[發(fā)明專利]基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法

在審

• 申請(qǐng)?zhí)枺?/td>: 201810087218.3
• 申請(qǐng)日: 2018-01-30
• 公開（公告）號(hào): CN108156177A
• 公開（公告）日: 2018-06-12
• 發(fā)明（設(shè)計(jì)）人: 方存保;楊連營(yíng);汪文杰;丁暉;張玉兵;許凡強(qiáng)
• 申請(qǐng)（專利權(quán)）人: 國(guó)家電網(wǎng)公司;國(guó)網(wǎng)安徽省電力有限公司銅陵供電公司
• 主分類號(hào): H04L29/06
• 分類號(hào): H04L29/06;G06F17/30
• 代理公司: 合肥和瑞知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 34118
• 代理人: 王挺

1.基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：包括數(shù)據(jù)采集模塊(10)和數(shù)據(jù)分析模塊(20)，所述數(shù)據(jù)采集模塊(10)采集日志、網(wǎng)絡(luò)信息流量以及IDS數(shù)據(jù)，并將所述日志、網(wǎng)絡(luò)信息流量以及IDS數(shù)據(jù)發(fā)送至數(shù)據(jù)分析模塊(20)，所述數(shù)據(jù)分析模塊(20)對(duì)日志、網(wǎng)絡(luò)信息流量以及IDS數(shù)據(jù)進(jìn)行預(yù)警分析。

2.如權(quán)利要求1所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述日志包括IIS日志、Apache日志、交換機(jī)日志、主機(jī)日志。

3.如權(quán)利要求2所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)采集模塊(10)采用Splunk工具對(duì)IIS日志、Apache日志、主機(jī)日志進(jìn)行采集。

4.如權(quán)利要求3所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)采集模塊(10)采用Flume組件對(duì)交換機(jī)日志進(jìn)行采集。

5.如權(quán)利要求4所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)采集模塊(10)采用交換機(jī)采集網(wǎng)絡(luò)信息流量，并將所述網(wǎng)絡(luò)信息流量發(fā)送至分布式HBase數(shù)據(jù)庫。

6.如權(quán)利要求5所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)采集模塊(10)采用Sqoop工具采集IDS數(shù)據(jù)，并將所述IDS數(shù)據(jù)發(fā)送至分布式HBase數(shù)據(jù)庫。

7.如權(quán)利要求6所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)分析模塊(20)對(duì)IIS日志、Apache日志、主機(jī)日志進(jìn)行預(yù)警分析，分析IIS日志、Apache日志、主機(jī)日志中的客戶端請(qǐng)求訪問頁面的頻率，以及客戶端請(qǐng)求訪問網(wǎng)絡(luò)地址的頻率，若客戶端請(qǐng)求訪問頁面的頻率或客戶端請(qǐng)求訪問網(wǎng)絡(luò)地址的頻率大于1分鐘100次，則數(shù)據(jù)分析模塊(20)發(fā)出預(yù)警信號(hào)，若客戶端請(qǐng)求訪問頁面的頻率以及客戶端請(qǐng)求訪問網(wǎng)絡(luò)地址的頻率均小于1分鐘100次，則數(shù)據(jù)分析模塊(20)不發(fā)出預(yù)警信號(hào)。

8.如權(quán)利要求7所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)分析模塊(20)對(duì)交換機(jī)日志進(jìn)行預(yù)警分析，分析交換機(jī)日志中的客戶端請(qǐng)求訪問網(wǎng)絡(luò)地址中是否存在select字段、update字段、delete字段、translate字段，如果存在，則數(shù)據(jù)分析模塊(20)發(fā)出預(yù)警信號(hào)，如果不存在，則數(shù)據(jù)分析模塊(20)不發(fā)出預(yù)警信號(hào)。

9.如權(quán)利要求1～8任意一項(xiàng)所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述數(shù)據(jù)分析模塊(20)對(duì)網(wǎng)絡(luò)信息流量進(jìn)行預(yù)警分析，實(shí)時(shí)顯示網(wǎng)絡(luò)信息流量，如果網(wǎng)絡(luò)信息流量中的數(shù)據(jù)流量包存在特殊的數(shù)據(jù)包協(xié)議，則數(shù)據(jù)分析模塊(20)發(fā)出預(yù)警信號(hào)，如果網(wǎng)絡(luò)信息流量中的單個(gè)數(shù)據(jù)流量包發(fā)送至目標(biāo)主機(jī)的時(shí)間超過10min，則數(shù)據(jù)分析模塊(20)發(fā)出預(yù)警信號(hào)；如果網(wǎng)絡(luò)信息流量中的數(shù)據(jù)流量包不存在特殊的數(shù)據(jù)包協(xié)議，而且網(wǎng)絡(luò)信息流量中的單個(gè)數(shù)據(jù)流量包發(fā)送至目標(biāo)主機(jī)的時(shí)間小于等于10min，則數(shù)據(jù)分析模塊(20)不發(fā)出預(yù)警信號(hào)。

10.如權(quán)利要求9所述的基于大數(shù)據(jù)的信息網(wǎng)安全態(tài)勢(shì)感知預(yù)警方法，其特征在于：所述特殊的數(shù)據(jù)包協(xié)議包括OICQ協(xié)議、AMQP協(xié)議、WSDL協(xié)議。