CN117201184A - 一种主动防御方法和系统 - Google Patents

Abstract

本发明提供了一种主动防御方法和系统，包括：判断攻击者是否为历史攻击者；对于历史攻击者，使用对应的蜜罐响应该攻击者的请求；对于非历史攻击者，将攻击流量转发至蜜罐集群，得到蜜罐响应；判断蜜罐响应是否在拒绝域内；将不在拒绝域内的蜜罐响应对应的蜜罐作为响应攻击者请求的蜜罐；若多个蜜罐响应均在拒绝域内，则采取随机响应策略混淆所述攻击者；将响应攻击者的蜜罐生成的响应报文和攻击者特征记录到所述日志中；日志还包括映射列表；以提高系统整体的健壮性和欺骗性。

Description

一种主动防御方法和系统

技术领域

本发明涉及网络攻击技术领域，具体而言，涉及一种主动防御方法和系统。

背景技术

随着网络的广泛普及和各种计算机技术的快速发展，网络空间作为除陆、海、空、天外的“第五空间”而被受到高度重视。现有的防火墙、入侵检测系统等传统的防御技术由于静态、被动、滞后的局限性，无法抵御越来越自动化、多样化和智能化的攻击方式，因此蜜罐作为一种主动防御技术重新回到安全专家的视野中。蜜罐通过欺骗、诱捕攻击者，捕获攻击数据和生产威胁情报，保护正常生产系统的安全。现有的蜜罐依靠对攻击流量的识别，将针对不同服务的攻击流量重定向到对应的蜜罐中以希望智能地捕获到不同类型的攻击行为，虽然现有蜜罐使用了Docker构建高交互蜜罐能与业务系统联系更为紧密，但蜜罐始终不是真实的业务系统，并且现有的蜜罐、蜜网体系大多采用静态的部署方法，难以随着攻击手段的变化而动态响应，很容易被经验丰富的攻击者识别。

有鉴于此，本发明提供了一种主动防御方法和系统，针对现有技术无法应付攻击手段多变的攻击者，蜜罐容易被攻击者识别造成蜜罐可用性降低的问题，提出使用可信度推理的C-F模型降低攻击者识别的概率，并结合Q-learning对蜜罐的请求顺序进行优化来提高系统整体的健壮性和欺骗性。

发明内容

本发明的目的在于提供一种主动防御方法，包括：接收攻击者的请求，并生成攻击流量；基于所述攻击流量和映射列表，判断所述攻击者是否为历史攻击者；若所述攻击者是历史攻击者，则使用对应的蜜罐响应该攻击者的请求；若所述攻击者不是历史攻击者，则将所述攻击流量转发至蜜罐集群，分别得到所述蜜罐集群内多个蜜罐的蜜罐响应；基于蜜罐请求顺序，判断所述蜜罐响应是否在拒绝域内；将不在拒绝域内的蜜罐响应对应的蜜罐作为响应所述攻击者请求的蜜罐；若多个所述蜜罐响应均在拒绝域内，则采取随机响应策略混淆所述攻击者；将响应所述攻击者的蜜罐生成的响应报文和攻击者特征记录到所述日志中；所述日志还包括映射列表，所述映射列表包括历史攻击者及响应该历史攻击者的蜜罐的对应关系。

进一步的，所述判断所述蜜罐响应是否在拒绝域内，包括：依照所述蜜罐请求顺序将所述攻击流量转发至蜜罐，该蜜罐生成蜜罐响应；判断所述蜜罐响应是否在拒绝域内；若所述蜜罐响应在所述拒绝域内，则将该蜜罐的响应报文发送给所述攻击者并更新所述映射列表；若所述蜜罐响应不在所述拒绝域内，则将所述攻击流量转发至下一个蜜罐，并重复判断过程。

进一步的，所述蜜罐请求顺序通过强化学习得到，包括：将所述日志输入强化学习模型中，所述强化学习模型根据历史访问数据使用Q-learning算法对初始蜜罐请求顺序进行调整。

进一步的，所述初始蜜罐请求顺序通过蜜罐中对应的攻击向量和个性化配置程度评分得到。

进一步的，所述判断所述攻击者是否为历史攻击者，包括：获取所述攻击者的IP，并基于所述映射列表判断该IP是否已经访问过；若该IP已经访问过，则判定所述攻击者为历史攻击者；若该IP未访问过，则判断所述攻击者是否通过搜索引擎进行访问；若通过搜索引擎进行访问，则判定所述攻击者不是历史攻击者；若未通过搜索引擎进行访问，则获取攻击信息；将所述攻击信息与所述日志中的攻击者特征进行比对，基于可信度推理，得到攻击相似度；若所述攻击相似度大于相似度阈值，则认为所述攻击者为历史攻击者；否则，认为所述攻击者不是历史攻击者。

