CN112134833B - 一种虚实融合的流欺骗防御方法 - Google Patents

Abstract

本专利提出一种利用流欺骗技术进行虚实融合攻击防御的方法，应用于网络安全领域，在实现基本欺骗防御安全防护的同时，针对常见欺骗防御在误判情况影响正常业务流量对问题提出改进方案。同时后台利用机器学习等技术，自动化实时更新行为分析的规则。该实现过程主要包含感知器、AI智能分析引擎、人工校验以及后台以全栈虚拟化云平台为支撑的影子系统。具体涉及AI智能分析引擎引导感知器将可疑流量引入同构虚拟化影子系统，同时部署人工校验模块对该用户访问行为进行人工监测和验证，根据判断结果在假阳性误判的情况下将流量重新引入真实业务系统，实现虚实融合的流欺骗防御。本专利可用于网络安全运维、实时灾备以及云数据实验室等领域。

Description

一种虚实融合的流欺骗防御方法

本专利提供一种利用流欺骗技术进行虚实融合攻击防御的方法，具体涉及在感知器将可疑流量引入同构影子系统后，部署校验模块对此行为进行人工验证，根据判断结果在假阳性误判的情况下将流量重新引入真实业务系统，实现虚实融合的流欺骗防御。同时后台利用机器学习等技术，自动化实时更新行为分析的规则。

背景技术

近年来，网络安全形势日益严峻，信息泄露事件频发，攻防博弈也趋于白热化，黑客的攻击呈现出目标明确、手段多样、隐蔽性强等特点，企业安全管理者也逐渐意识到单纯的依靠边界安全防护体系建设已无法满足安全需求，开始寻求更为有效的安全防御手段。

网络欺骗防御技术是目前受到广泛关注的一种安全防御手段，区别于传统被动式安全防御手段，这是一种主动式防御手段。防御者伪造让攻击者有攻击价值的目标，让入侵者相信信息系统存在有价值的、可利用的安全弱点，并具有一些可攻击窃取的资源(当然这些资源是伪造的或不重要的)，并将入侵者引向这些错误的资源。欺骗防御能够显著地增加入侵者的工作量、入侵复杂度以及不确定性，从而使入侵者不知道其进攻是否奏效或成功。此外，欺骗防御允许防护者跟踪入侵者的行为，在入侵者之前修补系统可能存在的安全漏洞。常见的网络欺骗防御技术有蜜罐技术、分布式蜜罐技术、蜜网技术、空间欺骗技术、网络信息迷惑技术。

传统的欺骗防御技术一般只是虚假的主机，安全研究员观察恶意样本在蜜罐中的行为，因此出现了新的分布式欺骗解决方案，提供了面向企业环境的自动化欺骗方法，可动态构建各种交互的虚假网络和主机系统。已有的欺骗方案需要大量的人工调查和分析，时间和人力成本、系统的部署和维护成本都较高，且无法做到即时的学习与更新。同时，在对攻击行为流量进行甄别时，均会不可避免地出现假阳性误判的情况，使得正常的流量被引入欺骗网络和系统环境中，而大多数方案没有后续的针对性弥补措施。

发明内容

本专利针对上述核心问题提出了一种利用流欺骗技术进行虚实融合攻击防御的方法，旨在解决新型的分布式欺骗解决方案中出现假阳性误判导致正常业务访问受到干扰的情况。真实业务系统与影子系统间的流量通过中间感知器的判断进行切换，不仅有单向的由真实业务系统转入同构影子系统的欺骗防御流量，在感知器进行人工鉴别后可以将假阳性误判的流量由影子系统重新引回真实业务系统，实现高精度的虚实融合流欺骗防御。与此同时，后台利用机器学习等分析技术，部署智能分析引擎，对已有的异常行为进行模式的深度学习，能够自动更新相应判断规则，进一步提高转移流量前的判断精度。

本专利所述的虚实融合流欺骗防御整体结构如图1所示，主要由3部分组成，分别为：(1)用户真实业务系统，包括根据用户的实际需求与业务系统的整体运行环境安装部署的中间感知器，用于感知访问行为的可疑程度，并发起流欺骗的防御请求。(2)虚实融合防御核心，包括流欺骗模块、AI分析引擎以及人工校验组件。其中流欺骗模块主要用于接收感知器的请求，根据上述真实业务系统部署相应的影子系统做诱饵，将可疑流量转移至部署的影子系统中，同时AI分析模块根据感知器的结果添加相应的攻击行为模式。人工感知模块负责在进行流欺骗防御后，对于可能存在假阳性误判的流量，进行监控。对误判进行人工校验，在确保人工参与的前提下，校验方式可选，如验证码、模糊图像识别等。因此发生假阳性误判后，人工校验组件会向流欺骗模块发起请求，将流量由影子系统回传到真实业务系统中，实现虚实融合的攻击防御。与此同时向AI分析引擎反馈，进行更新后再学习。(3)影子系统，从部署形式上看由超融合虚拟机集群和多个Docker容器组成，是整个影子系统的形式载体，底层则融合了多项技术。其中包括KVM/VMware虚拟化技术、分布式存储技术、软件定义网络技术以及DNS等，上述技术的有机结合构成超融合架构的底层支撑。从对外可见的逻辑划分上看，影子系统表现为为用户创建的同构虚拟服务集群系统。与真实业务系统相比，各个影子系统拥有同样的服务如数据库、web服务等；同样的网络架构，包括二层与三层网络拓扑。同时，为了保证诱饵的有效性，影子系统中引入了脱敏后的真实业务静态数据。

