CN113676497A - 数据阻断的方法和装置、电子设备和存储介质 - Google Patents

Abstract

本申请提供了一种数据阻断的方法和装置、电子设备和存储介质，其中，该方法包括：攻击对象向蜜罐系统发送攻击数据，蜜罐系统获取攻击数据，将攻击数据发送至蜜罐系统的数据分析端，蜜罐系统的数据分析端执行判定条件的分析后，将攻击数据发送至网络安全的阻断数据分析端，阻断数据分析端对攻击数据进行数据库存储情况的分析，确定是否发送阻断指令，在确定发送阻断指令后，将阻断指令发送至网络安全的阻断数据阻断端，利用阻断数据阻断端阻断攻击对象连入网络。通过本申请，解决了相关技术中存在的阻断效率低，无法快速、有效阻断攻击对象或团队针对IT系统的破坏和恶意利用的问题。

Description

数据阻断的方法和装置、电子设备和存储介质

技术领域

本申请涉及信息安全领域，尤其涉及一种数据阻断的方法和装置、电子设备和存储介质。

背景技术

蜜罐技术通过虚拟带有漏洞的虚假操作系统、应用服务，来诱捕攻击对象主动攻击，并对其进行监控，收集并分析其攻击数据。攻击对象在对蜜罐系统进行攻击时，会被记录其产生的任何攻击行为和特征，并将该采集、进一步分析得到的结果给到网络安全阻断设备，实现对攻击源进行联动阻断，停止攻击对象继续攻击目标IT系统。其中，联动阻断是通过蜜罐系统向网络安全阻断设备（防火墙、WAF等网络安全设备）发送阻断攻击源信息和联动指令，实现基于攻击源IP、MAC地址等攻击源特征对攻击对象进行阻断网络连接、应用访问等。

目前的联动阻断方式依然采用人工判断的被动方式，通过人工判断蜜罐系统内捕获到的攻击行为和数据、以及分析得到的攻击源IP、MAC地址等攻击对象特征，实现被动式与网络安全阻断设备进行联动应用，然而，这种人工判断联动阻断方式的阻断效率低、攻击事件处置滞后，容易造成面对大规模、持续性、高级别的攻击时，无法快速、有效阻断攻击对象或团队针对IT系统的破坏和恶意利用。

因此，相关技术中存在阻断效率低，无法快速、有效阻断攻击对象或团队针对IT系统的破坏和恶意利用的问题。

发明内容

本申请提供了一种数据阻断的方法和装置、电子设备和存储介质，以至少解决相关技术中存在阻断效率低，无法快速、有效阻断攻击对象或团队针对IT系统的破坏和恶意利用的问题。

根据本申请实施例的一个方面，提供了一种数据阻断的方法，该方法包括：

攻击对象向蜜罐系统发送攻击数据，其中，所述攻击数据用于表征所述攻击对象在向被攻击对象发起攻击时产生的数据；

蜜罐系统获取所述攻击数据，将所述攻击数据发送至蜜罐系统的数据分析端，所述蜜罐系统的数据分析端执行以下步骤：

解析所述攻击数据，得到所述攻击数据对应的攻击参数；

将所述攻击参数与预设条件进行比较，得到比较结果；

根据所述比较结果，获取所述攻击对象的安全属性；

在所述安全属性大于或者等于预设安全阈值的情况下，将所述攻击数据发送至网络安全的阻断数据分析端，其中，所述阻断数据分析端用于确定是否发送阻断指令；所述阻断数据分析端执行以下步骤：

接收所述攻击数据，其中，所述攻击数据是由攻击对象发出的，且所述攻击对象的安全属性大于或者等于预设安全阈值；

根据所述攻击数据确定所述攻击对象的源通信地址；

将所述攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行比较；

在所述攻击对象的源通信地址与所述参考源通信地址中的目标源通信地址相匹配的情况下，将所述阻断指令发送至网络安全的阻断数据阻断端，利用所述阻断数据阻断端阻断所述攻击对象连入网络。、

根据本申请实施例的另一个方面，还提供了一种数据阻断的装置，该装置包括：

第一发送单元，用于攻击对象向蜜罐系统发送攻击数据，其中，所述攻击数据用于表征所述攻击对象在向被攻击对象发起攻击时产生的数据；

第一获取单元，用于蜜罐系统获取所述攻击数据，将所述攻击数据发送至蜜罐系统的数据分析端，所述蜜罐系统的数据分析端包括以下单元：

解析单元，用于解析所述攻击数据，得到所述攻击数据对应的攻击参数；

比较单元，用于将所述攻击参数与预设条件进行比较，得到比较结果；

第二获取单元，用于根据所述比较结果，获取所述攻击对象的安全属性；

第二发送单元，用于在所述安全属性大于或者等于预设安全阈值的情况下，将所述攻击数据发送至网络安全的阻断数据分析端，其中，所述阻断数据分析端用于确定是否发送阻断指令；所述阻断数据分析端包括以下单元：

