访问流量最少的探针节点，那么确定本地探针节点属于互换节点的探针节点，需要进行节点互换。如果本地探针节点既不属于a个接收异常访问流量最多的探针节点，也不属于b个接收异常访问流量最少的探针节点，那么本地探针节点无需进行节点互换。

本发明实施例提供的基于区块链的动态蜜网数据处理方法，对异常访问流量最多的几个探针节点进行节点互换，可以有效防止由于蜜罐地址随意分发，诱导无关人员访问导致的蜜罐告警数据被污染。对异常访问流量最少的几个探针节点进行节点互换，可以避免蜜罐在被攻击者发现后，攻击者选择不再访问此蜜罐的情况，提高蜜罐系统的可靠性。

图5是本发明再一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图，如图5所示，在上述各实施例的基础上，进一步地，所述互换节点的探针节点中的每个探针节点基于互换规则确定对应的共识节点包括：

S3031、互换节点的探针节点中的每个探针节点按照在当前周期接收到的异常访问流量总量由多到少的顺序对a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点进行排序，获得流量排序结果；

具体地，互换节点的探针节点中的每个探针节点可以获取互换节点的探针节点中的其他探针节点在当前周期接收到的异常访问流量总和，然后按照在当前周期接收到的异常访问流量总量由多到少的顺序对a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点进行排序，获得流量排序结果。

S3032、互换节点的探针节点中的每个探针节点根据在所述流量排序结果中的排名，将区块最新建立排序中排名相同的区块对应的打包节点作为对应的共识节点；其中，在当前周期每次生成新区块之后，会依次轮换打包节点。

具体地，互换节点的探针节点中的每个探针节点从所述流量排序结果中可以获得本地探针节点的排名。在当前周期每次生成新区块之后，会轮换打包节点，可以将共识节点中的每个节点依次轮流作为打包节点。可以按照区块生成的时间距当前时间的时间长短，对生成的区块进行排序，距当前的时间越短排名越靠前，可以获得区块最新建立排序。互换节点的探针节点中的每个探针节点可以根据本地探针节点的排名，在所述区块最新建立排序中查找相同的排名，获得相同的排名对应的区块，将相同的排名对应的区块所对应的打包节点作为本地探针节点对应的共识节点。其中，相同的排名对应的区块所对应的打包节点即生成所述区块的打包节点，可以通过区块的区块头获得，区块头包括生成区块的打包节点标识。

图6是本发明还一实施例提供的基于区块链的动态蜜网数据处理方法的流程示意图，如图6所示，在上述各实施例的基础上，进一步地，本发明实施例提供的基于区块链的动态蜜网数据处理方法还包括：

S601、所述打包节点若判断获知当前周期的新区块的区块高度小于高度阈值，则根据轮换规则确定下一个打包节点；

具体地，所述打包节点在所述新区块上链之后，会将新区块的区块高度与高度阈值进行比较，如果所述区块高度小于所述高度阈值，说明需要进行打包节点的轮换，所述打包节点会根据轮换规则确定下一个打包节点。其中，所述轮换规则是预设的。

例如，可以从共识节点中随机选择下一个打包节点，也可以采用共识算法从共识节点中选择下一个打包节点。

S602、所述打包节点发送轮换触发信息给所述下一个打包节点，并变为验证节点。

具体地，所述打包节点在确定下一个打包节点之后，会发送轮换触发信息给下一个打包节点，然后更改所述打包节点的类型标志位，将所述打包节点的类型标志位由打包更改为验证，使所述打包节点变为验证节点。所述下一个打包节点接收到所述轮换触发信息之后，会更改当前的类型标志位，将当前的类型标志位由验证更改为打包。

S603、变更后的验证节点和所述下一个打包节点广播轮换完成信息。

具体地，所述打包节点在更改类型标志位之后，成为验证节点，变更后的验证节点会广播轮换完成信息，通知其他节点打包节点变成了验证节点。所述下一个打包节点，在更改类型标志位之后，也会广播轮换完成信息，通知其他节点所述下一个打包节点由验证节点变成了打包节点，各个探针节点在接收到所述下一个打包节点发送的广播轮换完成信息之后，就会将异常流量包发送到所述下一个打包节点。其中，变更后的验证节点广播的轮换完成信息可以包括变更后的验证节点的节点标识和更改后的类型标志位。所述下一个打包节点广播的轮换完成信息可以包括所述下一个打包节点的节点标识和更改后的类型标志位。

