CN114500060A - 一种攻击监控系统 - Google Patents

Abstract

一种攻击监控系统，涉及网络安全领域，用于对攻击终端的攻击进行监控，确保攻防演练的安全性。一种攻击监控系统，包括管控网关、管理服务器和攻击终端，管控网关为攻击终端分配第一网际互连协议IP地址，攻击终端使用第一IP地址对待测网站进行攻击，并对攻击进行记录，管理服务器根据记录，在确定攻击不合规时，终止攻击终端的攻击，且管控网关在确定第一IP地址被待测网站封禁后，将攻击终端切换为第二IP地址。通过上述方式，输入密码才能终止对攻击行为进行记录，确保对攻击行为的完整监控，在第一IP地址被封禁时还可以切换到第二IP地址，确保攻击的有效性，且管理服务器可以及时制止不合规的攻击行为，确保攻防演练的安全性。

Description

一种攻击监控系统

技术领域

本申请涉及网络安全领域，尤其涉及一种攻击监控系统。

背景技术

随着网络安全建设的逐步推进，针对于网络安全的攻防演练越来越受到重视。在攻防演练过程中，攻击方可采用多种网络攻击途径对防守方的目标系统进行攻击，检测出防守方系统的薄弱点，得到测试结果，以便于防守方根据测试结果加固防御体系。

现有的攻防演练没有统一的监管控制流程，在演练过程中难以把控攻击方各种攻击操作的进攻风险，无法确保攻防演练的安全性。且，由于防守方的封禁策略常常导致攻击方无法访问防守方的网站，无法对其进行进攻，进而导致攻击效率降低。此外，在演练结束之后，无法对攻击过程中的各种攻击操作进行溯源，不能及时发现问题，改进攻防演练方案。

基于此，目前亟需一种攻击监控系统，用于对攻击终端的攻击进行监控，确保攻防演练的安全性。

发明内容

有鉴于此，本申请提供一种攻击监控系统，用于对攻击终端的攻击进行监控，确保攻防演练的安全性。

本申请提供一种攻击监控系统，包括：管控网关、管理服务器和攻击终端，攻击终端分别与管控网关和管理服务器相连；管控网关，用于为攻击终端分配第一网际互连协议IP地址；攻击终端，用于使用第一IP地址对待测网站进行攻击，并对攻击进行记录，在攻击结束后，输入动态密码，终止对攻击行为进行记录；管理服务器，用于根据记录，在确定攻击不合规时，终止攻击终端的攻击；管控网关，还用于在确定第一IP地址被待测网站封禁后，将攻击终端切换为第二IP地址，第二IP地址不同于第一IP地址。

通过上述方式，攻击终端对攻击进行记录，而且只有通过输入密码才能终止对攻击行为进行记录，确保了对攻击行为的完整监控，为攻击终端分配第一IP地址，使攻击终端可以通过第一IP地址对防守终端进行攻击。在第一IP地址被封禁时还可以切换到第二IP地址，确保攻击的有效性，提高攻击的效率。且，管理服务器可以根据记录，在确定攻击不合规时，终止攻击终端的攻击。实现了对攻击的监控，可以及时制止不合规的攻击行为，确保攻防演练的安全性。

一种可能的实现方式，系统还包括监控显示屏，监控显示屏和管理服务器相连，攻击终端上设置有录屏软件；攻击终端，具体用于在终端启动后，对待测网站进行攻击，并自动运行录屏软件对攻击终端的屏幕进行录屏记录，并实时将录屏视频发送至监控显示屏，在攻击结束后，输入所述动态密码，退出录屏软件；监控显示屏，用于显示录屏视频，监控人员根据显示内容确定攻击不合规，向管理服务器发送终止指示；管理服务器，具体用于接收终止指示，确定攻击不合规。

通过上述方式，在攻击终端上安装录屏软件，并使录屏软件在开机时自动运行，确保了录屏的完整性。而且无需连接远程录屏桌面，避免网络不稳定对录屏的影响，进一步确保了录屏视频的完整性。将录屏视频发送到监控显示屏上，管理人员可以实时监管监控显示屏，以便发现不合规的攻击行为。并向管理服务器发送终止指示。