接收单元，用于接收所述攻击数据，其中，所述攻击数据是由攻击对象发出的，且所述攻击对象的安全属性大于或者等于预设安全阈值；

第一确定单元，用于根据所述攻击数据确定所述攻击对象的源通信地址；

匹配单元，用于将所述攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配；

阻断单元，用于在所述攻击对象的源通信地址与所述参考源通信地址中的目标源通信地址相匹配的情况下，将所述阻断指令发送至网络安全的阻断数据阻断端，利用所述阻断数据阻断端阻断所述攻击对象连入网络。

可选地，所述攻击参数包括：攻击时间参数，比较单元包括：

第一获取模块，用于获取所述攻击时间参数所对应的时间戳；

第一统计模块，用于统计各个所述时间戳之和；

第二比较模块，用于将所述时间戳之和与所述预设条件对应的时长阈值进行比较，得到所述比较结果。

可选地，所述攻击参数包括：攻击次数参数，比较单元包括：

第二获取模块，用于获取所述攻击对象的源通信地址；

第二统计模块，用于统计预设周期内对所述源通信地址进行攻击的攻击次数；

第三比较模块，用于将所述攻击次数与所述预设条件对应的次数阈值进行比较，得到所述比较结果。

可选地，攻击参数包括：攻击行为参数，比较单元包括：

确定模块，用于根据所述攻击参数，确定所述攻击行为参数，其中，所述攻击行为参数用于指示所述攻击对象发出所述攻击数据时携带的标记信息，所述标记信息用于指示所述攻击对象对所述被攻击对象执行的攻击类型；

第三比较模块，用于将所述攻击行为参数与所述预设条件对应的攻击类型进行比较，得到所述比较结果。

可选地，该装置还包括：

第三获取单元，用于在获取所述攻击对象的安全属性之前，解析所述攻击参数，获取所述攻击行为；

第一判断单元，用于判断所述攻击行为是否针对所述蜜罐系统发起的攻击；

第二确定单元，用于在确定所述攻击行为是针对所述蜜罐系统发起的攻击，确定所述攻击对象的所述安全属性。

可选地，该装置还包括：

解析单元，用于在获取所述攻击对象的安全属性之前，解析所述攻击参数，得到攻击权限；

第二判断单元，用于判断所述攻击权限是否满足获取并攻击所述被攻击对象的权限条件；

第三确定单元，用于在所述攻击对象利用所述攻击权限获取并攻击到所述被攻击对象的情况下，确定所述攻击对象的所述安全属性。

可选地，该装置还包括：

存储单元，用于在将所述攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配之后，在所述攻击对象的源通信地址与所述参考源通信地址中的各个目标源通信地址都不相匹配的情况下，将所述攻击对象的源通信地址存储至所述数据库内。

根据本申请实施例的又一个方面，还提供了一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，处理器、通信接口和存储器通过通信总线完成相互间的通信；其中，存储器，用于存储计算机程序；处理器，用于通过运行所述存储器上所存储的所述计算机程序来执行上述任一实施例中的方法步骤。

根据本申请实施例的又一个方面，还提供了一种计算机可读的存储介质，该存储介质中存储有计算机程序，其中，该计算机程序被设置为运行时执行上述任一实施例中的方法步骤。

在本申请实施例中，通过攻击对象向蜜罐系统发送攻击数据；蜜罐系统获取攻击数据，将攻击数据发送至蜜罐系统的数据分析端，蜜罐系统的数据分析端执行以下步骤：解析攻击数据，得到攻击数据对应的攻击参数；将攻击参数与预设条件进行比较，得到比较结果；根据比较结果，获取攻击对象的安全属性；在安全属性大于或者等于预设安全阈值的情况下，将攻击数据发送至网络安全的阻断数据分析端；网络安全的阻断数据分析端执行以下步骤：接收攻击数据，其中，攻击数据是由攻击对象发出的，且攻击对象的安全属性大于或者等于预设安全阈值；根据攻击数据确定攻击对象的源通信地址；将攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配；在攻击对象的源通信地址与参考源通信地址中的目标源通信地址相匹配的情况下，将阻断指令发送至网络安全的阻断数据阻断端，利用阻断数据阻断端阻断攻击对象连入网络。由于本申请实施例攻击对象对蜜罐系统发出持续攻击后，蜜罐系统将采集到的攻击数据传输至蜜罐系统的数据分析端进行分析，分据一些判定条件得到比较结果后，蜜罐系统的数据分析端将比较结果直接自动输入到网络安全的阻断数据分析端，阻断数据分析端根据分析结果进一步进行攻击对象的安全性质的判定，将攻击对象的安全性质输出给网络安全的阻断数据阻断端阻断设备的阻断端实现攻击阻断，阻止攻击者继续攻击，从而自适应联动阻断，达到能够精准阻断恶意的攻击源、快速处置捕获到的攻击事件，实现对IT系统的防护的目的，进而解决了相关技术中存在的阻断效率低，无法快速、有效阻断攻击对象或团队针对IT系统的破坏和恶意利用的问题。

