CN114785718B - 一种网络靶场流量采集分析系统与方法 - Google Patents

Abstract

本发明公开了一种网络靶场流量采集分析系统与方法。本发明系统主要包括用于管理流量采集分析规则的规则引擎子系统，以及管理采集任务和分析采集数据的采集分析子系统；其中流量采集分析规则至少包括匹配规则项和匹配后的动作指令；所述匹配规则项包括IP地址、端口、协议类型、报文内容中的一种或多种；采集分析子系统中，为每个开启流量采集分析功能的网络靶场独立部署的流量采集分析平台，流量采集分析平台用于根据网络靶场配置的流量采集分析规则进行流量采集与处理。本发明可以实现靶场维度的流量采集分析，支持定制化采集分析，具有较强的扩展性和自动化部署能力。

Description

一种网络靶场流量采集分析系统与方法

技术领域

本发明涉及一种网络靶场流量采集分析系统与方法，属于网络安全、计算机软件领域。

背景技术

网络靶场（Cyber Range）是一种基于虚拟化技术，对真实网络空间中的网络架构、系统设备、业务流程的运行状态及运行环境进行模拟和复现的技术或产品，以更有效地实现与网络安全相关的学习、研究、检验、竞赛、演习等行为，从而提高人员及机构的网络安全对抗水平。

网络靶场流量采集分析是获得第一手网络靶场用户行为指标和参数的最有效手段。随着网络靶场系统精细化要求不断提高，网络流量采集分析已经成为网络靶场中心基础设施不可缺少的一部分。从目前行业使用来看，网络流量采集分析大多利用网络设备支持流量镜像的方式实现，存在无法区分流量来源于哪个网络靶场、无法做到采集分析器定制化等问题，无法满足网络靶场实时采集分析流量需求，对流量的采集分析不够灵活、扩展性不强。

发明内容

发明目的：针对上述现有技术存在的问题，本发明目的在于提供一种网络靶场流量采集分析系统与方法，可以实现靶场维度的流量采集分析，支持定制化采集分析，具有较强的扩展性和自动化部署能力。

技术方案：为实现上述发明目的，本发明采用如下技术方案：

一种网络靶场流量采集分析系统，包括规则引擎子系统和采集分析子系统；

所述规则引擎子系统，用于用户管理流量采集分析规则，所述流量采集分析规则至少包括匹配规则项和匹配后的动作指令；所述匹配规则项包括IP地址、端口、协议类型、报文内容中的一种或多种；

所述采集分析子系统，包括：

任务管理模块，用于用户管理网络靶场流量采集分析功能，选择流量采集分析规则；

为每个开启流量采集分析功能的网络靶场独立部署的流量采集分析平台，所述流量采集分析平台，用于根据网络靶场配置的流量采集分析规则进行流量采集与处理；

以及，结果展示模块，用于用户查看各网络靶场流量采集的结果数据。

作为优选，所述流量采集分析平台被提前打包成虚拟机镜像，在网络靶场开启流量采集分析功能，并选择对应流量采集分析规则后，由虚拟机管理系统根据网络靶场场景自动生成对应的流量采集分析平台的名称，以此名称安装并启动流量采集分析平台。

