基于软件定义安全的企业内网威胁诱捕机制

刘文懋，刘威歆

(北京神州绿盟信息安全科技股份有限公司，北京 100089)

0 引言

当前网络信息技术在国防、社会、经济等各领域的应用日益广泛和深入，随着《网络安全法》的颁布，企业等机构的信息安全保障成为一项重要的任务。同时，各种网络安全事件频发，攻防对抗形势日趋严峻。以往的安全防护思路和实践，如固化边界、过度重视部署安全机制却轻视效果，已被证明不适于当前新型、定向的恶意攻击，故在以企业为代表的内部环境的安全防护中，亟需转换思路，以快对快，以变对变。本文提出了一种基于软件定义的安全协同机制，按需求在终端侧部署诱饵服务，并以服务和应用为粒度建立微分段(Micro-segmentation)围栏，在运行时根据行为分析建立安全上下文(Security Context)，并相应调整诱捕服务的地图和边界分布。与传统蜜罐技术相比，该诱捕机制重在控制平面的决策和协同，具有智能、动态和敏捷的特点，及时发现攻击者攻击链中的行为，并进行观察、跟踪，对其影响范围进行隔离和有效控制。

1 相关工作

2012年,文献[1]最先提出软件定义安全，通过分离安全数据平面与控制平面，将安全设备与其接入模式、部署方式、实现功能进行解耦，顶层统一通过软件编程的方式进行智能化、自动化的业务编排和管理，以完成相应的安全功能，从而实现灵活的安全防护机制以应对软件定义数据中心和新型IT系统的安全防护需求。

蜜罐(Honeypot)技术[2]是诱骗攻击者上钩的一种欺骗(Deception)技术，随着虚拟化技术的发展，欺骗技术越来越多地开始使用虚拟机[3]，灵活地在网络各处启动虚拟的蜜罐系统。……