一种基于NFV的智能蜜网系统的制作方法

本发明涉及基于nfv(网络功能虚拟化)的智能蜜网架构。

背景技术：

随着互联网的高速发展，个人、企业以及政府部门越来越多地将网络作为信息传输的载体。然而网络的开放性与共享性使它正遭受着来自黑客、脚本编辑者所带来的巨大的安全威胁。分布式拒绝服务攻击，被控主机敏感信息的窃取，严重地影响了网络的正常工作。一个安全可靠的防御网络成为现在安全领域的一个研究热点。

攻击者与防御者之间进行着一场不对称的博弈。攻击者可以在任何时间，利用扫描、探测等一系列技术手段全面获取攻击目标的信息，利用任何有效手段发起攻击，而防御者对他所受到的安全威胁一无所知。并且现在大规模使用的firewall和ids均只对已知的攻击手段有效，而无法应对日益变化的攻击方式。honeynet技术就是为扭转不对称的局面，主动获取攻击态势而提出的。

honeynet是一个专门为了被攻击或入侵而设置的欺骗系统，它通过模拟包含一个或多个易受攻击主机(honeypot)的系统，吸引攻击者的注意力，牵制他们，使他们将时间和资源都耗费在攻击honeypot上，保护实际的工作网络。honeypot可以对系统中所有操作和行为进行监视和记录，在不被攻击者察觉的情况下监视他们的活动，通过对攻击行为的捕获与分析，为计算机取证提供有力的证据，也可以了解攻击者所采用的攻击方法与攻击意图，及时掌控当前面临的安全威胁甚至是攻击技术的发展趋势。

由于honeypot作为伪装者分担正常网络受攻击的压力，或者作为陷阱获取攻击信息，都必须达到足够大的规模才有意义。且如今僵尸主机遍布全球，很多黑客会选择在境外发起攻击，欲想获取攻击的全局信息，更需要大规模的部署不同种类的honeypot。而现有honeynet，灵活性差，扩展性差，缺乏统一的部署平台和控制机制，不适用于大规模部署和维护。因此，急需一个支持多种honeypot，可以远程动态按需部署，部署成本低，易于维护和升级，可以实现实时监控的蜜网架构。sdn，nfv虚拟化技术的出现，为这一问题提供了新的解决思路。

技术实现要素：

本发明目的在于针对现有技术的不足，提供一种基于nfv的智能蜜网系统。

本发明的目的是通过以下技术方案来实现的：一种基于nfv的智能蜜网系统，该系统由基础设施层(infrastructurelayer)、安全代理层(securityagentlayer)、功能实体层(functionentitylayer)、管理控制层(managementcontrollayer)、数据中心(datacenter)和智能中心(intelligencecenter)组成。

基础设施层的硬件采用商业通用设备；利用虚拟层将硬件资源抽象为虚拟资源，按照上层功能实体的需求，将虚拟资源进行逻辑分割后分配给相应的功能实体，当功能实体被卸载时，其占用的虚拟资源能够被释放回虚拟资源池。

安全代理层用于实现具体的安全操作，不同的安全代理嵌入在受保护的主机或网络设备内，安全代理根据功能实体的命令，执行安全操作，所述安全操作包括监控、识别、转发、漏洞修复。

功能实体层：从传统安全设备或软件的功能中抽象出来的不同功能实体在功能实体层以虚拟网络功能的形式实现；智能密网系统中的功能实体包括蜜网、入侵检测系统(intrusiondetetionsystem，ids)和防火墙(fierwall)；蜜网由蜜墙(honeywall)、转发引擎(forwardingengine)和多个蜜罐(honeypot)组成；honeypot是一个陷阱，其通过模拟真实用户，吸引攻击者的攻击，通过信息捕获收集攻击数据；honeypot可以根据网络需求采用不同版本的windows或者linux操作系统，也可以装载不同服务，开设多个端口；honeywall是一个数据链路层代理，包括数据捕获、数据传输和数据控制三个功能，可以用于拦截所有入站和出站数据包；转发引擎接收智能中心的转发决策，实现转发操作。

