CN114640537A - 一种内网横向移动检测方法、装置、设备及介质 - Google Patents
一种内网横向移动检测方法、装置、设备及介质 Download PDFInfo
- Publication number
- CN114640537A CN114640537A CN202210334865.6A CN202210334865A CN114640537A CN 114640537 A CN114640537 A CN 114640537A CN 202210334865 A CN202210334865 A CN 202210334865A CN 114640537 A CN114640537 A CN 114640537A
- Authority
- CN
- China
- Prior art keywords
- program
- target port
- preset
- client
- honeypot
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Withdrawn
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 53
- 230000033001 locomotion Effects 0.000 title claims abstract description 43
- 238000000034 method Methods 0.000 claims abstract description 48
- 238000012423 maintenance Methods 0.000 claims abstract description 29
- 230000006399 behavior Effects 0.000 claims description 43
- 238000004590 computer program Methods 0.000 claims description 21
- 238000012827 research and development Methods 0.000 claims description 17
- 238000012217 deletion Methods 0.000 claims description 4
- 230000037430 deletion Effects 0.000 claims description 4
- 230000003993 interaction Effects 0.000 abstract description 3
- 238000004891 communication Methods 0.000 description 7
- 238000010586 diagram Methods 0.000 description 6
- 230000002452 interceptive effect Effects 0.000 description 4
- 230000008569 process Effects 0.000 description 4
- 230000009467 reduction Effects 0.000 description 4
- 230000009471 action Effects 0.000 description 3
- 238000005516 engineering process Methods 0.000 description 3
- 235000012907 honey Nutrition 0.000 description 3
- 230000009545 invasion Effects 0.000 description 3
- 230000007123 defense Effects 0.000 description 2
- 238000013459 approach Methods 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000008859 change Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000001939 inductive effect Effects 0.000 description 1
- 230000003287 optical effect Effects 0.000 description 1
- 230000000750 progressive effect Effects 0.000 description 1
- 230000001681 protective effect Effects 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 230000001052 transient effect Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
- H04L63/1491—Countermeasures against malicious traffic using deception as countermeasure, e.g. honeypots, honeynets, decoys or entrapment
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Information Transfer Between Computers (AREA)
Abstract
本申请公开了一种内网横向移动检测方法、装置、设备及介质，涉及计算机技术领域，所述方法包括：通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；目标端口设置于局域网内部的服务器上；若检测到存在客户端访问目标端口的操作，则获取客户端的特征信息；将客户端的特征信息发送至预设智能分析***，利用预设的智能分析***对特征信息进行分析，以实现内网横向移动检测，可见，本申请基于预设的蜜罐程序对客户端的访问进行检测，然后利用预设智能分析***对所述客户端进行分析，由此提高了非法入侵检测的检出率以及所述局域网内部服务器的安全性，此外，由于本申请内网横向移动检测是无交互性质的检测，因此极大的降低了维护成本。
