[发明专利]一种基于定向引流的蜜罐集群检测方法及系统

权利要求书

1.一种基于定向引流的蜜罐集群检测方法，其特征在于：预设有业务系统和与所述业务系统分隔设置的蜜罐集群系统，所述业务系统与所述蜜罐集群系统通信连接，所述蜜罐集群系统包括至少一个蜜罐；所述检测方法包括：

所述业务系统判断流量数据是否为攻击性数据；

在所述流量数据为攻击性数据时，将对应的所述流量数据传输给所述蜜罐集群系统；

所述蜜罐集群系统接收所述业务系统传输的所述流量数据，对所述流量数据进行处理。

2.根据权利要求1所述的一种基于定向引流的蜜罐集群检测方法，其特征在于，所述业务系统包括若干业务主机，若干所述业务主机上均布置有与所述蜜罐对应数据传输的诱骗端口；

所述业务系统判断流量数据是否为攻击性数据的步骤包括:

判断所述流量数据是否访问所述诱骗端口；

若所述流量数据访问所述诱骗端口，判定对应的所述流量数据为攻击性数据。

3.根据权利要求2所述的一种基于定向引流的蜜罐集群检测方法，其特征在于，所述将对应的所述流量数据传输给所述蜜罐集群系统的步骤包括：

基于所述流量数据访问的所述诱骗端口与对应所述蜜罐的预设数据传输关系，将所述流量数据传输给与所述诱骗端口对应数据传输的所述蜜罐。

4.根据权利要求1所述的一种基于定向引流的蜜罐集群检测方法，其特征在于，所述业务系统包括若干业务主机；

所述业务系统判断流量数据是否为攻击性数据的步骤包括：

所述业务主机判断所述流量数据是否满足预设的转发规则；

若满足，所述业务主机判定对应的所述流量数据为攻击性数据。

5.根据权利要求4所述的一种基于定向引流的蜜罐集群检测方法，其特征在于，所述蜜罐集群系统包括若干不同类型的所述蜜罐；

所述蜜罐集群系统接收所述业务系统传输的所述流量数据，对所述流量数据进行处理的步骤包括：

基于预设的蜜罐代理端口对接收的所述流量数据进行汇总；

对汇总后的所述流量数据进行分析，获得所述流量数据的类型；

基于所述流量数据的类型，将对应的所述流量数据传输给对应类型的所述蜜罐。

6.根据权利要求5所述的一种基于定向引流的蜜罐集群检测方法，其特征在于，所述对所述流量数据进行分析，获得所述流量数据的类型的步骤包括：

调取所述流量数据的头信息；

基于所述流量数据的头信息，到预设的头信息类型关系表中查找与所述流量数据的头信息对应的所述流量数据的类型。

7.根据权利要求5或6所述的一种基于定向引流的蜜罐集群检测方法，其特征在于，所述对所述流量数据进行分析，获得所述流量数据的类型的步骤包括：

调取所述流量数据的请求协议；

基于所述流量数据的请求协议，到预设的协议类型关系表中查找与所述流量数据的请求协议对应的所述流量数据的类型。

8.一种基于定向引流的蜜罐集群检测系统，其特征在于：包括业务系统和蜜罐集群系统；

所述业务系统包括若干业务主机，所述蜜罐集群系统包括若干蜜罐；所述业务系统用于判断流量数据是否为攻击性数据，并在所述流量数据为攻击性数据时，将对应的所述流量数据传输给所述蜜罐集群系统；

所述蜜罐集群系统用于接收所述业务系统传输的所述流量数据，并对所述流量数据进行处理。

9.根据权利要求8所述的一种基于定向引流的蜜罐集群检测系统，其特征在于：所述蜜罐集群系统中的所述蜜罐与所述业务主机设置为不同网段。

10.根据权利要求8或9所述的一种基于定向引流的蜜罐集群检测系统，其特征在于：所述蜜罐集群系统与所述业务系统之间布置有防火墙。