[發(fā)明專利]一種應(yīng)對(duì)網(wǎng)絡(luò)威脅與攻擊的一體化實(shí)時(shí)檢測(cè)系統(tǒng)及方法

無效

• 申請(qǐng)?zhí)枺?/td>: 201310100350.0
• 申請(qǐng)日: 2013-03-26
• 公開（公告）號(hào): CN103152227A
• 公開（公告）日: 2013-06-12
• 發(fā)明（設(shè)計(jì)）人: 李志鵬;周濤;景曉暉;趙秋鵬
• 申請(qǐng)（專利權(quán)）人: 北京啟明星辰信息技術(shù)股份有限公司;北京啟明星辰信息安全技術(shù)有限公司
• 主分類號(hào): H04L12/26
• 分類號(hào): H04L12/26;H04L29/06
• 代理公司: 北京安信方達(dá)知識(shí)產(chǎn)權(quán)代理有限公司 11262
• 代理人: 白瑩;栗若木

1.一種應(yīng)對(duì)網(wǎng)絡(luò)威脅與攻擊的一體化實(shí)時(shí)檢測(cè)系統(tǒng)，其特征在于，包括：

分流設(shè)備，用于接收來自網(wǎng)絡(luò)交換機(jī)的鏡像流量，并將所述鏡像流量部分或全部轉(zhuǎn)發(fā)至檢測(cè)子系統(tǒng)；

檢測(cè)子系統(tǒng)，用于對(duì)分流設(shè)備轉(zhuǎn)發(fā)的流量進(jìn)行接入檢測(cè)，將檢測(cè)出的安全事件發(fā)送至控制中心；

控制中心，用于接收檢測(cè)子系統(tǒng)上報(bào)的安全事件，根據(jù)事件結(jié)果進(jìn)行綜合處理后，進(jìn)行統(tǒng)一的關(guān)聯(lián)和展示，還用于向檢測(cè)子系統(tǒng)下發(fā)管理配置。

2.如權(quán)利要求1所述的一體化實(shí)時(shí)檢測(cè)系統(tǒng)，其特征在于，

所述分流設(shè)備是用于將鏡像流量全部直接轉(zhuǎn)發(fā)給檢測(cè)子系統(tǒng)的以太網(wǎng)交換機(jī)，或者是對(duì)鏡像流量進(jìn)行基于五元組過濾的專用分流設(shè)備。

3.如權(quán)利要求1所述的一體化實(shí)時(shí)檢測(cè)系統(tǒng)，其特征在于，所述檢測(cè)子系統(tǒng)，包括：IDS入侵檢測(cè)子系統(tǒng)、異常流量檢測(cè)子系統(tǒng)、惡意代碼檢測(cè)子系統(tǒng)、敏感信息檢測(cè)子系統(tǒng)，各個(gè)功能的檢測(cè)子系統(tǒng)并行地從所述分流設(shè)備接收流量并檢測(cè)。

4.如權(quán)利要求3所述的一體化實(shí)時(shí)檢測(cè)系統(tǒng)，其特征在于：

所述IDS入侵檢測(cè)子系統(tǒng)，用于接收來自分流設(shè)備的流量，根據(jù)控制中心下發(fā)的安全策略進(jìn)行入侵檢測(cè)，將檢測(cè)到的安全事件上報(bào)給控制中心；

所述異常流量檢測(cè)子系統(tǒng)，用于接收來自分流設(shè)備的流量，進(jìn)行異常流量檢測(cè)，將檢測(cè)到的安全事件上報(bào)給控制中心；

所述惡意代碼檢測(cè)子系統(tǒng)，用于接收來自分流設(shè)備的流量，進(jìn)行惡意代碼檢測(cè)，將檢測(cè)到的安全事件上報(bào)給控制中心；

所述敏感信息檢測(cè)子系統(tǒng)，用于接收來自分流設(shè)備的流量，進(jìn)行敏感信息檢測(cè)，將檢測(cè)到的安全事件上報(bào)給控制中心。