本发明实施例提供的基于区块链的动态蜜网数据处理方法，对打包节点进行轮换，相比传统的单一中心化管理中心，避免了一旦管理中心的服务器宕机，甚至被攻陷，将导致整个蜜网系统失效或瘫痪，规避了中心化风险，提升了蜜网系统的安全性。

在上述各实施例的基础上，进一步地，所述轮换规则包括：

根据各个共识节点的排序在所述当前周期内进行打包节点轮换；其中，各个共识节点的排序是根据各个共识节点的公钥大小对各个共识节点进行排序获得的。

具体地，同时为了防止共识节点作恶，共识过程中每个共识节点均对其发送的任何信息进行签名，对收到的信息进行签名验证，以证明信息的真实性。因此，每个共识节点均维护一份公私钥对，私钥用于对发送的信息进行签名，公钥用于对收到的信息进行验签。可以根据各个共识节点的公钥大小对各个共识节点进行排序，获得各个共识节点的排序，然后按照各个共识节点的排序在所述当前周期内进行打包节点轮换。其中，可以将公钥作为各个共识节点的节点标识。

例如，有5个共识节点：共识节点A、共识节点B、共识节点C、共识节点D和共识节点E，将5个共识节点按照公钥大小降序排列，获得5个共识节点的排序为共识节点A、共识节点E、共识节点D、共识节点C和共识节点B。在一个周期内按照共识节点A、共识节点E、共识节点D、共识节点C、共识节点B的顺序依次进行打包节点的轮换。如果当前的打包节点为共识节点E，那么下一个打包节点为共识节点D。

图7是本发明一实施例提供的基于区块链的动态蜜网数据处理系统的结构示意图，如图7所示，本发明实施例提供的基于区块链的动态蜜网数据处理系统包括至少一个探针节点1、打包节点2、多个验证节点3和与每个探针节点1对应的蜜罐节点4，其中：

打包节点2与每个探针节点1和每个验证节点3通信连接，每个探针节点1与对应的蜜罐节点4通信连接；

探针节点1，用于在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点4，并基于所述异常访问流量和所述蜜罐节点4的节点信息生成异常流量包；打包节点2，用于接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点3；验证节点3，用于基于共识机制对所述新区块进行验证，并将通过验证的新区块上链。

具体地，每个探针节点1都可以接收外部访问请求，并对外部访问请求进行监听。探针节点1如果监测到异常访问流量，那么会将所述异常访问流量转发至蜜罐节点4，每个探针节点1可以根据异常访问流量包括的目的IP地址和端口号确定转发的蜜罐节点。蜜罐节点4与探针节点1对应，每个探针节点1与蜜罐节点4的对应关系是预先配置的，一个探针节点1对应至少一个蜜罐节点4。探针节点1会根据所述异常访问流量和蜜罐节点4的节点信息生成异常流量包，所述异常访问流量包括数据包，探针节点1可以获取一定数量的数据包与蜜罐节点4的节点信息组合在一起生成异常流量包。探针节点1在生成所述异常流量包之后，会将所述异常流量包发送给打包节点2。在异常流量包中加入蜜罐节点的节点信息，有助于在用户在分析攻击者行为时，可以直接根据蜜罐节点进行快速分析、筛选和定位。其中，蜜罐节点4的节点信息包括但不限于蜜罐节点伪装服务、蜜罐节点IP地址、蜜罐节点接收端口等信息。蜜罐节点4和探针节点1可以采用服务器或者虚拟机，根据实际需要进行设置，本发明实施例不做限定。可理解的是，蜜罐节点4可以用于引诱攻击者释放攻击载荷，欺骗攻击者误以为完成攻击，以达到主动防御的目的。所述异常访问流量的具体判断方法为现有技术，此处不进行赘述。

打包节点2接收每个探针节点1发送的异常流量包，并基于在预设时间段内接收到的异常流量包生成新区块，然后将生成的新区块广播给各个验证节点3。新区块包括区块头和区块体，区块头可以包括当前区块哈希值、前一区块哈希值、时间戳、区块高度、生成区块的打包节点标识等信息，区块体可以包括预设时间段内接收到的异常流量包。其中，打包节点2可以采用服务器或者虚拟机，根据实际需要进行设置，本发明实施例不做限定。所述预设时间段根据实际需要进行设置，本发明实施例不做限定。

