一种蜜网主动防御系统中的数据控制方法

摘要

本发明涉及一种蜜网主动防御系统中的数据控制方法，对失败连接进行计数统计，短期计数器对每个IP源地址的记录都有一个计数统计，当短期计数器超过阈值时认为检测到蠕虫异常行为，对该IP源地址发出的数据包进行抑制，但当短期计数器没有超过阈值时，开始触发多轮检测机制，将该IP源地址的记录存入长期检测表里，当长期计数器超时并且计数值超过门限值时，我们认为检测到蠕虫异常行为，进行抑制，如果没有超时，认为该数据包正常可以放行。其优点是：能够识别故意放缓攻击速率以期绕过防火墙控制的未知攻击行为或隐蔽型攻击行为，识别隐蔽型攻击行为和慢速攻击行为，特别能够分析鉴别黑客发明的新的攻击行为模式。