基于网络特征混淆的欺骗防御技术研究

赵金龙，张国敏，邢长友

基于网络特征混淆的欺骗防御技术研究

赵金龙，张国敏，邢长友

（陆军工程大学指挥控制工程学院，江苏 南京 210001）

网络攻击之前通常有侦查阶段，攻击者通过流量分析和主动扫描等技术获取目标系统的关键信息，从而制定有针对性的网络攻击。基于网络特征混淆的欺骗防御是一种有效的侦查对抗策略，该策略干扰攻击者在侦查阶段获取的信息，从而使攻击者发动无效的攻击。对现有混淆欺骗防御方案的技术原理进行了分析，给出了网络混淆欺骗的形式化定义，并从3个层次对现有的研究成果进行了讨论，最后分析了混淆欺骗防御技术的发展趋势。

网络侦查防护；拓扑混淆；侦查欺骗；欺骗防御

1 引言

大量研究表明，网络攻击之前通常伴有侦查阶段。有研究指出70%的攻击活动之前都存在侦查行为[1]，一次网络攻击中平均45%的时间用在了在侦查阶段[2]。因此，在网络杀伤链[3]等研究定义的攻击模型中，都将网络侦查作为网络攻击的第一个阶段，如图1所示。网络侦查能够帮助攻击者有效地识别潜在目标及其漏洞，为其提供战术优势[4-5]。攻击者通常采用各种扫描器或定制化工具去扫描目标网络和系统，以获取相关信息，包括网络拓扑（节点关系、链路带宽、路由表、MAC地址、IP地址、操作系统）和服务及服务依赖关系等，并依赖这些网络的特征信息来识别可供利用的主机和漏洞，从而制定高效的攻击方案。例如，高级持续威胁APT，社会工程学攻击等网络攻击的实施都依赖于网络侦查结果[6-7]。……