[发明专利]基于TCP/UDP透明代理实现的蜜罐攻击者溯源的方法

说明书

本发明公开了一种基于TCP/UDP透明代理实现的蜜罐攻击者溯源的方法，包括以下步骤：业务方诱捕节点流量转发；业务方诱捕节点动态实现虚拟IP模拟；诱捕节点端口扫描监控；透明代理节点TCP/UPD流量转发；多转发节点场景下的流量实现对应节点定位；该方法是通过在透明代理处读取传输层协议的头部信息，实现攻击流量溯源，并将攻击流量以攻击者的真实IP透明转发到真实的蜜罐服务中，实现应用层的正确请求解析及响应；由于该代理层是基于TCP/UDP实现，因此支持所有TCP/UDP协议类型的蜜罐。

技术领域

本发明涉及网络信息安全及软件技术领域，特别是一种基于TCP/UDP透明代理实现的蜜罐攻击者溯源的方法。

背景技术

蜜罐作为一种主动诱导黑客的安全产品工具，在安全产品市场中扮演着越来越重的角色，而针对蜜罐的攻击行为溯源则是蜜罐产品研发过程中的重中之重。目前市面上对攻击者行为溯源的方式主要是通过对具体的蜜罐所涉及的服务组件例如tomcat、nginx、mysql等进行定向的日志收集，针对用户的来源进行区分，对于原生日志中无法记录的信息，只能通过修改源码等开发难度较大的手段来实现。存在该问题的实质性原因是当攻击流量到达应用层后，由于各应用服务的自身解析方式的不同且服务提供的日志审计详细程度的不同，会导致应用日志存在攻击者信息不完全的问题。

发明内容

为解决现有技术中存在的问题，本发明的目的是提供一种基于TCP/UDP透明代理实现的蜜罐攻击者溯源的方法，该方法是通过在透明代理处读取传输层协议的头部信息，实现攻击流量溯源，并将攻击流量以攻击者的真实IP透明转发到真实的蜜罐服务中，实现应用层的正确请求解析及响应；由于该代理层是基于TCP/UDP实现，因此支持所有TCP/UDP协议类型的蜜罐。

为实现上述目的，本发明采用的技术方案是：一种基于TCP/UDP透明代理实现的蜜罐攻击者溯源的方法，包括以下步骤：

(1)业务方诱捕节点流量转发：部署在业务方网络中，并将访问该业务节点的流量首次转发到后端诱捕节点，转发过程实现数据加密且支持优化的代理协议，并通过代理协议将用户信息及节点信息转发至透明代理节点；

(2)业务方诱捕节点动态实现虚拟IP模拟：根据从所述诱捕节点处拉取到的节点配置，进行虚拟多IP模拟；

(3)诱捕节点端口扫描监控：在诱捕节点处进行扫描流量监控，实现全流量端口扫描监控，发现扫描行为上报至云端日志收集系统；

(4)透明代理节点TCP/UPD流量转发：将业务网络中各诱捕节点的访问流量透明转发到后端真实的蜜罐服务中，实现透明代理；

(5)多转发节点场景下的流量实现对应节点定位：利用透明代理节点获取到所有诱捕节点的来源及目的两方的信息，利用攻击流量来源及节点信息映射，以实现攻击节点定位。

作为一种优选的实施方式，还包括以下步骤：

云端分析程序对攻击日志进行泛化及入库：通过读取日志收集系统中的收集到的各类日志，分析当前日志内容，综合当前日志的信息及透明代理记录到redis中的请求信息，对日志进行分析、溯源、泛化、入库等操作。

作为另一种优选的实施方式，所述诱捕节点采用SOCKET+EPOLL架构实现节点转发，收到SOCKET连接之后，接受数据并向后端透明代理服务器建立对应的转发连接并转发数据。

作为另一种优选的实施方式，所述代理协议的原理为在连接建立后，数据转发前，先发送一个固定格式的携带请求信息，包括请求来源IP、来源端口、目的IP、目的端口、节点IP、节点MAC的特定数据包。

作为另一种优选的实施方式，虚拟IP模拟采用python第三方库实现，同时虚拟IP均对应本机的LO回环网络。