Description
技术领域
本发明涉及计算机技术领域，特别涉及一种内网横向移动检测方法、装置、设备及介质。
背景技术
目前市面上蜜罐(蜜饵)技术，根据交互性可以分为低交互蜜罐、高交互蜜罐、甚至纯蜜罐。
高交互蜜罐和低交互蜜罐，主要在互联网侧入口，用于入侵行为诱导，识别黑客行为。高交互蜜罐比低交互蜜罐能更深入的诱导入侵，可以更好的隐藏自己，并且可以引诱入侵、调查入侵者的来源、研究入侵者的入侵行为、检验已有防护措施是否有效，发现新的网络威胁。但是高交互蜜罐的问题在于：在开始构建诱饵***时需要很多时间和精力，以及很大的维护成本。
为此，极大的降低维护成本的前提下保证非法入侵检测的检出率是本领域亟待解决的问题。
发明内容
有鉴于此，本发明的目的在于提供一种内网横向移动检测方法、装置、设备及介质，能够在极大的降低维护成本的前提下保证非法入侵检测的检出率，其具体方案如下：
第一方面，本申请公开了一种内网横向移动检测方法，包括：
通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；
若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；
将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
可选的，所述通过预设的蜜罐程序检测是否存在客户端访问所述目标端口的行为操作，包括：
通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作。
可选的，所述通过预设的蜜罐程序检测是否存在客户端访问所述目标端口的行为操作之前，还包括：
通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序。
可选的，所述通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序之前，还包括：
检测所述目标端口上是否已部署相应程序，所述相应程序包括所述预设的蜜罐程序或中间件程序。
可选的，所述通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序，包括：
若所述目标端口上没有部署所述相应程序，则通过所述运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序。
可选的，所述检测所述目标端口上是否已部署相应程序之前，还包括：
记录服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况；
相应的，所述检测所述目标端口上是否已部署相应程序，包括：
根据所述服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况确定出所述目标端口上是否已部署相应程序。
可选的，所述通过运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序之后，还包括：
当所述目标端口上存在部署所述中间件程序的部署需求，则将所述目标端口上的所述预设的蜜罐程序进行删除，并在删除完成后，在所述目标端口上部署所述中间件程序。
第二方面，本申请公开了一种内网横向移动检测装置，包括：
检测模块，用于通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；
信息采集模块，用于当检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；
信息分析模块，用于将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
第三方面，本申请公开了一种电子设备，包括：
存储器，用于保存计算机程序；
处理器，用于执行所述计算机程序，以实现前述公开的内网横向移动检测方法。
第四方面，本申请公开了一种计算机可读存储介质，用于保存计算机程序；其中，所述计算机程序被处理器执行时实现前述公开的内网横向移动检测方法。
可见，本申请提出一种内网横向移动检测方法，包括：通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。可见，本申请基于预设的蜜罐程序对客户端的访问进行检测，然后利用预设智能分析***对所述客户端进行分析，由此提高了非法入侵检测的检出率以及所述局域网内部服务器的安全性，此外，由于本申请内网横向移动检测是无交互性质的检测，因此，本实施例短小精悍，极大的降低了维护成本。
附图说明
为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术终端来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。
图1为本申请公开的一种内网横向移动检测方法流程图；
图2为本申请公开的一种预设的蜜罐程序部署的流程图；
图3为本申请公开的一种预设的蜜罐程序部署的流程图；
图4为本申请公开的一种具体的内网横向移动检测方法流程图；
图5为本申请公开的一种内网横向移动检测装置结构示意图；
图6为本申请公开的一种电子设备结构图。
具体实施方式
下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术终端在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。
本申请实施例涉及的***架构包括局域网内部的多台服务器，基于上述架构，本申请实施例在所述服务器中的目标端口上部署了预设的蜜罐程序，并通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作，若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息，然后将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
目前市场上的高交互蜜罐技术在开始构建诱饵***时需要很多时间和精力，以及很大的维护成本。
