[發明專利]基于VPN流量牽引的在線網絡威脅檢測方法及系統

有效

• 申請號: 201810611863.0
• 申請日: 2018-06-14
• 公開（公告）號: CN110611637B
• 公開（公告）日: 2022-07-01
• 發明（設計）人: 黃云宇;劉廣柱;康學斌;王小豐;肖新光
• 申請（專利權）人: 北京安天網絡安全技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/0826
• 代理公司: 暫無信息
• 代理人: 暫無信息

本發明提出一種基于VPN流量牽引的在線網絡威脅檢測方法及系統，所述方法包括：搭建云在線系統，所述云在線系統由至少一個云服務器組成；在所述云服務器上搭建VPN服務；在高帶寬網絡信道網關處部署旁路惡意威脅流量檢測設備；檢測目標通過VPN賬戶連接云在線系統；云在線系統將檢測目標的網絡流量牽引至旁路惡意威脅流量檢測設備；旁路惡意威脅流量檢測設備檢測接收到的網絡流量，并存儲檢測結果供檢測目標查看。本發明還給出相應的系統，通過本發明的技術方案，將威脅流量檢測設備進行在線化部署，能夠共享檢測設備，便于檢測設備的維護降低設備部署及人工成本。

技術領域

本發明涉及計算機網絡安全領域，特別涉及一種基于VPN流量牽引的在線網絡威脅檢測方法及系統。

背景技術

現有的網絡威脅檢測、定位和取證技術僅是使用線下便攜式工具到檢測目標的網關甚至單機進行人工部署工具來完成檢測。在工具部署、威脅檢測和定位過程中，以往的惡意流量威脅檢測設備，是需要在檢測目標的終端設備或者對外出口的路由網關中部署，再通過惡意流量威脅檢測設備進行惡意流量檢測。因此，在實施取證檢測前需要投入很多人工用于部署設備，并且在取證事件中很大比例是無法檢測到惡意代碼的威脅的，因此造成了很多人工成本的浪費。并且以往在終端或者局域網關部署惡意流量威脅檢測設備，只可以檢測單個節點或者局域網內的網絡健康狀態，如果檢測目標部署有入侵防御檢測系統，則不需要惡意流量威脅檢測設備長期部署并檢測流量健康狀態，若長期部署則會影響網絡傳輸性能和設備資源的消耗，如果拆除惡意流量威脅檢測設備，則會進一步增加設備部署成本。并且，以往的惡意流量威脅檢測設備，因為屬于末端檢測類型，因此如果大范圍部署檢測的話，則需要大量的檢測設備，會造成設備難以更新換代，以及難以同步升級檢測惡意流量特征庫和C2庫，同時還需要大量的人工成本投入。綜上，目前的檢測方法，需要消耗大量的人力、物理和時間等資源，造成取證的高成本投入和時間遲滯。

發明內容

基于上述問題，本發明提出了一種基于VPN流量牽引的在線網絡威脅檢測方法，通過將網絡威脅檢測設備旁路部署于云端，實現能夠對多個節點的檢測，使檢測設備共享，簡化部署方式，且便于檢測設備的升級維護。

本發明通過如下方法實現：

一種基于VPN流量牽引的在線網絡威脅檢測方法，包括：

搭建云在線系統，所述云在線系統由至少一個云服務器組成；

在所述云服務器上搭建VPN服務；

在高帶寬網絡信道網關處部署旁路惡意威脅流量檢測設備；所述旁路惡意威脅流量檢測設備中集成惡意流量特征庫及僵尸網絡控制節點信息；

檢測目標通過VPN賬戶連接云在線系統；所述檢測目標為終端設備或局域網絡；

云在線系統將檢測目標的網絡流量牽引至旁路惡意威脅流量檢測設備；

旁路惡意威脅流量檢測設備檢測接收到的網絡流量，并存儲檢測結果供檢測目標查看，所述檢測結果中包括IP、Port、Time及惡意代碼家族數據。

所述的方法中，所述云在線系統的云服務器間相互聯通，并實現負載均衡。

所述的方法中，所述惡意流量特征庫為，根據每個惡意代碼家族篩選出的能夠與C2正常通訊的樣本，獲取通信交互數據，分類提取每個請求類型的通信數據特征，生成惡意流量特征庫。

所述的方法中，在檢測目標通過VPN賬戶連接云在線系統時，還提交自定義流量來源信息，在存儲檢測結果時根據流量來源信息分類存儲，并設定存儲位置的訪問權限。

所述的方法中，所述云服務器還作為檢測目標的網絡通信中轉節點，實現網絡代理服務。

本發明還相應提出一種基于VPN流量牽引的在線網絡威脅檢測系統，包括：

云在線系統，由至少一個云服務器組成；在所述云服務器上搭建VPN服務；