(19)中华 人民共和国 国家知识产权局 (12)发明 专利申请 (10)申请公布号 (43)申请公布日 (21)申请 号 202111478268.2 (22)申请日 2021.12.0 6 (71)申请人 安天科技 集团股份有限公司 地址 150028 黑龙江省哈尔滨市高新 技术 产业开发区科技创新城创新创业广场 7号楼 （世坤路838号） (72)发明人 李登锋　白淳升　 (74)专利代理 机构 北京格允知识产权代理有限 公司 11609 代理人 周娇娇 (51)Int.Cl. H04L 9/40(2022.01) H04L 51/212(2022.01) H04L 51/42(2022.01) (54)发明名称 网空威胁行为体的溯源方法、 装置、 电子设 备及存储介质 (57)摘要 本发明实施例涉及计算机技术领域， 特别涉 及一种网空威胁行为体的溯源方法、 装置、 电子 设备及存储介质。 其中， 网空威胁行为体的溯源 方法包括： 构建溯源主体； 其中， 所述溯源主体具 有虚假且可控的溯源 载荷； 利用所述溯源主体接 收并触发网空威胁行为体的攻击载荷， 以使所述 网空威胁行为体获得所述溯源主体的访问权限； 响应于所述网空威胁行为体触发所述溯源主体 的所述溯源 载荷， 利用所述溯源 载荷获取所述网 空威胁行为体的属性信息， 以对 所述网空威胁行 为体进行溯源。 本发明提供的技术方案能够解决 网空威胁行为体不能及时被溯源的问题。 权利要求书2页 说明书10页 附图3页 CN 114143105 A 2022.03.04 CN 114143105 A 1.一种网空威胁行为体的溯源方法， 其特 征在于， 包括： 构建溯源主体； 其中， 所述溯源主体具有虚假且可控的溯源载荷； 利用所述溯源主体接收并触发网空威胁行为体的攻击载荷， 以使所述网空威胁行为体 获得所述溯源主体的访问权限； 响应于所述网空威胁行为体触发所述溯源主体的所述溯源载荷， 利用所述溯源载荷获 取所述网空威胁行为体的属性信息， 以对所述网空威胁行为体进行溯源。 2.根据权利要求1所述的方法， 其特征在于， 所述溯源主体包括陷阱邮箱和拟真主体， 所述陷阱 邮箱是基于防御方的身份信息进行构建的， 所述拟真主体包括沙箱或蜜罐。 3.根据权利要求2所述的方法， 其特征在于， 所述利用所述溯源主体接收并触发网空威 胁行为体的攻击载荷， 以使所述网空威胁行为体获得 所述溯源主体的访问权限， 包括： 利用所述陷阱邮箱接收网空威胁行为体的攻击邮件； 其中， 所述攻击邮件具有攻击载 荷； 利用运行在所述拟真主体上的所述陷阱邮箱触发所述攻击载荷， 以使所述网空威胁行 为体获得 所述陷阱 邮箱的访问权限或所述拟真主体的访问权限。 4.根据权利要求3所述的方法， 其特征在于， 在所述构建溯源主体之后和在所述利用所 述陷阱邮箱接收网空威胁行为体的攻击邮件之前， 还 包括： 对所述陷阱 邮箱进行 预处理； 公开发布预处 理后的所述陷阱 邮箱。 5.根据权利要求 4所述的方法， 其特 征在于， 所述预处 理包括如下中的至少一种： 降低所述陷阱 邮箱的访问权限； 开启所述陷阱 邮箱的登陆者 IP和地理位置记录功能； 在所述陷阱 邮箱中预存多封具有预设时间跨度的正常邮件。 6.根据权利要求3所述的方法， 其特征在于， 在所述利用运行在所述拟真主体上的所述 陷阱邮箱触发所述攻击载荷之后和在所述响应于所述网空威胁行为体触发所述溯源主体 的所述溯源载荷之前， 还 包括如下中的至少一个步骤： 响应于监测到所述陷阱邮箱存在异常行为， 对由所述陷阱邮箱向外发送的邮件进行拦 截， 并在所述陷阱 邮箱的邮件页面显示 为已发送状态； 响应于监测到所述陷阱邮箱存在异常行为， 向所述陷阱邮箱发送新的溯源载荷； 其中， 所述溯源载荷为陷阱 邮件， 所述陷阱 邮件的内容具有预设的敏感信息； 响应于监测到所述拟真主体存在异常行为， 向所述拟真主体发送新的溯源载荷； 其中， 所述溯源载荷为陷阱文件， 所述陷阱文件的内容具有预设的敏感信息 。 7.根据权利要求1 ‑6中任一项所述的方法， 其特征在于， 所述属性信息包括网络信息、 主机信息和文件信息， 其中： 所述网络信息包括 IP地址、 网络账号、 W IFI信息； 所述主机信息包括系统语言、 时区位置、 进程 服务、 软件列表； 所述文件信息包括武器工具、 程序源码、 日记手册、 客户协议。 8.一种网空威胁行为体的溯源 装置， 其特 征在于， 包括： 构建模块， 用于构建溯源主体； 其中， 所述溯源主体具有虚假且可控的溯源载荷； 触发模块， 用于利用所述溯源主体接收并触发网空威胁行为体的攻击载荷， 以使所述权　利　要　求　书 1/2 页 2 CN 114143105 A 2网空威胁行为体获得 所述溯源主体的访问权限； 溯源模块， 用于响应于所述网空威胁行为体触发所述溯源主体的所述溯源载荷， 利用 所述溯源载荷获取 所述网空威胁行为体的属性信息， 以对所述网空威胁行为体进行溯源。 9.一种电子设备， 包括存储器和处理器， 所述存储器中存储有计算机程序， 所述处理器 执行所述计算机程序时， 实现如权利要求1 ‑7中任一项所述的方法。 10.一种计算机可读存储介质， 其上存储有计算机程序， 当所述计算机程序在计算机中 执行时， 令计算机执 行权利要求1 ‑7中任一项所述的方法。权　利　要　求　书 2/2 页 3 CN 114143105 A 3