[發明專利]一種網絡安全應急響應方法

有效

• 申請號: 201110008481.7
• 申請日: 2011-01-14
• 公開（公告）號: CN102594783A
• 公開（公告）日: 2012-07-18
• 發明（設計）人: 程瑤;馮登國;應凌云;蘇璞睿
• 申請（專利權）人: 中國科學院軟件研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京君尚知識產權代理事務所(普通合伙) 11200
• 代理人: 馮藝東

1.一種網絡安全應急響應方法，其步驟為：

1)服務器端建立一網絡安全應急策略庫，并設置該策略庫中每一策略的屬性；其中策略屬性包括：針對某類型安全事件的策略類型、是否為某類型安全事件的通用策略、針對某類型安全事件的安全屬性；

2)將網絡探針從待檢測網絡環境中探測的安全事件報告上報到服務器；

3)服務器提取當前安全事件報告的事件類型和事件屬性信息；

4)服務器根據事件類型查找匹配類型的策略，如果匹配類型的策略為通用策略，則將該策略添加到可選策略列表中；如果不是通用策略，則將該策略的安全屬性中的每一屬性與事件屬性進行匹配，如果每一屬性均與事件屬性中的某一屬性匹配，則將該策略添加到可選策略列表中，否則放棄該策略；

5)服務器返回當前安全事件的可選策略列表給用戶。

2.如權利要求1所述的方法，其特征在于所述網絡探針包括：木馬通訊監控探針、病毒傳播監控探針、Ids探針、桌面主動防御軟件；所述策略類型包括木馬應急策略、病毒傳播應急策略、Ids應急策略、桌面主動防御應急策略；所述安全事件報告的事件類型包括：木馬安全事件報告、病毒傳播安全事件報告、Ids安全事件報告、桌面主動防御安全事件報告。

3.如權利要求2所述的方法，其特征在于所述木馬應急策略的安全屬性包括：木馬的名稱、木馬行為；所述病毒傳播應急策略的安全屬性包括：安全事件病毒名稱；所述Ids應急策略的安全屬性包括：Ids報警類型、Ids報警名稱、Ids報警事件所屬服務、Ids報警事件CVE編號；所述桌面主動防御應急策略的安全屬性包括：針對對象類型。

4.如權利要求3所述的方法，其特征在于所述木馬安全事件報告的屬性包括：安全事件發生時間、來源探針的設備ip、源Mac地址、目的Mac地址、源ip地址、目的ip地址、源端口、目的端口、木馬探針報警類型、木馬探針報警子類型、等級、木馬探針報警規則id、木馬探針報警規則名稱、木馬探針報警行為類型名稱、木馬探針報警網絡協議。

5.如權利要求3所述的方法，其特征在于所述病毒傳播安全事件報告的屬性包括：安全事件發生時間、來源探針的設備ip、源Mac地址、目的Mac地址、源ip地址、目的ip地址、源端口、目的端口、病毒探針報警說明、病毒探針報警病毒名稱、病毒探針報警中應用協議類型。

6.如權利要求3所述的方法，其特征在于所述Ids安全事件報告的屬性包括：安全事件發生時間、來源探針的設備ip、源Mac地址、目的Mac地址、源ip地址、目的ip地址、源端口、目的端口、發送報警的設備ip地址、Ids報警事件類型、Ids報警事件名稱、Ids報警事件所屬服務、Ids報警事件CVE編號、Ids報警事件的應用協議類型。

7.如權利要求3所述的方法，其特征在于所述桌面主動防御安全事件報告的屬性包括：安全事件發生時間、來源探針的設備ip、桌面防御報警模塊/文件/注冊表路徑、桌面防御報警模塊/文件/注冊表名稱、桌面防御報警事件在模塊/文件/注冊表關鍵區域中執行的動作、針對對象類型。

8.如權利要求1或2或3所述的方法，其特征在于用戶根據返回的所述可選策略列表，選取策略處理當前安全事件后，填寫并返回一反饋記錄表給所述服務器；所述服務器根據反饋記錄表對相應策略進行評分。

9.如權利要求8所述的方法，其特征在于所述服務器根據策略評分對所述可選策略列表中的策略進行排序。