[发明专利]一种基于SDN的虚拟蜜网动态部署方法及系统

说明书

本发明涉及网络安全技术领域，其公开了一种基于SDN的虚拟蜜网动态部署方法，解决现有技术中蜜网难以动态构建和进行主动诱导、配置和维护不灵活、可扩展性差且诱骗度低的技术问题。该方法包括：A、对蜜网进行扫描获得网络实体，根据网络实体的属性进行聚类分析获得聚类结果集，根据聚类结果集设置影子蜜罐候选集；B、对访问流量进行入侵检测，对可疑流量根据匹配规则进行重定向；C、基于环境反馈对已部署蜜罐的行为进行奖惩，更新已部署蜜罐的集合的行为概率，并通过蜜网全局威胁度的计算获得当前蜜网部署质量，再依据质量分数从影子蜜罐候选集中选取蜜罐进行动态部署。此外，本发明还公开了一种基于SDN的虚拟蜜网动态部署系统，适用于虚拟蜜网的动态部署。

技术领域

本发明涉及网络安全技术领域，具体涉及一种基于SDN(Software DefinedNetwork软件定义网络)的虚拟蜜网动态部署方法及系统。

背景技术

随着计算机和网络技术的飞速发展，所面临的安全问题也随之而来。由于网络攻击和防御存在天生的非对等性，传统被动网络防御措施难以应对不断持续进化的网络安全威胁。蜜罐与蜜网作为一种主动安全防御机制应运而生，其本质是对攻击者的一种伪装欺骗策略，通过模拟网络漏洞或部署没有实际价值的安全资源来诱骗攻击者，并记录攻击者的攻击行为。安全技术人员可以通过分析与推断入侵者的攻击策略与攻击意图，构建针对性的防护策略，从而有效抵挡未知威胁，并提高网络安全性能。

现有的蜜罐技术根据交互程度的区别，被分为低交互蜜罐、中交互蜜罐以及高交互蜜罐。低交互蜜罐仅模拟或监听某些特定端口与服务，其容易被部署与维护，但易被攻击者识别；中交互蜜罐提供更多的可交互信息，能够预期部分活动，相比低交互蜜罐，能够给出更多的响应，但风险性也随着增大；高交互蜜罐模拟真实的操作系统，对网络攻击进行捕获与分析，其诱骗性与可用性大大增强，但对真实系统的危害性也增强，且难以部署与维护。

蜜罐与蜜网技术发展至今，通常采用低、高交互蜜罐混合模式进行部署，需要维持大量的物理设备与IP地址资源，消耗成本高且不够灵活。蜜网仍然采用静态部署方式，被动等待攻击者入侵，不能跨蜜罐迁移连接，且难以动态构建与主动诱导，存在管理与维护难度大、可扩展性不足等问题。

发明内容

本发明所要解决的技术问题是：提出一种基于SDN的虚拟蜜网动态部署方法及系统，解决现有技术中蜜网难以动态构建和进行主动诱导、配置和维护不灵活、可扩展性差且诱骗度低的技术问题。

本发明解决上述技术问题采用的技术方案是：

一种基于SDN的虚拟蜜网动态部署方法，包括以下步骤：

A、对蜜网进行扫描获得网络实体，根据网络实体的属性进行聚类分析获得聚类结果集，根据聚类结果集设置影子蜜罐候选集，并初始化蜜网系统；

B、对访问流量进行入侵检测，对可疑流量根据匹配规则进行重定向；

C、基于环境反馈对已部署蜜罐的行为进行奖惩，更新已部署蜜罐的集合的行为概率，并通过蜜网全局威胁度的计算获得当前蜜网部署质量，再依据质量分数从影子蜜罐候选集中选取蜜罐进行动态部署。

作为进一步优化，步骤A具体包括：

A1、通过扫描工具扫描蜜网中的相关主机作为网络实体，保存在数据库中；所述网络实体具有主机id、主机类型、开放端口和TCP指纹特征相关属性；

A2、根据网络实体的属性采用K-means算法进行聚类分析，获得聚类结果集；

A3、根据得到具体的聚类结果集，为每一簇中的结果设置相同数量蜜罐，创建影子蜜罐候选集；

A4、从影子蜜罐候选集中选取一定数量蜜罐进行部署，初始化蜜网系统。

作为进一步优化，步骤A2具体包括：