[發明專利]一種全網危險感知平臺及其工作方法

有效

• 申請號: 201811544304.9
• 申請日: 2018-12-17
• 公開（公告）號: CN109714323B
• 公開（公告）日: 2021-02-02
• 發明（設計）人: 龐文俊;伊曉強;湯泰鼎
• 申請（專利權）人: 清創網御（合肥）科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京和信華成知識產權代理事務所(普通合伙) 11390
• 代理人: 胡劍輝

1.一種全網危險感知平臺，其特征在于，包括數據采集模塊、分類模塊、數據分析模塊、危險感知模塊、數據庫、數據錄入模塊、控制器、警示模塊、存儲模塊、溯源模塊、追蹤模塊、信息互聯模塊、數據處理模塊和信號燈；

所述數據采集模塊用于實時采集數據交換過程中的網絡信息，且網絡信息包括數據源信息、網絡應用層協議數據和代碼數據，所述數據采集模塊用于將網絡信息傳輸至分類模塊；所述分類模塊用于實時接收網絡信息，并將網絡信息中的網絡應用層協議數據傳輸至數據分析模塊，且網絡應用層協議數據包括通信響應時間、訪問端口數和流量占用量；所述數據分析模塊在實時接收到網絡應用層協議數據后，即開始進行分析操作，具體步驟如下：

步驟一：實時獲取到網絡應用層協議數據中的通信響應時間，并將通信響應時間依次分為第一時間流、第二時間流和第三時間流三個檔次，同時依據通信響應時間來標定活躍系數Q，具體標定過程如下：

S1：實時獲取到網絡應用層協議數據中的通信響應時間，并對其進行賦值；

S2：當通信響應時間為第一時間流時，此時Q＝A1；

S3：當通信響應時間為第二時間流時，此時Q＝A2；

S4：當通信響應時間為第三時間流時，此時Q＝A3，而A1、A2和A3均為預設值且A1大于A2大于A3；

步驟二：實時獲取到網絡應用層協議數據中的訪問端口數，并將訪問端口數依次分為第一數量級、第二數量級和第三數量級三個檔次，同時依據訪問端口數來標定映射系數W，具體標定過程如下：

S1：實時獲取到網絡應用層協議數據中的訪問端口數，并對其進行賦值；

S2：當訪問端口數為第一數量級時，此時W＝B1；

S3：當訪問端口數為第二數量級時，此時W＝B2；

S4：當訪問端口數為第三數量級時，此時W＝B3，而B1、B2和B3均為預設值且B1大于B2大于B3；

步驟三：實時獲取到網絡應用層協議數據中的流量占用量，且流量占用量界定為總上傳流量與總下載流量之比，并將流量占用量依次分為第一占用段、第二占用段和第三占用段三個檔次，同時依據流量占用量來標定流量系數E，具體標定過程如下：

S1：實時獲取到網絡應用層協議數據中的流量占用量，并對其進行賦值；

S2：當流量占用量為第一占用段時，此時E＝C1；

S3：當流量占用量為第二占用段時，此時E＝C2；

S4：當流量占用量為第三占用段時，此時E＝C3，而C1、C2和C3均為預設值且C1大于C2大于C3；

步驟四：將上述步驟一至步驟三中的活躍系數Q、映射系數W和流量系數E對網絡安全的影響占比進行權重分配，依次分配為預設值q、w和e，且q小于w小于e，并通過公式R＝Q*q+W*w+E*e來求得實時的網絡安全系數；

所述數據分析模塊在獲取到R后，將R與預設范圍r相比較，當R位于預設范圍r之外時，將與R相對應的通信響應時間、訪問端口數和流量占用量一同生成異常行為信號傳輸至危險感知模塊；所述危險感知模塊在實時接收到異常行為信號時，從數據庫中調取錄入的網絡惡意行為信息并與異常行為信號相比較，且網絡惡意行為信息包括DNS或ARP污染、SSH或FTP暴力破解、漏洞掃描、DDoS攻擊、SQL注入和DGA惡意域名中，各自相對應的預設通信響應時間a、預設訪問端口數b和預設流量占用量c，當異常行為信號中的通信響應時間、訪問端口數和流量占用量均位于DNS或ARP污染、SSH或FTP暴力破解、漏洞掃描、DDoS攻擊、SQL注入或DGA惡意域名的預設通信響應時間a、預設訪問端口數b和預設流量占用量c之內時，則將與其相對應的網絡惡意行為生成警示信號并經由控制器分別傳輸至警示模塊、存儲模塊和溯源模塊；所述數據錄入模塊用于錄入查找的網絡惡意行為信息，所述數據錄入模塊用于將錄入的網絡惡意行為信息傳輸至數據庫；所述存儲模塊在實時接收到警示信號時，將警示信號中的網絡惡意行為與對應日期一同生成異常行為信息表進行記錄；所述警示模塊在實時接收到警示信號時，將警示信號中的網絡惡意行為經由顯示屏進行顯示；

所述分類模塊用于實時接收網絡信息，并將網絡信息中的數據源信息傳輸至追蹤模塊，且數據源信息包括源IP、目的IP、源MAC和目的MAC；所述溯源模塊在實時接收到警示信號后，將其傳輸至追蹤模塊；所述追蹤模塊在實時接收到警示信號后，將數據源信息中的源IP、目的IP、源MAC和目的MAC一同生成取證信號并傳輸至信息互聯模塊；所述信息互聯模塊在實時接收到取證信號時，將取證信號中的源IP、目的IP、源MAC和目的MAC發送至用戶的手機中進行顯示，所述信息互聯模塊與用戶的手機之間通信連接；

所述分類模塊用于實時接收網絡信息，并將網絡信息中的代碼數據傳輸至數據處理模塊；所述數據處理模塊在實時接收到代碼數據后，即開始進行處理操作，具體步驟如下：

步驟一：實時獲取到網絡信息中的代碼數據，并提取出代碼數據中二進制文件的形態特征；

步驟二：讀取二進制文件的形態特征，同時以8bit為一個無符號的整型，以256byte的固定行寬為一個向量，來生成一個二維數組，而二維數組中每個元素的范圍都在0至255之間；

步驟三：將二維數組經映射后轉換成無壓縮的PNG灰階圖片；

所述數據處理模塊在獲取到無壓縮的PNG灰階圖片后，將其傳輸至危險感知模塊；所述危險感知模塊在實時接收到無壓縮的PNG灰階圖片時，從數據庫中調取錄入的經由各類惡意代碼數據及其變種數據轉成的無壓縮的PNG灰階圖片并與其相比較，當兩者紋路圖形的重合率高于預設值p時，將該代碼數據生成惡意信號并經由控制器傳輸至警示模塊；所述數據錄入模塊還用于錄入查找的經由各類惡意代碼數據及其變種數據轉成的無壓縮的PNG灰階圖片，并將其傳輸至數據庫；所述警示模塊在實時接收到惡意信號時，將惡意信號中的該代碼數據經由顯示屏進行顯示，同時控制信號燈閃爍，所述警示模塊與信號燈之間通信連接。