为此，本申请实施例提出一种内网横向移动检测方案，能够在极大的降低维护成本的前提下保证非法入侵检测的检出率
本申请实施例公开了一种内网横向移动检测方法，参见图1所示，该方法包括：
步骤S11：通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上。
本实施例中，所述蜜罐，是一种软件应用***，用来充当入侵诱饵，引诱黑客前来攻击；内网横向是入侵者获取内网某台机器的控制权之后，以被攻陷主机为跳板，通过搜集域内凭证，找办法访问到域内其他机器，再依次循环往复，直到获得域控权限甚至控制内网。
随着入侵检测与防御绕过的不断演进，有些入侵者针对主机安全产品做了很多防御绕过，使之很难检测到入侵，因此，本申请提出一种内网横向移动检测方法，旨在解决后渗透阶段防御绕过问题。
本实施例中，首先预设一种socket服务端程序，即蜜罐程序，然后利用所述预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作。本实施例中，所述目标端口设置于局域网内部的服务器上，所述目标端口可以是3306，6379等常用服务对应的端口。
可以理解的是，在通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作之前，需要通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序。需要指出的是，由于所述服务器中还可能存在一些真实的中间件程序，并且所述预设的蜜罐程序与所述中间件程序是占用相同端口的，因此在部署所述预设的蜜罐程序之前，需要检测所述目标端口上是否已部署中间件程序或已部署所述预设的蜜罐程序。具体的参见图2所示，若所述目标端口上没有部署所述中间件程序或所述预设的蜜罐程序，则通过所述运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序，也即部署成功，若所述目标端口上已经部署所述中间件程序或所述预设的蜜罐程序，则部署失败。本实施例中，在部署完成后，需要通过预设的智能分析***记录相应的部署情况。
本实施例中，参见图3所示，当所述目标端口上存在部署所述中间件程序的部署需求，则将所述目标端口上的所述预设的蜜罐程序进行删除，并在删除完成后，在所述目标端口上部署所述中间件程序。
步骤S12：若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息。
本实施例中，所述客户端的特征信息可以包括：所述客户端发送的数据、所述客户端的IP以及Port(端口)和当前时间等上下文信息。
步骤S13：将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
本实施例中，由于运维研发人员知道预设的蜜罐程序的部署分布情况，因此运维研发人员不会主动连接蜜罐程序，只会使用真实的中间件程序，若运维研发人员误连了该蜜罐程序，在安全运营人员沟通下，即可解除告警，且下次更难误触发该告警。因此，本实施例中，主动扫描或连接所述预设的蜜罐程序的客户端极大程度上是非法入侵人员，由此，本实施例可以及时地发现非法客户端的入侵行为，解决了传统真实服务很难区分正常访问还是非法入侵问题，属于钓鱼执法，在真实发生入侵的场景下，能快速诱发入侵行为。
可见，本申请提出一种内网横向移动检测方法，包括：通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。可见，本申请基于预设的蜜罐程序对客户端的访问进行检测，然后利用预设智能分析***对所述客户端进行分析，由此提高了非法入侵检测的检出率以及所述局域网内部服务器的安全性，此外，由于本申请内网横向移动检测是无交互性质的检测，因此，本实施例短小精悍，极大的降低了维护成本。
本申请实施例公开了一种具体的内网横向移动检测方法，相对于上一实施例，本实施例对技术方案作了进一步的说明和优化。参见图4所示，具体包括：
步骤S21：通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上。
本实施例中，扫描所述目标端口或连接所述目标端口可以认为是访问所述目标端口的行为操作，也即，通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作。
步骤S22：若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息。
其中，关于步骤S22更加具体的内容参见前述公开的实施例所示，在此不做具体赘述。
步骤S23：将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
其中，关于步骤S23更加具体的内容参见前述公开的实施例所示，在此不做具体赘述。
可见，本申请提出一种内网横向移动检测方法，包括：通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。可见，本申请基于预设的蜜罐程序对客户端的访问进行检测，然后利用预设智能分析***对所述客户端进行分析，由此提高了非法入侵检测的检出率以及所述局域网内部服务器的安全性，此外，由于本申请内网横向移动检测是无交互性质的检测，因此，本实施例短小精悍，极大的降低了维护成本。
相应的，本申请实施例还公开了一种内网横向移动检测装置，参见图5所示，该装置包括：
检测模块11，用于通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；
信息采集模块12，用于当检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；
信息分析模块13，用于将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
其中，关于上述各个模块更加具体的工作过程可以参考前述实施例中公开的相应内容，在此不再进行赘述。
可见，本申请提出一种内网横向移动检测方法，包括：通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。可见，本申请基于预设的蜜罐程序对客户端的访问进行检测，然后利用预设智能分析***对所述客户端进行分析，由此提高了非法入侵检测的检出率以及所述局域网内部服务器的安全性，此外，由于本申请内网横向移动检测是无交互性质的检测，因此，本实施例短小精悍，极大的降低了维护成本。
