[發(fā)明專利]一種安全事件實時確認方法及系統(tǒng)

有效

• 申請?zhí)枺?/td>: 200910084704.0
• 申請日: 2009-05-25
• 公開（公告）號: CN101902334A
• 公開（公告）日: 2010-12-01
• 發(fā)明（設計）人: 趙東賓
• 申請（專利權(quán)）人: 北京啟明星辰信息技術(shù)股份有限公司;北京啟明星辰信息安全技術(shù)有限公司
• 主分類號: H04L9/36
• 分類號: H04L9/36;H04L29/06
• 代理公司: 北京安信方達知識產(chǎn)權(quán)代理有限公司 11262
• 代理人: 龍洪;霍育棟

1.一種安全事件實時確認方法，其特征在于，包括：

接收網(wǎng)絡報文；

對所述網(wǎng)絡報文進行攻擊行為檢測，將檢測出攻擊行為的所述網(wǎng)絡報文描述為攻擊報文；

提取所述攻擊報文的響應報文；

使用一安全事件確認規(guī)則，對所述響應報文進行匹配，得到所述攻擊報文的攻擊確認結(jié)果，所述安全事件確認規(guī)則用于判定所述攻擊是否成功。

2.如權(quán)利要求1所述的方法，其特征在于：

所述安全事件確認規(guī)則中，包含有攻擊成功特征和/或攻擊失敗特征，所述攻擊成功特征用于判定所述攻擊報文攻擊成功，所述攻擊失敗特征用于判定所述攻擊報文攻擊失敗。

3.如權(quán)利要求2所述的方法，其特征在于：

所述攻擊確認結(jié)果，包括確認為攻擊成功的攻擊成功事件、確認為攻擊失敗的攻擊失敗事件，或者無法確認為攻擊成功或者失敗的攻擊結(jié)果未知事件。

4.如權(quán)利要求1所述的方法，其特征在于：

檢測到所述攻擊報文后，監(jiān)控到所述攻擊報文所屬連接上的后續(xù)報文為攻擊者發(fā)出的網(wǎng)絡報文時，確認所述攻擊報文攻擊失敗。

5.如權(quán)利要求1所述的方法，其特征在于：

對所述響應報文進行所述匹配，包括采用匹配樹方式進行。

6.一種安全事件實時確認系統(tǒng)，其特征在于，包括：

接收模塊，用于接收報文；

檢測模塊，與所述接收模塊相連，用于對所述網(wǎng)絡報文進行攻擊行為檢測，將檢測出攻擊行為的所述網(wǎng)絡報文描述為攻擊報文；

提取模塊，與所述檢測模塊相連，用于提取所述攻擊報文的響應報文；

安全事件確認規(guī)則庫，用于存儲判定攻擊是否成功的安全事件確認規(guī)則；

匹配模塊，與所述提取模塊及安全事件確認規(guī)則庫相連，用于使用所述安全事件確認規(guī)則對所述響應報文進行匹配，得到所述攻擊報文的攻擊確認結(jié)果。

7.如權(quán)利要求6所述的系統(tǒng)，其特征在于：

所述安全事件確認規(guī)則庫，包含有攻擊成功特征和/或攻擊失敗特征，所述攻擊成功特征用于判定所述攻擊報文攻擊成功，所述攻擊失敗特征用于判定所述攻擊報文攻擊失敗。

8.如權(quán)利要求7所述的系統(tǒng)，其特征在于：

所述匹配模塊得到的所述攻擊確認結(jié)果，包括確認為攻擊成功的攻擊成功事件、確認為攻擊失敗的攻擊失敗事件，或者無法確認為攻擊成功或者失敗的攻擊結(jié)果未知事件。

9.如權(quán)利要求6所述的系統(tǒng)，其特征在于：

所述匹配模塊，對所述響應報文進行所述匹配，包括采用匹配樹方式進行。

10.如權(quán)利要求1所述的系統(tǒng)，其特征在于：

所述提取模塊，在所述檢測模塊檢測到所述攻擊報文后，進一步監(jiān)控到所述攻擊報文所屬連接上的后續(xù)報文為攻擊者發(fā)出的網(wǎng)絡報文時，確認所述攻擊報文攻擊失敗。