CN115086059A - 基于欺骗域特定语言的欺骗场景描述文件生成方法、装置 - Google Patents

Abstract

本申请公开了一种基于欺骗域特定语言的欺骗场景描述文件生成方法，该方法包括：先获取欺骗防御目标，以及欺骗防御目标对应的目标类型；然后，可以根据目标类型，确定目标类型对应的元模型数据；接着，可以基于预设的语法规则和目标类型对应的元模型数据，生成欺骗防御目标对应的欺骗场景描述文件。可见，本申请可以提供统一的欺骗场景的定义视角(即预设的语法规则)，通过欺骗防御目标，结合欺骗防御目标的目标类型对应的元模型数据和预设的语法规则，便可以得到欺骗场景描述文件，实现了欺骗场景的生成，实现从目标到实现，跨多个专业领域的统一认知和协同处置，从而实现了从统一视角进行欺骗场景的定义，可跨技术领域和环境领域的沟通。

Description

基于欺骗域特定语言的欺骗场景描述文件生成方法、装置

技术领域

本申请涉及网络安全技术领域，尤其涉及一种基于欺骗域特定语言的欺骗场景描述文件生成方法、装置。

背景技术

随着虚拟化、云技术等技术的发展，实现了虚拟机、容器等资源承载体的大规模、高效率的构建和管理，极大的推动了蜜罐为代表的欺骗防御产品发展。但是欺骗的场景形态/数量得到急剧增加，与此带来复杂性的提升，给用户单位带来很多困扰。

欺骗防御的重要性越来越高，以致要结合到业务组织结构、信息技术和安全管理，作为总体的安全策略的有机组成部分也十分需要。但当前现状缺乏整体的蜜罐或欺骗防御产品的理论框架和实践体系，缺少将安全策略制定者、安全运维管理人员、对抗防御领域专家、蜜罐欺骗场景研发人员进行统一沟通的方式和渠道，也就是说，缺少统一的场景描述方式，会导致安全管理层、运维人员、安全专家、产品开发人员缺少很好的媒介，无法减少不同领域的人员使用各自难以理解的语言进行沟通的时间，同时会产生歧义。

发明内容

本申请提供一种基于欺骗域特定语言的欺骗场景描述文件生成方法、装置，以可以实现欺骗场景的生成，实现从目标到实现，跨多个专业领域的统一认知和协同处置，从而实现了从统一视角进行欺骗场景的定义，可跨技术领域和环境领域的沟通。

第一方面，本申请提供了一种基于欺骗域特定语言的欺骗场景描述文件生成方法，所述方法包括：

获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；

根据所述目标类型，确定所述目标类型对应的元模型数据；

基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。

第二方面，本申请提供了一种基于欺骗域特定语言的欺骗场景描述文件生成装置，所述方法包括：

获取单元，用于获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；

确定单元，用于根据所述目标类型，确定所述目标类型对应的元模型数据；

生成单元，用于基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。

第三方面，本申请提供了一种可读介质，包括执行指令，当电子设备的处理器执行所述执行指令时，所述电子设备执行如第一方面中任一所述的方法。

第四方面，本申请提供了一种电子设备，包括处理器以及存储有执行指令的存储器，当所述处理器执行所述存储器存储的所述执行指令时，所述处理器执行如第一方面中任一所述的方法。

由上述技术方案可以看出，本申请提供了一种基于欺骗域特定语言的欺骗场景描述文件生成方法，所述方法可以先获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；然后，可以根据所述目标类型，确定所述目标类型对应的元模型数据；接着，可以基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。可见，本申请可以提供统一的欺骗场景的定义视角(即预设的语法规则)，通过欺骗防御目标，结合欺骗防御目标的目标类型对应的元模型数据和预设的语法规则，便可以得到欺骗场景描述文件，实现了欺骗场景的生成，实现从目标到实现，跨多个专业领域的统一认知和协同处置，从而实现了从统一视角进行欺骗场景的定义，可跨技术领域和环境领域的沟通。

上述的非惯用的优选方式所具有的进一步效果将在下文中结合具体实施方式加以说明。

附图说明

为了更清楚地说明本申请实施例或现有的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请中记载的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动性的前提下，还可以根据这些附图获得其他的附图。