附图说明

此处的附图被并入说明书中并构成本说明书的一部分，示出了符合本发明的实施例，并与说明书一起用于解释本发明的原理。

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1是根据本申请实施例的一种可选的数据阻断的方法的流程示意图；

图2是根据本申请实施例的一种可选的数据阻断的方法实现的原理图；

图3是根据本申请实施例的一种可选的蜜罐系统的数据分析端进行数据分析的流程示意图；

图4是根据本申请实施例的一种可选的网络安全的阻断数据分析端进行数据分析的流程示意图；

图5是根据本申请实施例的一种可选的数据阻断的装置的结构框图；

图6是根据本申请实施例的一种可选的电子设备的结构框图。

具体实施方式

为了使本技术领域的人员更好地理解本申请方案，下面将结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本申请一部分的实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本申请保护的范围。

需要说明的是，本申请的说明书和权利要求书及上述附图中的术语“第一”、“第二”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本申请的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。

目前的联动阻断方式依然采用人工判断、被动方式，通过人工判断蜜罐系统内捕获到的攻击行为和数据、以及分析得到的攻击源IP、MAC地址等攻击者特征，实现被动式与网络安全阻断设备进行联动应用。但是相关方法中，对蜜罐内捕获到的攻击行为无法进行持续分析，维护成本高，效率低下，需要人工处置、判定阻断条件，费时费力，同时相关方法对攻击源进行判定并阻断，可能会产生误阻断，影响正常业务访问。为了解决上述问题，本申请实施例提供一种数据阻断的方法，如图1所示，该方法包括：

步骤S101，攻击对象向蜜罐系统发送攻击数据，其中，攻击数据用于表征攻击对象在向被攻击对象发起攻击时产生的数据；

步骤S102，蜜罐系统获取攻击数据，将攻击数据发送至蜜罐系统的数据分析端，蜜罐系统的数据分析端执行以下步骤：

步骤S103，解析攻击数据，得到攻击数据对应的攻击参数；

步骤S104，将攻击参数与预设条件进行比较，得到比较结果；

步骤S105，根据比较结果，获取攻击对象的安全属性；

步骤S106，在安全属性大于或者等于预设安全阈值的情况下，将攻击数据发送至网络安全的阻断数据分析端，其中，阻断数据分析端用于确定是否发送阻断指令；阻断数据分析端执行以下步骤：

步骤S107，接收攻击数据，其中，攻击数据是由攻击对象发出的，且攻击对象的安全属性大于或者等于预设安全阈值；

步骤S108，根据攻击数据确定攻击对象的源通信地址；

步骤S109，将攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配；

步骤S1010，在攻击对象的源通信地址与参考源通信地址中的目标源通信地址相匹配的情况下，将阻断指令发送至网络安全的阻断数据阻断端，利用阻断数据阻断端阻断攻击对象连入网络。

可选地，在本申请实施例中的攻击对象是指：对某一蜜罐系统的攻击者，会被蜜罐系统诱捕并对其发动持续攻击行为；蜜罐系统是指：具备易被攻击、带有漏洞的伪装操作系统和业务应用；蜜罐系统的数据分析端是指：会对蜜罐系统采集的行为数据进行分析，并将根据自身判断条件和结果输出到网络安全阻断设备；网络安全的阻断数据分析端是指：接收蜜罐系统联动发出的分析结果，并进行进一步分析，对阻断端发出执行指令；网络安全的阻断数据阻断端是指：实行分析端发出的指令，对攻击源进行阻断攻击。

