[发明专利]一种面向蜜罐威胁数据的聚类与归因分析方法

说明书

一种面向蜜罐威胁数据的聚类与归因分析方法，采用PCA方法从从捕获的威胁数据中提取出潜在的攻击行为聚类，采用基于攻击时序相似性的聚类方法，从威胁数据中发现普遍的攻击模式并进行归因分析；实现快速分析，追溯安全威胁的类型与根源，并能够对安全威胁态势进行预测，最终通过自我学习，有效增强蜜罐安全防护能力。

技术领域

本发明涉及网络安全领域，尤其涉及一种面向蜜罐威胁数据的聚类与归因分析方法。

背景技术

互联网从诞生以来，一直遭受着网络攻击与恶意代码的威胁。随着攻击技术的不断发展，新形态的安全威胁不断涌现并在持续进化，而防御技术并不能及时跟上安全威胁的变化步伐，这使得互联网的安全状况日益恶化。究其根源，会发现攻击方与防御方之间在进行着一场不对称的技术博弈：攻击方可以在夜深人静时只要找到攻击目标的一个漏洞就能够攻破系统，而防御方必须确保系统不存在任何可被攻击者利用的漏洞，并拥有全天候的监控机制，才能确保系统的安全；攻击方可以利用扫描、查点等一系列技术手段，全面获取攻击目标的信息，而防御方即使在被攻陷后仍然很难了解到攻击的来源、方法和动机；一旦博弈失败，由于安全响应技术与协调机制的欠缺，在很多情况下，攻击方不会遭受任何损失，而防御方却通常将面临系统与信息被破坏或窃取的风险。

蜜罐就是防御方为了扭转这种不对称局面而提出的一项主动防御技术。蜜罐定义为一类安全资源，它没有任何业务上的用途，其价值就是吸引攻击方对它进行非法使用。蜜罐技术本质上是一种对攻击方进行欺骗的技术，通过布置一些作为诱饵的主机、网络服务或者信息，诱使攻击方对它们实施攻击，从而可以对攻击行为进行捕获和分析，了解攻击方所使用的工具与方法，推测攻击意图和动机，让防御方清晰地了解他们所面对的安全威胁，并通过技术和管理手段来增强实际系统的安全防护能力。那么如何快速、高效的利用蜜罐捕获的威胁数据，并快速做出反应，是当前人们关注的重点。

为解决上述问题，本申请中提出一种面向蜜罐威胁数据的聚类与归因分析方法。

发明内容

(一)发明目的

为解决背景技术中存在的技术问题，本发明提出一种面向蜜罐威胁数据的聚类与归因分析方法，本发明采用PCA方法从从捕获的威胁数据中提取出潜在的攻击行为聚类，采用基于攻击时序相似性的聚类方法，从威胁数据中发现普遍的攻击模式并进行归因分析；实现快速分析，追溯安全威胁的类型与根源，并能够对安全威胁态势进行预测，最终通过自我学习，有效增强蜜罐安全防护能力。

(二)技术方案

为解决上述问题，本发明提供了一种面向蜜罐威胁数据的聚类与归因分析方法，方法步骤包括：

S1、在主机上建立蜜罐系统；蜜罐系统开启伪装模式；

S2、在蜜罐系统的网关连接点连接网络连接监控模块、入侵检测模块、捕获模块、攻击模拟模块、攻击处理模块、攻击分析模块和处理结果反馈模块；

S3、蜜罐系统动态设置多种类型的服务端口作为诱饵，诱捕攻击方对其攻击；

S4、网络连接监控模块对攻击行为进行监控，

S5、入侵检测模块对攻击行为进行鉴定，鉴定结果为攻击行为时，捕获模块捕获威胁数据；

S6、采用PCA法减少威胁数据中的噪声和冗余，进行降维，得到新的低维度威胁数据，再对新的威胁数据进行方差归一化处理；

S7、从新的威胁数据中提取出潜在的攻击行为，找到威胁数据中的隐藏模式以及相关变量；

S8、攻击处理模块包括数据处理单元、存储单元和调度单元，存储单元包括用于存储处理攻击数据的函数的数据库；数据处理单元对攻击行为分类；调度单元根据分类结果向数据库发出调取处理攻击行为对应的处理函数的指令；