在一些具体实施例中，所述检测模块11，具体可以包括：
扫描或连接检测单元，用于通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作。
在一些具体实施例中，所述检测模块11之前，还可以包括：
蜜罐程序部署单元，用于通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序。
在一些具体实施例中，所述蜜罐程序部署单元之前，还可以包括：
相应程序部署检测单元，用于检测所述目标端口上是否已部署相应程序，所述相应程序包括所述预设的蜜罐程序或中间件程序。
在一些具体实施例中，所述蜜罐程序部署单元之前，具体可以包括：
蜜罐程序部署单元，用于若所述目标端口上没有部署所述相应程序，则通过所述运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序。
在一些具体实施例中，所述相应程序部署检测单元之前，还可以包括：
相应程序部署分布情况记录单元，用于记录服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况；
相应的，所述相应程序部署检测单元具体可以用于根据所述服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况确定出所述目标端口上是否已部署相应程序。
进一步的，本申请实施例还提供了一种电子设备。图6是根据一示例性实施例示出的电子设备20结构图，图中的内容不能认为是对本申请的使用范围的任何限制。
图6为本申请实施例提供的一种电子设备20的结构示意图。该电子设备20，具体可以包括：至少一个处理器21、至少一个存储器22、显示屏23、输入输出接口24、通信接口25、电源26、和通信总线27。其中，所述存储器22用于存储计算机程序，所述计算机程序由所述处理器21加载并执行，以实现以下步骤：
通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；
若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；
将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
在一些具体实施方式中，所述处理器通过执行所述存储器中保存的计算机程序，具体可以实现以下步骤：
通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作。
在一些具体实施方式中，所述处理器通过执行所述存储器中保存的计算机程序，还可以进一步实现以下步骤：
通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序。
在一些具体实施方式中，所述处理器通过执行所述存储器中保存的计算机程序，还可以进一步实现以下步骤：
检测所述目标端口上是否已部署相应程序，所述相应程序包括所述预设的蜜罐程序或中间件程序。
在一些具体实施方式中，所述处理器通过执行所述存储器中保存的计算机程序，具体可以实现以下步骤：
若所述目标端口上没有部署所述相应程序，则通过所述运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序。
在一些具体实施方式中，所述处理器通过执行所述存储器中保存的计算机程序，还可以进一步实现以下步骤：
记录服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况；
相应的，所述检测所述目标端口上是否已部署相应程序，包括：
根据所述服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况确定出所述目标端口上是否已部署相应程序。
在一些具体实施方式中，所述处理器通过执行所述存储器中保存的计算机程序，还可以进一步实现以下步骤：
当所述目标端口上存在部署所述中间件程序的部署需求，则将所述目标端口上的所述预设的蜜罐程序进行删除，并在删除完成后，在所述目标端口上部署所述中间件程序。
本实施例中，电源26用于为电子设备20上的各硬件设备提供工作电压；通信接口25能够为电子设备20创建与外界设备之间的数据传输通道，其所遵循的通信协议是能够适用于本申请技术方案的任意通信协议，在此不对其进行具体限定；输入输出接口24，用于获取外界输入数据或向外界输出数据，其具体的接口类型可以根据具体应用需要进行选取，在此不进行具体限定。
另外，存储器22作为资源存储的载体，可以是只读存储器、随机存储器、磁盘或者光盘等，其上所存储的资源可以包括计算机程序221，存储方式可以是短暂存储或者永久存储。其中，计算机程序221除了包括能够用于完成前述任一实施例公开的由电子设备20执行的内网横向移动检测方法的计算机程序之外，还可以进一步包括能够用于完成其他特定工作的计算机程序。
进一步的，本申请实施例还公开了一种计算机可读存储介质，用于存储计算机程序；其中，所述计算机程序被处理器执行时实现前述公开的内网横向移动检测方法。
关于该方法的具体步骤可以参考前述实施例中公开的相应内容，在此不再进行赘述。
本申请书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其它实施例的不同之处，各个实施例之间相同或相似部分互相参见即可对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。
专业终端还可以进一步意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、计算机软件或者二者的结合来实现，为了清楚地说明硬件和软件的可互换性，在上述说明中已经按照功能一般性地描述了各示例的组成及步骤。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术终端可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本申请的范围。
