一种网络防御方法及装置制造方法及图纸

本发明专利技术公开了一种网络防御方法及装置，包括：获取目标网络中各终端的历史数据；再根据历史数据分析出历史数据中的恶意样本数量；然后根据恶意样本数量计算待部署蜜罐数量；其中，待部署蜜罐数量与恶意样本数量正相关；最后基于待部署蜜罐数量在目标网络中部署蜜罐，根据蜜罐对目标网络进行网络防御。以此增加部署蜜罐的灵活性和与恶意样本的相关性，实现自动化的部署蜜罐，提高对目标网络部署蜜罐的效果，增加网络防御的准确性，避免网络资源的浪费。费。费。

【技术实现步骤摘要】
一种网络防御方法及装置


[0001]本专利技术涉及网络安全
，尤其涉及一种网络防御方法及装置。

技术介绍

[0002]随着网络的日益发展，对于网络的防御显得越来越重要。在网络环境中，存在恶意的网络攻击行为，为了提升网络的安全性以及防御能力，一般会部署蜜罐来捕获的恶意的网络攻击行为，达到迷惑攻击者、尽早发现攻击行为的目的。通过分析攻击行为确定攻击者的攻击目的和攻击手段，从而延缓乃至阻止网络被攻击破坏行为的发生，保护网络的真实服务资源。
[0003]但是目前对于目标网络部署蜜罐的手段一般是根据经验人为预设；如根据目标网络的流量大小部署一定数量的蜜罐，这就导致部署蜜罐的灵活性较差。另外，若目标网络的流量变大或变小，导致部署的蜜罐欠缺或过剩，使得网络防御的准确性低或浪费网络资源。

技术实现思路

[0004]本专利技术实施例提供一种网络防御方法及装置，用于实现自动化的部署蜜罐，提高部署蜜罐的灵活性，进而提高网络防御的准确性，避免网络资源的浪费。
[0005]第一方面，本专利技术实施例提供一种网络防御方法，包括：
[0006]获取目标网络中各终端的历史数据；
[0007]根据所述历史数据分析出所述历史数据中的恶意样本数量；
[0008]根据所述恶意样本数量计算待部署蜜罐数量；所述待部署蜜罐数量与所述恶意样本数量正相关；
[0009]基于所述待部署蜜罐数量在所述目标网络中部署蜜罐，根据所述蜜罐对所述目标网络进行网络防御。
[0010]上述技术方案中，待部署蜜罐的数量是根据各终端的历史数据中恶意样本数量计算的，以此增加部署蜜罐的灵活性和与恶意样本的相关性，实现自动化的部署蜜罐，提高对目标网络部署蜜罐的效果，增加网络防御的准确性，避免网络资源的浪费。
[0011]可选的，获取目标网络中各终端的历史数据；包括：
[0012]针对任一终端，判断预设时段内所述终端的上行流量与下行流量的和是否小于预设流量阈值；若是，则获取所述终端的历史数据；
[0013]否则在预设间隔后再次判断预设时段内所述终端的上行流量与下行流量的和是否小于预设流量阈值，直至确定所述终端的上行流量与下行流量的和小于所述预设流量阈值，获取所述终端的历史数据。
[0014]上述技术方案中，目标网络中各终端的历史数据可以是周期性获取的，进而可知计算待部署蜜罐数量是周期性实现的，如以一星期为周期、一个月为周期等。历史数据可以为当前时刻之前的预设时段的数据。以此实现自动化的部署蜜罐，提高对目标网络部署蜜罐的灵活性。
[0015]且在获取历史数据时，根据预设时段内终端的上行流量与下行流量确定当前终端的负载情况，实现在终端负载低的情况下获取终端的历史数据，以此避免获取历史数据时影响终端的业务处理。
[0016]可选的，根据所述历史数据分析出所述历史数据中的恶意样本数量，包括：
[0017]针对所述历史数据中的任一样本，根据静态分析和动态分析确定所述样本的静态分析结果和动态分析结果；所述静态分析表示对样本的基本信息进行分析；所述动态分析表示对样本的执行过程进行分析；
[0018]若所述静态分析结果为恶意结果和/或所述动态分析结果为恶意结果，则确定所述样本为恶意样本；
[0019]在分析出所述历史数据中的恶意样本之后，统计恶意样本数量。
[0020]上述技术方案中，对历史数据分析时，使用静态分析和动态分析得到静态分析结果和动态分析结果，在任一结果为恶意结果时，确定该样本为恶意样本，以此提升确定恶意样本的准确率，进而增加计算待部署蜜罐数量的准确性。
[0021]可选的，根据所述恶意样本数量计算待部署蜜罐数量，包括：
[0022]检测所述目标网络的安全系数、所述目标网络中的终端数量以及各终端CPU的平均使用率；
[0023]根据所述安全系数、所述终端数量、所述平均使用率、所述历史数据的样本总数量以及所述恶意样本数量计算待部署蜜罐数量；所述待部署蜜罐数量与所述安全系数正相关；所述待部署蜜罐数量与所述终端数量正相关；所述待部署蜜罐数量与所述平均使用率负相关；所述待部署蜜罐数量与所述样本总数量负相关。
[0024]上述技术方案中，待部署蜜罐数量与所述目标网络的安全系数、所述目标网络中的终端数量、各终端CPU的平均使用率、历史数据的样本总数量以及所述恶意样本数量相关，进而增加待部署蜜罐数量的准确性和灵活性。
[0025]可选的，根据公式(1)计算待部署蜜罐数量；
[0026][0027]其中，N为所述待部署蜜罐数量；δ为第一预设值，表示所述目标网络的安全系数；C为所述目标网络中的终端数量；A为所述恶意样本数量；L为样本总数量；P为所述目标网络中各终端CPU的平均使用率。
[0028]可选的，基于所述待部署蜜罐数量在所述目标网络中部署蜜罐之后，还包括：
[0029]对所述目标网络发送攻击策略；所述攻击策略包括预设恶意样本；
[0030]根据所述预设恶意样本的异常值计算所述目标网络的防御值。
[0031]可选的，根据公式(2)计算所述目标网络的防御值；
[0032][0033]其中，g为第二预设值；S为所述目标网络的防御值；S
i
为第i预设恶意样本的风险值；所述第i预设恶意样本的风险值是根据所述第i预设恶意样本的异常值计算的；W为所述预设恶意样本总数量。
[0034]可选的，根据公式(3)计算所述第i预设恶意样本的风险值；
[0035]S
i
＝(α
i
+β
i
)*γ
i
ꢀꢀꢀ
(3)；
[0036]其中，S
i
为所述第i预设恶意样本的风险值；α
i
为所述第i预设恶意样本的异常值；ε
i
为所述第i预设恶意样本的危险等级，m为所述第i预设恶意样本的数量；γ
i
＝k
r
，k为第三预设值，r为所述第i预设恶意样本的攻击次数。
[0037]第二方面，本专利技术实施例提供一种网络防御装置，包括：
[0038]获取模块，用于获取目标网络中各终端的历史数据；
[0039]处理模块，用于根据所述历史数据分析出所述历史数据中的恶意样本数量；
[0040]根据所述恶意样本数量计算待部署蜜罐数量；所述待部署蜜罐数量与所述恶意样本数量正相关；
[0041]基于所述待部署蜜罐数量在所述目标网络中部署蜜罐，根据所述蜜罐对所述目标网络进行网络防御。
[0042]可选的，所述获取模块具体用于：
[0043]针对任一终端，判断预设时段内所述终端的上行流量与下行流量的和是否小于预设流量阈值；若是，则获取所述终端的历史数据；
[0044]否则在预设间隔后再次判断预设时段内所述终端的上行流量与下行流量的和是否小于预设流量阈值，直至确定所述终端的上行流量与下行流量的和小于所述预设流量本文档来自技高网...

