[發明專利]一種多源網絡安全事件的采集與同步方法

有效

• 申請號: 201611105093.X
• 申請日: 2016-12-05
• 公開（公告）號: CN106789967B
• 公開（公告）日: 2019-01-11
• 發明（設計）人: 李景;戴樺;韓嘉佳;盧新岱;孫歆;周輝;李沁園;姚影
• 申請（專利權）人: 國網浙江省電力有限公司電力科學研究院;國家電網有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 浙江翔隆專利事務所(普通合伙) 33206
• 代理人: 張建青;張允姿

1.一種多源網絡安全事件的采集與同步方法，其特征在于，首先對各個事件源的時間進行同步，各事件源均以服務端的時間為標準時間，通過發送時間同步數據包來計算網絡延遲、事件源與服務端的本地時間差，從而得出實時的、準確的時間差值；隨后事件采集端根據此時間差值對事件進行同步后通過socket通信存儲至ehcache緩存框架中，該ehcache緩存框架的節點采用遠程方法調用RMI機制與ehcache緩存框架中的其他節點進行事件同步；服務端從ehcache緩存框架中實時讀取事件信息，并進行處理；

包括以下具體步驟：

1)多源網絡安全事件采集

采集端采用采集代理方式，負責實時采集各個事件源的網絡安全事件；基于不同源事件采集的正則表達式，對其網絡安全進行規范化和去冗余預處理操作，網絡安全事件具有時間戳、源IP地址、目的IP地址、源端口、目的端口和協議信息；采集端將采集到的事件以socket通信方式存儲在ehcache緩存框架中；

2)事件源時間同步校對

在采集事件時，首先對每個事件源的時間進行同步校對，均以服務端的時間為基準；

3)實時數據接收與處理

多個采集端將采集的網絡安全事件e1,e2,...,en序列化為key-value形式的Element事件，存儲至ehcache分布式緩存框架中，該ehcache分布式緩存框架的節點采用遠程方法調用RMI機制與ehcache分布式緩存框架中的其他節點進行事件同步；

服務端從ehcache分布式緩存框架中實時讀取事件信息，并進行處理。

2.根據權利要求1所述的多源網絡安全事件的采集與同步方法，其特征在于，步驟2)中，事件源時間同步校對的具體過程如下：

2.1)采集端在t1時刻向服務端發送一個時鐘同步請求包；

2.2)服務端接收到請求之后，立即回復一個時鐘同步響應包，內容為服務端此刻的本地時間T_s，

2.3)采用端在t2時刻接收到服務端發送的響應包，

則，采用端與服務端之間的單向網絡延遲時間為：

T_delay＝(t2-t1)/2

服務端接收到采集端的同步請求包時，采集端的本地時間為：

T_agent＝t1+T_delay

因此，如果t1+T_delay＜T_s，則表示采集端的時間早于服務端的時間，事件時間應向后推遲T_s-t1-T_delay時間，此時，采集端向服務端發送采集到的事件時，事件源的產生時間t應變為：

T_send＝t+(T_s-t1-T_delay)，

反之，若t1+T_delay＞T_s，則表示采集端的時間晚于服務端的時間，事件時間應提前t1+T_delay-T_s時間，此時，采集端向服務端發送采集到的事件時，事件源的產生時間t應變為：

T_send＝t-(t1+T_delay-T_s)。

3.根據權利要求2所述的多源網絡安全事件的采集與同步方法，其特征在于，其特征在于，步驟2)中，由于不同時刻網絡延遲差別較大，事件源時間同步校對需每隔5～10分鐘進行一次。

4.根據權利要求1所述的多源網絡安全事件的采集與同步方法，其特征在于，步驟1)中，所述的網絡安全事件包括防火墻、入侵檢測系統、網絡流量和漏洞掃描事件源產生的不同類型的網絡安全事件。