[发明专利]一种蜜罐系统攻击行为数据异步http发送方法及装置

说明书

本发明涉及数据发送领域，具体提供了一种蜜罐系统攻击行为数据异步http发送方法及装置，通过使用linux多线程程技术，将接口层和网络(socker)读写io操作功能分离，通过linux epoll系统功能将所有网络(socker)读写io操作封装成一个事件处理线程；接口层将所有蜜罐中要发送的攻击行为数据封装多线程安全的事件任务，并将事件任务投递事件处理线程队列中；最终事件处理线程将事件任务利用libcurl multi interface接口与网络(socker)读写io关联，由事件处理线程进行统一发送，提高网络io数据吞吐率，降低了数据处理复杂性，从而降低了系统开发难度及开发成本。

技术领域

本发明涉及蜜罐技术领域，特别涉及一种蜜罐系统攻击行为数据异步http发送方法及装置。

背景技术

随着云计算、虚拟化技术广泛应用，结合蜜罐系统的发展，大量的蜜罐系统的前沿部署；基于“连接访问即攻击信息”的理念，如何将蜜罐系统采集到的海量攻击行为数据快速、高效的发送到数据处理中心、形成有效的威胁情报，已经成为一种衡量蜜罐系统的重要性能指标。

通常，网络数据传输方式有：a、采用操作系统层socker api，通过tcp或udp协议进行传输；b、采用各数据库客户端api,将数据直接传入数据库服务端；c、采用基于SOAP简单对象访问协议的WebService的远程调用方式；d、采用基于http协议的Restful API等数据发送方式。

目前，现有大多数蜜罐系统发送攻击行为数据的方式，主要采用以下方法：

1、采用操作系统层socker api，通过tcp或udp协议进行传输。该方法先通过“socket”建立与数据中心服务器的物理连接，并将攻击行为数据进行二进制化封包后进行数据发送。

2、采用各数据库客户端api,将数据直接传入数据库服务端。如采用mysql提供的capi接口与mysql数据库服务器端建立连接后，将攻击行为数据通过api直接存入事先建立的表中。

3、采用基于SOAP简单对象访问协议的WebService的远程调用方式。该方法通过SOAP简单对象访问协议将攻击行为数据封装成XML格式的数据，通过RPC远程过程调用的方式将数据发送到webservice端。

而现有技术采用操作系统层socker api，通过tcp或udp协议进行传输方式，由于要将攻击行为数据进行二进制化编解码处理，不利于异构系统中共享；比如采用pyhon、nodejs、go等语言开发的服务端程序为了解析出具体的攻击行为数据，需要分别提供不同语言的FFI外部扩展功能的BIND，这样不仅阻碍了数据的互通性，还加大了系统复杂性和开发成本。

采用各数据库客户端api，将数据直接传入数据库服务端。该方式通过使用具体的数据库存客户端api，简化了数据发送过程；但由于采用结构化存储数据，需要事先预定义好数据表结构，这样就无法满足日益变化的攻击行为特性，降低了系统的可扩展性和可维护性。

采用基于SOAP简单对象访问协议的WebService的远程调用方式，由SOAP简单对象访问协议采用繁重的XML语言描述，增加了数据传输总量，降低了数据传输效率。这个在高交互、高并发的蜜罐系统中，将增加网络带宽的要求和增加蜜罐内存使用率，从而降低整个蜜罐系统性能。