[發明專利]應用級容侵系統和方法

有效

• 申請號: 201310028898.9
• 申請日: 2013-01-25
• 公開（公告）號: CN103118021A
• 公開（公告）日: 2013-05-22
• 發明（設計）人: 郭騫;俞庚申;馮谷;余勇;范杰;蔣誠智;李尼格;高鵬
• 申請（專利權）人: 中國電力科學研究院;國家電網公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京安博達知識產權代理有限公司 11271
• 代理人: 徐國文

1.一種應用級容侵系統，其特征在于，所述系統包括：依次連接的邊界判斷單元、應用單元和應用系統模塊。?

2.根據權利要求1所述的系統，其特征在于，所述邊界判斷單元，用于對外部訪問進行分析、分配與入侵事件的響應。?

3.根據權利要求1所述的系統，其特征在于，所述應用單元，包括：虛擬應用模塊、和分別與各個虛擬應用模塊進行數據交互的虛擬應用管理器。?

4.根據權利要求2所述的系統，其特征在于，所述邊界判斷單元，包括：數據采集器、事件產生器、事件數據庫、訪問分配模塊、事件分析器模塊和事件處理單元；所述數據采集器、所述事件產生器、所述事件數據庫和所述事件處理單元依次進行通信；所述事件產生器向所述訪問分配模塊發送數據。?

5.根據權利要求4所述的系統，其特征在于，所述數據采集器，收集外部訪問過程的數據，收集的數據包括網絡數據包、訪問地址鏈接和用戶動作，并將數據交給事件產生器。?

6.根據權利要求4所述的系統，其特征在于，所述事件產生器，將數據進行一次分配，將用戶訪問動作全部轉發給訪問分配模塊，其余數據則轉入所述事件數據庫。?

7.根據權利要求4所述的系統，其特征在于，所述事件分析器模塊，從事件數據庫中提取數據，并進行關聯分析，確定入侵事件；所述事件分析器模塊，包括：各個并行設置的事件分析器。?

8.根據權利要求4所述的系統，其特征在于，所述事件處理模塊，對事件分析器的分析結果進行處理，轉換成虛擬應用管理器能識別的指令控制虛擬應用管理器的動作。?

9.根據權利要求4所述的系統，其特征在于，所述訪問分配單元，將所述?事件產生器傳入的用戶訪問進行關聯性分析，將有關聯的用戶訪問轉至對應的虛擬應用模塊中運行。?

10.根據權利要求4所述的系統，其特征在于，所述事件分析器模塊，從事件數據庫中提取數據，并進行關聯分析，確定入侵事件；入侵事件，包括：拒絕服務攻擊和SQL注入攻擊。?

11.根據權利要求4所述的系統，其特征在于，所述虛擬應用模塊，用于提供與真實應用系統相同的功能；各個虛擬應用模塊之間相互獨立。?

12.根據權利要求4所述的系統，其特征在于，所述虛擬應用管理器，用于負責處理所述邊界判斷模塊發送的入侵事件的響應以及對各個虛擬應用模塊進行管理。?

13.根據權利要求12所述的系統，其特征在于，所述虛擬應用管理器，包括：數據鏈接和數據差異段。?

14.根據權利要求13所述的系統，其特征在于，所述數據鏈接，指向真實應用的數據，作為基礎數據；所述數據差異段，將每個虛擬應用模塊的寫入行分別作為一個虛擬對象，每個虛擬對象維持一個數據鏈表，在此數據鏈表中依次建立包含操作者、時間和記錄的節點。?

15.根據權利要求1所述的系統，其特征在于，所述應用系統模塊，為需要容侵保護的對象。?

16.一種應用級容侵方法，其特征在于，所述方法包括如下步驟：?

(1).訪問分配與分析；?

(2).應用系統虛擬；?

(3).應用行為合并和回退。?

17.根據權利要求16所述的方法，其特征在于，所述步驟1包括如下步驟：?

(1-1).數據采集器收集外部訪問過程數據，并將數據交給事件產生器；?

(1-2).事件產生器將收集到的數據進行一次分配，判斷是否是用戶訪問，如果是則將用戶訪問動作全部轉發給訪問分配單元進行處理并轉至步驟1-5，否則將訪問數據轉入事件數據庫；?

(1-3).各個事件分析器從事件數據庫中提取數據，并進行關聯分析，確定入侵事件；?

(1-4).事件處理單元對事件分析器的分析結果進行處理，轉換成虛擬應用管理器能識別的指令控制虛擬應用管理器的動作；?

(1-5).訪問分配單元則將事件產生器傳入的用戶訪問進行關聯性分析，將有關聯的用戶訪問轉至對應的虛擬應用中運行。?

18.根據權利要求16所述的方法，其特征在于，在所述步驟3中，當外部訪問結束時，邊界判斷模塊向虛擬應用管理器提交外部訪問結束動作，虛擬應用管理器判別該外部訪問所使用的虛擬應用，如果該虛擬應用不包含其他外部訪問，則將其對應的虛擬對象的差異段依時間排序，寫入真實數據中；?

當邊界判斷模塊發現入侵行為時，虛擬應用管理器判別該外部訪問所使用的虛擬應用，撤銷所有該虛擬應用對應的虛擬對象及其差異段鏈表，同時重置虛擬應用，以分配給其他外部訪問。由于不同虛擬應用之間相互隔離，且都具有應用系統的功能，故不會影響其他外部訪問，保證發生侵害時的應用系統可用性。?