图1为本申请一种基于欺骗域特定语言的欺骗场景描述文件生成方法的流程示意图；

图2为本申请一实施例提供的基于欺骗域特定语言的欺骗场景描述文件生成***的架构示意图；

图3为本申请一实施例提供的一种基于欺骗域特定语言的欺骗场景描述文件生成装置的结构示意图；

图4为本申请一实施例提供的一种电子设备的结构示意图。

具体实施方式

为使本申请的目的、技术方案和优点更加清楚，下面将结合具体实施例及相应的附图对本申请的技术方案进行清楚、完整地描述。显然，所描述的实施例仅是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

发明人发现现有技术中，缺乏整体的蜜罐或欺骗防御产品的理论框架和实践体系，缺少将安全策略制定者、安全运维管理人员、对抗防御领域专家、蜜罐欺骗场景研发人员进行统一沟通的方式和渠道，也就是说，缺少统一的场景描述方式，会导致安全管理层、运维人员、安全专家、产品开发人员缺少很好的媒介，无法减少不同领域的人员使用各自难以理解的语言进行沟通的时间，同时会产生歧义。尤其考虑到欺骗防御与传统的安全防御设备不同，侧重于人与人的对抗(攻击者Vs防御者)这一特性带来的不确定因素情况下，用统一的大家都可理解的方式进行操作，对实际工作开展尤为有利。也就是现有技术存在以下问题：1、缺少统一的场景描述方式，会导致安全管理层、运维人员、安全专家、产品开发人员缺少很好的媒介，无法减少不同领域的人员使用各自难以理解的语言进行沟通的时间，同时会产生歧义；2、欺骗场景越来越复杂，如果只从微观面考量，会导致预期的欺骗效果越来越无法实现，需要从顶层进行设计。

故此，本申请提供了一种基于欺骗域特定语言的欺骗场景描述文件生成方法，所述方法可以先获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；然后，可以根据所述目标类型，确定所述目标类型对应的元模型数据；接着，可以基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。可见，本申请可以提供统一的欺骗场景的定义视角(即预设的语法规则)，通过欺骗防御目标，结合欺骗防御目标的目标类型对应的元模型数据和预设的语法规则，便可以得到欺骗场景描述文件，实现了欺骗场景的生成，实现从目标到实现，跨多个专业领域的统一认知和协同处置，从而实现了从统一视角进行欺骗场景的定义，可跨技术领域和环境领域的沟通。

下面结合附图，详细说明本申请的各种非限制性实施方式。

在本实施例中，所述方法例如可以包括以下步骤：

S101：获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型。

欺骗防御目标可以理解为欺骗场景所要实现的内容，可以理解为从欺骗场景可抽取出来的最核心的指标。在一种实现方式中，所述欺骗防御目标包括以下至少一种：目的指标、对象指标、效益指标、方法指标。

目标指标可以理解为蜜罐欺骗场景的目的。对象指标可以理解为蜜罐欺骗场景中的对象，例如保护的对象和欺骗的攻击者对象。效益指标可以理解为蜜罐欺骗场景中的预期效果。方法指标可以理解为蜜罐欺骗场景中所采用的欺骗方法；其中，方法指标可以为方法或步骤或措施，是对场景核心指标的进一步阐述，如实现防护性欺骗，方法指标有：模拟、伪装、假象、模糊等方式，可实现让攻击者产生错误的价值认知，比如对真实的目标产生偏见或不知道是否是有价值的目标。

例如：可定义该蜜罐欺骗场景的目的指标为：保护性欺骗；对象指标具体为，保护的对象为：某ERP***，欺骗的攻击者对象为：使用自动化脚本的攻击者或采用高级攻击技术的脚本；效益指标为：捕获攻击者的行为特性，影响/干扰其行为判定，浪费攻击者资源，拖延其行为，以便更好的组织防御。

在确定欺骗防御目标后，可以确定所述欺骗防御目标对应的目标类型，例如，欺骗防御目标对应的目标类型可以理解为蜜罐欺骗场景的场景类型。

S102：根据所述目标类型，确定所述目标类型对应的元模型数据。

在本实施例中，元模型(即元模型数据)是指对元数据进行分层，实现最小化功能的元数据模型，元模型数据可以实现特定的功能，元模型数据来自于最基础的数值和模型分析，可支持多级分层。元模型数据可以为预先设置的。