进一步的，所述随机响应策略包括随机发送拒绝响应、无响应或默认响应。

本发明的目的在于提供一种主动防御系统，包括重定向模块、协同控制模块、蜜罐机群和日志记录模块；所述重定向模块用于接收攻击流量，并将所述攻击流量转发到所述协同控制模块；所述协同控制模块用于负责蜜罐簇的协同功能；所述协同功能包括判断攻击者是否为历史攻击者，并根据判断结果响应所述攻击者；所述蜜罐机群用于吸引攻击者并监测他们的行为；所述日志记录模块用于记录日志并生成映射列表；所述记录日志包括响应所述攻击者的蜜罐生成的响应报文和攻击者特征。

进一步的，还包括强化学习模块；所述强化学习模块用于基于所述记录日志调整所述协同控制模块中蜜罐的请求数据，并更新蜜罐请求顺序。

进一步的，所述协同控制模块包括历史攻击者判断模块、流量转发模块、蜜罐判断模块和随机响应模块；所述历史攻击者判断模块用于基于所述攻击流量和映射列表，判断所述攻击者是否为历史攻击者；所述流量转发模块用于在所述攻击者是历史攻击者时，使用对应的蜜罐响应该攻击者的请求；当所述攻击者不是历史攻击者时，将所述攻击流量转发至蜜罐集群，分别得到所述蜜罐集群内多个蜜罐的蜜罐响应；所述蜜罐判断模块用于基于蜜罐请求顺序，判断所述蜜罐响应是否在拒绝域内；将不在拒绝域内的蜜罐响应对应的蜜罐作为响应所述攻击者的请求的蜜罐；所述随机响应模块用于在多个所述蜜罐响应均在拒绝域内时，采取随机响应策略混淆所述攻击者。

进一步的，所述判断所述蜜罐响应是否在拒绝域内，包括：依照所述蜜罐请求顺序将所述攻击流量转发至蜜罐，该蜜罐生成蜜罐响应；判断所述蜜罐响应是否在拒绝域内；若所述蜜罐响应在所述拒绝域内，则将该蜜罐的响应报文发送给所述攻击者并更新所述映射列表；若所述蜜罐响应不在所述拒绝域内，则将所述攻击流量转发至下一个蜜罐，并重复判断过程。

本发明实施例的技术方案至少具有如下优点和有益效果：

本发明提出的主动防御方法和系统，通过先判断攻击者是否为过往访问过的历史攻击者，防止了攻击者识别出该系统为蜜罐系统，加强了系统的可用性和健壮性。

本发明提出的主动防御方法和系统还可以根据过往访问和攻击的情况利用Q-learning对Web蜜罐的请求顺序进行更改，通过对默认蜜罐的修改大大提高了系统捕获攻击的能力，对蜜罐请求顺序的更改提高了系统的响应效率，并且更具智能化能够很好地应付攻击方式多变的攻击者；对于较少被访问的Web蜜罐，可以当捕捉到有相关的攻击请求后再发送指令启动对应的容器，进一步缩小了资源的消耗。

附图说明

图1是本发明实施例中主动防御系统的整体框架图；

图2是本发明实施例中主动防御系统中协同控制模块的工作流程图；

图3是本发明实施例中主动防御系统中强化学习模块的工作关系图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

本发明提供的一种主动防御方法，其特征在于，包括：

接收攻击者的请求，并生成攻击流量。

基于所述攻击流量和映射列表，判断所述攻击者是否为历史攻击者。

其中，所述判断所述攻击者是否为历史攻击者，包括：获取所述攻击者的IP，并基于所述映射列表判断该IP是否已经访问过；若该IP已经访问过，则判定所述攻击者为历史攻击者；若该IP未访问过，则判断所述攻击者是否通过搜索引擎进行访问；若通过搜索引擎进行访问，则判定所述攻击者不是历史攻击者；若未通过搜索引擎进行访问，则获取攻击信息；将所述攻击信息与所述日志中的攻击者特征进行比对，基于可信度推理，得到攻击相似度；若所述攻击相似度大于相似度阈值，则认为所述攻击者为历史攻击者；否则，认为所述攻击者不是历史攻击者。