【技术保护点】

【技术特征摘要】
1.一种网络防御方法，其特征在于，包括：获取目标网络中各终端的历史数据；根据所述历史数据分析出所述历史数据中的恶意样本数量；根据所述恶意样本数量计算待部署蜜罐数量；所述待部署蜜罐数量与所述恶意样本数量正相关；基于所述待部署蜜罐数量在所述目标网络中部署蜜罐，根据所述蜜罐对所述目标网络进行网络防御。2.如权利要求1所述的方法，其特征在于，获取目标网络中各终端的历史数据；包括：针对任一终端，判断预设时段内所述终端的上行流量与下行流量的和是否小于预设流量阈值；若是，则获取所述终端的历史数据；否则在预设间隔后再次判断预设时段内所述终端的上行流量与下行流量的和是否小于预设流量阈值，直至确定所述终端的上行流量与下行流量的和小于所述预设流量阈值，获取所述终端的历史数据。3.如权利要求1所述的方法，其特征在于，根据所述历史数据分析出所述历史数据中的恶意样本数量，包括：针对所述历史数据中的任一样本，根据静态分析和动态分析确定所述样本的静态分析结果和动态分析结果；所述静态分析表示对样本的基本信息进行分析；所述动态分析表示对样本的执行过程进行分析；若所述静态分析结果为恶意结果和/或所述动态分析结果为恶意结果，则确定所述样本为恶意样本；在分析出所述历史数据中的恶意样本之后，统计恶意样本数量。4.如权利要求1所述的方法，其特征在于，根据所述恶意样本数量计算待部署蜜罐数量，包括：检测所述目标网络的安全系数、所述目标网络中的终端数量以及各终端CPU的平均使用率；根据所述安全系数、所述终端数量、所述平均使用率、所述历史数据的样本总数量以及所述恶意样本数量计算待部署蜜罐数量；所述待部署蜜罐数量与所述安全系数正相关；所述待部署蜜罐数量与所述终端数量正相关；所述待部署蜜罐数量与所述平均使用率负相关；所述待部署蜜罐数量与所述样本总数量负相关。5.如权利要求4所述的方法，其特征在于，根据公式(1)计算待部署蜜罐数量；其中，N为所述待部署蜜罐数量；δ为第一预设值，表示所述目标网络的安全系数；C为所述目标网络中的终端数量；A为所述恶意样本数量；L为样本总数量；P为所述目标网络中各终端CPU的平均使用率。6.如权利要求1至5任一项所述的方法，其特征在于，基于所述待部署蜜罐数量在所述目标网络中部署蜜罐之后，还包括：对所述目标网络发送攻击策略；所述攻击策略包括预设恶意样本；根据所述预设恶意样本的异常值计算所述目标网络的防御值。
7.如权利要求6所述的方法，其特征在于，根据公式(2)计算所述目标网络的防御值；其中，g为第二预设值；S为所述目标网络的防御值；S
i
为第i预设恶意样本的风险值；所述第i预设恶意样本的风险值是根据所述第i预设恶意样本的异常值计算的；W为所述预设恶意样本总数量。8.如权利要求7所述的方法，其特征在于，根据公式(3)计算所述...

【专利技术属性】
技术研发人员：李阳，袁帅，黄俊，
申请(专利权)人：北京神州绿盟科技有限公司，
类型：发明
国别省市：