一种可能的实现方式，所述管控网关的一端连接所述攻击终端，所述管控网关的一端连接所述待测网站，所述攻击终端对所述待测网站的攻击通过所述管控网关实现。所述管理服务器，具体用于：在确定所述攻击不合规时，断开所述攻击终端和所述管控网关的连接

通过上述方式，管理服务器在确定攻击不合规之后，就断开攻击终端和管控网关的连接，使得攻击终端无法再向防守终端发起攻击，确保攻防演练的安全性。

一种可能的实现方式，所述待测网站部署在防守终端上；攻击终端若确定IP地址被防守终端封禁，则向管控网关发送IP地址切换请求；管控网关接收IP地址切换请求之后，确定IP地址被所述待测网站封禁。

通过上述方式，攻击终端在确定IP地址被防守终端封禁后，可以主动向管控网关申请切换IP地址，确保攻击的效率。

一种可能的实现方式，管控网关若确定第一IP地址访问异常，则确定第一IP地址被所述待测网站封禁。

通过上述方式，在管控网关确定第一IP地址访问异常时，就确定第一IP地址被封禁，可以及时确定不能访问的IP地址，为攻击的有效性提供保障。

一种可能的实现方式，系统还包括IDS服务器，IDS服务器一端连接监控网关，另一端连接监控显示屏；IDS服务器用于将攻击终端对待测网站攻击产生的流量分类，并将分类结果传输至监控显示屏；监控显示屏，用于显示录屏视频和分类结果。

通过上述方式，可以利用IDS服务器对攻击流量进行分类，并将分类结果显示在监控显示屏上，使监管人员可已经根据攻击流量对攻击行为是否合规做出判断。

一种可能的实现方式，入侵检测系统IDS服务器具体用于将防攻击终端对待测网站攻击产生的流量分为：网络攻击流量、漏洞攻击流量、防火墙攻击流量。

通过上述方式，可以将攻击流量分类展示在监控显示屏上，便于通过流量发现攻击操作不合规。

一种可能的实现方式，系统还包括备份服务器；录屏软件还用于将录屏视频发送至备份服务器；备份服务器用于接收录屏视频，并存储，用于在攻击结束后对攻击进行溯源与复盘。

通过上述方式，可以将录屏视频存储至备份服务器中，在攻击结束之后，通过查看备份服务器中的录屏视频，对攻击行为进行复盘，及时发现问题，为改善攻防演练方案提供依据。

附图说明

图1示例性示出本申请实施例提供的一种攻击监控系统的架构示意图；

图2示例性示出本申请实施例提供的一种监控显示屏示意图；

图3示例性示出本申请实施例提供的一种攻击终端IP地址被封禁的示意图；

图4示例性示出本申请实施例提供的一种录屏流量传输示意图。

具体实施方式

为了使本发明的目的、技术方案和优点更加清楚，下面将结合附图对本发明作进一步地详细描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

图1示例性示出本申请实施例提供的一种攻击监控系统的架构示意图。如图1所示的攻击监控系统可以包括管控网关、管理服务器和攻击终端。其中，攻击终端分别与管控网关和管理服务器相连，连接方式可以是有线连接，也可以是无线连接，可以是直接连接，也可以是间接连接，具体不作限定。

基于图1所示意的攻击监控系统，在进行攻击演练时，管控网关，为攻击终端分配第一IP地址；攻击终端使用第一IP地址对待测网站进行攻击，待测网站对攻击终端的攻击进行防守，在攻击结束后，输入动态密码，终止对攻击行为进行记录。在攻击终端攻击的过程中，若管控网关确定第一IP地址被待测网站封禁，就将攻击终端切换为第二IP地址，第二IP地址不同于第一IP地址，如此可使攻击终端使用第二IP地址继续进行后续的攻击操作，充分利用攻击终端的资源。且，攻击终端还可以对攻击进行记录，以便于管理服务器根据记录，在确定攻击不合规时，终止攻击终端的攻击。如此，通过对攻击流程进行记录，使管理服务器能根据记录在确定攻击不合规时终止攻击终端的攻击。通过对攻击流程进行监控，可及时制止不合规的攻击行为，确保模拟终端攻防过程的安全性。