本专利所述虚实融合的流欺骗防御流程如图2所示，详细描述如下：

Step 1：欺骗防御需要先获取真实业务系统的环境配置、数据文件、网络环境，构建同构的虚拟化环境即影子系统做诱饵，包括配置环境变量、构建相应的网络环境、对重要数据进行脱敏操作，转为静态数据等。影子系统可能的形式为超融合虚拟机集群、Docker容器服务，或为两者混合架构。首次构建影子系统耗时较长，后续则不需要重复构建部署，影子系统可作为诱饵或数据实验室保留。

Step 2：所述中间感知器在真实业务系统中持续监控，利用规则库对访问流量的可疑程度进行判断。如果判定为可疑访问行为则向后续的流欺骗防御模块发起防御请求，并向AI分析引擎发送攻击数据，进行深度学习数据更新。

Step 3：上述的防御请求由流欺骗模块接收，收到请求消息后，在确保影子系统部署完善前提下，通过流捕获等手段对可疑流量进行转移，由虚拟影子系统承载访问流量，实现由实到虚的流欺骗防御。

Step 4：后台监控校验。所述人工校验组件对转移到虚拟影子系统中的流量进行持续的监控，对于无持续可疑行为的访问流量即假阳性误判的情况发起人工校验，校验方式可选，如动态验证码，静态模糊图像识别等。

Step 5：所述人工校验通过后，此模块将发起引回流量的请求，同样通过捕获流等技术，将访问流量引回到真实业务系统中，实现由虚到实自检验高精度防御。同时将此假阳性误判样例反馈回AI分析引擎，进行深度学习的样本更新，AI引擎更新学习后，将与中间感知器同步新的判断规则。

本专利所述的虚实融合流欺骗防御通过真实业务系统与影子系统的双向流量切换技术解决了新型流欺骗防御存在的假阳性误判带来的业务访问受限的问题。AI分析引擎的不断学习、自我更新能力提高了流欺骗防御技术的精确度。超融合虚拟化技术与Docker容器技术的结合使得同构影子系统具有更良好的可扩展性，提高了流欺骗防御技术的抗攻击能力。

附图说明

为了更清楚地说明本专利发明内容及实施例中的技术方案，下面将对所使用的附图作简单地介绍。以下描述中的附图仅仅是本专利的一些整体架构和实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本专利提供的虚实融合的流欺骗防御整体架构图；

图2为本专利提供的虚实融合的流欺骗防御的流程模板；

图3为本专利提供的实施例虚实业务系统映射图；

图4为本专利提供的实施例中基于哈希算法的人工校验示意图。

具体实施方式

为使本专利实施例的目的、技术方案和优点更加清楚，下面将结合本专利实施例中的附图，对本专利实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本专利一部分实施例，而不是全部的实施例。基于本专利中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本专利保护的范围。

本专利实施例中，由于不同用户的业务系统存在不同程度的差异，核心应用与架构复杂程度均不相同，此例仅为示例只用。真实业务系统1核心为web服务，其服务组件与网络部署如图3所示：真实业务系统1的核心组件为多个Nginx服务组成，中间部署了Redis和Tomcat中间件集群，后台为主从Mysql数据库集群，是常见的分布式高效Web应用系统。整个业务系统由前端Nginx读取本机Redis缓存，否则回源到后端Tomcat集群，后端Tomcat集群再读取Mysql数据库。真实业务系统1的网络环境分为前端业务数据网络和后端数据库存储网络，由三层网络实现隔离与互通。

本专利所述的中间感知器将此业务系统1的配置信息与必要数据(如脱敏后的数据库表)发送到流欺骗模块，以此构建同构影子系统shadow1。此实施例中shadow1与真实业务系统组成如下表所示：

此实施例中的影子系统shadow1同时包含虚拟机与Docker容器，Redis服务和Nginx服务安装在同一台服务器(虚拟机)上，Nginx直接读取本机缓存数据可以减少网络延时，后台的Tomcat和主从Mysql数据库集群在以Docker容器的形式部署，同时满足与真实业务系统1同构以及轻量级的要求。网络环境的隔离和互通底层由Linux bridge、Docker虚拟网络技术实现。

