[发明专利]网络威胁的诱捕方法、系统和转发设备

权利要求书

1.一种网络威胁的诱捕方法，其特征在于，包括：

转发设备获得诱捕目标集合，所述诱捕目标集合中包括至少一个诱捕目标，所述至少一个诱捕目标包括未使用的网际协议IP地址、或者已使用的IP地址上未开放的端口号；

所述转发设备接收来自于第一主机的第一IP报文；

所述转发设备确定所述第一IP报文请求访问的目的方是否属于所述诱捕目标集合；

如果所述第一IP报文请求访问的目的方属于所述诱捕目标集合，所述转发设备向蜜罐管理服务器发送所述第一IP报文；

所述转发设备接收所述蜜罐管理服务器返回的第二IP报文，所述第二IP报文是所述第一IP报文的响应报文；

所述转发设备向所述第一主机发送所述第二IP报文；

所述获得诱捕目标集合之后，所述方法还包括：

所述转发设备转发域名系统DNS域名请求；

所述转发设备截获并停止转发第一DNS响应报文，所述第一DNS响应报文是针对所述DNS域名请求的响应报文，所述第一DNS响应报文指示所述DNS域名请求所查询的域名不存在；

所述转发设备生成第二DNS响应报文，所述第二DNS响应报文包括所述DNS域名请求所查询的域名对应的IP地址，所述域名对应的IP地址为所述诱捕目标集合中的一个未使用的IP地址；

所述转发设备发送所述第二DNS响应报文。

2.根据权利要求1所述的方法，其特征在于，所述获得诱捕目标集合包括：

所述转发设备接收第一地址解析协议ARP报文，所述第一ARP报文是ARP请求报文；

所述转发设备根据IP地址状态表，确定所述第一ARP报文的目的IP地址的在线状态，所述IP地址状态表用于指示所述转发设备连接的子网范围内的多个IP地址分别对应的在线状态，所述在线状态为在线或不在线；

如果所述第一ARP报文的目的IP地址的在线状态为不在线，则所述转发设备将所述第一ARP请求报文的目的IP地址作为未使用的IP地址加入所述诱捕目标集合。

3.根据权利要求2所述的方法，其特征在于，还包括：

所述转发设备接收第二ARP报文，所述第二ARP报文是ARP应答报文或者免费ARP报文；

所述转发设备判断所述诱捕目标集合中是否包含所述第二ARP报文的源IP地址；

如果所述诱捕目标集合中包含所述第二ARP报文的源IP地址，则所述转发设备从所述诱捕目标集合中删除作为未使用的IP地址的所述第二ARP报文的源IP地址。

4.根据权利要求1所述的方法，其特征在于，所述获得诱捕目标集合，包括：

接收第三IP报文；

所述转发设备根据所述第三IP报文的目的IP地址，在所述转发设备的路由表中查询所述第三IP报文对应的下一跳IP地址；

如果所述路由表中不存在所述第三IP报文对应的下一跳IP地址，则所述转发设备将所述第三IP报文的目的IP地址作为未使用的IP地址加入所述诱捕目标集合。

5.根据权利要求4所述的方法，其特征在于，如果所述路由表中不存在所述第三IP报文对应的下一跳IP地址，所述方法还包括：

所述转发设备向所述蜜罐管理服务器发送所述第三IP报文；

所述转发设备接收来自于所述蜜罐管理服务器的针对所述第三IP报文的响应报文，并转发所述响应报文。

6.根据权利要求4所述的方法，其特征在于，所述方法还包括：

如果所述路由表中存在所述第三IP报文对应的下一跳IP地址，则所述转发设备在ARP表中查询所述下一跳IP地址对应的媒体访问控制MAC地址；

如果所述ARP表中不存在所述下一跳IP地址对应的MAC地址，则所述转发设备根据IP地址状态表，确定所述第三IP报文的目的IP的在线状态，所述IP地址状态表用于指示所述转发设备连接的至少一个子网范围内的多个IP地址分别对应的在线状态，所述在线状态为在线或不在线；

如果所述ARP表中不存在所述下一跳IP地址对应的MAC地址、且所述第三IP报文的目的IP地址的在线状态为不在线，则所述转发设备将所述第三IP报文的目的IP地址作为未使用的IP地址加入所述诱捕目标集合。