攻击信息包括攻击者的IP、端口和请求报文等信息。相似度阈值可以是指设定的可以认为攻击者为同一攻击者的阈值，当大于该阈值可以认为两个攻击者为同一攻击者。

所述随机响应策略包括随机发送拒绝响应、无响应或默认响应。

若所述攻击者是历史攻击者，则使用对应的蜜罐响应该攻击者的请求。

若所述攻击者不是历史攻击者，则将所述攻击流量转发至蜜罐集群，分别得到所述蜜罐集群内多个蜜罐的蜜罐响应。

基于蜜罐请求顺序，判断所述蜜罐响应是否在拒绝域内。

其中，所述蜜罐请求顺序通过强化学习得到，包括：将所述日志输入强化学习模型中，所述强化学习模型根据历史访问数据使用Q-learning算法对初始蜜罐请求顺序进行调整。其中，所述初始蜜罐请求顺序通过蜜罐中对应的攻击向量和个性化配置程度评分得到。

其中，所述判断所述蜜罐响应是否在拒绝域内，包括：依照所述蜜罐请求顺序将所述攻击流量转发至蜜罐，该蜜罐生成蜜罐响应；判断所述蜜罐响应是否在拒绝域内；若所述蜜罐响应在所述拒绝域内，则将该蜜罐的响应报文发送给所述攻击者并更新所述映射列表；若所述蜜罐响应不在所述拒绝域内，则将所述攻击流量转发至下一个蜜罐，并重复判断过程。

将不在拒绝域内的蜜罐响应对应的蜜罐作为响应所述攻击者请求的蜜罐。

若多个所述蜜罐响应均在拒绝域内，则采取随机响应策略混淆所述攻击者。

将响应所述攻击者的蜜罐生成的响应报文和攻击者特征记录到所述日志中。

所述日志还包括映射列表，所述映射列表包括历史攻击者及响应该历史攻击者的蜜罐的对应关系。

本发明提供的主动防御系统，如图1所示，包括重定向模块、协同控制模块、蜜罐机群和日志记录模块。

重定向模块用于接收攻击流量，并将所述攻击流量转发到所述协同控制模块。本发明的主动防御系统提供的是Web蜜罐的形式，因此转发的流量都为HTTP的。使用重定向模块可以使得蜜罐机群不受部署环境的限制，只需要攻击者能访问到重定向模块就能够进行后续的诱骗操作。

协同控制模块用于负责蜜罐簇的协同功能；所述协同功能包括判断攻击者是否为历史攻击者，并根据判断结果响应所述攻击者。针对一次攻击者的攻击，协同控制模块首先初步地对请求做出一些预处理，再从得到的蜜罐响应中选出最适合的来与攻击者交互，最后进行流量和日志的记录。该模块通过修改开源中间人抓包工具Mitmproxy的源码实现。

其中，所述协同控制模块包括历史攻击者判断模块、流量转发模块、蜜罐判断模块和随机响应模块；所述历史攻击者判断模块用于基于所述攻击流量和映射列表，判断所述攻击者是否为历史攻击者；所述流量转发模块用于在所述攻击者是历史攻击者时，使用对应的蜜罐响应该攻击者的请求；当所述攻击者不是历史攻击者时，将所述攻击流量转发至蜜罐集群，分别得到所述蜜罐集群内多个蜜罐的蜜罐响应；所述蜜罐判断模块用于基于蜜罐请求顺序，判断所述蜜罐响应是否在拒绝域内；将不在拒绝域内的蜜罐响应对应的蜜罐作为响应所述攻击者的请求的蜜罐；所述随机响应模块用于在多个所述蜜罐响应均在拒绝域内时，采取随机响应策略混淆所述攻击者。

蜜罐机群用于吸引攻击者并监测他们的行为。结合容器技术使用了Docker对蜜罐机群进行构建使得其更加轻量化并且使其具有良好的可移植性、高度可定制化能力以及优秀的扩展能力。一般的虚拟机所占磁盘空间大小都在GB级，而Docker只有MB级别，也就能在后端配置更多的蜜罐。

日志记录模块用于记录日志并生成映射列表；所述记录日志包括响应所述攻击者的蜜罐生成的响应报文和攻击者特征。主要分为三个小部分——重定向模块中Nginx的日志记录、Mitmproxy对流量的记录、对被入侵蜜罐的行为记录。

本发明的主动防御方法，还包括强化学习模块，所述强化学习模块用于基于所述记录日志调整所述协同控制模块中蜜罐的请求数据，并更新蜜罐请求顺序，以优化蜜罐的顺序。通过对日志记录模块中的日志进行处理和分析，挖掘攻击流中的攻击倾向，将攻击者青睐的蜜罐摆在靠前的位置，让对应蜜罐更多地暴露在攻击者视野中。