如图2，蜜罐系统不断诱捕攻击对象进行持续攻击，不同攻击对象会产生不同的攻击数据，并对攻击对象的攻击源IP、MAC地址、攻击特征等进行捕获和采集。然后蜜罐系统将采集的完整的攻击数据发送至蜜罐系统的数据分析端，蜜罐系统的数据分析端会根据设置好的判定条件（即预设条件）对采集到的攻击数据进行判定。需要说明的是，攻击数据包括攻击行为和攻击源特征等，其中，蜜罐系统的数据分析端首先解析攻击数据，得到攻击数据对应的攻击参数，再将攻击参数与预设条件进行比较，得到比较结果，其中给比较结果通常是攻击参数与多个预设条件分别进行比较后，得到的多个比较结果。

然后基于多个比较结果，确定出发起攻击的攻击对象的安全属性，在确定其安全属性大于或者等于预设安全阈值的情况下，确定攻击对象的安全属性属于高危攻击源。其中，预设安全阈值判断攻击对象为高危攻击源的最低数值，超过这个数值，就认定该攻击对象就是高危攻击源。这时，将攻击对象发来的攻击数据发送至网络安全的阻断数据分析端（可参见图2），由于攻击数据内包含攻击源特征，该攻击源特征可以是源通信地址，这时将攻击对象的源通信地址与网络安全的阻断数据分析端内保存的数据库内存储的多个参考源通信地址进行匹配，其中，参考源通信地址通常是高危攻击源的通信地址。

此时，若攻击对象的源通信地址与参考源通信地址中的任意一个目标源通信地址相匹配，说明攻击对象本身就是高危攻击源且已被标记为高危攻击源，这时，如图2，将阻断指令发送至网络安全的阻断数据阻断端，利用网络安全的阻断数据阻断端对攻击对象进行阻断，直接阻断该攻击对象的网络连接、应用访问。同时，在攻击对象的源通信地址与参考源通信地址中的各个目标源通信地址都不相匹配的情况下，说明数据库内当前未存储该攻击对象的相关信息，为了后续再出现相同的攻击对象去攻击蜜罐系统，这时，将攻击对象的源通信地址存储并添加至该数据库内。

作为一种可选实施例，攻击参数包括：攻击时间参数，将攻击参数与预设条件进行比较，得到比较结果包括：

获取攻击时间参数所对应的时间戳；

统计各个时间戳之和；

将时间戳之和与预设条件对应的时长阈值进行比较，得到比较结果。

可选地，本申请实施例可以将预设条件自行设置和累积，具体地，获取攻击时间参数所对应的时间戳，统计攻击对象的所有攻击时间戳，并求和进行累计，将时间戳之和与预设条件对应的时长阈值进行比较，若得到的时间戳之大于预设条件对应的时长阈值，说明攻击对象攻击时间比较长，基于此比较结果可以确定出该攻击对象的安全属性，比如高危属性。

作为一种可选实施例，攻击参数包括：攻击次数参数，将攻击参数与预设条件进行比较，得到比较结果包括：

获取攻击对象的源通信地址；

统计预设周期内对源通信地址进行攻击的攻击次数；

将攻击次数与预设条件对应的次数阈值进行比较，得到比较结果。

可选地，本申请实施例可以将预设条件自行设置和累积，具体地，获取攻击对象的源通信地址，在一定周期内（比如1小时内）统计出从该源通信地址发出的攻击数据的总次数，再将攻击总次数与预设条件对应的次数阈值进行比较，若得到的总次数之大于预设条件对应的次数阈值，说明攻击对象在一定周期内发起攻击次数较多，基于此比较结果可以确定出该攻击对象的安全属性，比如高危属性。

作为一种可选实施例，攻击参数包括：攻击行为参数，将攻击参数与预设条件进行比较，得到比较结果包括：

根据攻击参数，确定攻击行为参数，其中，攻击行为参数用于指示攻击对象发出攻击数据时携带的标记信息，标记信息用于指示攻击对象对被攻击对象执行的攻击类型；

将攻击行为参数与预设条件对应的攻击类型进行比较，得到比较结果。

可选地，在攻击参数包括攻击行为参数时，这时可通过对攻击参数的分析，得到攻击行为参数，基于这些攻击行为参数可以得到攻击对象发出攻击数据时携带的标记信息，根据这些标记信息可以攻击对象对被攻击对象执行的攻击类型，比如信息盗取、强制关机等，将这些攻击类型与预设条件对应的攻击类型进行比较，其中，预设条件内设置的攻击类型通常是一些高危的攻击类型，比如信息盗取类型，这时，在确定攻击对象发起的攻击类型能够对应上预设条件内设置的攻击类型时，可以确定出该攻击对象的安全属性，比如高危属性。

