应对网络攻击的信息处理方法、装置、系统、介质及程序与流程

1.本公开涉及互联网信息安全技术领域，更具体地，涉及一种应对网络攻击的信息处理方法、装置、系统、介质及程序。


背景技术：

2.随着互联网和工控网络的不断发展和应用，政府和企业更加重视信息安全的建设。目前业界主要是通过蜜罐技术对网络攻击进行捕获、诱骗和分析。现有蜜罐的诱骗技术要么是被动的静态应答，要么是主动的基于预置数据的防御欺骗。前者对攻击行为无主动欺骗特性，无法对攻击行为进行主动诱骗；后者虽然可以主动欺骗，但用以欺骗的数据过于死板，一般是内置的模板数据，仿真度低，无法吸引攻击者注意，欺骗性和诱惑性较差，因此成功率较低。


技术实现要素：

3.有鉴于此，本公开实施例提供了一种可以反馈给攻击者高仿真性的诱骗数据的应对网络攻击的信息处理方法、装置、系统、介质及程序。
4.本公开实施例的一个方面提供了一种应对网络攻击的信息处理方法。所述方法包括：在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别；获取预置的与所述攻击类别对应的原子响应数据；将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据；以及将所述响应数据反馈给发送所述攻击数据的攻击者，以诱骗并分析所述攻击者进一步的攻击行为。
5.根据公开的实施例，所述将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据包括：根据所述攻击数据中的目的ip及目的端口，获取所述目的ip及目的端口提供的服务中的第一页面，其中，所述第一页面为所述服务中的一个或多个页面的其中之一；以及将所述原子响应数据和所述第一页面合并，得到所述响应数据。
6.根据本公开的实施例，所述获取所述目的ip及目的端口提供的服务中的第一页面的信息包括：根据所述目的ip以及目的端口，从日志系统中查询与所述服务对应的m个页面的日志数据，其中，m为大于1的整数；以及按照预定规则从m个页面中选择所述第一页面。
7.根据本公开的实施例，所述按照预定规则从m个页面中选择所述第一页面包括：基于页面的复杂度、页面引用外部资源的数量、以及页面的大小，评估所述m个页面中每个页面的响应仿真度；以及选择响应仿真度最高的页面作为所述第一页面。
8.根据本公开的实施例，所述将所述原子响应数据和所述第一页面合并，得到所述响应数据包括：在所述第一页面中选择驻点位置，其中，所述驻点位置包括页面的开头位置、段落位置或结束位置；以及将所述原子响应数据设置于所述第一页面中的所述驻点位置。
9.根据本公开的实施例，所述将所述原子响应数据与所述攻击数据所要访问的资产
的信息相结合，构造与所述攻击数据对应的响应数据包括：根据所述攻击数据中的目的ip及目的端口，获取所述目的ip以及目的端口所提供的服务中的数据的数据特征；以及将所述原子响应数据调整为与所述数据特征相适应的数据。
10.根据本公开的实施例，所述攻击类别包括sql注入攻击。所述根据所述攻击数据中的目的ip及目的端口，获取所述目的ip以及目的端口所提供的服务中的数据的数据特征，包括根据所述目的ip以及目的端口，从日志系统中查询所述攻击数据要访问的数据库中的数据表的数据结构。所述将所述原子响应数据调整为与所述数据特征相适应的数据，包括按照所述数据表的数据结构设置所述原子响应数据中的各个字段，以调整所述原子响应数据。
11.本公开实施例的另一方面，提供了一种应对网络攻击的信息处理装置。所述装置包括识别模块、获取模块、构造模块、以及发送模块。所述识别模块用于在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别。所述获取模块用于获取预置的与所述攻击类别对应的原子响应数据。所述构造模块用于将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据。所述发送模块用于将所述响应数据反馈给发送所述攻击数据的攻击者，以诱骗并分析所述攻击者进一步的攻击行为。
12.根据公开的实施例，所述构造模块包括页面获取子模块和合并子模块。页面获取子模块用于根据所述攻击数据中的目的ip及目的端口，获取所述目的ip及目的端口提供的服务中的第一页面，其中，所述第一页面为所述服务中的一个或多个页面的其中之一。合并子模块用于将所述原子响应数据和所述第一页面合并，得到所述响应数据。