作为优选，所述流量采集分析规则中还包括优先级、匹配超时时间、规则标识中的一种或多种。

作为优选，所述流量采集分析规则中的动作指令用于指示对匹配到的报文的处理方式，包括丢弃、通过、拒绝、告警中的一种或多种。

作为优选，所述任务管理模块中，在用户选择规则引擎子系统中配置的流量采集分析规则后，支持对规则中的参数进行修改。

作为优选，所述流量采集分析平台采集的流量数据存储到ElasticSearch集群中，为每个网络靶场的流量采集分析数据设置各自的索引。

作为优选，网络靶场的流量采集分析规则以文档格式存储，在网络靶场的流量采集分析平台启动后，将对应的流量采集分析规则文件挂载到流量采集分析平台中。

作为优选，所述流量采集分析平台从指定的物理网口或虚拟网卡采集流量，还支持导入pcap流量包。

作为优选，所述结果展示模块中，支持用户查看选定网络靶场中所有的流量日志信息以及统计数据。

网络靶场流量采集分析方法，包括如下步骤：

用户进入规则引擎子系统创建并保存流量采集分析规则；

用户创建或选择网络靶场，开启流量采集分析功能，并进入采集分析子系统为网络靶场选择流量采集分析规则，或者修改所选择流量采集分析规则的参数，并保存；

用户启动网络靶场，虚拟机管理系统在创建网络靶场环境的同时，创建对应的流量采集分析平台，将配置的流量采集分析规则同步到流量采集分析平台；

流量采集分析平台根据配置的流量采集分析规则采集流量，处理后存储流量；所存储的流量根据不同的网络靶场进行分类；

用户进入采集分析子系统查看网络靶场流量采集的结果数据。

有益效果：与现有技术相比，本发明具有如下优点：1、本发明增设了规则引擎子系统，用户可以通过该子系统设置流量采集分析规则，实现了流程采集分析的可定制化和可扩展性。2、本发明为每个网络靶场部署独立的流量采集分析平台，流量采集分析平台可以镜像的形式交由虚拟机管理系统控制，随网络靶场进行自动化部署，实现了网络靶场的专有流量采集分析。3、本发明的流量采集分析平台可以通过打包镜像的形式集成环境，可以同时支持自定义pcap流量包，提高了采集分析流量的灵活性。4、本发明中每个网络靶场环境启动自定义采集分析规则的流量采集分析平台服务，保证了不同环境流量采集分析平台的独立性和精准性。

附图说明

图1为本发明实施例的网络靶场流量采集分析系统示意图。

具体实施方式

下面将结合附图和具体实施例，对本发明的技术方案进行清楚、完整的描述。

图1是网络靶场管理系统的整体架构示意图，主要包括网关服务端、网络靶场服务端、虚拟机管理系统和本发明实施例提供的流量采集分析系统。网关服务端主要适用于网络靶场存在多个业务系统时，可以通过使用反向代理（如Nginx反向代理）方式统一配置网络靶场的网关，同时实现负载均衡功能，用户在浏览器里通过输入同一个IP地址+端口即可实现访问不同的网络靶场业务系统。网络靶场即用户进行网络安全对抗的操作平台，用户可以通过PC端浏览器直接登陆网络靶场。

用户可以通过网络靶场服务端与流量采集分析系统的规则引擎子系统和采集分析子系统交互，在规则引擎子系统中可以新增流量采集分析规则，然后创建网络靶场时开启流量采集分析功能并选择要执行的流量采集分析规则，即可实现精准流量信息到流量采集分析系统。

规则引擎子系统，用于用户管理流量采集分析规则，保存网络靶场流量采集分析规则，实现流量采集分析规则的统一管理。

流量采集分析子系统，包括与用户交互的任务管理模块和结果展示模块，以及为每个开启流量采集分析功能的网络靶场独立部署的流量采集分析平台。任务管理模块用于用户管理网络靶场流量采集分析功能，选择流量采集分析规则；结果展示模块，用于用户查看各网络靶场流量采集的结果数据。

流量采集分析平台根据配置的流量采集分析规则，实现流量过滤、压缩、标记等处理功能，过滤/压缩主要通过采集规则配置中的源IP/目标IP、端口、协议、是否压缩等字段实现，标记主要通过分析规则配置中的源IP/目标IP、端口、协议，报文内容正则匹配等字段实现，同时将采集到的流量生成pcap文件保存到磁盘中，并将采集到的流量根据不同网络场景进行分类存储管理。

本发明实施例中，流量采集分析平台提前被打成Linux系统的虚拟机镜像，交由虚拟机管理系统（如OpenStack平台）管理。该镜像集成了开源工具Arkime，用于监听网口采集流量；镜像中集成了shell和python的运行环境；镜像中同时还集成了开源工具Suricata，可以根据流量特征分类进行流量特征标记，可以更好的结合业务进行全面分析。当启动一个网络靶场对抗环境时，会同时发送指令给虚拟机管理系统，使用流量采集分析平台的虚拟机镜像，启动一个虚拟机，作为该网络靶场环境的专用流量采集分析平台，同时激活镜像中的采集工具Arkime和分析工具Suricata并启动流量采集分析服务，从而实现流量采集分析平台的自动部署以及不同环境的独立运行。该网络靶场环境通过流表方式与该流量采集分析平台的网络绑定，将靶场环境中所有的流量都转发到其专用流量采集分析平台。