结合本文中所公开的实施例描述的方法或算法的步骤可以直接用硬件、处理器执行的软件模块，或者二者的结合来实施。软件模块可以置于随机存储器(RAM)、内存、只读存储器(ROM)、电可编程ROM、电可擦除可编程ROM、寄存器、硬盘、可移动磁盘、CD-ROM、或技术领域内所公知的任意其它形式的存储介质中。
最后，还需要说明的是，在本文中，诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来，而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、物品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、物品或者设备中还存在另外的相同要素。
以上对本申请所提供的一种内网横向移动检测方法、装置、设备、存储介质进行了详细介绍，本文中应用了具体个例对本申请的原理及实施方式进行了阐述，以上实施例的说明只是用于帮助理解本申请的方法及其核心思想；同时，对于本领域的一般技术终端，依据本申请的思想，在具体实施方式及应用范围上均会有改变之处，综上所述，本说明书内容不应理解为对本申请的限制。
Claims (10)
1.一种内网横向移动检测方法，其特征在于，包括：
通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；
若检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；
将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
2.根据权利要求1所述的内网横向移动检测方法，其特征在于，所述通过预设的蜜罐程序检测是否存在客户端访问所述目标端口的行为操作，包括：
通过预设的蜜罐程序检测是否存在客户端扫描所述目标端口或连接所述目标端口的行为操作。
3.根据权利要求1所述的内网横向移动检测方法，其特征在于，所述通过预设的蜜罐程序检测是否存在客户端访问所述目标端口的行为操作之前，还包括：
通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序。
4.根据权利要求3所述的内网横向移动检测方法，其特征在于，所述通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序之前，还包括：
检测所述目标端口上是否已部署相应程序，所述相应程序包括所述预设的蜜罐程序或中间件程序。
5.根据权利要求4所述的内网横向移动检测方法，其特征在于，所述通过运维研发终端在所述目标端口上部署所述预设的蜜罐程序，包括：
若所述目标端口上没有部署所述相应程序，则通过所述运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序。
6.根据权利要求5任一项所述的内网横向移动检测方法，其特征在于，所述检测所述目标端口上是否已部署相应程序之前，还包括：
记录服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况；
相应的，所述检测所述目标端口上是否已部署相应程序，包括：
根据所述服务器上的各端口的所述中间件程序的部署分布情况以及所述预设的蜜罐程序的部署分布情况确定出所述目标端口上是否已部署相应程序。
7.根据权利要求4至6任一项所述的内网横向移动检测方法，其特征在于，所述通过运维研发终端在所述服务器中的目标端口上部署所述预设的蜜罐程序之后，还包括：
当所述目标端口上存在部署所述中间件程序的部署需求，则将所述目标端口上的所述预设的蜜罐程序进行删除，并在删除完成后，在所述目标端口上部署所述中间件程序。
8.一种内网横向移动检测装置，其特征在于，包括：
检测模块，用于通过预设的蜜罐程序检测是否存在客户端访问目标端口的行为操作；其中，所述目标端口设置于局域网内部的服务器上；
信息采集模块，用于当检测到存在客户端访问所述目标端口的行为操作，则对所述客户端进行数据采集，以获取所述客户端的特征信息；
信息分析模块，用于将所述客户端的特征信息发送至预设的智能分析***，并利用所述预设的智能分析***对所述特征信息进行分析，以实现内网横向移动检测。
9.一种电子设备，其特征在于，包括：
存储器，用于保存计算机程序；
处理器，用于执行所述计算机程序，以实现如权利要求1至7任一项所述的内网横向移动检测方法。
10.一种计算机可读存储介质，其特征在于，用于保存计算机程序；其中，所述计算机程序被处理器执行时实现如权利要求1至7任一项所述的内网横向移动检测方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210334865.6A CN114640537A (zh) | 2022-03-31 | 2022-03-31 | 一种内网横向移动检测方法、装置、设备及介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202210334865.6A CN114640537A (zh) | 2022-03-31 | 2022-03-31 | 一种内网横向移动检测方法、装置、设备及介质 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN114640537A true CN114640537A (zh) | 2022-06-17 |
Family
ID=81952130
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202210334865.6A Withdrawn CN114640537A (zh) | 2022-03-31 | 2022-03-31 | 一种内网横向移动检测方法、装置、设备及介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN114640537A (zh) |
Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102882884A (zh) * | 2012-10-13 | 2013-01-16 | 山东电力集团公司电力科学研究院 | 信息化生产环境下基于蜜网的风险预警***及方法 |