13.根据本公开的实施例，所述页面获取子模块还用于根据所述目的ip以及目的端口，从日志系统中查询与所述服务对应的m个页面的日志数据，其中，m为大于1的整数，以及按照预定规则从m个页面中选择所述第一页面。
14.根据本公开的实施例，所述合并子模块还用于在所述第一页面中选择驻点位置，其中，所述驻点位置包括页面的开头位置、段落位置或结束位置，以及将所述原子响应数据设置于所述第一页面中的所述驻点位置。
15.根据本公开的实施例，所述构造模块还包括原子响应数据调整子模块。所述原子响应数据调整子模块用于根据所述攻击数据中的目的ip及目的端口，获取所述目的ip以及目的端口所提供的服务中的数据的数据特征，以及将所述原子响应数据调整为与所述数据特征相适应的数据。
16.根据本公开的实施例，所述攻击类别包括sql注入攻击。所述原子响应数据调整子模块还用于根据所述目的ip以及目的端口，从日志系统中查询所述攻击数据要访问的数据库中的数据表的数据结构，以及按照所述数据表的数据结构设置所述原子响应数据中的各个字段，以调整所述原子响应数据。
17.本公开实施例的另一方面，提供了一种应对网络攻击的信息处理系统。所述系统包括一个或多个存储器、以及一个或多个处理器。所述存储器上存储有可执行指令。所述处理器执行所述可执行指令，以实现如上所述的方法。
18.本公开实施例的另一方面，提供了一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行如上所述的方法。
19.本公开实施例的另一方面，提供了一种计算机程序。所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现如上所述的方法。
20.上述一个或多个实施例具有如下优点或益效果：可以至少部分地解决现有蜜罐或攻击诱骗技术中由于诱骗数据死板不够灵活而无法有效诱骗的问题，并因此可以结合攻击者要访问的资产的信息构造出高仿真的用于诱骗的响应数据，实现高度灵活且仿真性高的攻击诱骗以达到欺骗攻击者的目的。
附图说明
21.通过以下参照附图对本公开实施例的描述，本公开的上述以及其他目的、特征和优点将更为清楚，在附图中：
22.图1示意性示出了根据本公开实施例的应对网络攻击的信息处理方法和装置的应用场景；
23.图2示意性示出了根据本公开一实施例的应对网络攻击的信息处理方法的流程图；
24.图3示意性示出了根据本公开另一实施例的应对网络攻击的信息处理方法的流程图；
25.图4示意性示出了根据本公开实施例的获取第一页面的流程图；
26.图5示意性示出了根据本公开实施例的合并原子响应数据和第一页面的流程图；
27.图6示意性示出了根据本公开再一实施例的应对网络攻击的信息处理方法的流程图；
28.图7示意性示出了根据本公开一实施例的应对网络攻击的信息处理装置的框图；
29.图8示意性示出了根据本公开一实施例的应对网络攻击的信息处理系统的框图；以及
30.图9示意性示出了适于实现根据本公开实施例的应对网络攻击的信息处理方法的计算机系统的方框图。
具体实施方式
31.以下，将参照附图来描述本公开的实施例。但是应该理解，这些描述只是示例性的，而并非要限制本公开的范围。在下面的详细描述中，为便于解释，阐述了许多具体的细节以提供对本公开实施例的全面理解。然而，明显地，一个或多个实施例在没有这些具体细节的情况下也可以被实施。此外，在以下说明中，省略了对公知结构和技术的描述，以避免不必要地混淆本公开的概念。
32.在此使用的术语仅仅是为了描述具体实施例，而并非意在限制本公开。在此使用的术语“包括”、“包含”等表明了所述特征、步骤、操作和/或部件的存在，但是并不排除存在或添加一个或多个其他特征、步骤、操作或部件。
33.在此使用的所有术语(包括技术和科学术语)具有本领域技术人员通常所理解的含义，除非另外定义。应注意，这里使用的术语应解释为具有与本说明书的上下文相一致的含义，而不应以理想化或过于刻板的方式来解释。
34.在使用类似于“a、b和c等中至少一个”这样的表述的情况下，一般来说应该按照本
领域技术人员通常理解该表述的含义来予以解释(例如，“具有a、b和c中至少一个的系统”应包括但不限于单独具有a、单独具有b、单独具有c、具有a和b、具有a和c、具有b和c、和/或具有a、b、c的系统等)。在使用类似于“a、b或c等中至少一个”这样的表述的情况下，一般来说应该按照本领域技术人员通常理解该表述的含义来予以解释(例如，“具有a、b或c中至少一个的系统”应包括但不限于单独具有a、单独具有b、单独具有c、具有a和b、具有a和c、具有b和c、和/或具有a、b、c的系统等)。