AI分析引擎后台持续对业务系统的流量和日志数据进行学习分析，并与中间感知器(sensor)实时同步规则库。此实施例中，真实业务系统1的用户A对其Web应用发起访问，在系统日志中记录了该用户多次访问密码错误，因此将此访问行为的可疑度较高，感知器将其视为可疑流量，向流欺骗模块发起流量转移请求，并向AI分析引擎更新学习。部分系统日志数据如下表所示：

本专利中的所述流量转移的实现为捕获流并进行重转发调度技术。影子系统shadow1中的同构网络环境底层依赖软件定义网络(Software-Defined Networking，SDN)技术，数据中心存在除此实施例之外的多个异构隔离网络环境，因此数据中心流调度策略在进行数据流迁移尤其是大流的迁移容易产生数据流丢包并出现接收端数据包乱序，从而造成网络吞吐量降低的问题。此实施例中影子系统数据中心采用的是基于熔断机制的动态路由算法对其进行调度，优化上述问题。

此时人工校验组件对引入影子系统shadow1的流量进行持续的监控，未发现该用户访问有更大程度的可疑行为，可疑程度降低。因此发起人工校验请求，用户1将进行基于哈希算法的人工校验(人工校验方式之一)，示例如图4所示。

通过人工校验后，确定为假阳性误判，发起由shadow1向真实业务系统1的流量回引请求，进行由虚到实的流量转移。与此同时，向AI分析引擎反馈此项训练数据。

需要补充说明的是，本专利中的影子系统包括实施例中的影子系统shadow1不仅可以作为诱饵实现流欺骗防御，同时也作为安全分析的数据实验室提供真实的数据。

最后应说明的是：以上实施例仅用以说明本专利的技术方案，而非对其限制；尽管参照前述实施例对本专利进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本专利各实施例技术方案的精神和范围。

Claims (6)

1.一种虚实融合的流欺骗防御方法，其特征在于：在流欺骗防御过程中，通过监控检验实现真实业务环境与虚拟诱饵环境双向切换；具体包括：

Step1:欺骗防御先获取真实业务系统的环境配置、数据文件,网络环境,构建同构的虚拟化环境即影子系统做诱饵,包括配置环境变量﹑构建相应的网络环境,对重要数据进行脱敏操作,转为静态数据，影子系统的形式为超融合虚拟机集群、Docker容器服务,或为两者混合架构；

Step2:中间感知器在真实业务系统中持续监控,利用规则库对访问流量的可疑程度进行判断，如果判定为可疑访问行为则向后续的流欺骗模块发起防御请求，并向AI分析引擎发送攻击数据,进行深度学习数据更新；

Step3:防御请求由流欺骗模块接收,收到请求消息后,在确保影子系统部署完善前提下,通过流捕获手段对可疑流量进行转移,由虚拟影子系统承载访问流量,实现由实到虚的流欺骗防御；

Step4:后台监控校验，人工校验组件对转移到虚拟影子系统中的流量进行持续的监控,对于无持续可疑行为的访问流量即假阳性误判的情况发起人工校验；

Step5:人工校验通过后,发起引回流量的请求,同样通过捕获流技术,将访问流量引回到真实业务系统中,实现由虚到实自检验高精度防御，同时将假阳性误判样例反馈回AI分析引擎,进行深度学习的样本更新,AI引擎更新学习后,将与中间感知器同步新的判断规则。

2.根据权利要求1所述的方法，其特征在于，以部署在真实业务系统中的感知器做流欺骗防御发起方，人工校验组件为流量由虚拟系统回引至真实系统的控制组件，后台以全栈虚拟化为基础平台支撑。

3.根据权利要求2所述的方法，其特征在于，感知器为：前端部署在用户真实业务系统中做监测，后端以人工智能机器学习分析引擎做支撑，业务系统的日志数据作为机器学习的数据来源，其输出为感知器前端的判断依据，而系统流欺骗防御的数据又将反馈到分析引擎中，实现自动化实时更新。

4.根据权利要求2所述的方法，其特征在于，人工校验组件对由真实业务系统引流到虚拟影子系统的流量进行持续监控，并对其敏感程度进行评估；在该访问流量可疑程度较低时发起流量回引操作。

5.根据权利要求2所述的方法，其特征在于，全栈虚拟化结合虚拟机计算虚拟化、分布式存储虚拟化以及分层网络虚拟化的超融合虚拟化技术以及Docker容器技术，弥补虚拟机不够轻量的不足，实现从应用到整机的不同粒度虚拟化。

6.根据权利要求2或权利要求4所述的方法，其特点在于，基于人工校验的流量回引流程为：组件发出校验请求后，系统根据当前用户访问行为特点，以验证码或验证链接的人工校验方式，要求当前用户进行人工参与的校验，通过后再执行流量回引操作。

Images