[發(fā)明專利]基于云和本地平臺的網(wǎng)絡攻擊防御裝置和方法

在審

• 申請?zhí)枺?/td>: 201710141836.7
• 申請日: 2017-03-10
• 公開（公告）號: CN106899601A
• 公開（公告）日: 2017-06-27
• 發(fā)明（設計）人: 田新遠
• 申請（專利權）人: 北京華清信安科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京匯智勝知識產權代理事務所(普通合伙)11346
• 代理人: 石輝

1.一種基于云和本地平臺的網(wǎng)絡攻擊防御裝置，其特征在于，包括：

云中心，其用于收集威脅情報，對網(wǎng)絡流量進行實時分析，并根據(jù)網(wǎng)絡流量安全模型判斷潛在的網(wǎng)絡攻擊并生成相關防御指令；

本地防御平臺，其與所述云中心通過網(wǎng)絡連接，用于實施網(wǎng)絡流量檢測，根據(jù)防御指令對檢測出的存在威脅的流量進行訪問控制。

2.根據(jù)權利要求1所述的裝置，其特征在于，所述本地防御平臺包括：UI子系統(tǒng)、管理子系統(tǒng)、監(jiān)控子系統(tǒng)、報告子系統(tǒng)、ACL子系統(tǒng)、內容過濾子系統(tǒng)、網(wǎng)絡子系統(tǒng)、tunnel子系統(tǒng)、虛擬子系統(tǒng)、HA子系統(tǒng)。

3.根據(jù)權利要求2所述的裝置，其特征在于，

UI子系統(tǒng)是所述本地防御平臺的人機交互界面，用于向安全管理員提供置初始安全基線的配置界面以及進行各種安全功能的人工配置和策略干預的界面；該子系統(tǒng)包括Web界面、命令行界面、網(wǎng)絡集中管理界面。

4.根據(jù)權利要求3所述的裝置，其特征在于，

ACL子系統(tǒng)是所述本地防御平臺的核心子系統(tǒng)，用于對檢測出的流量進行訪問控制，并根據(jù)管理員配置的安全基線，以及云中心下發(fā)的防御指令對網(wǎng)絡流量進行實時過濾；ACL子系統(tǒng)包括DDoS、流量控制、入侵防御、身份認證、智能協(xié)議識別和訪問控制列表；

內容過濾子系統(tǒng)用于對流量數(shù)據(jù)進行細粒度過濾，該子系統(tǒng)基于本地安全基線和云中心的安全指令自動過濾非法流量；內容過濾子系統(tǒng)包括Web內容過濾、FTP內容過濾、病毒文件過濾、垃圾郵件過濾和惡意代碼過濾。

5.根據(jù)權利要求2所述的裝置，其特征在于，

Tunnel子系統(tǒng)是針對加密流量處理的一個子系統(tǒng)，充當網(wǎng)絡加密協(xié)商代理，實現(xiàn)網(wǎng)絡流量的加解密；該Tunnel子系統(tǒng)包括IPsec、PPTP、SSL VPN模塊。

6.一種基于云和本地平臺的網(wǎng)絡攻擊防御方法具體包括以下步驟：

在云中心收集威脅情報，對網(wǎng)絡流量進行實時分析，并根據(jù)網(wǎng)絡流量安全模型判斷潛在的網(wǎng)絡攻擊并生成相關防御指令；

在本地平臺實施網(wǎng)絡流量檢測，根據(jù)防御指令對檢測出的存在威脅的流量進行訪問控制。

7.根據(jù)權利要求6所述的方法，其特征在于，

對于網(wǎng)絡流量實時分析包括對歷史網(wǎng)絡流量的學習，生成網(wǎng)絡流量安全基線，并根據(jù)時間和流量數(shù)據(jù)進行不斷的學習和動態(tài)調整，形成自適應的網(wǎng)絡流量安全模型；

通過將未知流量行為參數(shù)與所述安全模型進行對比和關聯(lián)分析鑒定未知威脅和異常。

8.根據(jù)權利要求6所述的方法，其特征在于，所述流量檢測包括：

檢查IP包的格式是否正確，和/或檢查IP包的協(xié)議是否異常，實現(xiàn)協(xié)議異常檢測；

監(jiān)測統(tǒng)計指標是否突然出現(xiàn)異常；所述統(tǒng)計指標包括網(wǎng)絡流量的帶寬、會話建立速度。

9.根據(jù)權利要求8所述的方法，其特征在于，所述流量檢測還包括：

檢查數(shù)據(jù)包的IP地址，并且監(jiān)測數(shù)據(jù)包的連接狀態(tài)變化，建立狀態(tài)連接表，并將進出網(wǎng)絡的數(shù)據(jù)當成一個個的會話，利用狀態(tài)表跟蹤每一個會話的狀態(tài)；

基于特征的異常檢測，包括實時針對異常流量與數(shù)據(jù)包內容進行檢驗與示警，并根據(jù)所做設置加以阻絕、丟棄或日志記錄。

10.根據(jù)權利要求6所述的方法，其特征在于，還包括：根據(jù)管理員配置的安全基線，以及云中心下發(fā)的防御指令對網(wǎng)絡流量進行實時過濾；

所述實時過濾包括對流量數(shù)據(jù)進行細粒度過濾，包括Web內容過濾、FTP內容過濾、病毒文件過濾、垃圾郵件過濾和惡意代碼過濾。