[发明专利]识别物联网僵尸网络攻击源的方法与系统

说明书

本发明提供了一种识别物联网僵尸网络攻击源的方法与系统，包括：获取攻击告警信息；将满足预设条件的攻击告警信息确定为僵尸网络攻击，并基于僵尸网络攻击识别出僵尸网络主机；从威胁情报库中提取僵尸网络主机的端口开放信息和指纹服务信息；基于端口开放信息和指纹服务信息，判断僵尸网络主机是否满足物联网设备特征；将满足物联网设备特征的僵尸网络主机确定为物联网僵尸网络攻击源。本发明可以根据攻击告警信息识别僵尸网络主机，再在僵尸网络主机的基础上，快速、有效的发现物联网僵尸网络攻击源。

技术领域

本发明涉及通信技术领域，尤其是涉及一种识别物联网僵尸网络攻击源的方法与系统。

背景技术

物联网设备具有部署数量多、自身网络带宽良好等优点。但是大多数物联网设备的固件或软件的版本存在长期滞后的情况，物联网设备自身存在性能瓶颈，只有芯片没有操作系统，因此成为了网络攻击者的重点攻击目标。近年来物联网僵尸网络的攻击事件频发，由于物联网设备与传统互联网设备存在差异性，例如：性能不如一般的主机设备。因此传统的端点检测方法在实际应用中暴露了许多不足，例如：攻击误报率较高，或者在受感染的僵尸节点攻击客户资产之后，无法捕获受感染的僵尸节点。

发明内容

本发明的目的在于提供一种识别物联网僵尸网络攻击源的方法与系统，快速、有效的发现物联网僵尸网络攻击源。

本发明提供的一种识别物联网僵尸网络攻击源的方法，其中，包括：获取攻击告警信息；将满足预设条件的攻击告警信息确定为僵尸网络攻击，并基于所述僵尸网络攻击识别出僵尸网络主机；从威胁情报库中提取所述僵尸网络主机的端口开放信息和指纹服务信息；基于所述端口开放信息和所述指纹服务信息，判断所述僵尸网络主机是否满足物联网设备特征；将满足物联网设备特征的僵尸网络主机确定为物联网僵尸网络攻击源。

进一步的，所述预设条件包括预设第一条件和预设第二条件；所述将满足预设条件的攻击告警信息确定为僵尸网络攻击包括：将满足预设第一条件的攻击告警信息标记为可疑僵尸网络攻击；将满足预设第二条件的可疑僵尸网络攻击确定为僵尸网络攻击。

进一步的，所述预设第一条件包括以下一种或几种：告警类型相同、攻击源不同、攻击目标相同；所述预设第二条件包括以下一种或几种：攻击载荷特征码一致、攻击特征编码一致、攻击路径在预设范围内、攻击请求的HTTP响应头一致。

进一步的，所述攻击告警信息至少包括攻击时间、攻击告警类型、攻击源、攻击目标、攻击载荷中的一种。

进一步的，还包括：将不满足物联网设备特征的僵尸网络主机确定为非物联网僵尸网络攻击源。

本发明提供的一种识别物联网僵尸网络攻击源的系统，其中，包括：获取模块，用于获取攻击告警信息；第一确定模块，用于将满足预设条件的攻击告警信息确定为僵尸网络攻击，并基于所述僵尸网络攻击识别出僵尸网络主机；提取模块，用于从威胁情报库中提取所述僵尸网络主机的端口开放信息和指纹服务信息；判断模块，用于基于所述端口开放信息和所述指纹服务信息，判断所述僵尸网络主机是否满足物联网设备特征；第二确定模块，用于将满足物联网设备特征的僵尸网络主机确定为物联网僵尸网络攻击源。

进一步的，所述预设条件包括预设第一条件和预设第二条件；所述第一确定模块包括：标记单元，用于将满足预设第一条件的攻击告警信息标记为可疑僵尸网络攻击；确定单元，用于将满足预设第二条件的可疑僵尸网络攻击确定为僵尸网络攻击。

进一步的，所述识别物联网僵尸网络攻击源的系统还包括：第三确定模块，用于将不满足物联网设备特征的僵尸网络主机确定为非物联网僵尸网络攻击源。

本发明还提供一种电子设备，包括存储器、处理器，所述存储器中存储有可在所述处理器上运行的计算机程序，其中，所述处理器执行所述计算机程序时实现所述的方法。

本发明还提供一种具有处理器可执行的非易失的程序代码的计算机可读介质，其中，所述程序代码使所述处理器执行所述方法。