| CN111885046A (zh) * | 2020-07-21 | 2020-11-03 | 广州锦行网络科技有限公司 | 一种基于Linux的透明内网访问方法及装置 |
| CN112910907A (zh) * | 2021-02-07 | 2021-06-04 | 深信服科技股份有限公司 | 一种防御方法、装置、客户机、服务器、存储介质及*** |
| CN113285926A (zh) * | 2021-04-26 | 2021-08-20 | 南方电网数字电网研究院有限公司 | 面向电力监控***的蜜罐诱捕方法、装置、计算机设备 |
| US20210352103A1 (en) * | 2020-05-08 | 2021-11-11 | International Business Machines Corporation | Dynamic maze honeypot response system |
-
2022
- 2022-03-31 CN CN202210334865.6A patent/CN114640537A/zh not_active Withdrawn
Patent Citations (5)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN102882884A (zh) * | 2012-10-13 | 2013-01-16 | 山东电力集团公司电力科学研究院 | 信息化生产环境下基于蜜网的风险预警***及方法 |
| US20210352103A1 (en) * | 2020-05-08 | 2021-11-11 | International Business Machines Corporation | Dynamic maze honeypot response system |
| CN111885046A (zh) * | 2020-07-21 | 2020-11-03 | 广州锦行网络科技有限公司 | 一种基于Linux的透明内网访问方法及装置 |
| CN112910907A (zh) * | 2021-02-07 | 2021-06-04 | 深信服科技股份有限公司 | 一种防御方法、装置、客户机、服务器、存储介质及*** |
| CN113285926A (zh) * | 2021-04-26 | 2021-08-20 | 南方电网数字电网研究院有限公司 | 面向电力监控***的蜜罐诱捕方法、装置、计算机设备 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110677408B (zh) | 攻击信息的处理方法和装置、存储介质及电子装置 | |
| US10200384B1 (en) | Distributed systems and methods for automatically detecting unknown bots and botnets | |
| CN108881211B (zh) | 一种违规外联检测方法及装置 | |
| CN111651757B (zh) | 攻击行为的监测方法、装置、设备及存储介质 | |
| CN110505235B (zh) | 一种绕过云waf的恶意请求的检测***及方法 | |
| CN107347057B (zh) | 入侵检测方法、检测规则生成方法、装置及*** | |
| US10972496B2 (en) | Upload interface identification method, identification server and system, and storage medium | |
| CN105939326A (zh) | 处理报文的方法及装置 | |
| CN113676449B (zh) | 网络攻击处理方法及装置 | |
| CN113691566B (zh) | 基于空间测绘和网络流量统计的邮件服务器窃密检测方法 | |
| CN103379099A (zh) | 恶意攻击识别方法及*** | |
| CN110602032A (zh) | 攻击识别方法及设备 | |
| CN106506630B (zh) | 一种基于http内容一致性的恶意网络行为发现方法 | |
| CN111818073B (zh) | 一种失陷主机检测方法、装置、设备及介质 | |
| CN107733699B (zh) | 互联网资产安全管理方法、***、设备及可读存储介质 | |
| CN112738095A (zh) | 一种检测非法外联的方法、装置、***、存储介质及设备 | |
| CN113810381B (zh) | 一种爬虫检测方法、web应用云防火墙、装置和存储介质 | |
| CN107465702A (zh) | 基于无线网络入侵的预警方法及装置 | |
| CN112615863A (zh) | 反制攻击主机的方法、装置、服务器及存储介质 | |
| CN115134166B (zh) | 一种基于蜜洞的攻击溯源方法 | |
| CN110602134B (zh) | 基于会话标签识别非法终端访问方法、装置及*** | |
| CN116015717A (zh) | 一种网络防御方法、装置、设备及存储介质 | |
| CN113132316A (zh) | 一种Web攻击检测方法、装置、电子设备及存储介质 | |
| CN109474567B (zh) | Ddos攻击溯源方法、装置、存储介质及电子设备 | |
| CN112367340B (zh) | 一种内网资产风险评估方法、装置、设备及介质 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| WW01 | Invention patent application withdrawn after publication |
Application publication date: 20220617 |
|
| WW01 | Invention patent application withdrawn after publication |