[發明專利]基于大數據分析的威脅預警監測系統、方法及部署架構

有效

• 申請號: 201710253001.0
• 申請日: 2017-04-18
• 公開（公告）號: CN107196910B
• 公開（公告）日: 2019-09-10
• 發明（設計）人: 劉冬蘭;劉新;馬雷;常英賢;于灝;譚虎;趙曉紅;王文婷;井俊雙
• 申請（專利權）人: 國網山東省電力公司電力科學研究院;山東中實易通集團有限公司;國家電網公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24;H04L12/26
• 代理公司: 濟南圣達知識產權代理有限公司 37221
• 代理人: 張勇

1.基于大數據分析技術的威脅預警監測系統，其特征是，包括，

數據采集系統模塊，通過網絡全流量安全分析系統、入侵檢測系統、入侵防御系統及高級持續性威脅系統對原始網絡流量進行實時數據采集；

數據存儲系統模塊，對數據采集系統模塊采集的數據進行數據歸并和數據清洗處理后再進行存儲管理，支持分布式文件系統、行式數據庫、列式數據庫及對象存儲系統存儲；

實時威脅智能分析系統模塊，利用數據挖掘、文本分析、流量分析、全文搜索引擎、實時處理對安全數據進行深度的分析與挖掘，結合入侵檢測模型、網絡異常行為模型和設備異常行為模型實時甄別未知的安全威脅；

態勢感知展示系統模塊，采用了數據可視化工具庫實時、立體地對安全威脅態勢進行綜合展示；

后臺管理系統模塊，對整個監測系統進行運維監控管理。

2.如權利要求1所述基于大數據分析技術的威脅預警監測系統，其特征是，所述數據采集系統模塊還采集威脅情報，從互聯網上爬取威脅情報；

實時威脅智能分析系統模塊依據殺傷鏈對威脅情報進行分析，對威脅情報進行載體利用和突防利用、攻擊手法、威脅情報本土化所關心的行業領域、目標作業環境和偏好進行機器學習和分析；

態勢感知展示系統模塊實時展現獲取的威脅情報、APT攻擊報告的數量、重大互聯網泄密事件的數量、重大安全漏洞曝光事件的數量、惡意文件的數量、惡意IP的數量、惡意URL的數量、地圖上動態顯示所有威脅源或攻擊源國家或地區、高亮顯示個別國家的威脅情報情況、實時刷新威脅情報事件、對威脅源國家進行TOP排名展現。

3.如權利要求1所述基于大數據分析技術的威脅預警監測系統，其特征是，所述實時威脅智能分析系統模塊包括：分析中心模塊、安全日志模塊、可疑文件模塊、威脅情報模塊、前端取證模塊及專家分析模塊。

4.如權利要求3所述基于大數據分析技術的威脅預警監測系統，其特征是，所述分析中心模塊包括IP行為畫像模塊和數據挖掘模塊，

IP行為畫像模塊實現對IP的整體畫像，針對系統中存在的IP地址能搜索出來，查看與該IP相關的信息，還能鉆取進入二級IP詳細信息頁面；通過提供全域IP鉆取，對IP進行DNS請求、威脅情報命中、安全日志和網絡流量多個維度的分析并持續鉆?。煌ㄟ^DNS請求，能分析域名訪問和C&C外聯情況，IP命中的威脅情報和安全日志佐證被攻擊情況，網絡流量為回溯取證提供依據；

數據挖掘模塊實現對攻擊關聯圖、攻擊源分布、時序圖、威脅類型分布、威脅情報命中及力導圖中的數據進行挖掘。

5.如權利要求4所述基于大數據分析技術的威脅預警監測系統，其特征是，所述攻擊關聯圖整體展示安全日志中關聯的內部、外部主機IP之間的相關性；

攻擊源分布展示全球地圖分布上的安全威脅情況，根據安全日志的源IP的Geo地理位置按國家、城市進行聚合統計；

時序圖模塊根據安全日志中的威脅事件發生的時間進行聚合；

威脅類型分布能挖掘出安全日志的威脅類型相關的數據；威脅次數根據安全日志的威脅類型進行聚合，并與威脅單位進行關聯；

力導圖實現了對安全日志中主機IP與威脅IP的關聯，根據主機IP與大數據量威脅IP進行關聯分析；

威脅情報命中實現了對黑IP、黑域名、黑MD5數據的挖掘，根據威脅情報庫與安全日志中的主機IP進行碰撞關聯，對被威脅的IP主機數和威脅次數進行統計。

6.如權利要求3所述基于大數據分析技術的威脅預警監測系統，其特征是，所述安全日志功能模塊記錄了所有類型的威脅事件日志，提供關鍵詞檢索、自定義時間查詢或者實時查詢、標簽過濾、刪除事件日志、下載事件數據包、日志研判；

可疑文件模塊記錄所有已發現的可疑的文件，并將這些文件及其靜態、動態檢測報告存儲在大數據的分布式文件系統之中；

威脅情報模塊支持黑IP、黑域名、黑MD5、黑URL四類數據；對四類數據對命中趨勢圖、地理位置分布圖、命中次數、命中主機IP占比進行分析展示，還實現對這四類數據的導入；

前端取證模塊實現數據采集系統模塊中不同前端設備的分開配置操作，進行數據包管理、警報配置、行為模型及前端回查；

專家分析模塊為整個系統提供所有關鍵性數據的查詢，包括但不限于：APT威脅事件、惡意文件、TCP會話、UDP會話、DNS。