虚拟机管理系统用于启动流量采集分析平台镜像，当网络靶场开启流量采集分析功能，并选择对应流量采集分析规则后，会同时给虚拟机管理系统发送一条指令，虚拟机管理系统根据网络靶场场景自动随机生成对应的流量采集分析平台名称（例如对于靶场实例mp生成名称mp_123），并以此名称安装并启动采集分析平台，此平台与网络靶场场景是绑定的，避免了不同场景执行时相互之间的干扰。

用户在流量规则引擎子系统中创建自己的流量采集分析规则，该规则可以以文档形式存储，例如存储在ElasticSearch中。然后用户可以创建网络靶场选择流量采集分析规则，用户开启采集分析功能并启动网络靶场后，所选择的流量采集分析规则数据会转换为采集分析规则文件，调用虚拟机管理系统的上传文件接口，虚拟机管理系统在启动流量采集分析平台后会将此文件放置到流量采集分析平台指定的文件挂载处。流量采集分析平台基于配置的规则采集分析流量数据，用户点击查看网络靶场监控即可查看到网络靶场中的流量相关分析指标数据。

基于上述网络靶场流量采集分析系统的流量采集分析方法，主要包括创建流量采集规则、采集分析流量、存储流量和结果展示步骤。

创建流量采集规则，主要配置匹配规则项和匹配后的动作指令等，具体如下：

（A1）用户进入规则引擎子系统设置流量采集分析规则的匹配规则项，可以匹配物理网口或虚拟网口流量中的源IP、目的IP、端口、协议类型、报文内容等。

（A2）设置流量采集分析规则的优先级，优先级高的先匹配。

（A3）设置流量采集分析规则的动作指令。流量采集分析规则动作指令集（如drop、pass、reject等），定义匹配到该流量采集分析规则的报文需要进行的处理。当报文匹配流量采集分析规则时，每个流量采集分析规则包含的指令就会执行。这些指令会影响到报文、动作集以及管道流程。例如创建一个名称为抓取IP为192.168.1.102的流量采集分析规则，即可实现采集指定IP的流量，其他流量则丢弃。

（A4）设置流量采集分析规则的超时时间，包括了Idle Time和Hard Time。主要是匹配流量采集分析超时时间，防止匹配超时，流量堵塞。

（A5）设置流量采集分析规则的标识Cookie，主要是用于标记流量经过此流量规则处理过。

(A6)设置完成后保存并生成一份完整的流量采集分析规则。

采集分析流量的步骤主要包括：

（B1）用户进入网络靶场服务端的相关模块，创建网络靶场，选择虚拟机镜像、路由器、交换机等虚拟靶标；

（B2）用户进入流量采集分析子系统的任务管理模块，选择对应的流量采集分析规则，同时也支持修改其中参数配置，同时开启流量采集分析功能。

（B3）启动网络靶场，即可实现自动安装对应的流量采集分析平台，实现流量采集存储功能。

（B4）流量采集分析平台会根据配置流量采集分析规则对采集的流量数据进行标记。流量采集分析规则会根据采集到流量报文，分析可以根据源IP，源端口，协议类型、目的IP、目的端口、报文内容content正则匹配方式，对流量的进行丢弃、告警、通过等动作，针对告警的流量，最终存储流量时会多出告警标识字段。

存储流量时流量采集分析服务调用ElasticSearch存储服务上生成一个以当前网络靶场实例开头的索引（如mp_123_220328，形式可以采用流量采集平台名称为前缀+日期），用来存放当前网络靶场实例的所有流量采集分析数据。

用户在PC端浏览器上进入流量采集分析子系统的结果展示模块，选择对应的网络靶场场景，即可看到当前场景中所有的流量日志信息，不同统计分析维度的数据，如统计攻击手法（可根据告警标识识别）排名、统计时间窗口内的各个设备攻击流量大小/流量次数、统计网络靶场中各个主机状态情况、统计受攻击端口排名等等。

与一般网络靶场流量采集分析系统相比，本实施例的方案主要具备如下几个特点：

1. 实现流量采集分析更准确性

流量采集分析规则配置了IP地址、端口、协议以及报文，从而可以实现通过来控制流量采集分析，使得流量采集分析指标的可控，进而可以更贴近用户的需求，展示网络靶场各个维度的数据。