35.本公开的实施例提供了一种应对网络攻击的信息处理方法、装置、系统、介质及程序，可以结合攻击者要访问的资产的信息构造出高仿真的用于诱骗的响应数据，实现高度灵活且仿真性高的攻击诱骗。该方法包括：在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别；获取预置的与该攻击类别对应的原子响应数据；将原子响应数据与该攻击数据所要访问的资产的信息相结合，构造与该攻击数据对应的响应数据；以及将该响应数据反馈给发送攻击数据的攻击者，以诱骗并分析攻击者进一步的攻击行为。
36.本公开的实施例通过构造高仿真的用于诱骗的响应数据，并将响应数据反馈给攻击方，可以更大概率地诱使攻击方误以为攻击成功了。这样增大攻击方进一步实施攻击的概率。从而在攻击方进一步攻击的时候，就可以深入分析攻击方的各种攻击行为的特征、或者以适当的手段对攻击方进行反制或者追踪等，以此方式可以提高应对网络攻击的能力。
37.图1示意性示出了根据本公开实施例的应对网络攻击的信息处理方法和装置的应用场景100。需要注意的是，图1所示仅为可以应用本公开实施例的系统架构的示例，以帮助本领域技术人员理解本公开的技术内容，但并不意味着本公开实施例不可以用于其他设备、系统、环境或场景。
38.如图1所示，根据该实施例的系应用场景100可以包括终端设备101、102、103，网络104和服务器105。网络104用以在终端设备101、102、103和服务器105之间提供通信链路的介质。网络104可以包括各种连接类型，例如有线、无线通信链路或者光纤电缆等等。
39.用户可以使用终端设备101、102、103通过网络104访问服务器105。服务器105中可以是网关服务器，设置有蜜罐。
40.当恶意用户使用终端设备101、102、103访问服务器105时，服务器105可以执行本公开实施例提供的方法，构造与攻击行为类别对应的、具有高度仿真效果的响应数据并反馈给相应的终端设备101、102、103，以诱骗该恶意用户的进一步攻击行为。
41.应该理解，图1中的终端设备、网络和服务器的数目仅仅是示意性的。根据实现需要，可以具有任意数目的终端设备、网络和服务器。
42.图2示意性示出了根据本公开一实施例的应对网络攻击的信息处理方法的流程图。
43.如图2所示，根据本公开实施例该应对网络攻击的信息处理方法可以包括操作s210～操作s240。
44.首先在操作s210，在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别。例如，识别出该攻击数据中的攻击行为属于sql注入、跨站脚本攻击(xss)、任意文件读取、命令执行、或者其他等等。
45.然后在操作s220，获取预置的与该攻击类别对应的原子响应数据。例如可以预置有漏洞响应模板库。该漏洞响应模板库中可以针对每一种攻击类别设置相应的原子响应数
据。该原子响应数据例如可以是一个根据攻击类别所要读取的数据的格式来设置的页面。例如，任意文件读取的目的是要读取服务器上的密码文件，则可以设置一个具有密码文件格式(例如，linux/etc/passwd格式)的页面作为原子响应数据。又例如，sql注入的目的是要读取数据库中的表格，则可以设置一个具有一定表格数据结构的页面作为原子响应数据。
46.原子响应数据缺乏真实性，尚不满足给攻击者返回的条件。如果将原子响应数据直接反馈给攻击方，攻击方获得的页面太简陋，从而可能会导致攻击方会认为其所攻击的对象仅是个测试网站或者是蜜罐机等，这样攻击方就会放弃进一步的行动，如此就达不到诱骗的目的。
47.接着在操作s230，将原子响应数据与攻击数据所要访问的资产的信息相结合，构造与该攻击数据对应的响应数据。
48.此后在操作s240，将该响应数据反馈给发送该攻击数据的攻击者，以诱骗并分析该攻击者进一步的攻击行为。该攻击者例如可以是发送攻击数据的机器或用户等。
49.攻击数据所要访问的资产的信息例如可以是网页、也可以是数据库、或者服务器上的保密文件等。在一个实施例中，可以根据攻击数据所要访问的资产的信息获得一个格式、内容、或版面展示效果相似的页面，然后将该页面与原子响应数据组合得到响应数据。或者，在另一个实施例中，可以是获得攻击数据所要访问的资产的信息中的数据特征，然后将原子响应数据按照该数据特征进行调整。在再一个实施例中，还可以将调整后的原子响应数据与攻击数据所要访问的资产的信息(例如，页面)组合在一起。从而，形成与攻击数据所要访问的资产的信息相结合的高度仿真的用于诱骗的响应数据，以此来诱骗攻击者的进一步仿真行为，提高诱骗成功率。
