[发明专利]基于OODA流程欺骗诱捕构建大规模事件发生的应急决策方法

说明书

本发明涉及基于OODA流程的欺骗诱捕构建大规模事件发生时的应急响应决策的方法，属于信息安全技术领域。通过部署的伪装环境、业务应用系统的终端诱饵等，诱使攻击者对其攻击，暴露其攻击手法、战术和技术，分别从网络层、系统层、应用层、数据层实现对对其交互行为进行检测,特点具有网络全覆盖、业务场景全覆盖、不依赖特征库、误报率0，同时根据网络突发事件应急响应特点，结合欺骗技术构建一个由观察‑检测(observation)、判断‑分析(orientation)、决策‑策略(decision)和行动‑处置(action)4个阶段构成的事件应急响应决策闭环，融入现有安全防护体系中，实现自决策、自配置、自调整的网络安全事件应急方法，提升现有防御应急机制的循环迭代和能力演化。

技术领域

本发明涉及信息安全技术领域，更具体的说是涉及一种基于OODA流程的欺骗诱捕构建大规模事件发生时的应急响应决策的方法。

背景技术

当前，网络攻击每天都在增加，入侵手段具有产业化、组织化、多样化。现有的的入侵检测系统在面对层出不穷的漏洞、APT高级持续威胁攻击时难以有效的检测、分析，攻击者常常绕过现有的安全检测系统，利用新的攻击技术和武器直接进入内网进行数据窃取和破坏，导致防守方一直处于被动的地位，难以实现用户对主动防护的诉求。因此要对攻击者形成威慑，需要一种能够主动对抗攻击的技术方法。

现有的技术中，边界安全防护与网站安全防护过于依赖自身的特征库或病毒库，于新型网络攻击、0day漏洞等攻击方式存在误报、漏报等问题，终端检测与响应无法获取整体网络安全状态和趋势，无法准确反应攻击者对整个网络的威胁，防御处置不能全面覆盖，安全管理平台/态势感知产品通过收集多种安全产品数据并进行关联分析、预测，每天面对大量告警，运维效率低、难度大，数据可靠性差，缺乏对攻击行为自动响应及处置，使得无法对防御决策的有效性进行准确评估，从而不利于对网络攻击的的应急响应与决策，因此需要更加准确地、全面的、细颗粒度的感知攻击者每一个攻击动作，提取捕获的全链条攻击数据，精准预测攻击意图，提高用户应急响应决策的高效率。

发明内容

有鉴于此，本发明提供了一种基于OODA流程的欺骗诱捕构建大规模事件发生时的应急响应决策的方法。

为实现上述目的，本发明提供如下技术方案，主要包括：

基于OODA流程的欺骗诱捕构建大规模事件发生时的应急响应决策的方法，其具体包括以下步骤：

步骤一：在网络中，构建部署大量的探针节点，仿真各种业务场景、服务、协议、漏洞陷阱的一种或多种；

步骤二：在主机终端中，构建部署大量的诱饵，包括文件诱饵、数据诱饵、凭据诱饵、网络诱饵浏览器类诱饵的一种或多种；

步骤三：在网络中采集探针节点攻击者发送的数据，在主机终端中采集触碰诱饵数据，同时采集主机内核中网络数据、文件数据、进程数据、注册表数据的一种或多种；

步骤四：将采集的攻击数据上传至分析组件；

步骤五：通过分析引擎，分类，预处理，分析告警事件，构建OODA决策组态；

步骤六：动态调整欺骗策略；

步骤七：触发响应处理流程，做响应处置决策；

步骤八：下发决策动作到网络中、终端节点中。

优选的，所述步骤五，通过分析引擎，分类，预处理，分析告警事件，构建OODA决策组态，具体包括以下步骤：

A)告警及联动相应的安全防护设备，收集攻击者情报；

B)借助智能事件关联分析引擎，找出事件中存在的关联关系；

C)研判网络安全事件。

优选的，所述步骤8下发决策动作到网络中、终端节点中，具体包括以下步骤：