CN112291246B - 一种在蜜罐场景下扩展攻击流量牵引能力的方法 - Google Patents

Abstract

本发明涉属于网络安全领域，其公开了一种在蜜罐场景下扩展攻击流量牵引能力的方法，解决传统技术中攻击流量牵引方案采用路由协议或者网关控制存在的牵引流量有限、牵引控制粒度较大、兼容性差的问题。其技术方案概括为：通过报文修改模块在业务服务器应用层利用iptables+ipset进行攻击流量捕获修改，释放与正常业务的连接资源，修改请求目的端口和响应源端口重定向攻击流量到报文转发模块，细粒度控制报文的牵引转发，直接在被攻击业务服务器进行攻击流量牵引，且兼容性高；通过报文转发模块在业务服务器应用层监听攻击流量，与攻击流量建立代理连接后，将攻击流量封装转发给代理，代理将流量转发给真实蜜罐服务器，直接在被攻击业务服务器进行攻击流量牵引。

Description

一种在蜜罐场景下扩展攻击流量牵引能力的方法

技术领域

本发明涉属于网络安全领域，具体涉及一种在蜜罐场景下扩展攻击流量牵引能力的方法。

背景技术

目前在蜜罐场景下进行攻击流量牵引主要有两种方法，其一为通过路由协议牵引的方式，其二为通过网关方式进行将攻击者流量进行转发，具体说明如下：

一、通过路由协议牵引方式：

具体流程是发布BGP或者ARP通告，在路由设备或者交换机上将攻击目标IP的攻击流量到达路径修改为蜜罐或者清洗设备，清洗设备会将攻击流量进行清除，蜜罐系统会将攻击流量牵引到蜜罐内部诱捕攻击，该技术方案存在的控制粒度大、需要控制入口路由设备或者交换机设备、攻击流量牵引覆盖面较窄、云环境下控制困难等缺陷，主要由于以下原因导致：

(1)路由协议本质上只能控制网络上以太帧的选路，无法控制某些来源IP或者访问某些端口的流量进行细粒度的攻击流量牵引；

(2)路由协议需要通过路由设备或者交换机设备才能进行控制选路，且部署在IDC入口，如果对应的攻击流量发生在内网，该方案无法进行牵引，访问流量通过该设备才能进行攻击流量牵引；

(3)在云环境下，云服务提供商无法提供适用于攻击流量牵引的路由控制。

二、通过网关方式进行将攻击者流量进行转发：

具体流程是所有访问流量通过网关转发给业务服务器，当网关检测到攻击后，将攻击者的流量单独转发给蜜罐系统，该技术方案存在的缺陷是需要改造网关逻辑、攻击流量牵引覆盖面较窄等，主要是由于以下原因导致：

(1)需要在网关上将攻击流量单独区分，由于网关是外部访问流量入口，容易影响整体访问；

(2)访问流量通过该网关设备才能进行攻击流量牵引，如果对应的攻击流量发生在内网且流量不经过网关设备，则该方案无法进行牵引。

发明内容

本发明所要解决的技术问题是：提出一种在蜜罐场景下扩展攻击流量牵引能力的方法，解决传统技术中攻击流量牵引方案采用路由协议或者网关控制存在的牵引流量有限、牵引控制粒度较大、兼容性差的问题。

本发明解决上述技术问题采用的技术方案是：

一种在蜜罐场景下扩展攻击流量牵引能力的方法，应用于蜜罐场景下的攻击流量牵引，所述蜜罐场景中分开部署有业务区和蜜罐分析区，所述业务区用于部署业务服务器，在业务服务器上部署报文修改模块和报文转发模块；所述蜜罐分析区用于部署转发模块和真实蜜罐；

该方法包括以下步骤：

步骤1、根据需要牵引的服务类型配置多个ipset集合，并初始化端口映射关系；

步骤2、添加待牵引IP到各服务的ipset集合；

步骤3、通过iptables将各服务的ipset集合流量重定向到业务服务器的应用层；

步骤4、若接收到内核重定向的攻击者流量，则检测攻击者是否与业务服务器建立连接，若已建立连接，则构造并发送RST报文给业务服务器和攻击者，使得业务服务器和攻击者重置已建连接，释放资源；若未建立连接，则进入步骤5；