50.图3示意性示出了根据本公开另一实施例的应对网络攻击的信息处理方法的流程图。
51.如图3所示，根据本公开实施例该应对网络攻击的信息处理方法可以包括操作s210、操作s220、操作s331～操作s332、以及操作s240。其中，操作s210、操作s220和操作s240与前述一致。
52.具体地，首先经过操作s210和操作s220获取到原子响应数据。
53.接下来在操作s331，根据攻击数据中的目的ip及目的端口，获取该目的ip及目的端口提供的服务中的第一页面，其中，第一页面为服务中的一个或多个页面的其中之一。
54.例如，由于攻击数据在到达其要访问的真实资产之前，被例如蜜罐机拦截和诱捕到，从而可以在蜜罐机中根据攻击数据中的攻击数据中的目的ip及目的端口确定出攻击行为所要访问的服务。然后蜜罐机可以通过一定的方式将该服务中的某个页面、或仿真页面、或历史页面作为第一页面。
55.然后在操作s332，将原子响应数据和第一页面合并，得到响应数据。
56.此后在操作s240中将响应数据反馈给发送攻击数据的攻击者。
57.在该实施例中，操作s331和操作s332为前述操作s230的一个具体实施例。
58.图4示意性示出了根据本公开实施例的操作s331中获取第一页面的流程图。
59.如图4所示，操作s331中获取第一页面的过程可以包括操作s401和操作s402。
60.首先在操作s401，根据目的ip以及目的端口，从日志系统中查询与服务对应的m个
页面的日志数据，其中，m为大于1的整数。
61.日志系统可以是用于记录通过网络访问该目的ip、目的端口的任意的日志系统，例如流量网络日志，告警网络日志系统等。例如，如果攻击数据是通过http协议进行的访问，那么可以从日志系统中获取访问该目的ip以及目的端口的响应报文中的http响应体，从而得到多个页面(即，m个页面)。该实施例通过与日志系统联动，从日志系统中获取该m个页面，避免了对真实资产的影响。
62.然后在操作s402，按照预定规则从m个页面中选择第一页面。
63.根据本公开的一个实施例，可以基于页面的复杂度、页面引用外部资源的数量、以及页面的大小，评估m个页面中每个页面的响应仿真度，然后选择响应仿真度最高的页面作为第一页面。
64.例如，可以设置最优响应数据提取算法，通过该最优响应数据提取算法来计算每个页面的响应仿真度。例如，该最优响应数据提取算法可以是对页面复杂度、引用外部资源的数量、页面大小等参数进行综合评估来计算得到页面的响应仿真度。在一个实施例中，通过该最优响应数据提取算法，可以从m个页面中选择页面复杂度适中、引用外部资源尽可能少、页面大小适中的页面作为第一页面。
65.其中，页面复杂度例如可以通过例如页面中不同种类的标签的数量、色彩种类数量、链接数量、文本数量等参数来评估。引用外部资源的数量例如可以是通过页面中动态渲染所使用的外部数据的数量、或者层叠样式表css进行页面色彩设计时引用到外部数据的数量等参数来评估。页面大小可以通过页面的字符串长度、或者页面所占用的存储空间来评估。
66.在一个实施例中，在评估每个页面的响应仿真度时可以遵循以下逻辑：页面复杂度太简单了会显得页面不真实，因此要选择页面复杂度适中的页面；页面引用的外部资源意味着攻击方要打开页面时需要获取外部资源，而由于蜜罐机的拦截当攻击者访问的并非真实的资源，从而无法获取到外部资源时页面容易出现渲染失败错乱的问题，因此要选择引用外部资源的数量尽可能少的页面；另外页面越小就会显得页面越不真实，因此要选择也页面大小适中的页面。
67.通过评估从m个页面中选择出响应仿真度最高的页面作为第一页面，进而将第一页面与原子响应数据合并得到响应数据并反馈给攻击方。这样，展示给攻击方的页面比较真实，而且内容相对丰富些，更容易让攻击方相信自己的攻击行为成功了，从而到达攻击诱骗的目的。。而且这些页面是从日志数据中获得的，不会对真实的资产带来风险。
68.图5示意性示出了根据本公开实施例的操作s332中合并原子响应数据和第一页面的流程图。
69.如图5所示，根据本公开的实施例操作s332合并原子响应数据和第一页面的过程可以包括操作s501和操作s502。
70.首先在操作s501，在第一页面中选择驻点位置，其中，驻点位置包括页面的开头位置、段落位置或结束位置。该驻点位置可以随机设置，也可以随机变换。
71.然后在操作s502，将原子响应数据设置于第一页面中的驻点位置。例如，将原子响应数据中的字符信息提取出来放置在驻点位置，完成响应数据的构造。以此方式完成攻击响应的高度仿真，进而达到诱骗目的