作为一种可选实施例，在获取攻击对象的安全属性之前，方法还包括：

解析攻击参数，获取攻击行为；

判断攻击行为是否针对蜜罐系统发起的攻击；

在确定攻击行为是针对蜜罐系统发起的攻击，确定攻击对象的安全属性。或者，

解析攻击参数，得到攻击权限；

判断攻击权限是否满足获取并攻击被攻击对象的权限条件；

在攻击对象利用攻击权限获取并攻击到被攻击对象的情况下，确定攻击对象的安全属性。

可选地，在本申请实施例中，在确定攻击对象的安全属性之前，除了获取上述实施例根据比较结果之外，还需要通过判断攻击行为是否针对蜜罐系统发起的攻击或者攻击对象是否具备发起攻击的攻击权限作为判定条件，来确定攻击对象的安全属性。

具体地，通过解析攻击参数，获取攻击行为；判断攻击行为是否针对蜜罐系统发起的攻击；在确定攻击行为是针对蜜罐系统发起的攻击，再确定攻击对象的安全属性；

或者，通过解析攻击参数，得到攻击权限；判断攻击权限是否满足获取并攻击被攻击对象的权限条件；在攻击对象利用攻击权限获取并攻击到被攻击对象的情况下，确定攻击对象的安全属性。

作为一种可选实施例，如图3所示，本申请实施例还可以将上述各个实施例与预设条件进行比较的情况以及权限、对蜜罐系统发起的攻击行为作为蜜罐系统的数据分析端的一个整体判定流程图，具体流程为：

<1>蜜罐系统的数据分析端会对采集到的攻击对象的攻击数据进行分析，依次根据判断条件进行判定，判断条件可自行设置和累积；

<2>例如某一攻击对象的攻击数据，该攻击源的攻击时间是否满足在规定的时间内，满足则进入下一项判定；

<3>该攻击源的攻击次数是否满足规定的次数，满足则进入下一项判定；

<4>该攻击对象是否攻击蜜罐系统后台，满足则进入下一项判定；

<5>该攻击对象是否成功对蜜罐系统后台进行了权限的获取等攻击成功行为，满足则进入下一项判定；

<6>依次满足上述每个条件后，将判定结果输出并自动将攻击对象判定为高危攻击源，并将结果自动导出给网络安全的阻断数据分析端；

<7>否则，蜜罐系统数据分析端一旦判定该攻击源有一或多项条件不满足，则直接将该将其判定为低危攻击源，并通知蜜罐系统持续监控该攻击行为；

<8>蜜罐系统数据分析端会持续评估和分析采集到的攻击数据，并进行循环判定，实现持续的分析结果输出。

本申请实施例基于多条件、持续性的循环攻击行为高低危判定方式，能够更加针对性、自适应性的给到网络安全的阻断数据阻断端给以阻断的依据，自动进行攻击阻断，比人工判定攻击源是否需要阻断更加高效。

作为一种可选实施例，如图4所示，图4是根据本申请实施例的一种可选的网络安全的阻断数据分析端进行数据分析的流程示意图，具体流程为：

（1）判定该攻击源IP（即通信地址）是否在网络安全的阻断数据阻断端的数据库中存在，如果存在，则进入下一阶段，如果不存在，则记录在库，并进入下一阶段；

（2）网络安全的阻断数据分析端向网络安全的阻断数据阻断端下发封堵该攻击源IP的指令；

（3）网络安全的阻断数据阻断端接收到指令后，直接阻断该攻击源IP的网络连接、应用访问。

本申请实施例利用蜜罐系统捕获攻击源攻击特征、行为数据的丰富度，可适配基于IP、MAC、攻击样本等的网络安全的阻断数据阻断端，实现全网安全设备自适应联动阻断，对不同角度的攻击处置更加全面。

根据本申请实施例的另一个方面，还提供了一种用于实施上述数据阻断的方法的数据阻断的装置。图5是根据本申请实施例的一种可选的数据阻断的装置的结构框图，如图5所示，该装置可以包括：

第一发送单元501，用于攻击对象向蜜罐系统发送攻击数据，其中，攻击数据用于表征攻击对象在向被攻击对象发起攻击时产生的数据；

第一获取单元502，用于蜜罐系统获取攻击数据，将攻击数据发送至蜜罐系统的数据分析端，数据分析端包括以下单元：

解析单元503，用于解析攻击数据，得到攻击数据对应的攻击参数；

第一匹配单元504，用于将攻击参数与预设条件进行比较，得到比较结果；

第二获取单元505，用于根据比较结果，获取攻击对象的安全属性；

第二发送单元506，用于在安全属性大于或者等于预设安全阈值的情况下，将攻击数据发送至网络安全的阻断数据分析端，其中，阻断数据分析端用于确定是否发送阻断指令；阻断数据分析端包括以下单元：