步骤5、则将攻击者流量中报文目的端口根据映射关系修改为报文转发模块监听端口，并计算报文校验和，并将报文重新注入内核；

步骤6、报文转发模块代理业务服务器与攻击者建立连接；

步骤7、报文转发模块将攻击载荷转发给蜜罐分析区；

步骤8、蜜罐分析区对攻击者的请求进行虚假响应，反馈给报文转发模块；

步骤9、报文转发模块根据不同蜜罐的响应，将响应返回给对应攻击者的代理连接；

步骤10、报文修改模块检测到是返回给攻击者的报文时，根据映射关系修改源端口，计算报文校验和，并将报文重新注入内核发给攻击者。

作为进一步优化，步骤1中，所述需要牵引的服务类型配置的多个ipset集合，具体包括：

sshd服务的ipset集合：用于22端口的sshd服务的攻击流量牵引IP集合，映射到报文转发模块的10000端口；

Mysql服务的ipset集合：用于3306端口的mysql服务的攻击流量牵引IP集合，映射到报文转发模块的10001端口；

Redis服务的ipset集合：用于6379端口的redis服务的攻击流量牵引IP集合，映射到报文转发模块的10002端口。

作为进一步优化，步骤2中，所述添加待牵引IP到各服务的ipset集合具体包括：

当检测到攻击IP攻击sshd服务，则将该IP添加到sshd服务的ipset集合；

当检测到攻击IP攻击mysql服务，则将该IP添加到mysql服务的ipset集合；

当检测到攻击IP攻击Redis服务，则将该IP添加到redis服务的ipset集合。

作为进一步优化，步骤6中，所述报文转发模块代理业务服务器与攻击者建立连接具体包括：sshd服务接收目标端口为10000端口的连接，Mysql服务接收目标端口为10001端口的连接，Redis服务接收目标端口为10002端口的连接。

作为进一步优化，步骤7中，所述报文转发模块将攻击载荷转发给蜜罐分析区具体包括：

将攻击者的攻击sshd服务的攻击payload转发给蜜罐分析区的sshd蜜罐；

将攻击者的攻击mysql服务的攻击payload转发给蜜罐分析区的mysql蜜罐；

将攻击者的攻击redis服务的攻击payload转发给蜜罐分析区的redis蜜罐。

作为进一步优化，步骤10中，所述根据映射关系修改源端口具体包括：

若返回给攻击者的报文的源端口为10000，则将源端口修改为22端口；

若返回给攻击者的报文的源端口为10001，则将源端口修改为3306端口；

若返回给攻击者的报文的源端口为10002，则将源端口修改为6379端口。

本发明的有益效果是：

(1)通过在业务服务器上牵引攻击流量，极大提高了攻击流量的牵引质量；

(2)通过IP集合的方式，将攻击者IP聚合在集合中用于提高查询和转发效率；

(3)通过内核功能将符合条件的流量重定向到应用层，提高了处理效率和程序兼容性；

(4)通过报文转发模块与蜜罐分析区、攻击者建立连接，避免业务服务器与蜜罐聚集存放，极大提高了业务服务器的安全性；

(5)通过区分攻击者IP和攻击目标服务的方式，可细粒度控制牵引的攻击流量。

附图说明

图1是本发明中的蜜罐场景具体部署结构示意图；

图2是本发明实施例中扩展攻击流量牵引能力的方法流程图。

具体实施方式

本发明旨在提出一种在蜜罐场景下扩展攻击流量牵引能力的方法，解决传统技术中攻击流量牵引方案采用路由协议或者网关控制存在的牵引流量有限、牵引控制粒度较大、兼容性差的问题。

本发明中的蜜罐场景具体部署如图1所示，分开部署有业务区和蜜罐分析区，所述业务区用于部署业务服务器，在业务服务器上部署报文修改模块和报文转发模块；所述蜜罐分析区用于部署转发模块和真实蜜罐。

其中，报文修改模块，在业务服务器应用层利用iptables+ipset进行攻击流量捕获修改，释放与正常业务的连接资源，修改请求目的端口和响应源端口重定向攻击流量到报文转发模块，细粒度控制报文的牵引转发，直接在被攻击业务服务器进行攻击流量牵引，且兼容性高；报文转发模块，在业务服务器应用层监听攻击流量，与攻击流量建立代理连接后，将攻击流量封装转发给代理，代理将流量转发给真实蜜罐服务器，直接在被攻击业务服务器进行攻击流量牵引。