72.图6示意性示出了根据本公开再一实施例的应对网络攻击的信息处理方法的流程图。
73.如图6所示，根据本公开实施例该应对网络攻击的信息处理方法可以包括操作s210、操作s220、操作s631～操作s632、以及操作s240。其中，操作s210、操作s220和操作s240与前述一致。操作s631～操作s632可以是操作s230的一个具体实施例。
74.具体地，在该实施例中，首先经过操作s210和操作s220获取到原子响应数据。
75.接下来先在操作s631，根据攻击数据中的目的ip及目的端口，获取目的ip以及目的端口所提供的服务中的数据的数据特征。该数据特征，例如，对于页面数据可以是页面的格式或展示效果，或者对于表格数据可以是表格的组织结构、表格字段的内容等，或者对于字符数据可以是字符数据的代码类型等。
76.然后在操作s632，将原子响应数据调整为与数据特征相适应的数据。
77.具体地，例如可以根据攻击数据中的目的ip及目的端口，获取目的ip以及目的端口所提供的服务中的数据的数据特征，以及将原子响应数据调整为与数据特征相适应的数据。
78.在一个实施例中，攻击类别包括sql注入攻击，在操作s631中可以根据目的ip以及目的端口，从日志系统中查询攻击数据要访问的数据库中的数据表的数据结构。然后在操作s632中按照数据表的数据结构设置原子响应数据中的各个字段，以调整原子响应数据。
79.例如，若sql注入攻击要查询数据库中的员工信息，则可以从数据库日志中获取员工信息表中的字段数据，填写到原子响应数据中，例如，将原子影响数据中的字段中填写员工姓名、工号、身份证信息、职业、职位、工资信息等。或者例如，若sql注入查询的是数据库中的学生成绩表，则填写到原子响应数据中的字段中的内容可以是学生姓名、学号、各个科目的成绩。
80.相应的，对于其他攻击行为，例如读取任意文件的攻击行为，也可以根据所读取的文件格式特性，在对应的原子响应数据中添加相应的数据内容或变更数据内容。以此方式，使得原子响应数据可以与资产属性相结合，高仿高真实。
81.接下来，在一些实施例中，可以将操作s632中调整后的原子响应数据作为响应数据，在操作s240中反馈给发送攻击数据的攻击者，以诱骗并分析攻击者进一步的攻击行为。
82.或者，在另一些实施例中，可以将操作s632中调整后的原子响应数据，再经过操作s331和操作s332与攻击数据所访问的服务中的第一页面合并，得到响应数据。然后在操作s240中反馈给发送攻击数据的攻击者，以诱骗并分析攻击者进一步的攻击行为。
83.图7示意性示出了根据本公开一实施例的应对网络攻击的信息处理装置700的框图。
84.如图7所示，根据本公开的实施例，该装置700可以包括识别模块710、获取模块720、构造模块730、以及发送模块740。该装置700可以用于实现参考图2～图6所描述的方法。
85.识别模块710用于在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别。
86.获取模块720用于获取预置的与攻击类别对应的原子响应数据。
87.构造模块730用于将原子响应数据与攻击数据所要访问的资产的信息相结合，构
造与攻击数据对应的响应数据。
88.发送模块740用于将响应数据反馈给发送攻击数据的攻击者，以诱骗并分析攻击者进一步的攻击行为。
89.根据公开的实施例，构造模块730可以包括页面获取子模块731和合并子模块732。
90.页面获取子模块731用于根据攻击数据中的目的ip及目的端口，获取目的ip及目的端口提供的服务中的第一页面，其中，第一页面为服务中的一个或多个页面的其中之一。根据本公开的一个实施例，页面获取子模块731可以根据目的ip以及目的端口，从日志系统中查询与服务对应的m个页面的日志数据，其中，m为大于1的整数，以及按照预定规则从m个页面中选择第一页面。
91.合并子模块732用于将原子响应数据和第一页面合并，得到响应数据。根据本公开的一个实施例，合并子模块732还用于在第一页面中选择驻点位置，其中，驻点位置包括页面的开头位置、段落位置或结束位置，以及将原子响应数据设置于第一页面中的驻点位置。
92.根据本公开的实施例，构造模块730还可以包括原子响应数据调整子模块733。
93.原子响应数据调整子模块733用于根据攻击数据中的目的ip及目的端口，获取目的ip以及目的端口所提供的服务中的数据的数据特征，以及将原子响应数据调整为与数据特征相适应的数据。