一种可能的实现方式，继续如图1所示，待测网站部署在防守终端上，攻击监控系统还可以包括监控显示屏，监控显示屏和管理服务器相连。在执行功放演练时，监控显示屏可以用于显示攻击演练过程中与攻击相关的一些信息，以便于监控人员能根据显示的信息及时发现不合规的攻击，进而及时指示管理服务器终止攻击终端的攻击。

在上述实现方式中，监控显示屏可以通过多种方式获取与攻击相关的信息，下面示例性地介绍两种可能的获取方式：

获取方式一

攻击终端上可以设置有录屏软件，录屏软件在攻击终端启动后启动录屏，在攻击终端的攻击终止之后终止录屏。如此，在攻击终端对待测网站进行攻击的整个过程中，录屏软件都可以以录屏的方式记录攻击终端的攻击操作，以得到录屏视频，并可以实时地将录屏视屏传输至监控显示屏。此处的实时可以是指在录屏的同时将录屏视频传输给监控显示屏，也可以是按照某个比较小的时间间隔在每个时间间隔结束时将录屏视频传输给监控显示屏，具体不作限定。

示例性地，在攻击终端的攻击终止之后，还可以通过输入动态密码的方式退出录屏软件，以结束对攻击终端的录屏。其中，攻击终端的攻击终止的原因可能是由于管理服务器确定攻击不合规，断开了攻击终端和攻击终端的连接，也可能是由于攻击终端攻击任务完成自动结束了攻击操作，在此不做具体限定。

获取方式二

可以通过直接连接监控显示屏和攻击终端的屏幕的方式，同步显示监控显示屏和攻击终端的屏幕。如此，无需利用录屏软件就可以将攻击终端的屏幕展示给监控人员。

无论是上述获取方式一还是获取方式二，监控显示屏上都能显示与攻击相关的一些信息，该信息可以以不同的方式布局在监控显示屏上。例如，图2示例性地示出本申请实施例提供的一种监控显示屏的布局方式示意图，如图2所示，该示例中，还可以将监控显示屏划分出攻击终端屏幕监控区域和防守终端屏幕监控区域，攻击终端屏幕监控区域用于对攻击终端屏幕显示和监控，防守终端屏幕监控区域用于对防守终端屏幕的显示和监控。如此，参照该监控显示屏所显示的内容，监控人员可以判断攻击终端的攻击操作是否合规，当不合规时，监控人员可向管理服务器发送终止指示，而管理服务器接收到终止指示之后，确定攻击不合规，即可断开攻击终端和攻击终端的连接，从而终止攻击终端的攻击。

进一步示例性地，如图1所示，管控网关的一端和攻终端相连，另一端和防守终端相连。在攻击终端攻击防守终端之前，管控网关可以为攻击终端分配第一IP地址，以便于攻击终端使用第一IP地址通过管控网关对部署在防守终端上的待测网站进行攻击。一个示例中，管控网关在为攻击终端分配第一IP地址时，还需要攻击终端提前通过账号和密码登录管控网关，只有登录成功，管控网关才会向攻击终端分配第一IP地址，如此可进一步确保攻防演练的安全。

本申请实施例中，对攻击方的IP地址进行封禁是防守终端的防守手段之一，当攻击方的第一IP地址被防守终端封禁之后，如果继续使用第一IP地址进行攻击，会导致攻击无效，降低攻击效率。该情况下，一种可能的实现方式中，管控网关若确定第一IP地址被防守终端封禁，则还可以为攻击终端重新分配第二IP地址，第二IP地址是与第一IP地址不同的地址。具体地，可以是防守终端封禁攻击终端使用的IP地址之后，防守终端主动向攻击终端返回异常终止报文。

举例来说，图3示例性示出本申请实施例提供的一种攻击终端IP地址被封禁的示意图。如图3所示，在攻击终端能够正常访问防守终端防守的待测网站时，返回正常访问报文；在攻击终端访问待测网站产生异常时，返回异常终止报文。管控网关根据异常终止的报文确定第一IP地址被防守终端封禁，分为以下两种情况。