实施例：

如图2所示，本实施例中的扩展攻击流量牵引能力的方法流程包括以下实现步骤：

一、根据需要牵引的服务类型配置多个ipset集合，初始化各服务ipset集合用于攻击流量牵引标记，初始化端口映射关系：

(1)sshd服务的ipset集合：用于22端口的sshd服务的攻击流量牵引IP集合，映射到报文转发模块的10000端口；

(2)Mysql服务的ipset集合：用于3306端口的mysql服务的攻击流量牵引IP集合，映射到报文转发模块的10001端口；

(3)Redis服务的ipset集合：用于6379端口的redis服务的攻击流量牵引IP集合，映射到报文转发模块的10002端口；

(4)其他服务的ipset集合：根据服务端口创建其服务的攻击流量牵引IP集合，映射到报文转发模块的其他端口。

二、添加待牵引IP到各服务对应ipset集合：

(1)检测攻击IP 10.2.3.2攻击sshd服务，将该IP添加到sshd的ipset集合；

(2)检测到攻击IP 22.1.2.3、4.23.2.3攻击mysql服务，将IP添加到mysql的ipset集合；

(3)检测到攻击IP 233.2.2.3攻击Redis服务，将IP添加到redis的ipset集合；

(4)攻击者攻击其他服务，将其IP添加到对应的ipset集合。

三、如果攻击检测模块动态检测某个攻击者IP，可实时将该攻击者IP添加至对应服务的ipset集合。

四、通过iptables将各服务ipset集合流量重定向到应用层：

(1)sshd服务：将处于sshd集合中的攻击者流量重定向到应用层：

iptables-I INPUT-m set--match-set sshd src-p tcp--dport 22-jNFQUEUE--queue-num 0

iptables-I OUTPUT-m set--match-set sshd dst-p tcp--sport 10000-jNFQUEUE--queue-num 0

(2)Mysql服务：将处于mysql集合中的攻击者流量重定向到应用层：

iptables-I INPUT-m set--match-set mysql src-p tcp--dport 3306-jNFQUEUE--queue-num 0

iptables-I OUTPUT-m set--match-set mysql dst-p tcp--sport 10001-jNFQUEUE--queue-num 0

(3)Redis服务：将处于redis集合中的攻击者流量重定向到应用层：

iptables-I INPUT-m set--match-set redis src-p tcp--dport 6379-jNFQUEUE--queue-num 0

iptables-I OUTPUT-m set--match-set redis dst-p tcp--sport 10002-jNFQUEUE--queue-num 0

(4)其他服务：类似以上服务的处理逻辑，将处于集合中的攻击者流量重定向到应用层。

五、接收到内核重定向的攻击者流量，检测该报文是否与业务服务器建立连接：

(1)如果攻击者已经与业务服务器建立连接，构造发送RST报文给业务服务器和攻击者，使得业务服务器和攻击者重置已建连接，释放资源；

(2)如果攻击者未与业务服务器建立连接，则将报文目的端口根据映射关系修改为报文转发模块监听端口，如果是目标端口为22端口的sshd流量，则将报文目的端口22修改为10000端口，并计算报文校验和，并将报文重新注入内核。

六、代理业务服务器与攻击者建立连接：

(1)sshd服务：接收目标端口为10000端口的连接，将攻击者的攻击sshd服务的攻击payload转发给蜜罐分析区的sshd蜜罐；

(2)Mysql服务：接收目标端口为10001端口的连接，将攻击者的攻击mysql服务的攻击payload转发给蜜罐分析区的mysql蜜罐；

(3)Redis服务：接收目标端口为10002端口的连接，将攻击者的攻击redis服务的攻击payload转发给蜜罐分析区的redis蜜罐；

(4)其他服务：接收其他端口连接，将攻击者的攻击其他服务的攻击payload转发给蜜罐分析区的其他服务蜜罐。

七、蜜罐分析区对请求进行虚假响应返回给报文转发模块。

八、蜜罐分析区根据不同蜜罐的响应，将响应返回给对应攻击者的代理连接。

九、报文修改模块检测到是返回给攻击者的报文，根据映射关系修改源端口，计算报文校验和，并将报文重新注入内核发给攻击者：

(1)源端口为10000：将源端口修改为22端口；

(2)源端口为10001：将源端口修改为3306端口；

(3)源端口为10002：将源端口修改为6379端口；

(4)其他源端口：将源端口修改为对应的业务服务端口；

十、攻击者拿到来源地址为业务服务器地址、来源端口为业务服务端口的响应内容，误导攻击者攻击的是真实的业务服务器。

Claims (6)

