一种面向自动化渗透攻击的诱导线索开放控制方法

本发明涉及网络安全，尤其涉及一种面向自动化渗透攻击的诱导线索开放控制方法。

背景技术：

1、自动化渗透工具和以大语言模型作为决策核心的攻击智能体，能够连续执行路径发现、接口探测、参数构造和结果核验等动作，并根据每一步返回的结果决定下一步操作。防御方为消耗其时间和资源并观察其行为，会在与真实业务隔离的环境中布置多条诱导线索，引导其沿预定顺序逐条发现。多条诱导线索之间存在先后关系，即后一条线索应当在访问方完成前一条线索对应的操作之后才被发现。若该先后关系不成立，访问方可跳过中间环节直接获得靠后的线索，预定的引导顺序随即失效。

2、常用的诱导线索布置方法如cheat在欺骗环境中预先布置诱饵文件、诱饵配置和相互引用的目录结构，利用攻击智能体对训练数据中常见漏洞线索的偏好，引导其进入无效的探索路；agentsnare在访问方每次发出请求时由模型实时生成响应内容，并由独立模块检查该内容与本会话已给出内容在语义、状态和安全性上是否冲突，检查通过后写入统一的事实记录；cowrie等交互式蜜罐预先设定虚拟文件系统和命令响应表，访问方执行命令时按该表返回结果；一次性链接和临时访问凭证等访问控制技术，为受保护资源生成不可猜测的标识，仅持有该标识者可访问，标识使用后即失效。

3、cheat和cowrie将全部诱导内容在攻击发生前布置到环境中，访问方使用目录扫描、接口遍历或路径猜测，诱导内容在前序操作发生之前即已存在于诱骗环境中，只要内容已存在访问方就可能通过目录列表、搜索接口或编号规律取得，不必先完成防御方设计的核验操作。agentsnare约束的是返回什么内容，不约束内容能否被访问到，写入内容与更新记录若分步执行，其中一步失败即产生记录显示线索已开放、目标诱骗节点上实际不存在的不一致状态。一次性链接和临时访问凭证等访问控制技术允许向访问方明确表明存在防护，因而其标识不需要符合目标系统原有标识的格式，对未生成标识的查询也不需要返回与该标识不存在时相同的结果。

4、而欺骗环境与访问控制系统不同，访问控制系统可以公开表明存在防护，返回无权访问或凭证失效属于正常行为；而欺骗环境一旦让访问方察觉存在防护措施，访问方即可判定当前环境为诱骗环境，后续引导随即失效。

5、因此，有必要提供一种诱导线索开放控制方法，以在不让攻击方察觉存在防护措施的条件下，使欺骗环境中的多条诱导线索按预定顺序开放，避免出现线索已记录为开放但目标诱骗节点上实际不存在的不一致状态。

技术实现思路

1、本发明的目的在于提供一种面向自动化渗透攻击的诱导线索开放控制方法，用以控制欺骗环境中的诱导线索在不让攻击方察觉存在防护措施的条件下按预定顺序开放。

2、第一方面，本发明提供的面向自动化渗透攻击的诱导线索开放控制方法包括：检测到攻击方进入诱骗环境的交互后，建立会话记录；查询诱骗环境入口交互上游的攻击方画像，根据查询结果和当前诱骗环境配置生成首条诱导线索，基于预设的一致性要求检查生成的首条诱导线索，若一致性检查未通过则重新生成首条诱导线索，直至一致性检查通过后确定待投放的首条诱导线索，将首条诱导线索的状态修改为待验证后作为目标线索投放至目标诱骗节点；以追加记录的方式，按时间顺序记录攻击方访问诱骗环境中诱骗节点后的交互事件形成交互记录，当存在交互事件满足目标诱导线索的完成条件时，修改目标诱导线索的状态为已完成并生成开放标记，固定完成时的操作执行结果为结果值；从已登记的可用节点中排除承载最新一条已完成诱导线索的诱骗节点以确定当前可用节点集合，根据最新一条已完成诱导线索的交互记录和当前诱骗环境生成候选诱导线索，基于预设的一致性要求检查候选诱导线索，若一致性检查未通过则重新生成诱导线索，直至一致性检查通过后将相应的候选线索保存为未开放的新诱导线索；基于最新一条已完成诱导线索的结果值计算下一条诱导线索的存放位置，比较会话记录与新诱导线索以检查会话状态、环境版本、开放标记及诱导线索之间的承接关系是否满足新诱导线索的开放条件，若不满足开放条件则重试或停止，若满足开放条件则更新会话记录、线索状态和开放标记状态，按计算出的存放位置投放新诱导线索；重新进入目标诱导线索的完成条件判断和下一条诱导线索的生成及开放处理循环，同时持续检查会话参数是否达到会话停止条件，当达到任一会话停止条件时停止生成和开放新诱导线索，冻结当前环境版本并归档记录。

