[發(fā)明專利]一種應對網(wǎng)絡(luò)威脅與攻擊的一體化實時檢測系統(tǒng)及方法

無效

• 申請?zhí)枺?/td>: 201310100350.0
• 申請日: 2013-03-26
• 公開（公告）號: CN103152227A
• 公開（公告）日: 2013-06-12
• 發(fā)明（設(shè)計）人: 李志鵬;周濤;景曉暉;趙秋鵬
• 申請（專利權(quán)）人: 北京啟明星辰信息技術(shù)股份有限公司;北京啟明星辰信息安全技術(shù)有限公司
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 北京安信方達知識產(chǎn)權(quán)代理有限公司 11262
• 代理人: 白瑩;栗若木

1.一種應對網(wǎng)絡(luò)威脅與攻擊的一體化實時檢測系統(tǒng)，其特征在于，包括：

分流設(shè)備，用于接收來自網(wǎng)絡(luò)交換機的鏡像流量，并將所述鏡像流量部分或全部轉(zhuǎn)發(fā)至檢測子系統(tǒng)；

檢測子系統(tǒng)，用于對分流設(shè)備轉(zhuǎn)發(fā)的流量進行接入檢測，將檢測出的安全事件發(fā)送至控制中心；

控制中心，用于接收檢測子系統(tǒng)上報的安全事件，根據(jù)事件結(jié)果進行綜合處理后，進行統(tǒng)一的關(guān)聯(lián)和展示，還用于向檢測子系統(tǒng)下發(fā)管理配置。

2.如權(quán)利要求1所述的一體化實時檢測系統(tǒng)，其特征在于，

所述分流設(shè)備是用于將鏡像流量全部直接轉(zhuǎn)發(fā)給檢測子系統(tǒng)的以太網(wǎng)交換機，或者是對鏡像流量進行基于五元組過濾的專用分流設(shè)備。

3.如權(quán)利要求1所述的一體化實時檢測系統(tǒng)，其特征在于，所述檢測子系統(tǒng)，包括：IDS入侵檢測子系統(tǒng)、異常流量檢測子系統(tǒng)、惡意代碼檢測子系統(tǒng)、敏感信息檢測子系統(tǒng)，各個功能的檢測子系統(tǒng)并行地從所述分流設(shè)備接收流量并檢測。

4.如權(quán)利要求3所述的一體化實時檢測系統(tǒng)，其特征在于：

所述IDS入侵檢測子系統(tǒng)，用于接收來自分流設(shè)備的流量，根據(jù)控制中心下發(fā)的安全策略進行入侵檢測，將檢測到的安全事件上報給控制中心；

所述異常流量檢測子系統(tǒng)，用于接收來自分流設(shè)備的流量，進行異常流量檢測，將檢測到的安全事件上報給控制中心；

所述惡意代碼檢測子系統(tǒng)，用于接收來自分流設(shè)備的流量，進行惡意代碼檢測，將檢測到的安全事件上報給控制中心；

所述敏感信息檢測子系統(tǒng)，用于接收來自分流設(shè)備的流量，進行敏感信息檢測，將檢測到的安全事件上報給控制中心。

5.如權(quán)利要求1或4所述的一體化實時檢測系統(tǒng)，其特征在于：所述控制中心包括：

配置管理模塊，用于管理檢測子系統(tǒng)的配置；

智能關(guān)聯(lián)模塊，對檢測子系統(tǒng)上報的安全事件進行智能關(guān)聯(lián)，生成綜合處理結(jié)果；

統(tǒng)計報表模塊，用于對上報的安全事件及智能關(guān)聯(lián)得到的綜合處理結(jié)果進行統(tǒng)計記錄；

實時顯示模塊，用于實施顯示智能關(guān)聯(lián)得到的綜合處理結(jié)果以及檢測子系統(tǒng)上報的安全事件。

6.如權(quán)利要求5所述的一體化實時檢測系統(tǒng)，其特征在于：

所述智能關(guān)聯(lián)模塊對檢測子系統(tǒng)上報的安全事件進行智能關(guān)聯(lián)，包括：根據(jù)多個安全事件發(fā)生的順序，還原威脅及攻擊發(fā)生序列。

7.一種應對網(wǎng)絡(luò)威脅與攻擊的一體化實時檢測的方法，其特征在于，包括：

利用分流設(shè)備將來自網(wǎng)絡(luò)交換機的鏡像流量部分或全部轉(zhuǎn)發(fā)至檢測子系統(tǒng)；

通過檢測子系統(tǒng)對分流設(shè)備轉(zhuǎn)發(fā)的流量進行接入檢測，將檢測出的事件發(fā)送至控制中心；

通過控制中心接收檢測子系統(tǒng)上報的安全事件，根據(jù)事件結(jié)果進行綜合處理后，進行統(tǒng)一的關(guān)聯(lián)和展示。

8.如權(quán)利要求7所述的一體化實時檢測的方法，其特征在于，

所述分流設(shè)備對鏡像流量進行分流轉(zhuǎn)發(fā)是進行篩選后部分轉(zhuǎn)發(fā)，或者是直接全部轉(zhuǎn)發(fā)。

9.如權(quán)利要求7所述的一體化實時檢測的方法，其特征在于，所述檢測子系統(tǒng)并行地利用IDS入侵檢測子系統(tǒng)根據(jù)控制中心下發(fā)的安全策略進行入侵檢測、利用異常流量檢測子系統(tǒng)進行異常流量檢測、利用惡意代碼檢測子系統(tǒng)進行惡意代碼檢測、利用敏感信息檢測子系統(tǒng)進行敏感信息檢測，各個功能檢測子系統(tǒng)將檢測到的安全事件上報至控制中心。

10.如權(quán)利要求7所述的一體化實時檢測的方法，其特征在于，

所述控制中心對接收到的安全事件進行智能關(guān)聯(lián)，并對關(guān)聯(lián)結(jié)果及上報的安全事件進行實時顯示和統(tǒng)計記錄，其中：

所述對接受到的安全事件進行智能關(guān)聯(lián)，包括：根據(jù)多個安全事件發(fā)生的順序，還原威脅及攻擊發(fā)生序列。