每个验证节点3会接收打包节点2发送的新区块，各个验证节点可以基于共识机制对所述新区块进行验证，并在验证通过之后将通过验证的新区块上链，即将新区块接入到区块链中，使所述区块链包括新区块。验证节点3还会将新区块验证通过的信息反馈给所述打包节点，使打包节点2将新区块接入到区块链中。其中，所述共识机制可以采用BFT类共识算法或者POS类共识算法实现，根据实际需要进行选择，本发明实施例不做限定。验证节点3可以采用服务器或者虚拟机，根据实际需要进行设置，本发明实施例不做限定。

其中，探针节点1、打包节点2和验证节点3构成区块链网络。打包节点2和验证节点3在本发明实施例中称为共识节点。共识节点的数量可以大于等于4且小于等于10，共识节点的数量大于打包节点的数量。探针节点1对应的蜜罐节点4可以有多个，蜜罐节点4按照功能可以分为应用服务蜜罐节点、邮件服务蜜罐节点、Web服务蜜罐节点、数据库服务蜜罐节点、系统服务蜜罐节点和文件服务蜜罐节点等类型，根据实际需要进行设置，本发明实施例不做限定。

本发明实施例提供的基于区块链的动态蜜网数据处理系统，每个探针节点在监测到异常访问流量之后，将异常访问流量转发至蜜罐节点，并基于异常访问流量和蜜罐节点的节点信息生成异常流量包，打包节点接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，并将新区块广播给多个验证节点，多个验证节点基于共识机制对新区块进行验证，并将通过验证的新区块上链，实现通过区块链存储异常访问流量，可以有效防止攻击者通过利用0DAY漏洞或高级攻击手段将攻击者的访问流量删除，提高了数据的安全性。此外，探针节点负责转发异常流量，蜜罐节点负责部署伪装服务欺骗攻击者，通过设置探针节点关联的蜜罐节点实现自定义蜜罐组网，在减少了资源利用的同时大大提升了蜜网系统的复杂性、可扩展性和真实性。

在上述各实施例的基础上，进一步地，本发明实施例提供的基于区块链的动态蜜网数据处理系统还包括：

打包节点2，用于在判断获知所述新区块的区块高度等于高度阈值之后，广播节点互换触发信息给各个探针节点1，所述节点互换触发信息包括当前周期的所有新区块；探针节点1，用于基于探针节点互换规则确定互换节点的探针节点；互换节点的探针节点中的每个探针节点1，用于基于共识节点互换规则确定对应的共识节点，并与对应的共识节点进行节点互换；其中，所述共识节点包括所述打包节点2和各个验证节点3；完成互换的探针节点1和共识节点，用于广播互换完成信息。

具体地，打包节点2在所述新区块上链之后，会将新区块的区块高度与高度阈值进行比较，如果所述区块高度等于所述高度阈值，说明需要进行探针节点和共识节点的互换，打包节点2会发送节点互换触发信息给各个探针节点1，所述节点互换信息包括当前周期的所有新区块，以便于各个探针节点1将本地存储的区块链更新为最新的区块链。其中，当前周期是指上一次进行探针节点与共识节点互换完成之后到将要进行的探针节点与共识节点互换完成之前的时间段，当前周期的所有区块是指在当前周期内生成的新区块。所述高度阈值根据实际经验进行设置，本发明实施例不做限定。在当前周期内，打包节点1生成的新区块的区块高度是累加的。

各个探针节点1会接收打包节点2广播的互换触发信息，然后基于探针节点互换规则确定互换节点的探针节点，即确定出哪些探针节点要转换成共识节点。其中，探针节点互换规则是预设，根据实际需要进行设置，本发明实施例不做限定。

探针节点1在确定本身为互换节点的探针节点之后，会基于共识节点互换规则确定对应的共识节点，即确定哪个共识节点要替换探针节点1。探针节点1在确定对应的共识节点之后，可以将探针节点1对应的蜜罐节点信息发送给探针节点1对应的共识节点，然后更改探针节点1的类型标志位，将探针节点1的类型标志位由探针更改为打包或者验证，如果探针节点1对应的共识节点的类型标志位为打包，则更改为打包，如果探针节点1对应的共识节点的类型标志位为验证，则更改为验证。探针节点1在更改类型标志位之后，将不再接收外部访问请求。探针节点1对应的共识节点在接收到探针节点1对应的蜜罐节点信息之后，将本地的类型标志位更改为探针，并根据探针节点1对应的蜜罐节点信息将本地节点与蜜罐信息对应的蜜罐节点4进行对应。经过上述处理过程，探针节点1与对应的共识节点进行了节点互换。类型标志位是预设的，包括探针、打包和验证三种类型，探针节点的类型标志位为探针，打包节点的类型标志位为打包，验证节点的类型标志位为验证。