接收单元507，用于接收攻击数据，其中，攻击数据是由攻击对象发出的，且攻击对象的安全属性大于或者等于预设安全阈值；

第一确定单元508，用于根据攻击数据确定攻击对象的源通信地址；

第二匹配单元509，用于将攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行比较；

阻断单元5010，用于在攻击对象的源通信地址与参考源通信地址中的目标源通信地址相匹配的情况下，将阻断指令发送至网络安全的阻断数据阻断端，利用阻断数据阻断端阻断攻击对象连入网络。

通过上述模块，解决了相关技术中的存在阻断效率低，无法快速、有效阻断攻击对象或团队针对IT系统的破坏和恶意利用的问题。

作为一种可选的实施例攻击参数包括：攻击时间参数，比较单元包括：

第一获取模块，用于获取攻击时间参数所对应的时间戳；

第一统计模块，用于统计各个时间戳之和；

第二比较模块，用于将时间戳之和与预设条件对应的时长阈值进行比较，得到比较结果。

作为一种可选的实施例，攻击参数包括：攻击次数参数，比较单元包括：

第二获取模块，用于获取攻击对象的源通信地址；

第二统计模块，用于统计预设周期内对源通信地址进行攻击的攻击次数；

第三比较模块，用于将攻击次数与预设条件对应的次数阈值进行比较，得到比较结果。

作为一种可选的实施例，攻击参数包括：攻击行为参数，比较单元包括：

确定模块，用于根据攻击参数，确定攻击行为参数，其中，攻击行为参数用于指示攻击对象发出攻击数据时携带的标记信息，标记信息用于指示攻击对象对被攻击对象执行的攻击类型；

第三比较模块，用于将攻击行为参数与预设条件对应的攻击类型进行比较，得到比较结果。

作为一种可选的实施例，该装置还包括：

第三获取单元，用于在获取攻击对象的安全属性之前，解析攻击参数，获取攻击行为；

第一判断单元，用于判断攻击行为是否针对蜜罐系统发起的攻击；

第二确定单元，用于在确定攻击行为是针对蜜罐系统发起的攻击，确定攻击对象的安全属性。

作为一种可选的实施例，该装置还包括：

解析单元，用于在获取攻击对象的安全属性之前，解析攻击参数，得到攻击权限；

第二判断单元，用于判断攻击权限是否满足获取并攻击被攻击对象的权限条件；

第三确定单元，用于在攻击对象利用攻击权限获取并攻击到被攻击对象的情况下，确定攻击对象的安全属性。

作为一种可选的实施例，该装置还包括：

存储单元，用于在将攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配之后，在攻击对象的源通信地址与参考源通信地址中的各个目标源通信地址都不相匹配的情况下，将攻击对象的源通信地址存储至数据库内。

此处需要说明的是，上述模块与对应的步骤所实现的示例和应用场景相同，但不限于上述实施例所公开的内容。

根据本申请实施例的又一个方面，还提供了一种用于实施上述数据阻断的方法的电子设备，该电子设备可以是服务器、终端、或者其组合。

图6是根据本申请实施例的一种可选的电子设备的结构框图，如图6所示，包括处理器601、通信接口602、存储器603和通信总线604，其中，处理器601、通信接口602和存储器603通过通信总线604完成相互间的通信，其中，

存储器603，用于存储计算机程序；

处理器601，用于执行存储器603上所存放的计算机程序时，实现如上实施例提供的数据阻断的方法的步骤。

可选地，在本实施例中，上述的通信总线可以是PCI (Peripheral ComponentInterconnect，外设部件互连标准)总线、或EISA (Extended Industry StandardArchitecture，扩展工业标准结构)总线等。该通信总线可以分为地址总线、数据总线、控制总线等。为便于表示，图6中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通信接口用于上述电子设备与其他设备之间的通信。

存储器可以包括RAM，也可以包括非易失性存储器(non-volatile memory)，例如，至少一个磁盘存储器。可选地，存储器还可以是至少一个位于远离前述处理器的存储装置。

作为一种示例，如图6所示，上述存储器603中可以但不限于包括上述数据阻断的装置中的第一发送单元501、第一获取单元502、解析单元503、第一匹配单元504、第二获取单元505、第二发送单元506、接收单元507、第一确定单元508、第二匹配单元509以及阻断单元5010。此外，还可以包括但不限于上述数据阻断的装置中的其他模块单元，本示例中不再赘述。

上述处理器可以是通用处理器，可以包含但不限于：CPU (Central ProcessingUnit，中央处理器)、NP(Network Processor，网络处理器)等；还可以是DSP (DigitalSignal Processing，数字信号处理器)、ASIC (Application Specific IntegratedCircuit，专用集成电路)、FPGA (Field－Programmable Gate Array，现场可编程门阵列)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。