管理控制层负责整个智能蜜网系统的管理、协调和控制，具体包括：功能实体与数据中心之间的数据交换，将智能中心的决策下发给功能实体，功能实体运行状态的监控，对运行状态异常的honeypot下发卸载，重装或者回滚等操作命令，管理控制蜜网、入侵检测系统以及防火墙之间的协同工作，对蜜罐未来一段时间攻击压力进行预测，根据预测结果进行资源的预分配。

数据中心负责从下层功能实体层和外界广泛收集网络安全相关数据以不断丰富数据库。

智能中心通过应用人工智能算法，利用模型库、工具库和算法库进行智能分析和决策，具体包括：从honeypot的日志中提取新的特征，丰富ids和firewall的特征库，根据攻击者的请求类型、各honeypot的系统类型、所覆盖的服务类别、honeypot的交互等级、honeypot的负载情况做出智能转发决策，并下发给转发引擎。

进一步地，蜜网服务在架构上被视为服务功能链，外界欲访问蜜罐要先经过蜜墙，由转发引擎根据智能中心的转发决策转发。

进一步地，管理控制层包括数据和知识交换模块、数据和信息收集模块、运行状态监视模块、流量预测和资源分配模块、异常状态响应模块、功能实体管理和协同模块六部分。具体如下：

数据和知识交换模块负责协调上层数据中心和智能中心与下层的功能实体间的通信，数据和知识交换模块周期性上传honeypot的日志，定期下载新功能库和知识库，并下发给ids和firewall。

数据和信息收集模块负责收集honeypot的日志以及各honeypot的负载和能耗数据。

运行状态监视模块监视功能实体层中每个honeypot的运行状态是否正常，即honeypot是否对常规的请求做出响应，是否有从honeypot向外的异常请求。

流量预测和资源分配模块预测攻击强度并提前分配处理资源。

异常状态响应模块可以根据数据收集和运行状态监控模块得到的honeypot运行状态信息，判断honeypot是否出现异常，并及时对异常状态响应。当攻击强度突然增加时，异常状态响应模块可以从相邻的nfvi物理资源池(nfvipointofpresence,nfvi-pops)及时调度处理能力。当honeypot被攻陷为僵尸网络，异常状态响应模块可以立即卸载此honeypot或将honeypot回滚到适当的版本。

功能实体管理和协同模块负责所有功能实体的配置和不同安全功能的协作。

进一步地，智能中心可以利用递归神经网络等算法根据各蜜罐处攻击强度的历史数据，对未来一段时间的攻击强度进行预测，并根据预测结果对蜜罐所覆盖的服务进行调整，并对各蜜罐所占有的处理资源进行再分配。

进一步地，蜜网、ids和firewall的协同工作过程如下：firewall和ids发现可疑流量时，将可疑流量转发给合适的蜜罐，以增强数据收集效率；从蜜罐收集的攻击日志中提取的特征可以下发给firewall和ids，实现特征的实时补充。

