[發明專利]一種基于云計算環境的全信息安全取證監聽方法和系統

有效

• 申請號: 201310084235.9
• 申請日: 2013-03-15
• 公開（公告）號: CN103152352A
• 公開（公告）日: 2013-06-12
• 發明（設計）人: 劉剛;侯賓
• 申請（專利權）人: 北京郵電大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08;H04L12/24
• 代理公司: 北京路浩知識產權代理有限公司 11002
• 代理人: 王瑩

1.一種基于云計算環境的全信息安全取證監聽方法，其特征在于，所述方法具體包括以下步驟：

S1：基于云計算對整個分布式網絡進行部署，包括監聽節點、匯聚節點和監控中心，并配置參數；

S2：所述監聽節點抓取網絡交換設備中的數據包獲取原始數據，對所述原始數據進行暫存和實時分析，并根據控制指令將所述原始數據和實時分析得到的分析結果上傳給所述匯聚節點；

S3：所述匯聚節點對所述原始數據和所述分析結果進行壓縮、轉換和緩存，上傳給所述監控中心；

S4：所述監控中心對從所述匯聚節點接收到的數據進行匯總、云存儲和分析，形成監聽報表，并根據所述監聽報表得出安全策略。

2.如權利要求1所述的方法，其特征在于，所述步驟S1中基于云計算對整個分布式網絡進行部署具體是進行分網段的部署，將整個網絡分成多個網段，每個網段內設置多個監聽節點；

所述監聽節點的網絡接口采用混雜模式，對網段內的數據包采取異步抓包進行抓取；

所述監控中心包括多個匯聚節點，隸屬于所述監控中心的匯聚節點向所述監控中心進行注冊，并通過所述匯聚節點獲取所述監控中心發布的對匯聚節點的配置信息；

所述匯聚節點包括多個監聽節點，屬于所述匯聚節點的監聽節點向所述匯聚節點進行注冊，所述匯聚節點接收監聽節點的注冊后將每個注冊的監聽節點的地址信息反饋給所述監控中心，并獲取所述監控中心發布的對監聽節點的配置信息。

3.如權利要求1所述的方法，其特征在于，所述步驟S2中對所述原始數據進行暫存具體包括：判斷存儲空間的容量是否達到容量閾值，如果達到則發出提醒或自動刪除存儲時間最早的原始數據，否則進行循環存儲。

4.如權利要求1所述的方法，其特征在于，所述步驟S2中對所述原始數據進行實時分析具體包括：流量分析、協議分析、告警分析和查詢分析。

5.如權利要求1所述的方法，其特征在于，所述步驟S2中上傳給所述匯聚節點的原始數據就是暫存在所述監聽節點的數據，上傳給所述匯聚節點的分析結果通過暫存再進行上傳。

6.如權利要求1所述的方法，其特征在于，所述步驟S3中所述匯聚節點對接收的數據進行壓縮和轉換，再進行數據化格式處理，并將處理后的數據進行緩存，緩存后的數據上傳給所述監控中心，當所述監控中心的存儲和解析速度小于所述監聽節點的抓包速度時，所述匯聚節點對數據進行本地緩存，直到網絡有空閑時才將緩存的數據存儲到數據庫中。

7.如權利要求1所述的方法，其特征在于，所述步驟S4中對數據的云存儲的同時設置訪問權限，禁止無權限者的訪問或修改；

對數據的分析具體包括對數據的實時查詢和精確分析。

8.一種基于云計算環境的全信息安全取證監聽系統，其特征在于，所述系統包括：監聽節點、匯聚節點和監控中心；

其中所述監聽節點包括抓包模塊、暫存模塊、實時分析模塊和策略模塊；

所述匯聚節點包括監聽管理模塊、上行數據處理模塊、下行策略處理模塊和系統配置模塊；

所述監控中心包括分析檢索模塊、云存儲模塊、策略制定模塊、報表導出模塊、通知報告模塊和參數配置模塊；

所述系統還包括通信模塊，用于所述監聽節點與所述匯聚節點的通信、所述匯聚節點與所述監控中心的通信和所述監控中心與云計算平臺的通信。

9.如權利要求8所述的系統，其特征在于，所述抓包模塊用于抓取網絡交換設備中的網絡數據包，獲取原始數據；

所述暫存模塊用于對所述原始數據和所述實時分析模塊分析后的分析結果進行暫存；

所述實時分析模塊用于對所述原始數據進行實時分析，得到分析結果；

所述策略模塊用于接收所述匯聚節點轉發的配置信息，并實施相應的策略、控制其它模塊的行為。

10.如權利要求9所述的系統，其特征在于，所述暫存模塊具體包括判斷模塊、循環存儲模塊和刪除模塊；

所述判斷模塊用于判斷存儲空間的容量是否達到容量閾值，如果達到則進入所述通知報告模塊或所述刪除模塊，否則進入所述循環存儲模塊；

所述刪除模塊用于根據接收到的所述通知報告模塊發出的控制指令進行刪除或自動刪除存儲時間最早的原始數據；

所述循環存儲模塊用于存儲所述原始數據，并記錄存儲時間。