(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111546223.4 (22)申请日 2021.12.16 (71)申请人 北京国腾创新科技有限公司 地址 100085 北京市海淀区上地信息路1号 (北京实创高科技发展总公司1-1号)A 栋6层6130号 申请人 南京国腾创兴科技有限公司 (72)发明人 豆龙坤　温嘉骏　王金梅　 (74)专利代理 机构 北京轻创知识产权代理有限 公司 11212 代理人 陈晓斌 (51)Int.Cl. H04L 9/40(2022.01) H04L 41/0213(2022.01) H04L 41/0803(2022.01)H04L 67/00(2022.01) (54)发明名称 一种基于编排蜜网的入侵检测方法、 存储介 质及系统 (57)摘要 本发明公开了一种基于编排蜜网的入侵检 测方法、 存储介质及系统， 涉及网络安全 领域。 该 方法包括： 根据业务网的拓扑结构编排构建蜜 网， 将所述蜜网部署到所述预设云环境中， 将所 述业务网中的流量重定向到所述预设云环境中 的蜜网， 通过所述蜜网检测所述流量中的异常流 量， 基于业务网真实网络拓扑构建蜜网， 具有真 实的网络 结构， 显著提高了蜜网的真实性和诱骗 能力， 通过蜜网与业务攻击者进行交互， 以识别 所使用的策略和工具， 挖掘出未知的规则应对攻 击， 有效防御未知的攻击方式。 权利要求书2页 说明书10页 附图1页 CN 114221815 A 2022.03.22 CN 114221815 A 1.一种基于编排蜜网的入侵检测方法， 其特 征在于， 包括： 根据业务网的拓扑 结构编排构建蜜网； 将所述蜜网部署到所述预设 云环境中； 将所述业务网中的流 量重定向到所述预设 云环境中的蜜网； 通过所述蜜网检测所述 流量中的异常流 量。 2.根据权利要求1所述的一种基于编排蜜 网的入侵检测方法， 其特征在于， 所述根据业 务网的拓扑 结构编排构建蜜网具体包括： 获取业务网的拓扑 结构， 根据所述拓扑 结构获得蜜网描述信息； 对所述蜜网描述信息进行解析生成预设 云环境的蜜网部署配置信息； 根据所述蜜网部署配置信息编排构建蜜网。 3.根据权利要求2所述的一种基于编排蜜 网的入侵检测方法， 其特征在于， 所述根据 所 述拓扑结构获得蜜网描述信息之前还 包括： 对所述拓扑结构进行验证， 当验证结果满足预设格式条件则对所述蜜网描述信 息进行 解析； 当验证结果 不满足预设格式条件则返回继续获取拓扑 结构， 再返回验证步骤。 4.根据权利要求2所述的一种基于编排蜜 网的入侵检测方法， 其特征在于， 所述蜜 网部 署配置信息包括； 虚拟机集群的第一部署配置信息和虚拟机集群内部容器蜜网的第二部署 配置信息； 所述根据所述蜜网部署配置信息编排构建蜜网具体包括： 调度预设云环境的虚拟机资源和网络资源， 结合所述第 一部署配置信 息构建蜜 网的宿 主机集群； 在宿主机集群内， 根据所述第二部署配置信息对所述业务网中的不同子网进行重构， 生成容器蜜网集群。 5.根据权利要求2所述的一种基于编排蜜网的入侵检测方法， 其特 征在于， 还 包括： 定时检测业 务网的拓扑 结构， 根据拓扑 结构的变化更新蜜网描述信息； 根据更新后的蜜网描述信息调整预设 云环境中的蜜网。 6.一种基于编排蜜网的入侵检测系统， 其特征在于， 包括： 蜜网编排构建模块、 部署模 块、 流量重定向模块和检测模块； 所述蜜网编排构建模块用于根据业 务网的拓扑 结构编排构建蜜网； 所述部署模块用于将所述蜜网部署到所述预设 云环境中； 所述流量重定向模块用于将所述 业务网中的流 量重定向到所述预设 云环境中的蜜网； 所述检测模块用于通过 所述蜜网检测所述 流量中的异常流 量。 7.根据权利要求6所述的一种基于编排蜜 网的入侵检测系统， 其特征在于， 所述蜜 网编 排构建模块具体用于获取业 务网的拓扑 结构， 根据所述拓扑 结构获得蜜网描述信息； 对所述蜜网描述信息进行解析生成预设 云环境的蜜网部署配置信息； 根据所述蜜网部署配置信息编排构建蜜网。 8.根据权利要求7所述的一种基于编排蜜网的入侵检测系统， 其特征在于， 还包括： 验 证模块， 用于对所述拓扑结构进行验证， 当验证结果满足预设格式条件则对所述蜜网描述 信息进行解析；权　利　要　求　书 1/2 页 2 CN 114221815 A 2当验证结果不满足预设格式条件则返回继续获取拓扑结构， 再返回进行拓扑结构验 证。 9.一种存储介质， 其特征在于， 所述存储介质中存储有指令， 当计算机读取所述指令 时， 使所述计算机执 行如权利要求1 ‑5任一项所述的一种基于编排蜜网的入侵检测方法。 10.一种业 务检测系统， 其特 征在于， 包括： 存储器， 用于存 储计算机程序； 处理器， 用于执行所述计算机程序， 实现如权利要求1 ‑5任一项所述的一种基于编排蜜 网的入侵检测方法。权　利　要　求　书 2/2 页 3 CN 114221815 A 3