本发明的有益效果是：本发明提供了一个支持远程安装，实时监控，部署维护成本低，可以节约资源，降低能耗，适用于大规模部署的具有高灵活性和可扩展性的智能蜜网系统。

附图说明

图1是本发明基于网络功能虚拟化的智能蜜网系统结构框图；

图2是蜜网服务功能链示意图；

图3是智能蜜网架构各模块之间的关系示意图。

具体实施方式

下面结合附图和具体实施例对本发明作进一步详细说明。

本发明针对现有蜜网架构所存在的缺点，结合蜜网应用的实际需求，利用网络功能虚拟化技术，提出一种智能蜜网系统，如图1-3所示，具体包括以下结构：

(1)基础设施层(infrastructurelayer)借助nfv的基础设施层实现方案，由三部分组成：硬件资源，虚拟化资源和虚拟层。硬件资源包括提供计算，存储和网络连接功能的计算硬件(computinghardware)，存储硬件(storagehardware)和网络硬件(networkhardware)。这些物理设备可以直接使用商业通用设备(commercialoff-the-shelf,cots)而不需要单独设计专用硬件，大大降低了资本性支出(capitalexpenditure,capex)。虚拟层将物理硬件抽象为虚化资源，并进行逻辑分割。这些虚拟化的资源可以被上层不同的安全功能实体按需使用或者释放，提高了资源的利用率，降低了运营成本(operatingexpense,opex)。同时虚拟化层将功能实体与底层硬件逻辑分离，从而使得以软件形式存在的虚拟网络功能可以独立开发，降低了开发门槛，有利于激发市场活力。

(2)安全代理层(securityagentlayer)根据上层命令执行具体的操作。安全代理为嵌入在受保护的主机或网络设备内，协助上层功能实体进行监控，识别，转发和其他特定的安全操作。采集代理(collector)可以获取受保护设备的实时状态信息，并将其上传到管理控制层以实现状态监控。扫描代理(scanner)用于检查和发现内在漏洞。运算代理(operator)和执行代理(executor)完成漏洞修复，终止可疑进程以及其他必要操作。

(3)功能实体层(functionentitylayer)：从传统安全设备或软件的功能中抽象出来的不同功能实体在管理和控制层的统一控制下协同工作。honeynet主要由蜜墙(honeywall)，转发引擎(forwardingengine)和多个蜜罐(honeypot)组成。honeywall是一个数据链路层(第2层)代理，它拦截所有入站和出站数据包。但它不会执行生存时间(timetolive,ttl)递减或网络路由以防止被攻击者利用反蜜罐技术(anti-honeypottechnology)发现。一旦攻击者识别一个系统是honeypot而不是真正的用户，黑客就可以避开此系统，失去欺骗性的honeypot也就没有了存在的价值。转发引擎根据请求类型，各honeypot的系统类型和所覆盖的服务类别以及honeypot的交互等级和负载情况等信息，结合上层指令做出转发决策，以求充分利用honeypot的特性和资源。可以更改honeypot的系统类型和所覆盖的服务来迎合攻击者的喜好，也可以根据honeypot的负载情况动态调度资源，以提高资源利用率。

(4)管理控制层(managementcontrollayer)：该层负责整个智能蜜网系统的管理，协调和控制。它根据当前网络的防御需求制定适当的保护方案，生成相应的安全策略，并将相关指令下发到功能实体层。功能实体层中的安全实体根据指令执行相应操作以实现所需功能。数据和知识交换(dataandknowledgeexchange)负责协调上层数据中心和智能中心与下层的功能实体间的通信。它负责上传honeypot的日志，以求不断给数据中心注入新鲜血液。它还定期下载新功能库和知识库，以提高ids和firewall对新攻击手段的识别能力。数据和信息收集(dataandinformationcollection)负责收集honeypot的日志以及各honeypot的负载和能耗数据。运行状态监视(runningstatusmonitoring)监视功能实体层中每个honeypot的运行状态是否正常，即honeypot是否对常规的请求做出适当的响应以及是否有从honeypot向外的异常请求。这些信息可以被用来判断honeypot是否被黑客攻陷成为对内部网络存在安全威胁的僵尸主机。

流量预测和资源分配(trafficforecastandresourceallocation)预测攻击强度并提前分配处理资源。异常状态响应(abnormalstateresponse)可以根据数据收集和运行状态监控得到的honeypot运行状态信息，判断honeypot是否出现异常，并及时对异常状态响应。当攻击强度突然增加时，它可以从相邻的nfvi物理资源池(nfvipointofpresence,nfvi-pops)及时调度处理能力。如果它发现honeypot被攻陷为僵尸网络，它可以立即卸载或回滚到适当的版本。实体管理和协作(entitymanagementandcollaboration)负责所有功能实体的配置和不同安全功能的协作。

