[發(fā)明專(zhuān)利]全信息記錄方法、裝置及系統(tǒng)

無(wú)效

• 申請(qǐng)?zhí)枺?/td>: 201110256090.7
• 申請(qǐng)日: 2011-09-01
• 公開(kāi)（公告）號(hào): CN102316104A
• 公開(kāi)（公告）日: 2012-01-11
• 發(fā)明（設(shè)計(jì)）人: 茍仲武
• 申請(qǐng)（專(zhuān)利權(quán)）人: 北京中興網(wǎng)安科技有限公司
• 主分類(lèi)號(hào): H04L29/06
• 分類(lèi)號(hào): H04L29/06;H04L29/08
• 代理公司: 北京中博世達(dá)專(zhuān)利商標(biāo)代理有限公司 11274
• 代理人: 申健

1.一種全信息記錄方法，其特征在于，包括：

安全分析控制中心對(duì)各全信息記錄子系統(tǒng)進(jìn)行各項(xiàng)配置參數(shù)和文件存儲(chǔ)權(quán)限的設(shè)置，以使得所述各全信息記錄子系統(tǒng)根據(jù)所述配置參數(shù)和文件存儲(chǔ)權(quán)限對(duì)抓取的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行分析處理，其中，所述配置參數(shù)包括：抓取的網(wǎng)絡(luò)數(shù)據(jù)包在各全信息記錄子系統(tǒng)的存儲(chǔ)區(qū)中的存儲(chǔ)路徑、閾值容量、分析策略和規(guī)則、上報(bào)規(guī)則；

安全分析控制中心接收所述各全信息記錄子系統(tǒng)上報(bào)的分析結(jié)果數(shù)據(jù)，所述分析結(jié)果數(shù)據(jù)為所述各全信息記錄子系統(tǒng)根據(jù)所述配置參數(shù)和文件存儲(chǔ)權(quán)限對(duì)抓取的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行分析處理后的數(shù)據(jù)；

安全分析控制中心根據(jù)所述各全信息記錄子系統(tǒng)上報(bào)的分析結(jié)果數(shù)據(jù)獲取與所述各全信息記錄子系統(tǒng)對(duì)應(yīng)的安全策略。

安全分析控制中心將所述安全策略發(fā)送給對(duì)應(yīng)的各全信息記錄子系統(tǒng)。

2.一種全信息記錄方法，其特征在于，包括：

當(dāng)全信息記錄子系統(tǒng)具備對(duì)抓取到的網(wǎng)絡(luò)數(shù)據(jù)包的存儲(chǔ)權(quán)限時(shí)，根據(jù)預(yù)先設(shè)置的存儲(chǔ)路徑將抓取的所述網(wǎng)絡(luò)數(shù)據(jù)包存儲(chǔ)在所述全信息記錄子系統(tǒng)的存儲(chǔ)區(qū)中；

對(duì)存儲(chǔ)在所述全信息記錄子系統(tǒng)的存儲(chǔ)區(qū)內(nèi)的所述網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行初步檢索得到與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息，并將與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息存儲(chǔ)在所述全信息記錄子系統(tǒng)的數(shù)據(jù)庫(kù)緩存表中；

所述全信息記錄子系統(tǒng)利用預(yù)先設(shè)置的分析策略和規(guī)則，對(duì)所述網(wǎng)絡(luò)數(shù)據(jù)包以及與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息進(jìn)行分析，得到與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的分析結(jié)果數(shù)據(jù)；

所述全信息記錄子系統(tǒng)將與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的分析結(jié)果數(shù)據(jù)按照預(yù)先設(shè)置的上報(bào)規(guī)則上報(bào)給安全分析控制中心。

所述全信息記錄子系統(tǒng)接收安全分析控制中心發(fā)送的對(duì)應(yīng)的安全策略，以便于所述全信息記錄子系統(tǒng)根據(jù)接收到的對(duì)應(yīng)的安全策略重新進(jìn)行各項(xiàng)配置參數(shù)和文件存儲(chǔ)權(quán)限的設(shè)置。