探针节点1在更改类型标志位之后，会广播互换完成信息，通知其他节点所述探针节点变成了共识节点。探针节点1对应的共识节点，在更改类型标志位之后，也会广播互换完成信息，通知其他节点所述共识节点变成了探针节点。其中，探针节点1广播的互换完成信息可以包括所述探针节点的节点标识和更改后的类型标志位。所述共识节点广播的互换完成信息可以包括所述共识节点的节点标识和更改后的类型标志位。

其中，每种类型标志位都会对应相应的功能，预先配置在区块链网络中各个节点上，即区块链网络中的每个节点都会配置探针节点、打包节点和验证节点的功能，根据类型标志位开启对应的功能，每次只能开启一种类型标志位对应的功能。

图8是本发明另一实施例提供的基于区块链的动态蜜网数据处理系统的结构示意图，如图8所示，在上述各实施例的基础上，进一步地，探针节点1包括广播单元101、确定单元102和判断单元103，其中：

广播单元101用于向其他探针节点广播在当前周期接收到的异常访问流量总和；确定单元102用于根据各个探针节点在当前周期接收到的异常访问流量总和，确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点；判断单元103用于在判断获知本地探针节点属于a个接收异常访问流量最多的探针节点或者b个接收异常访问流量最少的探针节点之后，确定本地探针节点属于互换节点的探针节点。

具体地，广播单元101会记录在当前周期接收到的异常访问流量，在接收到所述互换触发信息之后，可以统计出当前周期接收到的异常访问流量总和，然后向其他探针节点广播在当前周期接收到的异常访问流量总和。

确定单元102会接收到其他探针节点广播的在当前周期接收到的异常访问流量总和，然后对比各个探针节点在当前周期接收到的异常访问流量总和，可以确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点。其中，a和b为正整数，具体数值根据实际需要进行设置，本发明实施例不做限定。

在确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点之后，判断单元103会判断本地探针节点是否属于a个接收异常访问流量最多的探针节点，如果不属于a个接收异常访问流量最多的探针节点，还会判断本地探针节点是否属于b个接收异常访问流量最少的探针节点。如果本地探针节点属于a个接收异常访问流量最多的探针节点或者b个接收异常访问流量最少的探针节点，那么确定本地探针节点属于互换节点的探针节点，需要进行节点互换。如果本地探针节点既不属于a个接收异常访问流量最多的探针节点，也不属于b个接收异常访问流量最少的探针节点，那么本地探针节点无需进行节点互换。

图9是本发明又一实施例提供的基于区块链的动态蜜网数据处理系统的结构示意图，如图9所示，在上述各实施例的基础上，进一步地，探针节点1包括排序单元104和作为单元105，其中：

排序单元104用于按照当前周期接收到的异常访问流量总量由多到少的顺序对a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点进行排序，获得流量排序结果；作为单元105用于根据在所述流量排序结果中的排名，将区块最新建立排序中排名相同的区块对应的打包节点作为对应的共识节点；其中，每次生成新区块之后，会依次轮换打包节点。

具体地，排序单元104可以获取互换节点的探针节点中的其他探针节点在当前周期接收到的异常访问流量总和，然后按照在当前周期接收到的异常访问流量总量由多到少的顺序对a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点进行排序，获得流量排序结果。

作为单元105从所述流量排序结果中可以获得本地探针节点的排名。在当前周期每次生成新区块之后，会轮换打包节点，可以将共识节点中的每个节点依次轮流作为打包节点。可以按照区块生成的时间距当前时间的时间长短，对生成的区块进行排序，距当前的时间越短排名越靠前，可以获得区块最新建立排序。作为单元105可以根据本地探针节点的排名，在所述区块最新建立排序中查找相同的排名，获得相同的排名对应的区块，将相同的排名对应的区块所对应的打包节点作为本地探针节点对应的共识节点。其中，相同的排名对应的区块所对应的打包节点即生成所述区块的打包节点，可以通过区块的区块头获得，区块头包括生成区块的打包节点标识。