此外，上述电子设备还包括：显示器，用于显示数据阻断的结果。

可选地，本实施例中的具体示例可以参考上述实施例中所描述的示例，本实施例在此不再赘述。

本领域普通技术人员可以理解，图6所示的结构仅为示意，实施上述数据阻断的方法的设备可以是终端设备，该终端设备可以是智能手机（如Android手机、iOS手机等）、平板电脑、掌上电脑以及移动互联网设备（Mobile Internet Devices，MID）、PAD等终端设备。图6其并不对上述电子设备的结构造成限定。例如，终端设备还可包括比图6中所示更多或者更少的组件（如网络接口、显示装置等），或者具有与图6所示的不同的配置。

本领域普通技术人员可以理解上述实施例的各种方法中的全部或部分步骤是可以通过程序来指令终端设备相关的硬件来完成，该程序可以存储于一计算机可读存储介质中，存储介质可以包括：闪存盘、ROM、RAM、磁盘或光盘等。

根据本申请实施例的又一个方面，还提供了一种存储介质。可选地，在本实施例中，上述存储介质可以用于执行数据阻断的方法的程序代码。

可选地，在本实施例中，上述存储介质可以位于上述实施例所示的网络中的多个网络设备中的至少一个网络设备上。

可选地，在本实施例中，存储介质被设置为存储用于执行上述数据阻断的方法的步骤的程序代码。

可选地，本实施例中的具体示例可以参考上述实施例中所描述的示例，本实施例中对此不再赘述。

可选地，在本实施例中，上述存储介质可以包括但不限于：U盘、ROM、RAM、移动硬盘、磁碟或者光盘等各种可以存储程序代码的介质。

根据本申请实施例的又一个方面，还提供了一种计算机程序产品或计算机程序，该计算机程序产品或计算机程序包括计算机指令，该计算机指令存储在计算机可读存储介质中；计算机设备的处理器从计算机可读存储介质读取该计算机指令，处理器执行该计算机指令，使得该计算机设备执行上述任一个实施例中的数据阻断的方法步骤。

上述本申请实施例序号仅仅为了描述，不代表实施例的优劣。

上述实施例中的集成的单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在上述计算机可读取的存储介质中。基于这样的理解，本申请的技术方案本质上或者说对现有技术做出贡献的部分或者该技术方案的全部或部分可以以软件产品的形式体现出来，该计算机软件产品存储在存储介质中，包括若干指令用以使得一台或多台计算机设备（可为个人计算机、服务器或者网络设备等）执行本申请各个实施例数据阻断的方法的全部或部分步骤。

在本申请的上述实施例中，对各个实施例的描述都各有侧重，某个实施例中没有详述的部分，可以参见其他实施例的相关描述。

在本申请所提供的几个实施例中，应该理解到，所揭露的客户端，可通过其它的方式实现。其中，以上所描述的装置实施例仅仅是示意性的，例如单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，单元或模块的间接耦合或通信连接，可以是电性或其它的形式。

作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例中所提供的方案的目的。

另外，在本申请各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。上述集成的单元既可以采用硬件的形式实现，也可以采用软件功能单元的形式实现。

以上所述仅是本申请的优选实施方式，应当指出，对于本技术领域的普通技术人员来说，在不脱离本申请原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也应视为本申请的保护范围。

Claims (10)

1.一种数据阻断的方法，其特征在于，所述方法包括：

攻击对象向蜜罐系统发送攻击数据，其中，所述攻击数据用于表征所述攻击对象在向被攻击对象发起攻击时产生的数据；

蜜罐系统获取所述攻击数据，将所述攻击数据发送至蜜罐系统的数据分析端，所述蜜罐系统的数据分析端执行以下步骤：

解析所述攻击数据，得到所述攻击数据对应的攻击参数；

将所述攻击参数与预设条件进行比较，得到比较结果；

根据所述比较结果，获取所述攻击对象的安全属性；

在所述安全属性大于或者等于预设安全阈值的情况下，将所述攻击数据发送至网络安全的阻断数据分析端，其中，所述阻断数据分析端用于确定是否发送阻断指令；所述阻断数据分析端执行以下步骤：

接收所述攻击数据，其中，所述攻击数据是由攻击对象发出的，且所述攻击对象的安全属性大于或者等于预设安全阈值；

根据所述攻击数据确定所述攻击对象的源通信地址；

将所述攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配；

在所述攻击对象的源通信地址与所述参考源通信地址中的目标源通信地址相匹配的情况下，将所述阻断指令发送至网络安全的阻断数据阻断端，利用所述阻断数据阻断端阻断所述攻击对象连入网络。