3.根據(jù)權(quán)利要求2所述的一種全信息記錄方法，其特征在于，所述全信息記錄子系統(tǒng)利用預(yù)先設(shè)置的分析策略和規(guī)則，對(duì)所述網(wǎng)絡(luò)數(shù)據(jù)包以及與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息進(jìn)行分析，得到與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的分析結(jié)果數(shù)據(jù)，分析方式包括：

對(duì)所述網(wǎng)絡(luò)數(shù)據(jù)包以及與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息進(jìn)行異常流量分析，得出第一分析結(jié)果數(shù)據(jù)；

對(duì)與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息進(jìn)行分析，統(tǒng)計(jì)各類(lèi)型網(wǎng)絡(luò)流量，得出第二分析結(jié)果數(shù)據(jù)；

對(duì)所述網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行應(yīng)用層分析，得出第三分析結(jié)果數(shù)據(jù)，由第一分析結(jié)果數(shù)據(jù)、第二分析結(jié)果數(shù)據(jù)和第三分析結(jié)果數(shù)據(jù)共同組成與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的分析結(jié)果數(shù)據(jù)。

4.根據(jù)權(quán)利要求2所述的一種全信息記錄方法，其特征在于，還包括：

判斷所述全信息記錄子系統(tǒng)是否具備對(duì)抓取到的網(wǎng)絡(luò)數(shù)據(jù)包的存儲(chǔ)權(quán)限；

當(dāng)判斷所述全信息記錄子系統(tǒng)不具備對(duì)抓取到的網(wǎng)絡(luò)數(shù)據(jù)包的存儲(chǔ)權(quán)限時(shí)，將所述抓取的網(wǎng)絡(luò)數(shù)據(jù)包丟棄，所述全信息記錄子系統(tǒng)重新抓取網(wǎng)絡(luò)數(shù)據(jù)包。

5.根據(jù)權(quán)利要求2所述的一種全信息記錄方法，其特征在于，還包括：

判斷所述全信息記錄子系統(tǒng)存儲(chǔ)區(qū)是否達(dá)到預(yù)先設(shè)置的閾值容量；

當(dāng)判斷所述全信息記錄子系統(tǒng)存儲(chǔ)區(qū)達(dá)到預(yù)先設(shè)置的閾值容量時(shí)，根據(jù)預(yù)先設(shè)置的刪除規(guī)則將所述全信息記錄子系統(tǒng)存儲(chǔ)區(qū)中的網(wǎng)絡(luò)數(shù)據(jù)包、與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的檢索信息以及與所述網(wǎng)絡(luò)數(shù)據(jù)包對(duì)應(yīng)的分析結(jié)果數(shù)據(jù)進(jìn)行刪除。

6.一種安全分析控制中心，其特征在于，包括：

參數(shù)設(shè)置單元，用于對(duì)各全信息記錄子系統(tǒng)進(jìn)行各項(xiàng)配置參數(shù)和文件存儲(chǔ)權(quán)限的設(shè)置，以使得所述各全信息記錄子系統(tǒng)根據(jù)所述配置參數(shù)和文件存儲(chǔ)權(quán)限對(duì)抓取的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行分析處理，其中，所述配置參數(shù)包括：抓取的網(wǎng)絡(luò)數(shù)據(jù)包在各全信息記錄子系統(tǒng)的存儲(chǔ)區(qū)中的存儲(chǔ)路徑、閾值容量、分析策略和規(guī)則、上報(bào)規(guī)則；

接收單元，用于接收所述各全信息記錄子系統(tǒng)上報(bào)的分析結(jié)果數(shù)據(jù)，所述分析結(jié)果數(shù)據(jù)為所述各全信息記錄子系統(tǒng)根據(jù)所述配置參數(shù)和文件存儲(chǔ)權(quán)限對(duì)抓取的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行分析處理后的數(shù)據(jù)；

策略單元，用于根據(jù)所述各全信息記錄子系統(tǒng)上報(bào)的分析結(jié)果數(shù)據(jù)獲取與所述各全信息記錄子系統(tǒng)對(duì)應(yīng)的安全策略。

發(fā)送單元，用于將所述安全策略發(fā)送給對(duì)應(yīng)的各全信息記錄子系統(tǒng)。