在上述各实施例的基础上，进一步地，本发明实施例提供的基于区块链的动态蜜网数据处理系统还包括：

打包节点2用于在判断获知当前周期的新区块的区块高度小于高度阈值，则根据轮换规则确定下一个打包节点；打包节点2用于发送轮换触发信息给所述下一个打包节点，并变为验证节点；变更后的验证节点3和所述下一个打包节点，用于广播轮换完成信息。

具体地，在所述新区块上链之后，打包节点2会将新区块的区块高度与高度阈值进行比较，如果所述区块高度小于所述高度阈值，说明需要进行打包节点的轮换，打包节点2会根据轮换规则确定下一个打包节点。其中，所述轮换规则是预设的。

打包节点2在确定下一个打包节点之后，会发送轮换触发信息给下一个打包节点，然后更改打包节点2的类型标志位，将打包节点2的类型标志位由打包更改为验证，使打包节点2变为验证节点3。所述下一个打包节点接收到所述轮换触发信息之后，会更改当前的类型标志位，将当前的类型标志位由验证更改为打包。

具体地，打包节点2在更改类型标志位之后，成为验证节点3，变更后的验证节点3会广播轮换完成信息，通知其他节点打包节点变成了验证节点。所述下一个打包节点，在更改类型标志位之后，也会广播轮换完成信息，通知其他节点所述下一个打包节点由验证节点变成了打包节点，各个探针节点在接收到所述下一个打包节点发送的广播轮换完成信息之后，就会将异常流量包发送到所述下一个打包节点。其中，变更后的验证节点3广播的轮换完成信息可以包括变更后的验证节点3的节点标识和更改后的类型标志位。所述下一个打包节点广播的轮换完成信息可以包括所述下一个打包节点的节点标识和更改后的类型标志位。

在上述各实施例的基础上，进一步地，所述轮换规则包括：

根据各个共识节点的排序在所述当前周期内依次进行打包节点轮换；其中，各个共识节点的排序是根据各个共识节点的公钥大小对各个共识节点进行排序获得的。

具体地，同时为了防止共识节点作恶，共识过程中每个共识节点均对其发送的任何信息进行签名，对收到的信息进行签名验证，以证明信息的真实性。因此，每个共识节点均维护一份公私钥对，私钥用于对发送的信息进行签名，公钥用于对收到的信息进行验签。可以根据各个共识节点的公钥大小对各个共识节点进行排序，获得各个共识节点的排序，然后按照各个共识节点的排序在所述当前周期内进行打包节点轮换。其中，可以将公钥作为各个共识节点的节点标识。

本发明实施例提供的基于区块链的动态蜜网数据处理系统的实施例具体可以用于执行上述各方法实施例的处理流程，其功能在此不再赘述，可以参照上述方法实施例的详细描述。

本发明是参照根据本发明实施例的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

在本说明书的描述中，参考术语“一个实施例”、“一个具体实施例”、“一些实施例”、“例如”、“示例”、“具体示例”、或“一些示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上所述的具体实施例，对本发明的目的、技术方案和有益效果进行了进一步详细说明，所应理解的是，以上所述仅为本发明的具体实施例而已，并不用于限定本发明的保护范围，凡在本发明的精神和原则之内，所做的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种基于区块链的动态蜜网数据处理方法，其特征在于，包括：

每个探针节点在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点，并基于所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包；

打包节点接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点；

所述各个验证节点基于共识机制对所述新区块进行验证，并将通过验证的新区块上链；

所述打包节点若判断获知所述新区块的区块高度等于高度阈值，则广播节点互换触发信息给各个探针节点，所述节点互换触发信息包括当前周期的所有新区块；

各个探针节点基于探针节点互换规则确定互换节点的探针节点；

互换节点的探针节点中的每个探针节点基于共识节点互换规则确定对应的共识节点，并与对应的共识节点进行节点互换；其中，所述共识节点包括所述打包节点和各个验证节点；

完成互换的探针节点和共识节点广播互换完成信息。

2.根据权利要求1所述的方法，其特征在于，所述各个探针节点基于探针节点互换规则确定互换节点的探针节点包括：

每个探针节点向其他探针节点广播在当前周期接收到的异常访问流量总和；

每个探针节点根据各个探针节点在当前周期接收到的异常访问流量总和，确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点；

