[發(fā)明專利]一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 201710215992.3
• 申請(qǐng)日: 2017-04-01
• 公開(kāi)（公告）號(hào): CN106878340B
• 公開(kāi)（公告）日: 2023-09-01
• 發(fā)明（設(shè)計(jì)）人: 高巖;連海港;王文彬;李杰;張偉;趙鵬;張志斌
• 申請(qǐng)（專利權(quán)）人: 中國(guó)人民解放軍61660部隊(duì)
• 主分類(lèi)號(hào): H04L9/40
• 分類(lèi)號(hào): H04L9/40
• 代理公司: 北京理工大學(xué)專利中心 11120
• 代理人: 李微微;仇蕾安

1.一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)，其特征在于，包括機(jī)箱、匯聚裝置、過(guò)濾裝置、交換裝置和分析計(jì)算裝置；其中，匯聚裝置、過(guò)濾裝置、交換裝置、分析計(jì)算裝置通過(guò)機(jī)箱的背板互連；

所述分析計(jì)算裝置由至少一個(gè)燒錄有分析計(jì)算軟件的分析計(jì)算板卡組成；

所述匯聚裝置包括接口子卡和輸入板卡；接口子卡設(shè)置在輸入板卡上；接口子卡作為各類(lèi)網(wǎng)絡(luò)鏈路的輸入接口，將不同類(lèi)型、不同速率的鏈路統(tǒng)一接入到設(shè)備中，進(jìn)行集中處理，根據(jù)自身維護(hù)的數(shù)據(jù)流表識(shí)別流量數(shù)據(jù)包，并將接收到的網(wǎng)絡(luò)鏈路數(shù)據(jù)轉(zhuǎn)換成以太網(wǎng)流量數(shù)據(jù)，然后發(fā)給輸入板卡；

所述輸入板卡按照過(guò)濾裝置發(fā)送的流量過(guò)濾轉(zhuǎn)發(fā)策略對(duì)從接口子卡接收的數(shù)據(jù)包轉(zhuǎn)發(fā)給交換板卡或作丟棄處理；

所述過(guò)濾裝置通過(guò)所述背板讀取交換板卡的數(shù)據(jù)包，識(shí)別流量的應(yīng)用協(xié)議，并進(jìn)行解析，得到的解析結(jié)果通過(guò)交換板卡的配置接口提供給用戶，用于制定流量過(guò)濾轉(zhuǎn)發(fā)策略，用戶制定完流量過(guò)濾轉(zhuǎn)發(fā)策略將該策略配置到過(guò)濾裝置中；

所述交換裝置接收匯聚裝置發(fā)送的流量數(shù)據(jù)，通過(guò)交換板背板接口或者前面板輸出接口，根據(jù)過(guò)濾裝置發(fā)送的流量過(guò)濾轉(zhuǎn)發(fā)策略將流量轉(zhuǎn)發(fā)到對(duì)應(yīng)的分析計(jì)算板卡中，由此對(duì)數(shù)據(jù)進(jìn)行具體的流量分析；

分析計(jì)算板卡中設(shè)置多個(gè)相同的計(jì)算板卡進(jìn)行并行運(yùn)算，當(dāng)交換裝置向分析計(jì)算發(fā)送數(shù)據(jù)流時(shí)，每發(fā)送一次，分析計(jì)算板卡均對(duì)數(shù)據(jù)流進(jìn)行負(fù)載均衡處理，對(duì)于交換裝置發(fā)送的數(shù)據(jù)包，提取數(shù)據(jù)包的源IP與目的IP，并對(duì)其進(jìn)行哈希計(jì)算，得到的二進(jìn)制結(jié)果再轉(zhuǎn)換為十進(jìn)制結(jié)果；將該十進(jìn)制結(jié)果對(duì)計(jì)算分析模塊中所包含的計(jì)算板卡數(shù)量n取余數(shù)，并根據(jù)該余數(shù)的值進(jìn)行流量分配：當(dāng)余數(shù)為0時(shí)，將數(shù)據(jù)流分配給第1號(hào)計(jì)算板卡，當(dāng)余數(shù)為1時(shí)，將數(shù)據(jù)流分配給第2號(hào)計(jì)算板卡，依此類(lèi)推，根據(jù)該規(guī)律對(duì)數(shù)據(jù)流進(jìn)行分配；

所述分析計(jì)算板卡包括入侵檢測(cè)模塊、異常行為分析模塊、網(wǎng)絡(luò)內(nèi)容審計(jì)模塊、可疑代碼捕獲模塊或融合關(guān)聯(lián)分析模塊中的一種、兩種、三種、四種或者五種模塊；分析計(jì)算裝置的分析計(jì)算板卡中包括融合關(guān)聯(lián)分析模塊用于獲得其它分析計(jì)算板卡的分析結(jié)果，當(dāng)其中一個(gè)分析計(jì)算板卡的分析結(jié)果提示出現(xiàn)可疑IP時(shí)，融合關(guān)聯(lián)分析模塊調(diào)用其它分析計(jì)算板卡對(duì)該可疑IP相關(guān)的分析結(jié)果，并進(jìn)行匯總分析，判斷是否為安全事件。

2.如權(quán)利要求1所述的一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)，其特征在于，所述交換裝置提供配置接口，實(shí)現(xiàn)對(duì)綜合安全監(jiān)測(cè)分析系統(tǒng)的本地或遠(yuǎn)程運(yùn)維管理。

3.如權(quán)利要求1所述的一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)，其特征在于，所述機(jī)箱還包括電源、板卡插槽、通信系統(tǒng)及散熱裝置。

4.如權(quán)利要求1所述的一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)，其特征在于，所述機(jī)箱采用ATCA標(biāo)準(zhǔn)實(shí)現(xiàn)。

5.如權(quán)利要求1所述的一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)，其特征在于，每個(gè)綜合安全監(jiān)測(cè)分析系統(tǒng)根據(jù)需求設(shè)置多個(gè)匯聚裝置。

6.如權(quán)利要求1所述的一種基于網(wǎng)絡(luò)流量的綜合安全監(jiān)測(cè)分析系統(tǒng)，其特征在于，所述接口子卡支持標(biāo)準(zhǔn)模塊接口，支持ATM155M、ATM622M、POS155M、POS622M、POS2.5G、POS10G、POS40G、10GE、1GE接口類(lèi)型。

7.一種基于權(quán)利要求1-6中任意一個(gè)所述的綜合安全監(jiān)測(cè)分析系統(tǒng)的級(jí)聯(lián)系統(tǒng)，其特征在于，包括多個(gè)綜合安全監(jiān)測(cè)分析系統(tǒng)，采用多層級(jí)聯(lián)的形式，即：綜合安全監(jiān)測(cè)分析系統(tǒng)分為至少兩級(jí)，每一級(jí)中至少包括一個(gè)綜合安全監(jiān)測(cè)分析系統(tǒng)，其中，交換裝置的輸出接口與上一級(jí)綜合安全監(jiān)測(cè)分析系統(tǒng)的匯聚裝置的輸入接口相連。