3、本发明提供的面向自动化渗透攻击的诱导线索开放控制方法的有益效果在于：通过控制诱导线索的开放为后一条诱导线索在前一条诱导线索对应操作发生之前不写入目标诱骗节点，且存放位置由前一次操作返回给访问方的结果值算出的方式维持诱导线索开放的先后顺序，能够在不让攻击方察觉存在防护措施的条件下，使欺骗环境中的多条诱导线索按预定顺序开放。是否满足开放条件是根据直接观察到的事件确定，而不是对攻击方进度的推测，不会因推测偏差扰乱诱导线索的开放顺序。

4、一种可能的实施例中，会话记录包括会话编号、当前环境版本、当前待验证的目标线索编号、循环轮次、会话状态和停止条件参数；会话记录建立时，当前环境版本、当前待验证的目标线索编号和循环轮次均设置为0且均在成功生成新的诱导线索后更新，停止条件参数从诱骗环境的部署配置项中获取且在会话运行期间保持固定。

5、另一种可能的实施例中，根据查询结果和当前诱骗环境配置生成首条诱导线索，包括：根据查询结果和当前诱骗环境配置筛选仿真候选项并进行排序；根据排序后的仿真候选项及其操作能力和入口交互内容选定一项核验任务并形成对应的实例化描述；基于实例化描述生成首条诱导线索的线索说明、核验操作描述并建立完成条件。

6、其它可能的实施例中，诱骗环境中的诱骗节点配置包括可供核验的仿真对象；根据查询结果和当前诱骗环境配置筛选仿真候选项并进行排序包括：保留与诱骗环境入口交互所涉对象类型相符且支持核验的仿真候选项；当查询到攻击方画像时，根据攻击方画像反映的核验偏好对仿真候选项进行排序，当未查询到攻击方画像时，按诱骗节点的优先级对仿真候选项进行排序；若存在排序相同的节点则进一步按诱骗节点的编号从小到大排序。

7、判断交互事件是否满足目标诱导线索的完成条件，包括：判断交互事件是否属于当前会话，交互事件发生时间是否在目标诱导线索开放后，目标线索是否仍处于待验证状态，交互事件是否尚未被用于完成其他诱导线索，交互事件的发生位置、操作对象、操作类型及参数是否符合完成条件，交互事件的操作结果是否符合成功标准，交互事件发生时的环境版本是否与会话记录的当前环境版本一致；当交互事件不满足完成条件时追加交互记录，直至交互事件满足完成条件时更新诱导线索的状态并生成开放标记。

8、预设的一致性要求包括诱导线索的前驱线索编号、所引用的结果值和会话编号均指向同一对象，诱导线索要求的操作属于目标诱骗节点支持的类型，目标诱骗节点的参数齐全且类型正确，诱导线索目标诱骗节点不是承载最新一条已完成诱导线索的诱骗节点，诱导线索引导核验的仿真对象已存在于目标诱骗节点的仿真对象清单中或诱导线索给出可在写入中一并建立的仿真对象及其被查询时的响应规则，诱导线索的线索说明、核验操作描述和完成条件所涉及的对象、节点和参数逐项一致，能够通过目标诱骗节点的操作执行结果判断候导线索的完成与否，诱导线索引用的编号、属性及相互关系与已公开内容不冲突，新增的仿真对象未与已有仿真对象重名，生成诱导线索时所依据的环境版本与会话记录中的当前环境版本相同；当应用一致性要求对首条诱导线索进行检查时，不检查是否满足诱导线索的前驱线索编号、所引用的结果值和会话编号均指向同一对象，诱导线索目标诱骗节点不是承载最新一条已完成诱导线索的诱骗节点两项要求，按其余要求逐项检查；当应用一致性要求对候选诱导线索进行检查时，按所有要求逐项检查。

9、基于最新一条已完成诱导线索的结果值计算下一条诱导线索的存放位置满足如下公式：l(i+1)=map(h(vi, ci),mn,di)，其中，l(i+1)表示第i+1条在节点n上的存放位置，map表示映射函数，h表示摘要计算函数，vi表示第i条线索的结果值，ci表示冲突计数，mn表示目标诱骗节点n的标识格式模型，di表示从vi中取得的日期。

10、新诱导线索的开放条件包括：会话仍处于活动状态且各项上限未达到，当前会话记录中的环境版本与生成该新诱导线索时依据的环境版本一致，开放标记有效且未使用，新诱导线索的前驱线索编号、来源事件和所引用的结果值均指向同一对象。