情况一：攻击终端根据异常终止报文确定第一IP地址被防守终端封禁，则向管控网关发送IP地址切换请求；

管控网关接收IP地址切换请求之后，就能确定第一IP地址被防守终端封禁，则为攻击终端重新分配第二IP地址，攻击终端使用第二IP地址访问待测网站。第一IP地址经过一定时间段之后，才可以重新被分配。

情况二：管控网关根据异常终止报文确定第一IP地址访问异常，则确定第一IP地址被防守终端封禁，则主动为攻击终端重新分配第二IP地址，攻击终端在下一次攻击时，使用第二IP地址访问待测网站。

进一步示例性地，如图1所示，攻击监控系统还可以包括入侵检测系统(intrusiondetection system，IDS)服务器，IDS服务器一端连接管控网关，另一端连接监控显示屏。在进行攻防演练时，IDS服务器可以将攻击终端对待测网站攻击产生的流量分类，并将分类结果传输至监控显示屏。其中，该分类结果可以包括但不限于网络攻击流量、漏洞攻击流量和防火墙攻击流量等，且该分类结果还可以展示在监控显示屏上。例如，如图2所示，监控显示屏上划分有攻击监控流量划分区域，用于显示攻击终端对待测网站攻击产生的流量的分类结果，便于监控人员查看。

在上述示例中，攻击终端对防守终端攻击产生的流量可以通过监控网关发送给IDS服务器的。具体来说，管控网关可以解密超文本传输安全协议(Hyper Text TransferProtocol over SecureSocket Layer，HTTPS)，并将解密后的流量和其他的明文攻击流量传输至IDS服务器，以便IDS服务器对这些流量进行分类。

进一步示例性地，如图1所示，攻击监控系统还可以包括备份服务器，录屏软件在录屏的同时，还可以将录屏视频发送给备份服务器；备份服务器存储接收到的录屏视频，在攻击结束后，可以通过查看录屏视频，对攻击进行溯源和复盘。

在上述示例中，录屏软件还可以将录屏产生的流量推流至备份服务器。例如，图4示例性地示出本申请实施例提供的一种录屏流量传输示意图。如图4所示，录屏软件还可以通过实时流传输协议(real time streaming protocol，RTSP)将录屏产生的流量推流至备份服务器，可以将流量路径设置为如下格式“rtsp://备份服务器IP地址+攻击终端的用户ID+随机地址”，其中，攻击终端的用户ID是为了将录屏视频和攻击终端的使用者对应起来，随机地址是为了防止其他的用户根据攻击终端的用户ID获取录屏视频，保证录屏视频的安全性。

进一步示例性地，管理服务器将录屏产生的流量推流至备份服务器之后，管理服务器通过rtsp拉流协议，将录屏产生的流量传输至监控显示屏，和攻击操作产生的流量一起展示在监控显示屏上，便于监控人员查看。

通过上述方式，攻击终端对攻击进行记录，使管理服务器可以根据记录，在确定攻击不合规时，终止攻击终端的攻击。实现了对攻击的监控，可以及时制止不合规的攻击行为，确保攻防演练的安全性。

本领域内的技术人员应明白，本申请的实施例可提供为方法、系统、或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例、或结合软件和硬件方面的实施例的形式。而且，本申请可采用在一个或多个其中包含有计算机可用程序代码的计算机可用存储介质(包括但不限于磁盘存储器、CD-ROM、光学存储器等)上实施的计算机程序产品的形式。

本申请是参照根据本申请的方法、设备(系统)、和计算机程序产品的流程图和/或方框图来描述的。应理解可由计算机程序指令实现流程图和/或方框图中的每一流程和/或方框、以及流程图和/或方框图中的流程和/或方框的结合。可提供这些计算机程序指令到通用计算机、专用计算机、嵌入式处理机或其他可编程数据处理设备的处理器以产生一个机器，使得通过计算机或其他可编程数据处理设备的处理器执行的指令产生用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的装置。