2. 采集分析流量更灵活

流量采集分析平台的镜像中，集成了shell和python的运行环境，可以支持shell和python的流量脚本执行；镜像中集成了开源工具Arkime，可以支持pcap流量包的导入；镜像中部署了流量采集分析规则服务，可以实现流量文件的采集和流量分析系统，从而使得流量采集分析指标更加灵活可控。

3. 保证了不同环境流量采集分析平台的独立及自动化部署

流量采集分析平台随靶场环境部署和启动，实现了自动化部署以及不同靶场环境之间流量采集分析平台的独立，屏蔽了不同靶场之间流量的干扰。

网络靶场管理平台启动流量采集分析平台镜像时，会给该虚拟机创建一个采集分析平台实例名称，同时将实例名称、采集分析规则信息返回给虚拟机管理平台，以便不同靶场环境确定自己的流量采集分析规则和启动成功后的实例名称。实例名称与ES存储里的索引是绑定的，作为该网络靶场的独立采集分析平台，避免了不同网络靶场直接的采集分析器相互之间的影响。

Claims (8)

1.一种网络靶场流量采集分析系统，其特征在于，包括规则引擎子系统和采集分析子系统；

所述规则引擎子系统，用于用户管理流量采集分析规则，所述流量采集分析规则至少包括匹配规则项和匹配后的动作指令；所述匹配规则项包括IP地址、端口、协议类型、报文内容中的一种或多种；

所述采集分析子系统，包括：

任务管理模块，用于用户管理网络靶场流量采集分析功能，选择流量采集分析规则；

为每个开启流量采集分析功能的网络靶场独立部署的流量采集分析平台，所述流量采集分析平台，用于根据网络靶场配置的流量采集分析规则进行流量采集与处理；

以及，结果展示模块，用于用户查看各网络靶场流量采集的结果数据；

所述流量采集分析平台被提前打包成虚拟机镜像，在网络靶场开启流量采集分析功能，并选择对应流量采集分析规则后，由虚拟机管理系统根据网络靶场场景自动生成对应的流量采集分析平台的名称，以此名称安装并启动流量采集分析平台；

所述流量采集分析规则中的动作指令用于指示对匹配到的报文的处理方式，包括丢弃、通过、拒绝、告警中的一种或多种。

2.根据权利要求1所述的网络靶场流量采集分析系统，其特征在于，所述流量采集分析规则中还包括优先级、匹配超时时间、规则标识中的一种或多种。

3.根据权利要求1所述的网络靶场流量采集分析系统，其特征在于，所述任务管理模块中，在用户选择规则引擎子系统中配置的流量采集分析规则后，支持对规则中的参数进行修改。

4.根据权利要求1所述的网络靶场流量采集分析系统，其特征在于，所述流量采集分析平台采集的流量数据存储到ElasticSearch集群中，为每个网络靶场的流量采集分析数据设置各自的索引。

5.根据权利要求1所述的网络靶场流量采集分析系统，其特征在于，网络靶场的流量采集分析规则以文档格式存储，在网络靶场的流量采集分析平台启动后，将对应的流量采集分析规则文件挂载到流量采集分析平台中。

6.根据权利要求1所述的网络靶场流量采集分析系统，其特征在于，所述流量采集分析平台从指定的物理网口或虚拟网卡采集流量，还支持导入pcap流量包。

7.根据权利要求1所述的网络靶场流量采集分析系统，其特征在于，所述结果展示模块中，支持用户查看选定网络靶场中所有的流量日志信息以及统计数据。

8.采用根据权利要求1-7任一项所述的网络靶场流量采集分析系统的网络靶场流量采集分析方法，其特征在于，包括如下步骤：

用户进入规则引擎子系统创建并保存流量采集分析规则；

用户创建或选择网络靶场，开启流量采集分析功能，并进入采集分析子系统为网络靶场选择流量采集分析规则，或者修改所选择流量采集分析规则的参数，并保存；

用户启动网络靶场，虚拟机管理系统在创建网络靶场环境的同时，创建对应的流量采集分析平台，将配置的流量采集分析规则同步到流量采集分析平台；

流量采集分析平台根据配置的流量采集分析规则采集流量，处理后存储流量；所存储的流量根据不同的网络靶场进行分类；

用户进入采集分析子系统查看网络靶场流量采集的结果数据。

Images