在一种实现方式中，所述元模型数据可以包括：环境元模型和技术元模型。所述环境元模型指欺骗场景所需的环境信息，具体地，可以为欺骗设计的实际运行环境所需的元模型，该模型可由安全运维管理人员进行维护，至少包括网络构建元模型(包括规模、设备类型、拓扑结构、经典配置等元模型)、运算环境元模型(包括操作***、公有云、私有云等元模型)、网络空间资产元模型(包括重要资产、业务类型、关键数据等元模型)、安全策略元模型(包括防火墙、配置规则、入侵检测等元模型)。

技术元模型，可以理解为指欺骗场景所需的技术信息，具体地，可以为欺骗设计直接参与的元素，该技术元模型可以包括覆盖网络空间杀伤链的各阶段的内容，具体来说，可以包括网络欺骗元模型(可以包括网络拓扑欺骗、网络发现欺骗等元模型)、***欺骗元模型(可以包括***信息误报、主机伪造等元模型)、漏洞欺骗元模型(可以包括伪漏洞、利用模拟等元模型)、数据欺骗元模型(可以包括密标、数据合成、邮箱密码等元模型)。

S103：基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。

预设的语法规则可以理解为一领域特定语言的语言规则，比如，欺骗域特定语言的语言规则。领域特定语言(domain-specific language，DSL)是一种旨在特定领域下的上下文的语言，这里的领域是指某种商业上的(例如银行业、保险业等)上下文，也可以指某种应用程序的(例如Web应用、数据库等)上下文。DSL并不具备很强的普适性，它是仅为某个适用的领域而设计的，但它也足以用于表示这个领域中的问题以及构建对应的解决方案。例如，HTML是DSL的一个典型，它是在Web应用上使用的语言，尽管HTML无法进行数字运算，但也不影响它在这方面的广泛应用。

在本实施例中，可以基于预设的语法规则，确定欺骗防御目标对应的元模型数据，从而利用欺骗防御目标对应的元模型数据进行组合，得到所述欺骗防御目标对应的欺骗场景描述文件。

作为一种示例，可以先将所述欺骗防御目标输入预设的语法分析器。然后，所述语法分析器可以根据所述预设的语法规则，确定与所述欺骗防御目标匹配的环境元模型和技术元模型；具体地，所述语法分析器可以根据所述预设的语法规则，以及，所述欺骗防御目标的层次管理(例如拓扑结构、层级关系)，筛选与所述欺骗防御目标匹配的环境元模型和技术元模型。接着，所述语法分析器可以根据与所述欺骗防御目标匹配的环境元模型和技术元模型，生成所述欺骗防御目标对应的欺骗场景描述文件(即蜜罐场景的描述文件)。

也就是说，如图2所示，本实施例可以使用语法分析器，生成欺骗场景描述文件。本实施例通过预先定义语法规则，并根据欺骗防御目标(即目标定义)的类型以及层次管理，提供相应的环境元模型和技术元模型，以实现语言简单灵活，语法形式接近自然语言，形象直观的特性，同时使语言具有一定的可扩展性，方便进行。并且，可以通过欺骗防御目标，结合语法规则，通过技术元模型和环境元模型的匹配，在语法分析器中生成欺骗场景描述文件。即，通过欺骗域特定语言的覆盖从欺骗目标、环境设计、技术实现到场景元素的定义(即欺骗防御目标的定义)，提供满足蜜罐***应用过程中的(高层、运维、专家、研发)的认知，并形成语法文件(即语法规则)，继而再通过语法分析器，结合资源库(即元模型数据)形成语义树和最终结果(例如描述语句)，从而可以形成蜜罐***的欺骗场景描述文件，即通过欺骗域特定语言完成对欺骗场景的完整描述和定义(语言定义)，通过语法过程，结合各项的输入、定义整合，并通过语法分析器实现欺骗场景的输出，从而实现便于研发人员高效开展工作。