这些计算机程序指令也可存储在能引导计算机或其他可编程数据处理设备以特定方式工作的计算机可读存储器中，使得存储在该计算机可读存储器中的指令产生包括指令装置的制造品，该指令装置实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能。

这些计算机程序指令也可装载到计算机或其他可编程数据处理设备上，使得在计算机或其他可编程设备上执行一系列操作步骤以产生计算机实现的处理，从而在计算机或其他可编程设备上执行的指令提供用于实现在流程图一个流程或多个流程和/或方框图一个方框或多个方框中指定的功能的步骤。

显然，本领域的技术人员可以对本申请进行各种改动和变型而不脱离本申请的精神和范围。这样，倘若本申请的这些修改和变型属于本申请权利要求及其等同技术的范围之内，则本申请也意图包含这些改动和变型在内。

Claims (9)

1.一种攻击监控系统，其特征在于，所述系统包括：管控网关、管理服务器和攻击终端，所述攻击终端分别与所述管控网关和所述管理服务器相连；

所述管控网关，用于为所述攻击终端分配第一网际互连协议IP地址；

所述攻击终端，用于使用所述第一IP地址对待测网站进行攻击，并对所述攻击进行记录，在所述攻击结束后，输入动态密码，终止对所述攻击行为进行记录；

所述管理服务器，用于根据所述记录，在确定所述攻击不合规时，终止所述攻击终端的攻击；

所述管控网关，还用于在确定所述第一IP地址被所述待测网站封禁后，将所述攻击终端切换为第二IP地址，所述第二IP地址不同于所述第一IP地址。

2.如权利要求1所述的系统，其特征在于，所述系统还包括监控显示屏，所述监控显示屏和所述管理服务器相连，所述攻击终端上设置有录屏软件；

所述攻击终端，具体用于在所述终端启动后，自动运行录屏软件对所述攻击终端的屏幕进行录屏记录，获得所述攻击终端对所述待测网站进行攻击的录屏视频，并实时将所述录屏视频发送至监控显示屏，在所述攻击结束后，输入所述动态密码，退出所述录屏软件；

所述监控显示屏，用于显示所述录屏视频，所述显示内容用于确定所述攻击不合规，向所述管理服务器发送终止指示；

所述管理服务器，具体用于接收终止指示，确定所述攻击不合规。

3.如权利要求1所述的系统，其特征在于，所述管控网关的一端连接所述攻击终端，所述管控网关的一端连接所述待测网站，所述攻击终端对所述待测网站的攻击通过所述管控网关实现。

4.如权利要求3所述的系统，其特征在于，所述管理服务器，具体用于：在确定所述攻击不合规时，断开所述攻击终端和所述管控网关的连接。

5.如权利要求1所述的系统，其特征在于，所述待测网站部署在防守终端上；

所述防守终端用于：在受到所述攻击终端使用所述第一IP地址的攻击后，尝试封禁所述第一IP地址，若封禁成功，则向所述管控网关发送IP地址切换请求；

所述管控网关具体用于：接收所述IP地址切换请求之后，确定所述第一IP地址被所述待测网站封禁。

6.如权利要求1所述的系统，其特征在于，

所述管控网关具体用于：若确定所述第一IP地址访问异常，则确定所述第一IP地址被所述待测网站封禁。

7.如权利要求1所述的系统，其特征在于，所述系统还包括入侵检测系统IDS服务器，所述IDS服务器一端连接管控网关，另一端连接监控显示屏；

所述IDS服务器用于将所述攻击终端对所述待测网站攻击产生的流量分类，并将分类结果传输至监控显示屏；

所述监控显示屏，用于显示所述录屏视频和所述分类结果。

8.如权利要求7所述的系统，其特征在于，所述IDS服务器具体用于：

将所述攻击终端对所述待测网站攻击产生的流量分为网络攻击流量、漏洞攻击流量和防火墙攻击流量。

9.如权利要求2至8中任一项所述的系统，其特征在于，所述系统还包括备份服务器；

所述录屏软件，还用于将所述录屏视频发送至所述备份服务器；

所述备份服务器，用于接收并存储所述录屏视频，所述录屏视屏用于在攻击结束后对所述攻击进行溯源与复盘。

Images