[发明专利]网络威胁的诱捕方法、系统和转发设备

说明书

本申请公开了一种网络威胁的诱捕方法、转发设备和系统。转发设备获得诱捕目标集合，诱捕目标集合中包括诱捕目标，诱捕目标包括未使用的网际协议IP地址、或者已使用的IP地址上未开放的端口号。转发设备接收来自于主机的IP报文，确定IP报文请求访问的目的方是否属于诱捕目标集合。如果IP报文请求访问的目的方属于诱捕目标集合，转发设备向蜜罐管理服务器发送IP报文。转发设备接收蜜罐管理服务器返回的对应IP报文的响应报文；转发设备向主机发送响应报文。这样，主机后续能够与模拟出的请求访问的目的方进行通信，转发设备欺骗主机使其认为网络中存在其请求访问的目的方，该方法降低现有诱捕系统部署代价。

技术领域

本申请涉及计算机网络安全技术领域，尤其涉及一种网络威胁的诱捕方法、装置、系统和转发设备。

背景技术

随着以高级长期威胁(advanced persistent threat，APT)、勒索病毒为例的下一代威胁的出现，传统的基于特征的安全防御手段难以取得满意的效果。例如，传统的基于特征的安全防御手段无法识别网络中传播的未知恶意软件(例如蠕虫、病毒等等)、攻击者利用社会工程学方式进行的攻击行为、以及利用一个企业、学校或政府的内部网络中的多台主机之间多次跳转实现的攻击行为。

为应对以上问题，有研究提出了基于蜜罐(honeypot)的诱捕系统。蜜罐是对攻击方进行欺骗的技术。蜜罐布置一个或一组作为诱饵的计算机，计算机上开启了一些网络服务或者伪装成存储有高价值数据，从而吸引黑客攻击。蜜罐中还可能装有监控软件，用以监视、捕获恶意软件或黑客入侵作为蜜罐后的行为，以供研究者进行分析或破解。蜜罐可以通过单独的服务器、虚拟机实现，也可以通过软件实现。

为了提高蜜罐的实施效果，诱捕系统在单个蜜罐的基础上增加了网络报文的引流点。典型的诱捕系统逻辑上由一个或多个蜜罐、用于管理蜜罐的蜜罐管理服务器、以及一个或多个代理三部分组成。一个或多个蜜罐可以由虚拟机实现。蜜罐管理服务器用于对一个或多个蜜罐进行管理、以及向代理提供使用蜜罐业务的接口。蜜罐和蜜罐管理服务器可以由同一个计算机实现。代理通常由软件程序实现，代理运行在内部网络的多个主机上，用于将访问该代理所在主机的全部报文、或者访问该代理所在主机指定端口的报文发送给蜜罐管理服务器。

在上述诱捕系统中，需要在大量主机上安装用于实现代理功能的软件程序，部署和维护代价较高。

发明内容

本申请实施例提供一种网络威胁诱捕方法，用以降低现有诱捕系统部署代价。

第一方面，提供了一种网络诱捕方法。在该方法中，转发设备获得诱捕目标集合，所述诱捕目标集合中包括至少一个诱捕目标，所述至少一个诱捕目标包括未使用的网际协议(Internet Protocol，IP)地址、或者已使用的IP地址上未开放的端口号。转发设备接收来自于第一主机的第一IP报文，所述转发设备确定所述第一IP报文请求访问的目的方是否属于所述诱捕目标集合。如果所述第一IP报文请求访问的目的方属于所述诱捕目标集合，所述转发设备向蜜罐管理服务器发送所述第一IP报文。所述转发设备接收所述蜜罐管理服务器返回的第二IP报文，所述第二IP报文是所述第一IP报文的响应报文，并向所述第一主机发送所述第二IP报文。