[發(fā)明專利]一種基于云計(jì)算環(huán)境的全信息安全取證監(jiān)聽方法和系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201310084235.9
• 申請(qǐng)日: 2013-03-15
• 公開（公告）號(hào): CN103152352A
• 公開（公告）日: 2013-06-12
• 發(fā)明（設(shè)計(jì)）人: 劉剛;侯賓
• 申請(qǐng)（專利權(quán)）人: 北京郵電大學(xué)
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;H04L29/08;H04L12/24
• 代理公司: 北京路浩知識(shí)產(chǎn)權(quán)代理有限公司 11002
• 代理人: 王瑩

1.一種基于云計(jì)算環(huán)境的全信息安全取證監(jiān)聽方法，其特征在于，所述方法具體包括以下步驟：

S1：基于云計(jì)算對(duì)整個(gè)分布式網(wǎng)絡(luò)進(jìn)行部署，包括監(jiān)聽節(jié)點(diǎn)、匯聚節(jié)點(diǎn)和監(jiān)控中心，并配置參數(shù)；

S2：所述監(jiān)聽節(jié)點(diǎn)抓取網(wǎng)絡(luò)交換設(shè)備中的數(shù)據(jù)包獲取原始數(shù)據(jù)，對(duì)所述原始數(shù)據(jù)進(jìn)行暫存和實(shí)時(shí)分析，并根據(jù)控制指令將所述原始數(shù)據(jù)和實(shí)時(shí)分析得到的分析結(jié)果上傳給所述匯聚節(jié)點(diǎn)；

S3：所述匯聚節(jié)點(diǎn)對(duì)所述原始數(shù)據(jù)和所述分析結(jié)果進(jìn)行壓縮、轉(zhuǎn)換和緩存，上傳給所述監(jiān)控中心；

S4：所述監(jiān)控中心對(duì)從所述匯聚節(jié)點(diǎn)接收到的數(shù)據(jù)進(jìn)行匯總、云存儲(chǔ)和分析，形成監(jiān)聽報(bào)表，并根據(jù)所述監(jiān)聽報(bào)表得出安全策略。

2.如權(quán)利要求1所述的方法，其特征在于，所述步驟S1中基于云計(jì)算對(duì)整個(gè)分布式網(wǎng)絡(luò)進(jìn)行部署具體是進(jìn)行分網(wǎng)段的部署，將整個(gè)網(wǎng)絡(luò)分成多個(gè)網(wǎng)段，每個(gè)網(wǎng)段內(nèi)設(shè)置多個(gè)監(jiān)聽節(jié)點(diǎn)；

所述監(jiān)聽節(jié)點(diǎn)的網(wǎng)絡(luò)接口采用混雜模式，對(duì)網(wǎng)段內(nèi)的數(shù)據(jù)包采取異步抓包進(jìn)行抓??；

所述監(jiān)控中心包括多個(gè)匯聚節(jié)點(diǎn)，隸屬于所述監(jiān)控中心的匯聚節(jié)點(diǎn)向所述監(jiān)控中心進(jìn)行注冊(cè)，并通過所述匯聚節(jié)點(diǎn)獲取所述監(jiān)控中心發(fā)布的對(duì)匯聚節(jié)點(diǎn)的配置信息；

所述匯聚節(jié)點(diǎn)包括多個(gè)監(jiān)聽節(jié)點(diǎn)，屬于所述匯聚節(jié)點(diǎn)的監(jiān)聽節(jié)點(diǎn)向所述匯聚節(jié)點(diǎn)進(jìn)行注冊(cè)，所述匯聚節(jié)點(diǎn)接收監(jiān)聽節(jié)點(diǎn)的注冊(cè)后將每個(gè)注冊(cè)的監(jiān)聽節(jié)點(diǎn)的地址信息反饋給所述監(jiān)控中心，并獲取所述監(jiān)控中心發(fā)布的對(duì)監(jiān)聽節(jié)點(diǎn)的配置信息。

3.如權(quán)利要求1所述的方法，其特征在于，所述步驟S2中對(duì)所述原始數(shù)據(jù)進(jìn)行暫存具體包括：判斷存儲(chǔ)空間的容量是否達(dá)到容量閾值，如果達(dá)到則發(fā)出提醒或自動(dòng)刪除存儲(chǔ)時(shí)間最早的原始數(shù)據(jù)，否則進(jìn)行循環(huán)存儲(chǔ)。

4.如權(quán)利要求1所述的方法，其特征在于，所述步驟S2中對(duì)所述原始數(shù)據(jù)進(jìn)行實(shí)時(shí)分析具體包括：流量分析、協(xié)議分析、告警分析和查詢分析。

