[發明專利]全程全網安全協同防御系統的協同防御方法

無效

• 申請號: 201010205742.X
• 申請日: 2010-06-22
• 公開（公告）號: CN101938460A
• 公開（公告）日: 2011-01-05
• 發明（設計）人: 茍仲武
• 申請（專利權）人: 北京豪訊美通科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種全程全網安全協同防御系統的協同防御方法，所述全程全網安全協同防御系統包括安全分析控制中心、設置于計算機網絡節點外端口處的流量數據探測子系統和設置于計算機網絡節點的協同防御設備，所述的協同防御方法包括如下步驟：

(1)流量數據探測子系統持續接收預進入內部網絡的流量，采集流量數據并將其發送至協同防御設備，協同防御設備將分析確認不包含異常活動和異常內容的流量數據傳送到計算機內部系統；

(2)當協同防御設備檢測到有異常的數據包或者異常流量安全事件時，則通知流量數據探測子系統將異常流量數據后續包傳送給協同防御設備，協同防御設備對異常流量數據進行分析，依據原有的預設策略或形成的新策略或安全分析中心發送過來的安全策略對安全事件進行處理；

(3)協同防御設備將安全事件、策略、事件處理結果及其日記傳送給安全分析控制中心；

(4)安全分析控制中心接收并傳送事件相關信息至安全分析控制內置的數據中心，經安全分析控制中心進行統一分析后做出管理決策，查看各協同防御設備并分析全程全網安全協同防御系統的運行狀況，然后更新各協同防御設備的協同防御策略，對協同防御設備的各功能組件進行統一部署，并通過審核日記對安全事件進行源頭控制；

(5)安全分析控制中心記錄整個安全事件處理時間，結果等，以備追蹤查詢。

2.如權利要求1所述的全程全網安全協同防御系統的協同防御方法，其特征在于，所述的步驟(2)中，當原有安全策略可以處理安全事件時僅利用其原有的預設策略響應；當原有的預設策略無法處理安全事件時，協同防御設備利用自身的策略和網絡資源，或反映給管理員制定新的可執行策略，并將策略分發至其他協同防御設備；當協同防御設備自身無法制定相應的策略時，發送報告給安全分析控制中心，安全分析控制中心結合數據中心制定策略，并分發給其他協同防御設備。

3.如權利要求1所述的全程全網安全協同防御系統的協同防御方法，其特征在于，所述全程全網安全協同防御系統基于服務器-代理的模式，安全分析控制中心通過部署在協同防御設備上的代理程序與協同防御設備進行安全通信，代理程序中的本地監控插件根據安全分析控制中心的指令，指示協同防御設備完成相應的協同策略管理動作。

4.如權利要求3所述的全程全網安全協同防御系統的協同防御方法，其特征在于，所述協同防御設備完成的協同策略管理動作包括：返回當前各協同防御設備的狀態信息和性能數據；指示各協同防御設備在特定的情況下篩選某一時間段內的安全組件日志信息，并將這些信息匯總到安全分析控制中心；對協同防御設備中的各個網絡安全組件進行統一更新和控制，調動多臺協同防御設備中的安全組件協同工作；升級更新協同防御設備安全組件、安全策略和協同策略。

5.如權利要求1所述的全程全網安全協同防御系統的協同防御方法，其特征在于，所述安全分析控制中心與各協同防御設備呈樹型網絡拓撲結構。

6.如權利要求5所述的全程全網安全協同防御系統的協同防御方法，其特征在于，所述的各協同防御設備包括第一級協同防御設備和第二級協同防御設備，所述第一級協同防御設備分別與安全分析控制中心連接，所述的第一級協同防御設備分別與多個第二級協同防御設備連接。

7.如權利要求6所述的全程全網安全協同防御系統的協同防御方法，其特征在于，所述的步驟(2)中還包括：

(2.1)當所述第二級CTM設備發現新的安全事件后，直接向其所屬的上一級的第一級CTM設備報告；

(2.2)第一級CTM設備收到報告后，如果該第一級CTM設備依據所預先設定的安全策略和數據庫，應對處理該安全事件，進入下一步驟，若該第一級CTM設備依據所設定的安全策略和數據庫不能應對處理該安全事件，進入步驟4)：

(2.3)該第一級CTM設備生成響應策略并分發給所屬的各CTM設備子域，再將該第一級CTM設備的處理結果的摘要信息向安全分析控制中心報告；

(2.4)該第一級CTM設備將該安全事件向安全分析控制中心報告，由安全分析控制中心進行分析處理后并將響應策略并轉發給各個第一級CTM設備，并統一調控各個第一級、第二級CTM設備的功能組件和更新各第一、第二級CTM設備的策略數據。