[發明專利]數據流監測方法及裝置

在審

• 申請號: 201610165147.5
• 申請日: 2016-03-22
• 公開（公告）號: CN107222451A
• 公開（公告）日: 2017-09-29
• 發明（設計）人: 何利文;許承啟;黃俊;牛小兵;吳少勇
• 申請（專利權）人: 中興通訊股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳鼎合誠知識產權代理有限公司44281
• 代理人: 江婷,李發兵

1.一種數據流監測方法，其特征在于，包括：

獲取所述訪問數據流的源端標識；

根據預設的白名單及所述源端標識，配置所述訪問數據流的安全屬性,所述安全屬性包括白流、灰流、黑流；

根據所述訪問數據流的安全屬性，分流所述訪問數據流。

2.如權利要求1所述的數據流監測方法，其特征在于，還包括：對所述訪問數據流進行初判,判斷是否為攻擊性數據流,輸出初判結果；所述配置所述訪問數據流的安全屬性包括：根據所述訪問數據流的初判結果、源端標識與白名單,配置所述安全屬性。

3.如權利要求2所述的數據流監測方法，其特征在于，在對所述訪問數據流進行初判之前,還包括：進行無攻擊狀態學習,獲取無攻擊狀態的數據流的特征信息,根據所述無攻擊狀態的數據流的特征信息,判斷所述訪問數據流是否為攻擊性數據流。

4.如權利要求3所述的數據流監測方法，其特征在于，所述配置所述安全屬性包括：當所述訪問數據流的源端標識屬于所述白名單時，將所述訪問數據流的安全屬性設置為白流；當所述訪問數據流的源端標識不屬于所述白名單、且所述訪問數據流的初判結果不為攻擊性數據流時，將所述訪問數據流的安全屬性設置為灰流；當所述訪問數據流的源端標識不屬于所述白名單、且所述訪問數據流的初判結果為攻擊性數據流時，將所述訪問數據流的安全屬性設置為黑流。

5.如權利要求1至4任一項所述的數據流監測方法，其特征在于，所述根據所述訪問數據流的安全屬性，分流所述訪問數據流包括：使用軟件定義網絡，轉發安全屬性為白流的訪問數據流至目標設備，阻斷安全屬性為黑流的訪問數據流，轉發安全屬性為灰流的訪問數據流至虛擬安全服務鏈。

6.如權利要求5所述的數據流監測方法，其特征在于，在轉發安全屬性為灰流的訪問數據流至虛擬安全服務鏈之后，還包括：通過所述虛擬安全服務 鏈使用虛擬入侵檢測系統對所述訪問數據流的網絡行為進行分析，使用虛擬沙箱模擬目標設備運行環境、并運行所述訪問數據流分析是否具有惡意行為，根據分析結果判斷所述安全屬性為灰流的訪問數據流為白流或者黑流。

7.一種數據流監測裝置，其特征在于，包括：

獲取模塊，用于獲取所述訪問數據流的源端標識

配置模塊，用于根據預設的白名單及所述源端標識，配置所述訪問數據流的安全屬性,所述安全屬性包括白流、灰流、黑流；

監測模塊，用于根據所述訪問數據流的安全屬性，分流所述訪問數據流。

8.如權利要求7所述的數據流監測裝置，其特征在于，還包括初判模塊，用于對所述訪問數據流進行初判,判斷是否為攻擊性數據流,輸出初判結果；所述配置模塊具體用于根據所述訪問數據流的初判結果、源端標識與白名單,配置所述安全屬性。

9.如權利要求8所述的數據流監測裝置，其特征在于，所述初判模塊在對所述訪問數據流進行初判之前,還用于進行無攻擊狀態學習,獲取無攻擊狀態的數據流的特征信息,根據所述無攻擊狀態的數據流的特征信息,判斷所述訪問數據流是否為攻擊性數據流。

10.如權利要求9所述的數據流監測裝置，其特征在于，所述配置模塊用于當所述訪問數據流的源端標識屬于所述白名單時，將所述訪問數據流的安全屬性設置為白流；當所述訪問數據流的源端標識不屬于所述白名單、且所述訪問數據流的初判結果不為攻擊性數據流時，將所述訪問數據流的安全屬性設置為灰流；當所述訪問數據流的源端標識不屬于所述白名單、且所述訪問數據流的初判結果為攻擊性數據流時，將所述訪問數據流的安全屬性設置為黑流。

11.如權利要求7至10任一項所述的數據流監測裝置，其特征在于，所述監測模塊用于使用軟件定義網絡，轉發安全屬性為白流的訪問數據流至目標設備，阻斷安全屬性為黑流的訪問數據流，轉發安全屬性為灰流的訪問數據流至虛擬安全服務鏈。

12.如權利要求11所述的數據流監測裝置，其特征在于，還包括分析模 塊,用于通過所述虛擬安全服務鏈使用虛擬入侵檢測系統對所述訪問數據流的網絡行為進行分析，使用虛擬沙箱模擬目標設備運行環境、并運行所述訪問數據流分析是否具有惡意行為，根據分析結果判斷所述安全屬性為灰流的訪問數據流為白流或者黑流。