5.如權(quán)利要求1或4所述的一體化實(shí)時(shí)檢測(cè)系統(tǒng)，其特征在于：所述控制中心包括：

配置管理模塊，用于管理檢測(cè)子系統(tǒng)的配置；

智能關(guān)聯(lián)模塊，對(duì)檢測(cè)子系統(tǒng)上報(bào)的安全事件進(jìn)行智能關(guān)聯(lián)，生成綜合處理結(jié)果；

統(tǒng)計(jì)報(bào)表模塊，用于對(duì)上報(bào)的安全事件及智能關(guān)聯(lián)得到的綜合處理結(jié)果進(jìn)行統(tǒng)計(jì)記錄；

實(shí)時(shí)顯示模塊，用于實(shí)施顯示智能關(guān)聯(lián)得到的綜合處理結(jié)果以及檢測(cè)子系統(tǒng)上報(bào)的安全事件。

6.如權(quán)利要求5所述的一體化實(shí)時(shí)檢測(cè)系統(tǒng)，其特征在于：

所述智能關(guān)聯(lián)模塊對(duì)檢測(cè)子系統(tǒng)上報(bào)的安全事件進(jìn)行智能關(guān)聯(lián)，包括：根據(jù)多個(gè)安全事件發(fā)生的順序，還原威脅及攻擊發(fā)生序列。

7.一種應(yīng)對(duì)網(wǎng)絡(luò)威脅與攻擊的一體化實(shí)時(shí)檢測(cè)的方法，其特征在于，包括：

利用分流設(shè)備將來自網(wǎng)絡(luò)交換機(jī)的鏡像流量部分或全部轉(zhuǎn)發(fā)至檢測(cè)子系統(tǒng)；

通過檢測(cè)子系統(tǒng)對(duì)分流設(shè)備轉(zhuǎn)發(fā)的流量進(jìn)行接入檢測(cè)，將檢測(cè)出的事件發(fā)送至控制中心；

通過控制中心接收檢測(cè)子系統(tǒng)上報(bào)的安全事件，根據(jù)事件結(jié)果進(jìn)行綜合處理后，進(jìn)行統(tǒng)一的關(guān)聯(lián)和展示。

8.如權(quán)利要求7所述的一體化實(shí)時(shí)檢測(cè)的方法，其特征在于，

所述分流設(shè)備對(duì)鏡像流量進(jìn)行分流轉(zhuǎn)發(fā)是進(jìn)行篩選后部分轉(zhuǎn)發(fā)，或者是直接全部轉(zhuǎn)發(fā)。

9.如權(quán)利要求7所述的一體化實(shí)時(shí)檢測(cè)的方法，其特征在于，所述檢測(cè)子系統(tǒng)并行地利用IDS入侵檢測(cè)子系統(tǒng)根據(jù)控制中心下發(fā)的安全策略進(jìn)行入侵檢測(cè)、利用異常流量檢測(cè)子系統(tǒng)進(jìn)行異常流量檢測(cè)、利用惡意代碼檢測(cè)子系統(tǒng)進(jìn)行惡意代碼檢測(cè)、利用敏感信息檢測(cè)子系統(tǒng)進(jìn)行敏感信息檢測(cè)，各個(gè)功能檢測(cè)子系統(tǒng)將檢測(cè)到的安全事件上報(bào)至控制中心。

10.如權(quán)利要求7所述的一體化實(shí)時(shí)檢測(cè)的方法，其特征在于，

所述控制中心對(duì)接收到的安全事件進(jìn)行智能關(guān)聯(lián)，并對(duì)關(guān)聯(lián)結(jié)果及上報(bào)的安全事件進(jìn)行實(shí)時(shí)顯示和統(tǒng)計(jì)記錄，其中：

所述對(duì)接受到的安全事件進(jìn)行智能關(guān)聯(lián)，包括：根據(jù)多個(gè)安全事件發(fā)生的順序，還原威脅及攻擊發(fā)生序列。