[發明專利]一種網絡安全檢測方法及檢測系統

在審

• 申請號: 201710732915.5
• 申請日: 2017-08-24
• 公開（公告）號: CN107483448A
• 公開（公告）日: 2017-12-15
• 發明（設計）人: 劉慶云;周舟;孫永;譚建龍;李佳;張曦;喻靈婧
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京君尚知識產權代理事務所(普通合伙)11200
• 代理人: 司立彬

1.一種網絡安全檢測方法，其步驟包括：

1)接收用于檢測攻擊竊密和泄密行為的檢測策略；

2)根據所述檢測策略的優先級順序執行檢測策略對待匹配報文進行檢測，得到攻擊竊密行為或泄密行為；

3)根據得到的所述攻擊竊密行為或泄密行為產生告警信息，并上報至管理中心。

2.如權利要求1所述的方法，其特征在于，所述檢測策略按功能劃分，包括已知攻擊竊密檢測策略和未知攻擊竊密檢測策略；其中，所述已知攻擊竊密檢測策略的優先級高于所述未知攻擊竊密檢測策略的優先級。

3.如權利要求2所述的方法，其特征在于，所述未知攻擊竊密檢測策略包括未知攻擊竊密檢測廠商內置策略和白名單檢測策略；其中，白名單檢測策略的優先級高于未知攻擊竊密檢測廠商內置策略的優先級。

4.如權利要求3所述的方法，其特征在于，當步驟2)中執行所述檢測策略為未知攻擊竊密檢測策略時，根據未知攻擊竊密檢測廠商內置策略中的匹配規則對待匹配報文中的可疑心跳保活行為、遠程控制行為、異常私有協議、異常通用代理行為進行匹配，若匹配成功則對攻擊竊密事件產生告警并記錄相關數據。

5.如權利要求3所述的方法，其特征在于，當步驟2)中執行所述檢測策略為未知攻擊竊密檢測策略時，首先根據白名單檢測策略對待匹配報文進行過濾，如果存在與白名單相匹配中的攻擊竊密行為或泄密行為則不進行上報；否則采用所述未知攻擊竊密檢測廠商內置策略對該待匹配報文進行檢測。

6.如權利要求2所述的方法，其特征在于，所述已知攻擊竊密檢測策略包括已知攻擊竊密檢測管理中心下發策略和已知攻擊竊密檢測廠商內置策略；其中，已知攻擊竊密檢測管理中心下發策略的優先級高于已知攻擊竊密檢測廠商內置策略的優先級。

7.如權利要求1所述的方法，其特征在于，所述檢測策略按策略來源劃分，包括管理中心下發策略和廠商內置策略；其中，所述管理中心下發策略的優先級高于廠商內置策略的優先級。

8.一種網絡安全檢測系統，其特征在于，包括接收器和處理器；其中，

所述接收器，用于接收內部網絡與互聯網之間的網絡流量以及用于檢測攻擊竊密行為或泄密行為的檢測策略；

所述處理器，用于對網絡流量進行解析得到待匹配報文，以及根據所述檢測策略的優先級順序執行檢測策略對待匹配報文進行檢測，得到攻擊竊密行為或泄密行為；根據得到的所述攻擊竊密行為或泄密行為產生告警信息，并上報至管理中心。

9.如權利要求8所述的系統，其特征在于，所述檢測策略按功能劃分，包括已知攻擊竊密檢測策略和未知攻擊竊密檢測策略；其中，所述已知攻擊竊密檢測策略的優先級高于所述未知攻擊竊密檢測策略的優先級。

10.如權利要求8所述的系統，其特征在于，所述檢測策略按策略來源劃分，包括管理中心下發策略和廠商內置策略；其中，所述管理中心下發策略的優先級高于廠商內置策略的優先級。