由上述技术方案可以看出，本申请提供了一种基于欺骗域特定语言的欺骗场景描述文件生成方法，所述方法可以先获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；然后，可以根据所述目标类型，确定所述目标类型对应的元模型数据；接着，可以基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。可见，本申请可以提供统一的欺骗场景的定义视角(即预设的语法规则)，通过欺骗防御目标，结合欺骗防御目标的目标类型对应的元模型数据和预设的语法规则，便可以得到欺骗场景描述文件，实现了欺骗场景的生成，实现从目标到实现，跨多个专业领域的统一认知和协同处置，从而实现了从统一视角进行欺骗场景的定义，可跨技术领域和环境领域的沟通，以及，使用欺骗域特定语言实现欺骗场景的快速有效定义。

如图3所示，为本申请所述基于欺骗域特定语言的欺骗场景描述文件生成装置的一个具体实施例。本实施例所述装置，即用于执行上述实施例所述方法的实体装置。其技术方案本质上与上述实施例一致，上述实施例中的相应描述同样适用于本实施例中。本实施例中所述装置包括：

获取单元301，用于获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；

确定单元302，用于根据所述目标类型，确定所述目标类型对应的元模型数据；

生成单元303，用于基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。

可选的，所述欺骗防御目标包括以下至少一种：目的指标、对象指标、效益指标、方法指标。

可选的，所述元模型数据包括：环境元模型和技术元模型。

可选的，所述环境元模型包括：网络构建元模型、运算环境元模型、网络空间资产元模型、安全策略元模型。

可选的，所述技术元模型包括：网络欺骗元模型、***欺骗元模型、漏洞欺骗元模型、数据欺骗元模型。

可选的，所述生成单元303，用于：

将所述欺骗防御目标输入预设的语法分析器；

所述语法分析器根据所述预设的语法规则，确定与所述欺骗防御目标匹配的环境元模型和技术元模型；以及，根据与所述欺骗防御目标匹配的环境元模型和技术元模型，生成所述欺骗防御目标对应的欺骗场景描述文件。

可选的，所述确定单元302，用于：

所述语法分析器根据所述预设的语法规则，以及，所述欺骗防御目标的层次管理，筛选与所述欺骗防御目标匹配的环境元模型和技术元模型。

图4是本申请实施例提供的一种电子设备的结构示意图。在硬件层面，该电子设备包括处理器，可选地还包括内部总线、网络接口、存储器。其中，存储器可能包含内存，例如高速随机存取存储器(Random-Access Memory，RAM)，也可能还包括非易失性存储器(non-volatile memory)，例如至少1个磁盘存储器等。当然，该电子设备还可能包括其他业务所需要的硬件。

处理器、网络接口和存储器可以通过内部总线相互连接，该内部总线可以是ISA(Industry StandardArchitecture，工业标准体系结构)总线、PCI(Peripheral ComponentInterconnect，外设部件互连标准)总线或EISA(Extended IndustryStandardArchitecture，扩展工业标准结构)总线等。所述总线可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一个双向箭头表示，但并不表示仅有一根总线或一种类型的总线。

存储器，用于存放执行指令。具体地，执行指令即可被执行的计算机程序。存储器可以包括内存和非易失性存储器，并向处理器提供执行指令和数据。

在一种可能实现的方式中，处理器从非易失性存储器中读取对应的执行指令到内存中然后运行，也可从其它设备上获取相应的执行指令，以在逻辑层面上形成基于欺骗域特定语言的欺骗场景描述文件生成装置。处理器执行存储器所存放的执行指令，以通过执行的执行指令实现本申请任一实施例中提供的基于欺骗域特定语言的欺骗场景描述文件生成方法。

上述如本申请图1所示实施例提供的基于欺骗域特定语言的欺骗场景描述文件生成装置执行的方法可以应用于处理器中，或者由处理器实现。处理器可能是一种集成电路芯片，具有信号的处理能力。在实现过程中，上述方法的各步骤可以通过处理器中的硬件的集成逻辑电路或者软件形式的指令完成。上述的处理器可以是通用处理器，包括中央处理器(Central Processing Unit，CPU)、网络处理器(Network Processor，NP)等；还可以是数字信号处理器(Digital Signal Processor，DSP)、专用集成电路(Application SpecificIntegrated Circuit，ASIC)、现场可编程门阵列(Field－Programmable GateArray，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件。可以实现或者执行本申请实施例中的公开的各方法、步骤及逻辑框图。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等。