94.根据本公开的实施例，攻击类别包括sql注入攻击。原子响应数据调整子模块733还用于根据目的ip以及目的端口，从日志系统中查询攻击数据要访问的数据库中的数据表的数据结构，以及按照数据表的数据结构设置原子响应数据中的各个字段，以调整原子响应数据。
95.图8示意性示出了根据本公开一实施例的应对网络攻击的信息处理系统800的框图。
96.如图8所示，根据本公开的实施例该系统800可以包括攻击诱捕系统810和日志系统820。其中，攻击诱捕系统810可以包括攻击检测模块811、攻击诱骗模块812、以及日志分析模块813。日志系统包括日志提取模块821。
97.攻击诱捕系统810中攻击检测模块811基于对攻击数据的威胁检测，可检测出具体的攻击行为所属的攻击类别，比如sql注入、xss、任意文件读取、命令执行等等。
98.攻击诱骗模块812可以根据识别出的的攻击类别，进行对应的攻击诱骗。其中，攻击诱骗模块812在进行攻击诱骗时需要借助与日志分析模块813对日志系统820中的日志数据的分析构造诱骗数据。
99.日志分析模块813对日志系统820获取日志数据并选择响应仿真度最高的页面提供给攻击诱骗模块812，以进行响应数据的构造。
100.日志系统820中的日志提取模块821根据欺骗诱捕系统810中的日志分析模块813提供的资产信息(例如目的ip和目的端口)提取相应的日志数据给日志分析模块813。
101.该系统800可以通过攻击诱捕平台810通过与日志系统820联动，结合资产属性和页面完整度，构造出高仿真的响应数据进行攻击诱骗，提供了一种有效灵活的攻击诱骗手段，可有效迷惑攻击者，
102.根据本公开的实施例的模块、子模块、单元、子单元中的任意多个、或其中任意多个的至少部分功能可以在一个模块中实现。根据本公开实施例的模块、子模块、单元、子单
元中的任意一个或多个可以被拆分成多个模块来实现。根据本公开实施例的模块、子模块、单元、子单元中的任意一个或多个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(fpga)、可编程逻辑阵列(pla)、片上系统、基板上的系统、封装上的系统、专用集成电路(asic)，或可以通过对电路进行集成或封装的任何其他的合理方式的硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，根据本公开实施例的模块、子模块、单元、子单元中的一个或多个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
103.例如，识别模块710、获取模块720、构造模块730、发送模块740、页面获取子模块731、合并子模块732、原子响应数据调整子模块733、攻击检测模块811、攻击诱骗模块812、日志分析模块813、以及日志提取模块821中的任意多个可以合并在一个模块中实现，或者其中的任意一个模块可以被拆分成多个模块。或者，这些模块中的一个或多个模块的至少部分功能可以与其他模块的至少部分功能相结合，并在一个模块中实现。根据本公开的实施例，识别模块710、获取模块720、构造模块730、发送模块740、页面获取子模块731、合并子模块732、原子响应数据调整子模块733、攻击检测模块811、攻击诱骗模块812、日志分析模块813、以及日志提取模块821中的至少一个可以至少被部分地实现为硬件电路，例如现场可编程门阵列(fpga)、可编程逻辑阵列(pla)、片上系统、基板上的系统、封装上的系统、专用集成电路(asic)，或可以通过对电路进行集成或封装的任何其他的合理方式等硬件或固件来实现，或以软件、硬件以及固件三种实现方式中任意一种或以其中任意几种的适当组合来实现。或者，识别模块710、获取模块720、构造模块730、发送模块740、页面获取子模块731、合并子模块732、原子响应数据调整子模块733、攻击检测模块811、攻击诱骗模块812、日志分析模块813、以及日志提取模块821中的至少一个可以至少被部分地实现为计算机程序模块，当该计算机程序模块被运行时，可以执行相应的功能。
104.图9示意性示出了适于实现根据本公开实施例的应对网络攻击的信息处理方法的计算机系统900的方框图。图9示出的计算机系统900仅仅是一个示例，不应对本公开实施例的功能和使用范围带来任何限制。
105.如图9所示，根据本公开实施例的计算机系统900包括处理器901，其可以根据存储在只读存储器(rom)902中的程序或者从存储部分908加载到随机访问存储器(ram)903中的程序而执行各种适当的动作和处理。处理器901例如可以包括通用微处理器(例如cpu)、指令集处理器和/或相关芯片组和/或专用微处理器(例如，专用集成电路(asic))，等等。处理器901还可以包括用于缓存用途的板载存储器。处理器901可以包括用于执行根据本公开实施例的方法流程的不同动作的单一处理单元或者是多个处理单元。
