基于BERT模型的强化学习蜜罐构建方法及装置制造方法及图纸

本发明专利技术公开了一种基于BERT模型的强化学习蜜罐构建方法及装置。所述方法包括：部署物联网蜜罐收集HTTP网络交互数据，并将网络攻击数据与ATT&CK攻击策略关联，形成攻击链；根据网络攻击数据的主要文本特征构造更多相似的攻击类别，以进行BERT模型的微调工作；最后，利用训练好的攻击类别分类模型进行网络攻击数据的类别识别，并将类别识别的结果作为马尔可夫决策过程中的状态变量，构建强化学习蜜罐。本发明专利技术方法能够自动学习物联网设备的行为知识，自适应构建物联网异构高交互蜜罐，并有效提升蜜罐的诱骗能力。

【技术实现步骤摘要】

本专利技术属于网络安全，涉及一种基于bert模型的强化学习蜜罐构建方法及装置。

技术介绍

1、近年来，物联网技术不断积累与升级，越来越多的物理设备、传感器和其它能够收集数据和通信的设备与互联网实现连接，全球物联网设备数量得以高速增长。然而，物联网设备固件普遍存在的逻辑缺陷和安全漏洞并未得到有效解决，这使得许多物联网设备已经成为攻击者的潜在目标。

2、蜜罐是一种安全威胁的主动防御技术，它通过模拟一个或多个易受攻击的服务或设备来延缓攻击，保护真实设备；同时，蜜罐能够主动吸引攻击者，捕获网络攻击数据，以便发现网络威胁并提取威胁特征。这些情报有助于防御方了解攻击者的意图、组织和背后的威胁行动，从而采取相应的对策。

3、蜜罐可以根据它们与网络攻击者互动的交互级别来进行分类：低交互蜜罐、中等交互蜜罐、高交互蜜罐。其中低交互蜜罐仅模拟一个或多个简单服务，用于记录有关网络攻击者活动的一些信息。低交互蜜罐具有易于部署、低风险、低成本等优势。但低交互蜜罐模拟程度低，网络攻击者很容易识别出它们的存在。这一特性使得低交互蜜罐在吸引和捕获网络攻击者方面的效果本文档来自技高网...

【技术保护点】

1.一种基于BERT模型的强化学习蜜罐构建方法，其特征在于，包括以下步骤；

2.根据权利要求1所述的一种基于BERT模型的强化学习蜜罐构建方法，其特征在于，步骤(1)中，在云服务器部署物联网蜜罐，用于收集基于HTTP协议的物联网设备网络交互数据；所述物联网蜜罐向物联网设备发送的安全请求来自于攻击数据过滤后的安全数据，在过滤过程中，通过基于正则化匹配关键字的方式来检测攻击数据中的shell指令，一旦成功检测到shell指令，该条HTTP攻击数据将不会发送至物联网设备。

3.根据权利要求1所述的一种基于BERT模型的强化学习蜜罐构建方法，其特征在于，步骤(2)中，基于...

【技术特征摘要】

1.一种基于bert模型的强化学习蜜罐构建方法，其特征在于，包括以下步骤；

2.根据权利要求1所述的一种基于bert模型的强化学习蜜罐构建方法，其特征在于，步骤(1)中，在云服务器部署物联网蜜罐，用于收集基于http协议的物联网设备网络交互数据；所述物联网蜜罐向物联网设备发送的安全请求来自于攻击数据过滤后的安全数据，在过滤过程中，通过基于正则化匹配关键字的方式来检测攻击数据中的shell指令，一旦成功检测到shell指令，该条http攻击数据将不会发送至物联网设备。

3.根据权利要求1所述的一种基于bert模型的强化学习蜜罐构建方法，其特征在于，步骤(2)中，基于att&ck框架中的攻击策略，对不同的攻击数据标记攻击类别标签，不同类别分别对应着网络安全事件的不同阶段；根据同一网络攻击者发送至物联网蜜罐的攻击数据，构建攻击链，所述攻击链上的不同阶段对应着att&ck框架的不同攻击策略。

4.根据权利要求1所述的一种基于bert模型的强化学习蜜罐构建方法，其特征在于，步骤(3)中，首先删除攻击数据中请求头部的accept，accept-encoding，accept-language，host，connection字段及其字段值，保留余下的攻击数据；然后提取不同类别下攻击数据的主要特征，进行基于主要特征的文本构造，构造方法包括基础特征的随意组合，其中包括请求方法、请求路径、协议版本以及请求头部中的user-agent，同时加上请求主体中与攻击类别相关的特定类别特征；这样的组合构成了不同类别的攻击数据。

5.根据权利要求1所述的一种基于bert模型的强化学习蜜罐构建方法，其特征在于，步骤(4)中，为了补充bert模型的vocab.txt文件，首先对攻击数据进行符号分割，统计高频词汇形成http攻击数据词汇表；随后，将词汇表与vocab.txt文件对比，筛选出其中缺失的http攻击数据词汇，用于更新vocab.txt文件，以优化bert模型的嵌入表示。

6.根据权利要求1所述...

【专利技术属性】
技术研发人员：张思远，赵成成，程鹏，陈积明，
申请(专利权)人：浙江大学，
类型：发明
国别省市：