1.一种在蜜罐场景下扩展攻击流量牵引能力的方法，应用于蜜罐场景下的攻击流量牵引，其特征在于，所述蜜罐场景中分开部署有业务区和蜜罐分析区，所述业务区用于部署业务服务器，在业务服务器上部署报文修改模块和报文转发模块；所述蜜罐分析区用于部署转发模块和真实蜜罐；

该方法包括以下步骤：

步骤1、根据需要牵引的服务类型配置多个ipset集合，并初始化端口映射关系；

步骤2、添加待牵引IP到各服务的ipset集合，所述待牵引IP为攻击流量牵引IP；

步骤3、通过iptables将各服务的ipset集合流量重定向到业务服务器的应用层；

步骤4、若接收到内核重定向的攻击者流量，则检测攻击者是否与业务服务器建立连接，若已建立连接，则构造并发送RST报文给业务服务器和攻击者，使得业务服务器和攻击者重置已建连接，释放资源；若未建立连接，则进入步骤5；

步骤5、则将攻击者流量中报文目的端口根据映射关系修改为报文转发模块监听端口，并计算报文校验和，并将报文重新注入内核；

步骤6、报文转发模块代理业务服务器与攻击者建立连接；

步骤7、报文转发模块将攻击载荷转发给蜜罐分析区；

步骤8、蜜罐分析区对攻击者的请求进行虚假响应，反馈给报文转发模块；

步骤9、报文转发模块根据不同蜜罐的响应，将响应返回给对应攻击者的代理连接；

步骤10、报文修改模块检测到是返回给攻击者的报文时，根据映射关系修改源端口，计算报文校验和，并将报文重新注入内核发给攻击者。

2.如权利要求1所述的一种在蜜罐场景下扩展攻击流量牵引能力的方法，其特征在于，

步骤1中，所述需要牵引的服务类型配置的多个ipset集合，具体包括：

sshd服务的ipset集合：用于22端口的sshd服务的攻击流量牵引IP集合，映射到报文转发模块的10000端口；

Mysql服务的ipset集合：用于3306端口的mysql服务的攻击流量牵引IP集合，映射到报文转发模块的10001端口；

Redis服务的ipset集合：用于6379端口的redis服务的攻击流量牵引IP集合，映射到报文转发模块的10002端口。

3.如权利要求1所述的一种在蜜罐场景下扩展攻击流量牵引能力的方法，其特征在于，

步骤2中，所述添加待牵引IP到各服务的ipset集合具体包括：

当检测到攻击IP攻击sshd服务，则将该IP添加到sshd服务的ipset集合；

当检测到攻击IP攻击mysql服务，则将该IP添加到mysql服务的ipset集合；

当检测到攻击IP攻击Redis服务，则将该IP添加到redis服务的ipset集合。

4.如权利要求1所述的一种在蜜罐场景下扩展攻击流量牵引能力的方法，其特征在于，

步骤6中，所述报文转发模块代理业务服务器与攻击者建立连接具体包括： sshd服务接收目标端口为10000端口的连接，Mysql服务接收目标端口为10001端口的连接，Redis服务接收目标端口为10002端口的连接。

5.如权利要求1所述的一种在蜜罐场景下扩展攻击流量牵引能力的方法，其特征在于，

步骤7中，所述报文转发模块将攻击载荷转发给蜜罐分析区具体包括：

将攻击者的攻击sshd服务的攻击payload转发给蜜罐分析区的sshd蜜罐；

将攻击者的攻击mysql服务的攻击payload转发给蜜罐分析区的mysql蜜罐；

将攻击者的攻击redis服务的攻击payload转发给蜜罐分析区的redis蜜罐。

6.如权利要求1所述的一种在蜜罐场景下扩展攻击流量牵引能力的方法，其特征在于，

步骤10中，所述根据映射关系修改源端口具体包括：

若返回给攻击者的报文的源端口为10000，则将源端口修改为22端口；

若返回给攻击者的报文的源端口为10001，则将源端口修改为3306端口；

若返回给攻击者的报文的源端口为10002，则将源端口修改为6379端口。

Images