每个探针节点若判断获知本地探针节点属于a个接收异常访问流量最多的探针节点或者b个接收异常访问流量最少的探针节点，则确定本地探针节点属于互换节点的探针节点。

3.根据权利要求1所述方法，其特征在于，所述互换节点的探针节点中的每个探针节点基于共识节点互换规则确定对应的共识节点包括：

互换节点的探针节点中的每个探针节点按照当前周期接收到的异常访问流量总量由多到少的顺序对a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点进行排序，获得流量排序结果；

互换节点的探针节点中的每个探针节点根据在所述流量排序结果中的排名，将区块最新建立排序中排名相同的区块对应的打包节点作为对应的共识节点；其中，每次生成新区块之后，会依次轮换打包节点。

4.根据权利要求1至3任一项所述的方法，其特征在于，还包括：

所述打包节点若判断获知当前周期的新区块的区块高度小于高度阈值，则根据轮换规则确定下一个打包节点；

所述打包节点发送轮换触发信息给所述下一个打包节点，并变为验证节点；

变更后的验证节点和所述下一个打包节点广播轮换完成信息。

5.根据权利要求4所述的方法，其特征在于，所述轮换规则包括：

根据各个共识节点的排序在所述当前周期内依次进行打包节点轮换；其中，各个共识节点的排序是根据各个共识节点的公钥大小对各个共识节点进行排序获得的。

6.一种基于区块链的动态蜜网数据处理系统，其特征在于，包括至少一个探针节点、打包节点、多个验证节点和与每个探针节点对应的蜜罐节点，其中：

所述打包节点与每个探针节点和每个验证节点通信连接，每个探针节点与对应的蜜罐节点通信连接；

所述探针节点，用于在监测到异常访问流量之后，将所述异常访问流量转发至蜜罐节点，并基于所述异常访问流量和所述蜜罐节点的节点信息生成异常流量包；

所述打包节点，用于接收每个探针节点发送的异常流量包，并基于预设时间段内接收的异常流量包生成新区块，将所述新区块广播给各个验证节点；

各个验证节点，用于基于共识机制对所述新区块进行验证，并将通过验证的新区块上链；

所述打包节点，用于在判断获知所述新区块的区块高度等于高度阈值之后，广播节点互换触发信息给各个探针节点，所述节点互换触发信息包括当前周期的所有新区块；

所述探针节点，用于基于探针节点互换规则确定互换节点的探针节点；

互换节点的探针节点中的每个探针节点，用于基于共识节点互换规则确定对应的共识节点，并与对应的共识节点进行节点互换；其中，所述共识节点包括所述打包节点和各个验证节点；

完成互换的探针节点和共识节点，用于广播互换完成信息。

7.根据权利要求6所述的系统，其特征在于，所述探针节点包括：

广播单元，用于向其他探针节点广播在当前周期接收到的异常访问流量总和；

确定单元，用于根据各个探针节点在当前周期接收到的异常访问流量总和，确定a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点；

判断单元，用于在判断获知本地探针节点属于a个接收异常访问流量最多的探针节点或者b个接收异常访问流量最少的探针节点之后，确定本地探针节点属于互换节点的探针节点。

8.根据权利要求6所述系统，其特征在于，所述探针节点包括：

排序单元，用于按照当前周期接收到的异常访问流量总量由多到少的顺序对a个接收异常访问流量最多的探针节点和b个接收异常访问流量最少的探针节点进行排序，获得流量排序结果；

作为单元，用于根据在所述流量排序结果中的排名，将区块最新建立排序中排名相同的区块对应的打包节点作为对应的共识节点；其中，每次生成新区块之后，会依次轮换打包节点。

9.根据权利要求6至8任一项所述的系统，其特征在于，还包括：

所述打包节点，用于在判断获知当前周期的新区块的区块高度小于高度阈值，则根据轮换规则确定下一个打包节点；

所述打包节点，用于发送轮换触发信息给所述下一个打包节点，并变为验证节点；

变更后的验证节点和所述下一个打包节点，用于广播轮换完成信息。

10.根据权利要求9所述的系统，其特征在于，所述轮换规则包括：

根据各个共识节点的排序在所述当前周期内依次进行打包节点轮换；其中，各个共识节点的排序是根据各个共识节点的公钥大小对各个共识节点进行排序获得的。

Images