结合本申请实施例所公开的方法的步骤可以直接体现为硬件译码处理器执行完成，或者用译码处理器中的硬件及软件模块组合执行完成。软件模块可以位于随机存储器，闪存、只读存储器，可编程只读存储器或者电可擦写可编程存储器、寄存器等本领域成熟的存储介质中。该存储介质位于存储器，处理器读取存储器中的信息，结合其硬件完成上述方法的步骤。

本申请实施例还提出了一种可读介质，该可读存储介质存储有执行指令，存储的执行指令被电子设备的处理器执行时，能够使该电子设备执行本申请任一实施例中提供的基于欺骗域特定语言的欺骗场景描述文件生成方法，并具体用于执行上述基于欺骗域特定语言的欺骗场景描述文件生成的方法。

前述各个实施例中所述的电子设备可以为计算机。

本领域内的技术人员应明白，本申请的实施例可提供为方法或计算机程序产品。因此，本申请可采用完全硬件实施例、完全软件实施例，或软件和硬件相结合的形式。

本申请中的各个实施例均采用递进的方式描述，各个实施例之间相同相似的部分互相参见即可，每个实施例重点说明的都是与其他实施例的不同之处。尤其，对于装置实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例的部分说明即可。

还需要说明的是，术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含，从而使得包括一系列要素的过程、方法、商品或者设备不仅包括那些要素，而且还包括没有明确列出的其他要素，或者是还包括为这种过程、方法、商品或者设备所固有的要素。在没有更多限制的情况下，由语句“包括一个……”限定的要素，并不排除在包括所述要素的过程、方法、商品或者设备中还存在另外的相同要素。

以上所述仅为本申请的实施例而已，并不用于限制本申请。对于本领域技术人员来说，本申请可以有各种更改和变化。凡在本申请的精神和原理之内所作的任何修改、等同替换、改进等，均应包含在本申请的权利要求范围之内。

Claims (10)

1.一种基于欺骗域特定语言的欺骗场景描述文件生成方法，其特征在于，所述方法包括：

获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；

根据所述目标类型，确定所述目标类型对应的元模型数据；

基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。

2.根据权利要求1所述的方法，其特征在于，所述欺骗防御目标包括以下至少一种：目的指标、对象指标、效益指标、方法指标。

3.根据权利要求1所述的方法，其特征在于，所述元模型数据包括：环境元模型和技术元模型。

4.根据权利要求3所述的方法，其特征在于，所述环境元模型包括：网络构建元模型、运算环境元模型、网络空间资产元模型、安全策略元模型。

5.根据权利要求3所述的方法，其特征在于，所述技术元模型包括：网络欺骗元模型、***欺骗元模型、漏洞欺骗元模型、数据欺骗元模型。

6.根据权利要求3-5中任一所述的方法，其特征在于，所述基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件，包括：

将所述欺骗防御目标输入预设的语法分析器；

所述语法分析器根据所述预设的语法规则，确定与所述欺骗防御目标匹配的环境元模型和技术元模型；以及，根据与所述欺骗防御目标匹配的环境元模型和技术元模型，生成所述欺骗防御目标对应的欺骗场景描述文件。

7.根据权利要求6所述的方法，其特征在于，所述语法分析器根据所述预设的语法规则，确定与所述欺骗防御目标匹配的环境元模型和技术元模型，包括：

所述语法分析器根据所述预设的语法规则，以及，所述欺骗防御目标的层次管理，筛选与所述欺骗防御目标匹配的环境元模型和技术元模型。

8.一种基于欺骗域特定语言的欺骗场景描述文件生成装置，其特征在于，所述方法包括：

获取单元，用于获取欺骗防御目标，以及所述欺骗防御目标对应的目标类型；

确定单元，用于根据所述目标类型，确定所述目标类型对应的元模型数据；

生成单元，用于基于预设的语法规则和所述目标类型对应的元模型数据，生成所述欺骗防御目标对应的欺骗场景描述文件。

9.一种可读介质，其特征在于，所述可读介质包括执行指令，当电子设备的处理器执行所述执行指令时，所述电子设备执行如权利要求1-7中任一所述的方法。

10.一种电子设备，其特征在于，所述电子设备包括处理器以及存储有执行指令的存储器，当所述处理器执行所述存储器存储的所述执行指令时，所述处理器执行如权利要求1-7中任一所述的方法。

Images