[发明专利]一种基于蜜罐诱导的攻击感知方法、装置、设备及介质

说明书

本发明公开了一种基于蜜罐诱导的攻击感知方法、装置、设备及介质，所述方法包括过滤捕获的数据包以得到第一目标数据包，将所述第一目标数据包输出至用户态进程；在用户态进程中确定所述第一目标数据包对应的目标通信诱导策略，基于所述目标通信诱导策略与所述第一目标数据包对应的源互联网协议地址通信以捕获所述源互联网协议地址发出的至少一个第二目标数据包；将第一目标数据包和/或其对应的第二目标数据包确定为待解析数据包，基于预设的解析规则集对所述待解析数据包进行解析，根据解析结果分析攻击行为。本发明兼具了入侵检测系统和蜜罐系统的双重优势，能够更加全面地捕获攻击信息，保护网络的安全。

技术领域

本发明涉及入侵检测领域，尤其涉及一种基于蜜罐诱导的攻击感知方法、装置、设备及介质。

背景技术

入侵检测系统是指依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，并提出告警的系统。传统的入侵检测系统通过安全策略对入侵行为进行行为匹配，从而达到检测目的。但是，这种传统的检测方法无法对攻击行为进行诱导，并且对于未能匹配安全策略的攻击行为无法识别。

发明内容

为了解决现有技术中传统的检测方法无法对攻击行为进行诱导，并且对于未能匹配安全策略的攻击行为无法识别的技术问题。本发明实施例提供一种基于蜜罐诱导的攻击感知方法、装置、设备及介质。

一方面，本发明提供了一种基于蜜罐诱导的攻击感知方法，所述方法包括：

过滤捕获的数据包以得到第一目标数据包，将所述第一目标数据包输出至用户态进程；

在用户态进程中确定所述第一目标数据包对应的目标通信诱导策略，基于所述目标通信诱导策略与所述第一目标数据包对应的源互联网协议地址通信以捕获所述源互联网协议地址发出的至少一个第二目标数据包；

将第一目标数据包和/或其对应的第二目标数据包确定为待解析数据包，基于预设的解析规则集对所述待解析数据包进行解析，根据解析结果分析攻击行为。

另一方面，本发明提供一种基于蜜罐诱导的攻击感知装置，所述装置包括：

数据包捕获模块，用于过滤捕获的数据包以得到第一目标数据包，将所述第一目标数据包输出至用户态进程；

诱导模块，用于在用户态进程中确定所述第一目标数据包对应的目标通信诱导策略，基于所述目标通信诱导策略与所述第一目标数据包对应的源互联网协议地址通信以捕获所述源互联网协议地址发出的至少一个第二目标数据包；

解析模块，用于将第一目标数据包和/或其对应的第二目标数据包确定为待解析数据包，基于预设的解析规则集对所述待解析数据包进行解析，根据解析结果分析攻击行为。

另一方面，本发明提供了一种基于蜜罐诱导的攻击感知设备，其特征在于，所述设备包括处理器和存储器，所述存储器中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、所述至少一段程序、所述代码集或指令集由所述处理器加载并执行以实现一种基于蜜罐诱导的攻击感知方法。

另一方面，本发明提供了一种计算机存储介质，其特征在于，所述存储介质中存储有至少一条指令、至少一段程序、代码集或指令集，所述至少一条指令、至少一段程序、代码集或指令集由处理器加载并执行一种基于蜜罐诱导的攻击感知方法。

本发明提供了一种基于蜜罐诱导的攻击感知方法、装置、设备及介质。本发明先对捕获的数据包进行过滤，并通过向数据包的源网络协议地址返回回复数据包，诱导源网络协议地址发出后续数据包，得到待解析数据包，并对待解析数据进行解析进而分析攻击行为，从而兼具了入侵检测系统和蜜罐系统的双重优势，能够更加全面地捕获攻击信息，保护网络的安全。本发明可以对于各种端口进行攻击感知，并且在诱导过程中实施指纹欺骗，提升诱导成功率，以便于感知各种类型的攻击。

附图说明