[發(fā)明專利]一種分布式網(wǎng)絡安全監(jiān)測方法及系統(tǒng)

在審

• 申請?zhí)枺?/td>: 201711272653.5
• 申請日: 2017-12-05
• 公開（公告）號: CN107872465A
• 公開（公告）日: 2018-04-03
• 發(fā)明（設計）人: 張英杰;郭昊;馬鐵軍;何小蕓
• 申請（專利權）人: 全球能源互聯(lián)網(wǎng)研究院有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京安博達知識產(chǎn)權代理有限公司11271
• 代理人: 徐國文

1.一種分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，包括：

采集網(wǎng)絡安全事件；

將所述網(wǎng)絡安全事件存儲至分布式消息隊列；

利用多個分布式處理設備從所述分布式消息隊列中獲取網(wǎng)絡安全事件，結合預設的安全規(guī)則進行處理，生成告警事件。

2.如權利要求1所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述采集網(wǎng)絡安全事件為，利用多個事件采集器采集網(wǎng)絡安全事件。

3.如權利要求2所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述事件采集器采集到網(wǎng)絡安全事件之后，還包括：

將所述網(wǎng)絡安全事件歸一化為網(wǎng)絡安全事件對象；

對所述網(wǎng)絡安全事件對象進行序列化、加密處理。

4.如權利要求2所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述利用多個事件采集器采集網(wǎng)絡安全事件，包括：

基于UDP協(xié)議采集網(wǎng)絡安全設備發(fā)送的網(wǎng)絡安全事件；

利用負載均衡組件將所述網(wǎng)絡安全事件平均轉發(fā)給各個事件采集器。

5.如權利要求4所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述利用負載均衡組件將所述網(wǎng)絡安全事件平均轉發(fā)給各個事件采集器，包括：

所述負載均衡組件預先存儲有各個事件采集器的IP列表；

所述負載均衡組件采用支持平均分布的隨機算法在所述事件采集器的IP列表中選取一個事件采集器的IP，將所述網(wǎng)絡安全事件轉發(fā)給所述IP對應的事件采集器。

6.如權利要求3所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述將所述網(wǎng)絡安全事件歸一化為網(wǎng)絡安全事件對象，包括：

抽取網(wǎng)絡安全事件中的元素；

根據(jù)抽取的元素將網(wǎng)絡安全事件轉換為網(wǎng)絡安全事件對象。

7.如權利要求3所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述對所述網(wǎng)絡安全事件對象進行序列化、加密處理，包括：

基于protobuf格式將所述網(wǎng)絡安全事件對象序列化為字節(jié)碼；

基于AES算法對所述字節(jié)碼進行加密。

8.如權利要求1所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述安全規(guī)則包括Map規(guī)則和Reduce規(guī)則，所述結合預設的安全規(guī)則進行處理，生成告警事件，包括：

多個分布式處理組件根據(jù)Map規(guī)則對所述網(wǎng)絡安全事件進行處理，生成分析事件；

聚合組件接收不同分布式處理組件生成的分析事件，根據(jù)Reduce規(guī)則對所述分析事件進行聚合，生成告警事件。

9.如權利要求1所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述生成告警事件之后，進一步包括：

基于預設的告警條件對告警事件進行判斷；

在預設周期內不同類型的告警事件的數(shù)量達到預設告警條件時，生成該類型告警事件的網(wǎng)絡安全告警。

10.如權利要求1所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述安全監(jiān)測方法，還包括：

基于定長緩存隊列存儲所述告警事件；

接收多個展示前端發(fā)送的告警數(shù)據(jù)請求；所述告警數(shù)據(jù)請求包括告警事件數(shù)量N；

根據(jù)所述告警事件數(shù)量N，返回N條告警數(shù)據(jù)。

11.如權利要求10所述的分布式網(wǎng)絡安全監(jiān)測方法，其特征在于，所述基于定長緩存隊列存儲所述告警事件，包括：

基于定長數(shù)組存儲告警事件數(shù)據(jù)，維護頭部指針和尾部指針，以及隊列狀態(tài)；

當所述定長緩存隊列中無數(shù)據(jù)時，頭部指針和尾部指針的值均為零；

當所述定長緩存隊列未滿時，每插入一條數(shù)據(jù)，頭部指針自動加1，尾部指針位置不變；

當所述定長緩存隊列數(shù)據(jù)滿時，隊列中插入的新數(shù)據(jù)優(yōu)先覆蓋最老的數(shù)據(jù)，頭部指針和尾部指針重新進行累加計數(shù)并且值相等；

當展示前端向所述定長緩存隊列請求最新數(shù)據(jù)時，以頭部指針為起始點，以尾部指針為終點，按照數(shù)據(jù)插入方向的反方向取數(shù)據(jù)。

12.一種分布式網(wǎng)絡安全監(jiān)測系統(tǒng)，其特征在于，包括：

分布式網(wǎng)絡安全事件采集模塊：用于采集網(wǎng)絡安全事件；

分布式消息隊列，用于存儲所述網(wǎng)絡安全事件；

多個分布式處理設備，用于從所述分布式消息隊列中獲取網(wǎng)絡安全事件，結合預設的安全規(guī)則進行處理，生成告警事件。