2.根据权利要求1所述的方法，其特征在于，所述攻击参数包括：攻击时间参数，所述将所述攻击参数与预设条件进行比较，得到比较结果包括：

获取所述攻击时间参数所对应的时间戳；

统计各个所述时间戳之和；

将所述时间戳之和与所述预设条件对应的时长阈值进行比较，得到所述比较结果。

3.根据权利要求1所述的方法，其特征在于，所述攻击参数包括：攻击次数参数，所述将所述攻击参数与预设条件进行比较，得到比较结果包括：

获取所述攻击对象的源通信地址；

统计预设周期内对所述源通信地址进行攻击的攻击次数；

将所述攻击次数与所述预设条件对应的次数阈值进行比较，得到所述比较结果。

4.根据权利要求1所述的方法，其特征在于，所述攻击参数包括：攻击行为参数，所述将所述攻击参数与预设条件进行比较，得到比较结果包括：

根据所述攻击参数，确定所述攻击行为参数，其中，所述攻击行为参数用于指示所述攻击对象发出所述攻击数据时携带的标记信息，所述标记信息用于指示所述攻击对象对所述被攻击对象执行的攻击类型；

将所述攻击行为参数与所述预设条件对应的攻击类型进行比较，得到所述比较结果。

5.根据权利要求1所述的方法，其特征在于，在获取所述攻击对象的安全属性之前，所述方法还包括：

解析所述攻击参数，获取攻击行为；

判断所述攻击行为是否针对所述蜜罐系统发起的攻击；

在确定所述攻击行为是针对所述蜜罐系统发起的攻击，确定所述攻击对象的所述安全属性。

6.根据权利要求1所述的方法，其特征在于，在获取所述攻击对象的安全属性之前，所述方法还包括：

解析所述攻击参数，得到攻击权限；

判断所述攻击权限是否满足获取并攻击所述被攻击对象的权限条件；

在所述攻击对象利用所述攻击权限获取并攻击到所述被攻击对象的情况下，确定所述攻击对象的所述安全属性。

7.根据权利要求1所述的方法，其特征在于，在将所述攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行匹配之后，所述方法还包括：

在所述攻击对象的源通信地址与所述参考源通信地址中的各个目标源通信地址都不相匹配的情况下，将所述攻击对象的源通信地址存储至所述数据库内。

8.一种数据阻断的装置，其特征在于，所述装置包括：

第一发送单元，用于攻击对象向蜜罐系统发送攻击数据，其中，所述攻击数据用于表征所述攻击对象在向被攻击对象发起攻击时产生的数据；

第一获取单元，用于蜜罐系统获取所述攻击数据，将所述攻击数据发送至蜜罐系统的数据分析端，所述数据分析端包括以下单元：

解析单元，用于解析所述攻击数据，得到所述攻击数据对应的攻击参数；

第一匹配单元，用于将所述攻击参数与预设条件进行比较，得到比较结果；

第二获取单元，用于根据所述比较结果，获取所述攻击对象的安全属性；

第二发送单元，用于在所述安全属性大于或者等于预设安全阈值的情况下，将所述攻击数据发送至网络安全的阻断数据分析端，其中，所述阻断数据分析端用于确定是否发送阻断指令；所述阻断数据分析端包括以下单元：

接收单元，用于接收所述攻击数据，其中，所述攻击数据是由攻击对象发出的，且所述攻击对象的安全属性大于或者等于预设安全阈值；

第一确定单元，用于根据所述攻击数据确定所述攻击对象的源通信地址；

第二匹配单元，用于将所述攻击对象的源通信地址与数据库内存储的多个参考源通信地址进行比较；

阻断单元，用于在所述攻击对象的源通信地址与所述参考源通信地址中的目标源通信地址相匹配的情况下，将所述阻断指令发送至网络安全的阻断数据阻断端，利用所述阻断数据阻断端阻断所述攻击对象连入网络。

9.一种电子设备，包括处理器、通信接口、存储器和通信总线，其中，所述处理器、所述通信接口和所述存储器通过所述通信总线完成相互间的通信，其特征在于，

所述存储器，用于存储计算机程序；

所述处理器，用于通过运行所述存储器上所存储的所述计算机程序来执行权利要求1至7中任一项所述的数据阻断的方法步骤。

10.一种计算机可读的存储介质，其特征在于，所述存储介质中存储有计算机程序，其中，所述计算机程序被设置为运行时执行权利要求1至7中任一项中所述的数据阻断的方法步骤。

Images