对于一次常规的渗透测试，攻击者首先会发送探测报文访问目标站点，攻击者可能会直接请求对应的域名或IP通过查看响应来判断对应Web站点的类型，也可能在URL(Uniform Resource Locator，统一资源定位符)加入期望站点的特有路径，例如WordPress中的wp-login.php。判断对应的站点是期望攻击的Web类型时，才会进行后续的攻击，否则会继续寻找下一个站点进行尝试。

对于本发明所描述的系统，则是通过在后端蜜罐处储备大量不同类型的Web蜜罐，只通过一个域名对外暴露访问接口，但通过协同控制模块的处理后能够智能地选择最合适的Web蜜罐进行响应。具体的访问流程如下所述：

攻击者首先会访问在公网上的重定向模块，重定向模块利用隧道技术将流量转发到协同控制模块所在的网络中，接下来协同控制模块再将流量进行处理和转发到蜜罐机群，后端会有多个蜜罐返回响应，由协同控制模块选择决定最终由哪一个来响应攻击者。这样在攻击者的视角里，他是在和一台部署在公网上的服务器进行交互，而对协同控制模块的存在是无感知的。

协同控制模块的工作流程如图2所示。

对于一次具体的攻击，协同控制模块会通过映射表来判断该IP是否之前已经访问过，如果已经访问过则直接用对应蜜罐进行响应，如果没有访问过则进行后续判断。

接着会通过威胁情报、User-Agent头等方法判断是否搜索引擎，如果不是搜索引擎再通过IP信誉度、所属地区、标签、所属运营商、所属C段、所属域名、是否为失陷主机、操作系统、开放端口等维度，对比数据库中的指纹信息，并用可信度推理中的C-F模型进行推理得到一个相似度，当相似度超过了一定的阈值便认为是同一个攻击者，使用相同的蜜罐进行响应。

如果判断访问者是搜索引擎或不是之前访问过的攻击者用协同策略进行应对：协同控制模块转发给蜜罐池中的第一个蜜罐，对第一个蜜罐的响应进行处理和判断，如果响应不在拒绝域内就可以直接将响应报文发送给攻击者并更新映射列表；如果该响应在拒绝域内，也就是不接受该响应，此时判断是否已经访问过蜜罐池中所有的蜜罐，如果在蜜罐池中仍有没有访问过的蜜罐，则获取下一个蜜罐的URL并重复上述转发请求、判断是否在拒绝域内的流程，假如已经访问过蜜罐池中所有的蜜罐，则采取随机响应策略混淆攻击者。

随机响应策略就是随机发送拒绝响应(服务端错误)、无响应(客户端错误)、默认响应。最后将成功转发的响应报文连同攻击者的IP、端口、请求报文等都记录到日志中。

强化学习模块与系统中其他组件的关系如图3所示。

首先防御者会将蜜罐中对应的攻击向量进行输入，再将个性化配置程度评分也输入进系统，接着得到一个初始化的蜜罐请求顺序列表，协同控制单元会按照顺序从中对后端的蜜罐机群进行请求。

在系统部署上线之后，不断地收集日志数据，通过日志收集处理部分进行处理，输入到强化学习模块中，根据过往的访问数据使用Q-learning算法对蜜罐列表进行优化。

具体来说，每当一个蜜罐被实施了攻击行为，它下一次被请求的优先级就会更高，对于那些很少被访问甚至没有被访问过的蜜罐就可以将它们放置到靠后的位置，甚至在大多数时间可以将其停止以减小资源的消耗。

以上仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (10)

