[发明专利]一种网络攻击代理端检测及溯源方法与装置

说明书

本发明公开了一种网络攻击代理端检测及溯源方法与装置，属于计算机网络安全技术领域。所述方法包括：收集攻击日志及数据流，提取控制特征与攻击特征用于训练网络攻击检测模块，网络攻击检测模块在网络接入点处检测网络流量，获取网络攻击数据流并从中提取控制信息与攻击信息；内网设备中均设置有控制模块与检测模块，控制模块通过控制信息与攻击信息检测攻击代理端地址；检测模块用来判断攻击IP的真伪，阻断伪造IP进行攻击。本发明通过提取攻击数据集中的控制信息和攻击信息为训练数据，以网络攻击代理端为目标对检测系统进行训练，针对代理端重点防御攻击者，使得攻击者无法构建完整的攻击框架。

技术领域

本发明涉及计算机网络安全技术领域，特别是涉及一种基于机器学习的网络攻击代理端检测及溯源方法与装置。

背景技术

我国已经成为全世界遭受网络攻击最为严重的国家之一，网络安全现状十分严峻，如何并根据攻击的来源和种类进行有针对性的防御，如何从根源上阻断网络攻击，是目前网络安全研究的难题。

为了从根源上阻断网络攻击，往往需要追查攻击的源头，比如攻击的IP地址、实施攻击的黑客及其组织等。现有安全防护系统大都侧重于对网络攻击的发现与阻断，难以提供对攻击源头的溯源能力。如果无法确定攻击源，也就无法对攻击进行针对性的防护，难以从根本上防止攻击者的再次攻击，更无法对网络攻击者形成威慑力。溯源是网络威慑的关键，网络战争是不可避免的，之所以不可避免，是因为攻击易行而溯源困难重重。通过提升溯源的能力，使得攻击方被发现的概率变高，从而形成威慑，使得攻击方不敢轻举妄动。

在实现本发明实施例的过程中，发明人发现攻击者发动攻击时有时会采用借助代理端的方式对受害者发起攻击，而现有技术的方案中并没有针对代理端的检测。另外攻击者为了躲避溯源也会采用伪造数据包源IP地址的方式，给予防御者错误的导向，现有技术方案也没有针对伪造IP的攻击的解决方案。

发明内容

有鉴于此，本发明提供的一种网络攻击代理端检测及溯源方法与装置，主要目的在于解决现有技术未对利用代理端进行网络攻击进行有效检测和溯源的问题。本发明通过分析提取攻击数据集中的控制信息和攻击信息为训练数据，以网络攻击代理端为目标对检测系统进行训练，针对代理端重点防御攻击者，使得攻击者无法构建完整的攻击框架。

根据本发明一个方面，提供了一种网络攻击代理端检测及溯源方法，该方法包括步骤：

S1获取训练数据，预先收集攻击数据集，所述攻击数据集包括攻击日志包与攻击数据包，所述攻击日志包包括但不限于：网络攻击的流量日志、web日志、交换机日志；所述攻击数据包包括但不限于：攻击者控制代理端的控制数据包、攻击者攻击受害端的攻击数据包；融合所述攻击数据集中的信息并从中提取控制特征与攻击特征为训练数据；

S2训练网络攻击检测模块；利用有监督的机器学习方式使用所述训练数据训练网络攻击检测模块；

S3通过所述网络攻击检测模块检测网络流量，获取网络攻击数据流，从所述网络攻击数据流中提取控制信息与攻击信息；

S4当所述控制信息与所述攻击信息均存在时，从受害端获取的所述网络攻击数据流中提取源IP地址为攻击代理端地址，从所述攻击代理端处获取的所述网络攻击数据流中提取源IP地址为攻击者地址；

S5当所述攻击特征存在且所述控制信息不存在时，从受害端获取的所述网络攻击数据流中提取源IP地址为攻击者地址。

作为本发明的进一步改进，步骤S3还包括伪造IP攻击检测，包括：设置内网设备地址数据库，用于存储内网内所有设备的IP地址和MAC地址；对经过内网设备的所述网络攻击数据流提取源IP地址，与所述内网设备地址数据库匹配，若匹配成功则执行S4；若匹配不成功则判断为伪造IP攻击，拒绝转发此数据包，阻断此次攻击。

作为本发明的进一步改进，使用Kafka消息服务预先收集所述攻击数据集。