106.在ram 903中，存储有计算机系统900操作所需的各种程序和数据。处理器901、rom 902以及ram 903通过总线904彼此相连。处理器901通过执行rom 902和/或ram 903中的程序来执行根据本公开实施例的方法流程的各种操作。需要注意，所述程序也可以存储在除rom 902和ram 903以外的一个或多个存储器中。处理器901也可以通过执行存储在所述一个或多个存储器中的程序来执行根据本公开实施例的方法流程的各种操作。
107.根据本公开的实施例，计算机系统900还可以包括输入/输出(i/o)接口905，输入/输出(i/o)接口905也连接至总线904。计算机系统900还可以包括连接至i/o接口905的以下部件中的一项或多项：包括键盘、鼠标等的输入部分906；包括诸如阴极射线管(crt)、液晶
显示器(lcd)等以及扬声器等的输出部分907；包括硬盘等的存储部分908；以及包括诸如lan卡、调制解调器等的网络接口卡的通信部分909。通信部分909经由诸如因特网的网络执行通信处理。驱动器910也根据需要连接至i/o接口905。可拆卸介质911，诸如磁盘、光盘、磁光盘、半导体存储器等等，根据需要安装在驱动器910上，以便于从其上读出的计算机程序根据需要被安装入存储部分908。
108.根据本公开的实施例，根据本公开实施例的方法流程可以被实现为计算机软件程序。例如，本公开的实施例包括一种计算机程序产品，其包括承载在计算机可读存储介质上的计算机程序，该计算机程序包含用于执行流程图所示的方法的程序代码。在这样的实施例中，该计算机程序可以通过通信部分909从网络上被下载和安装，和/或从可拆卸介质911被安装。在该计算机程序被处理器901执行时，执行本公开实施例的系统中限定的上述功能。根据本公开的实施例，上文描述的系统、设备、装置、模块、单元等可以通过计算机程序模块来实现。
109.本公开还提供了一种计算机可读存储介质，该计算机可读存储介质可以是上述实施例中描述的设备/装置/系统中所包含的；也可以是单独存在，而未装配入该设备/装置/系统中。上述计算机可读存储介质承载有一个或者多个程序，当上述一个或者多个程序被执行时，实现根据本公开实施例的方法。
110.根据本公开的实施例，计算机可读存储介质可以是非易失性的计算机可读存储介质，例如可以包括但不限于：便携式计算机磁盘、硬盘、随机访问存储器(ram)、只读存储器(rom)、可擦式可编程只读存储器(eprom或闪存)、便携式紧凑磁盘只读存储器(cd-rom)、光存储器件、磁存储器件、或者上述的任意合适的组合。在本公开中，计算机可读存储介质可以是任何包含或存储程序的有形介质，该程序可以被指令执行系统、装置或者器件使用或者与其结合使用。例如，根据本公开的实施例，计算机可读存储介质可以包括上文描述的rom 902和/或ram 903和/或rom 902和ram 903以外的一个或多个存储器。
111.附图中的流程图和框图，图示了按照本公开各种实施例的系统、方法和计算机程序产品的可能实现的体系架构、功能和操作。在这点上，流程图或框图中的每个方框可以代表一个模块、程序段、或代码的一部分，上述模块、程序段、或代码的一部分包含一个或多个用于实现规定的逻辑功能的可执行指令。也应当注意，在有些作为替换的实现中，方框中所标注的功能也可以以不同于附图中所标注的顺序发生。例如，两个接连地表示的方框实际上可以基本并行地执行，它们有时也可以按相反的顺序执行，这依所涉及的功能而定。也要注意的是，框图或流程图中的每个方框、以及框图或流程图中的方框的组合，可以用执行规定的功能或操作的专用的基于硬件的系统来实现，或者可以用专用硬件与计算机指令的组合来实现。
112.本领域技术人员可以理解，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合，即使这样的组合或结合没有明确记载于本公开中。特别地，在不脱离本公开精神和教导的情况下，本公开的各个实施例和/或权利要求中记载的特征可以进行多种组合和/或结合。所有这些组合和/或结合均落入本公开的范围。
113.以上对本公开的实施例进行了描述。但是，这些实施例仅仅是为了说明的目的，而并非为了限制本公开的范围。尽管在以上分别描述了各实施例，但是这并不意味着各个实施例中的措施不能有利地结合使用。本公开的范围由所附权利要求及其等同物限定。不脱