1.一种主动防御方法，其特征在于，包括：

接收攻击者的请求，并生成攻击流量；

基于所述攻击流量和映射列表，判断所述攻击者是否为历史攻击者；

若所述攻击者是历史攻击者，则使用对应的蜜罐响应该攻击者的请求；

若所述攻击者不是历史攻击者，则将所述攻击流量转发至蜜罐集群，分别得到所述蜜罐集群内多个蜜罐的蜜罐响应；

基于蜜罐请求顺序，判断所述蜜罐响应是否在拒绝域内；

将不在拒绝域内的蜜罐响应对应的蜜罐作为响应所述攻击者请求的蜜罐；

若多个所述蜜罐响应均在拒绝域内，则采取随机响应策略混淆所述攻击者；

将响应所述攻击者的蜜罐生成的响应报文和攻击者特征记录到所述日志中；所述日志还包括映射列表，所述映射列表包括历史攻击者及响应该历史攻击者的蜜罐的对应关系。

2.根据权利要求1所述的主动防御方法，其特征在于，所述判断所述蜜罐响应是否在拒绝域内，包括：

依照所述蜜罐请求顺序将所述攻击流量转发至蜜罐，该蜜罐生成蜜罐响应；

判断所述蜜罐响应是否在拒绝域内；

若所述蜜罐响应在所述拒绝域内，则将该蜜罐的响应报文发送给所述攻击者并更新所述映射列表；

若所述蜜罐响应不在所述拒绝域内，则将所述攻击流量转发至下一个蜜罐，并重复判断过程。

3.根据权利要求1所述的主动防御方法，其特征在于，所述蜜罐请求顺序通过强化学习得到，包括：

将所述日志输入强化学习模型中，所述强化学习模型根据历史访问数据使用Q-learning算法对初始蜜罐请求顺序进行调整。

4.根据权利要求3所述的主动防御方法，其特征在于，所述初始蜜罐请求顺序通过蜜罐中对应的攻击向量和个性化配置程度评分得到。

5.根据权利要求1所述的主动防御方法，其特征在于，所述判断所述攻击者是否为历史攻击者，包括：

获取所述攻击者的IP，并基于所述映射列表判断该IP是否已经访问过；

若该IP已经访问过，则判定所述攻击者为历史攻击者；

若该IP未访问过，则判断所述攻击者是否通过搜索引擎进行访问；

若通过搜索引擎进行访问，则判定所述攻击者不是历史攻击者；

若未通过搜索引擎进行访问，则获取攻击信息；

将所述攻击信息与所述日志中的攻击者特征进行比对，基于可信度推理，得到攻击相似度；

若所述攻击相似度大于相似度阈值，则认为所述攻击者为历史攻击者；否则，认为所述攻击者不是历史攻击者。

6.根据权利要求1所述的主动防御方法，其特征在于，所述随机响应策略包括随机发送拒绝响应、无响应或默认响应。

7.根据权利要求1-6任意一项所述的主动防御方法的主动防御系统，其特征在于，包括重定向模块、协同控制模块、蜜罐机群和日志记录模块；

所述重定向模块用于接收攻击流量，并将所述攻击流量转发到所述协同控制模块；

所述协同控制模块用于负责蜜罐簇的协同功能；所述协同功能包括判断攻击者是否为历史攻击者，并根据判断结果响应所述攻击者；

所述蜜罐机群用于吸引攻击者并监测他们的行为；

所述日志记录模块用于记录日志并生成映射列表；所述记录日志包括响应所述攻击者的蜜罐生成的响应报文和攻击者特征。

8.根据权利要求7所述的主动防御方法，其特征在于，还包括强化学习模块；所述强化学习模块用于基于所述记录日志调整所述协同控制模块中蜜罐的请求数据，并更新蜜罐请求顺序。

9.根据权利要求7所述的主动防御方法，其特征在于，所述协同控制模块包括历史攻击者判断模块、流量转发模块、蜜罐判断模块和随机响应模块；

所述历史攻击者判断模块用于基于所述攻击流量和映射列表，判断所述攻击者是否为历史攻击者；

所述流量转发模块用于在所述攻击者是历史攻击者时，使用对应的蜜罐响应该攻击者的请求；当所述攻击者不是历史攻击者时，将所述攻击流量转发至蜜罐集群，分别得到所述蜜罐集群内多个蜜罐的蜜罐响应；

所述蜜罐判断模块用于基于蜜罐请求顺序，判断所述蜜罐响应是否在拒绝域内；将不在拒绝域内的蜜罐响应对应的蜜罐作为响应所述攻击者的请求的蜜罐；

所述随机响应模块用于在多个所述蜜罐响应均在拒绝域内时，采取随机响应策略混淆所述攻击者。

10.根据权利要求9所述的主动防御方法，其特征在于，所述判断所述蜜罐响应是否在拒绝域内，包括：

依照所述蜜罐请求顺序将所述攻击流量转发至蜜罐，该蜜罐生成蜜罐响应；

判断所述蜜罐响应是否在拒绝域内；

若所述蜜罐响应在所述拒绝域内，则将该蜜罐的响应报文发送给所述攻击者并更新所述映射列表；

若所述蜜罐响应不在所述拒绝域内，则将所述攻击流量转发至下一个蜜罐，并重复判断过程。