(5)数据中心(datacenter)负责从下层功能实体层和外界广泛收集网络安全相关数据以不断丰富数据库。拥有更丰富的数据，意味着可以做更多更有效的分析。有研究人员利用同一时段，遍布全球的上千个honeypot的日志，发现黑客在攻击模式上有一定的习惯偏好。除此之外，相比于每个蜜网研究机构或安全企业都消耗巨资维护一个遍布全球的honeypot，共享信息是一个共赢的选择。

(6)智能中心(intelligencecenter)通过应用人工智能算法，利用模型库，工具库和算法库进行智能分析和决策。他从honeypot的日志中提取新的特征，丰富ids和firewall的特征库，还负责分布式蜜网之间的智能协作，并为下层提供智能分析服务。

本发明具有以下有益效果：

(1)功能实体协同防御：在传统的网络安全框架中，不同的安全设备独立工作，honeynet，ids和firewall有各自的优势，也有自身的弱点。ids用于检测恶意流量和可疑网络连接状态。防火墙用于过滤攻击数据包。它们都是基于有限的特征库，对数据库以外的攻击方式完全无效。honeynet可以根据收集的攻击数据提取新的特征，但却不能直接阻断正在发生的攻击行为。

在本发明提出的智能honeynet架构中，网络功能以纯软件的形式实现，可以在nfvi-popss上按需部署和卸载。在统一的控制和管理下，不同的安全功能可以协同工作，做到优势互补。honeynet不间断的收集攻击数据，由智能中心利用机器学习算法提取新的攻击特征，实时共享给ids和firewall，使其可以在新攻击成为主流之前更新特征库，有效保护用户网络。一旦分布式ids发现恶意流量，就可以将流量转发给合适的honeypot。这有利于信息的收集和获取同时有利于网络的保护。面对日新月异的攻击手段和攻击工具，不同的功能实体协同工作是网络安全发展的必然趋势。

(2)减少蜜网指纹：虚拟honeypot是对系统或者服务的模拟，就像一台状态机，一步一步响应攻击者的请求。由于其单一和固定的响应机制，现有的honeypot易被指纹检测，tcp序列分析，arp地址分析等反蜜罐技术识别。攻击者一旦确定了honeypot服务器，就会绕过此honeypot的诱惑，这样一来，honeypot就不能检测到任何新的攻击，从而失去了存在的价值。

在智能蜜网架构中，honeynet组件基于软件实现，不受硬件的约束，它们可以设计得更复杂，以减少潜在的可识别指纹。可以交替使用不同类型的honeypot以避免出现一成不变的响应机制。还可以通过将可疑流量上报智能中心，结合反蜜罐技术的行为特征库，判别流量是否为黑客的试探数据。根据可疑程度调整honeypot的响应策略，以骗取黑客的信任。

(3)及时异常响应：在智能蜜网架构中，实时监控机制可以及时检测异常状态，异常状态响应模块可以采取紧急措施。当受保护的网络突然遭受暴力攻击时，它可以立即发现这种情况并分配更多的处理资源或部署更多的honeypot来缓解当前的攻击压力。或者，当发现honeypot被攻陷成为僵尸主机威胁内部网络时，管理和控制平台可以立即将其回滚到正常状态或者直接将其卸载。

(4)资源的自适应调整：实际的网络环境中攻击类型和强度不断变化。智能蜜网架构可以以全局的视角动态调度资源，以应对不同类型和不同强度的攻击。新的架构可以按需增加或减少用户网络中的honeypot数量，也可以按需的调整honeypot的种类以及所覆盖的服务类型。在降低能耗的同时，提供足够可靠的安全防护。

上述实施例用来解释说明本发明，而不是对本发明进行限制，在本发明的精神和权利要求的保护范围内，对本发明作出的任何修改和改变，都落入本发明的保护范围。