5.如權(quán)利要求1所述的方法，其特征在于，所述步驟S2中上傳給所述匯聚節(jié)點(diǎn)的原始數(shù)據(jù)就是暫存在所述監(jiān)聽節(jié)點(diǎn)的數(shù)據(jù)，上傳給所述匯聚節(jié)點(diǎn)的分析結(jié)果通過暫存再進(jìn)行上傳。

6.如權(quán)利要求1所述的方法，其特征在于，所述步驟S3中所述匯聚節(jié)點(diǎn)對(duì)接收的數(shù)據(jù)進(jìn)行壓縮和轉(zhuǎn)換，再進(jìn)行數(shù)據(jù)化格式處理，并將處理后的數(shù)據(jù)進(jìn)行緩存，緩存后的數(shù)據(jù)上傳給所述監(jiān)控中心，當(dāng)所述監(jiān)控中心的存儲(chǔ)和解析速度小于所述監(jiān)聽節(jié)點(diǎn)的抓包速度時(shí)，所述匯聚節(jié)點(diǎn)對(duì)數(shù)據(jù)進(jìn)行本地緩存，直到網(wǎng)絡(luò)有空閑時(shí)才將緩存的數(shù)據(jù)存儲(chǔ)到數(shù)據(jù)庫(kù)中。

7.如權(quán)利要求1所述的方法，其特征在于，所述步驟S4中對(duì)數(shù)據(jù)的云存儲(chǔ)的同時(shí)設(shè)置訪問權(quán)限，禁止無權(quán)限者的訪問或修改；

對(duì)數(shù)據(jù)的分析具體包括對(duì)數(shù)據(jù)的實(shí)時(shí)查詢和精確分析。

8.一種基于云計(jì)算環(huán)境的全信息安全取證監(jiān)聽系統(tǒng)，其特征在于，所述系統(tǒng)包括：監(jiān)聽節(jié)點(diǎn)、匯聚節(jié)點(diǎn)和監(jiān)控中心；

其中所述監(jiān)聽節(jié)點(diǎn)包括抓包模塊、暫存模塊、實(shí)時(shí)分析模塊和策略模塊；

所述匯聚節(jié)點(diǎn)包括監(jiān)聽管理模塊、上行數(shù)據(jù)處理模塊、下行策略處理模塊和系統(tǒng)配置模塊；

所述監(jiān)控中心包括分析檢索模塊、云存儲(chǔ)模塊、策略制定模塊、報(bào)表導(dǎo)出模塊、通知報(bào)告模塊和參數(shù)配置模塊；

所述系統(tǒng)還包括通信模塊，用于所述監(jiān)聽節(jié)點(diǎn)與所述匯聚節(jié)點(diǎn)的通信、所述匯聚節(jié)點(diǎn)與所述監(jiān)控中心的通信和所述監(jiān)控中心與云計(jì)算平臺(tái)的通信。

9.如權(quán)利要求8所述的系統(tǒng)，其特征在于，所述抓包模塊用于抓取網(wǎng)絡(luò)交換設(shè)備中的網(wǎng)絡(luò)數(shù)據(jù)包，獲取原始數(shù)據(jù)；

所述暫存模塊用于對(duì)所述原始數(shù)據(jù)和所述實(shí)時(shí)分析模塊分析后的分析結(jié)果進(jìn)行暫存；

所述實(shí)時(shí)分析模塊用于對(duì)所述原始數(shù)據(jù)進(jìn)行實(shí)時(shí)分析，得到分析結(jié)果；

所述策略模塊用于接收所述匯聚節(jié)點(diǎn)轉(zhuǎn)發(fā)的配置信息，并實(shí)施相應(yīng)的策略、控制其它模塊的行為。

10.如權(quán)利要求9所述的系統(tǒng)，其特征在于，所述暫存模塊具體包括判斷模塊、循環(huán)存儲(chǔ)模塊和刪除模塊；

所述判斷模塊用于判斷存儲(chǔ)空間的容量是否達(dá)到容量閾值，如果達(dá)到則進(jìn)入所述通知報(bào)告模塊或所述刪除模塊，否則進(jìn)入所述循環(huán)存儲(chǔ)模塊；

所述刪除模塊用于根據(jù)接收到的所述通知報(bào)告模塊發(fā)出的控制指令進(jìn)行刪除或自動(dòng)刪除存儲(chǔ)時(shí)間最早的原始數(shù)據(jù)；

所述循環(huán)存儲(chǔ)模塊用于存儲(chǔ)所述原始數(shù)據(jù)，并記錄存儲(chǔ)時(shí)間。