离本公开的范围，本领域技术人员可以做出多种替代和修改，这些替代和修改都应落在本公开的范围之内。

技术特征：
1.一种应对网络攻击的信息处理方法，包括：在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别；获取预置的与所述攻击类别对应的原子响应数据；将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据；以及将所述响应数据反馈给发送所述攻击数据的攻击者，以诱骗并分析所述攻击者进一步的攻击行为。2.根据权利要求1所述的方法，其中，所述将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据包括：根据所述攻击数据中的目的ip及目的端口，获取所述目的ip及目的端口提供的服务中的第一页面，其中，所述第一页面为所述服务中的一个或多个页面的其中之一；以及将所述原子响应数据和所述第一页面合并，得到所述响应数据。3.根据权利要求2所述的方法，其中，所述获取所述目的ip及目的端口提供的服务中的第一页面的信息包括：根据所述目的ip以及目的端口，从日志系统中查询与所述服务对应的m个页面的日志数据，其中，m为大于1的整数；以及按照预定规则从m个页面中选择所述第一页面。4.根据权利要求3所述的方法，其中，所述按照预定规则从m个页面中选择所述第一页面包括：基于页面的复杂度、页面引用外部资源的数量、以及页面的大小，评估所述m个页面中每个页面的响应仿真度；以及选择响应仿真度最高的页面作为所述第一页面。5.根据权利要求2所述的方法，其中，所述将所述原子响应数据和所述第一页面合并，得到所述响应数据包括：在所述第一页面中选择驻点位置，其中，所述驻点位置包括页面的开头位置、段落位置或结束位置；以及将所述原子响应数据设置于所述第一页面中的所述驻点位置。6.根据权利要求1或2所述的方法，其中，所述将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据包括：根据所述攻击数据中的目的ip及目的端口，获取所述目的ip以及目的端口所提供的服务中的数据的数据特征；以及将所述原子响应数据调整为与所述数据特征相适应的数据。7.根据权利要求6所述的方法，其中，所述攻击类别包括sql注入攻击；其中根据所述攻击数据中的目的ip及目的端口，获取所述目的ip以及目的端口所提供的服务中的数据的数据特征，包括：根据所述目的ip以及目的端口，从日志系统中查询所述攻击数据要访问的数据库中的数据表的数据结构；将所述原子响应数据调整为与所述数据特征相适应的数据，包括：按照所述数据表的数据结构设置所述原子响应数据中的各个字段，以调整所述原子响
应数据。8.一种应对网络攻击的信息处理装置，包括：识别模块，用于在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别；获取模块，用于获取预置的与所述攻击类别对应的原子响应数据；构造模块，用于将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据；以及发送模块，用于将所述响应数据反馈给发送所述攻击数据的攻击者，以诱骗并分析所述攻击者进一步的攻击行为。9.一种应对网络攻击的信息处理系统，包括：一个或多个存储器，存储有可执行指令；以及一个或多个处理器，执行所述可执行指令，以实现根据权利要求1～7中任一项所述的方法。10.一种计算机可读存储介质，其上存储有可执行指令，该指令被处理器执行时使处理器执行根据权利要求1～7中任一项所述的方法。11.一种计算机程序，所述计算机程序包括计算机可执行指令，所述指令在被执行时用于实现根据权利要求1～7中任一项所述的方法。

技术总结
本公开提供了一种应对网络攻击的信息处理方法。所述方法包括：在诱捕到攻击数据后，识别出攻击数据中的攻击行为的攻击类别；获取预置的与所述攻击类别对应的原子响应数据；将所述原子响应数据与所述攻击数据所要访问的资产的信息相结合，构造与所述攻击数据对应的响应数据；以及将所述响应数据反馈给发送所述攻击数据的攻击者，以诱骗并分析所述攻击者进一步的攻击行为。本公开还提供了一种应对网络攻击的信息处理装置、系统、介质及程序。介质及程序。介质及程序。


技术研发人员：计东
受保护的技术使用者：网神信息技术（北京）股份有限公司
技术研发日：2020.11.09
技术公布日：2022/5/25