[發明專利]用于在檢測網絡攻擊期間減少誤報的系統及方法

有效

• 申請號: 201210161270.1
• 申請日: 2012-05-22
• 公開（公告）號: CN102761539A
• 公開（公告）日: 2012-10-31
• 發明（設計）人: 尼古拉·V·古多夫;德米特里·A·列瓦紹夫
• 申請（專利權）人: 卡巴斯基實驗室封閉式股份公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京市磐華律師事務所 11336
• 代理人: 顧珊;魏寧

1.一種用于在檢測對受保護計算機的網絡攻擊期間減少誤報的系統，所述系統包括：

代理設備，被配置為對指向所述受保護計算機的通信量進行重定向和鏡像；

通信量傳感器，被配置為收集關于所述被鏡像的通信量的統計信息；

數據收集器，被配置為匯總由所述通信量傳感器所收集的信息并基于所匯總的統計信息生成通信量過濾規則；

過濾中心，被配置為與所述通信量傳感器從所述被鏡像的通信量收集所述統計信息并行地，基于由所述數據收集器提供的所述通信量過濾規則來過濾所述被重定向的通信量；和

控制模塊，被配置為收集并存儲關于已知網絡攻擊的統計信息，并且修正所述過濾中心所使用的通信量過濾規則，以便在檢測對所述受保護計算機的網絡攻擊期間減少誤報。

2.根據權利要求1所述的系統，其中，所述數據收集器基于所匯總的信息生成指向所述受保護計算機的平均統計通信量的模型，并且基于所生成的統計模型生成通信量過濾規則。

3.根據權利要求1所述的系統，其中，所述關于已知網絡攻擊的統計信息包括：

攻擊期間的平均網絡負載和峰值網絡負載的統計信息；

關于互聯網中僵尸網絡的惡意活動的信息；

參與網絡攻擊的僵尸網絡的數量；

網絡攻擊啟動的時間；

網絡攻擊的持續時間；和

網絡攻擊的布局。

4.根據權利要求1所述的系統，其中，所述控制模塊使用IP地址的白名單和黑名單來更新通信量過濾規則。

5.根據權利要求4所述的系統，其中，所述IP地址的白名單和黑名單是基于行為標準而創建的，包括：

來自一個IP地址的查詢和會話的數量；

來自一個IP地址的未經確認的查詢的數量；

來自一個IP地址的對同類型數據的查詢的數量；以及

無需繼續交換信息的連接的數量。

6.根據權利要求1所述的系統，其中，所述數據收集器被配置為以不同的粒度級別來匯總關于網絡通信量的統計信息，并且生成不同的過濾規則，用于以不同的粒度級別來過濾網絡通信量。

7.根據權利要求1所述的系統，其中，過濾中心位于與所述受保護計算機相關聯的寬帶主干網附近，并且通信量傳感器位于所述受保護計算機附近。

8.一種用于在檢測對受保護計算機的網絡攻擊期間減少誤報的由計算機實施的方法，所述方法包括：

將以所述受保護計算機為目的地的網絡通信量重定向至過濾中心，并且將所述網絡通信量鏡像至通信量傳感器；

由所述過濾中心使用預定義的過濾規則來過濾所述被重定向的通信量；

與通信量過濾并行地，由所述通信量傳感器分析所述被鏡像的網絡通信量，并且收集關于所述被鏡像的網絡通信量的統計信息；

基于由所述通信量傳感器所收集的所述統計信息來更新所述過濾中心中的通信量過濾規則；以及

由控制模塊基于關于已知網絡攻擊的統計信息來修正所述被更新的過濾規則，以便在檢測對所述受保護計算機的網絡攻擊期間減少誤報。

9.根據權利要求8所述的方法，其中，收集關于所述被鏡像的網絡通信量的統計信息進一步包括：

基于所收集的統計信息而生成指向所述受保護計算機的平均統計通信量的模型；以及

基于所生成的統計模型而生成通信量過濾規則。

10.根據權利要求8所述的方法，其中，所述關于已知網絡攻擊的統計信息包括：

攻擊期間的平均網絡負載和峰值網絡負載的統計信息；

關于互聯網中僵尸網絡的惡意活動的信息；

參與網絡攻擊的僵尸網絡的數量；

網絡攻擊啟動的時間；

網絡攻擊的持續時間；和

網絡攻擊的布局。

11.根據權利要求8所述的方法，其中，所述由控制模塊修正過濾規則進一步包括：使用IP地址的白名單和黑名單來修正通信量過濾規則。

12.根據權利要求11所述的方法，進一步包括基于行為標準生成IP地址的白名單和黑名單，包括：

來自一個IP地址的查詢和會話的數量；

來自一個IP地址的未經確認的查詢的數量；

來自一個IP地址的對同類型數據的查詢的數量；以及

無需繼續交換信息的連接的數量。