[發(fā)明專利]一種基于全流量的網絡安全基線生成方法

有效

• 申請?zhí)枺?/td>: 201811589819.0
• 申請日: 2018-12-25
• 公開（公告）號: CN109379390B
• 公開（公告）日: 2021-04-27
• 發(fā)明（設計）人: 徐硯;李鵬;許愛東
• 申請（專利權）人: 中國電子科技網絡信息安全有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都九鼎天元知識產權代理有限公司 51214
• 代理人: 鄧世燕

1.一種基于全流量的網絡安全基線生成方法，其特征在于，包括以下步驟：

S1.網絡數(shù)據(jù)深度解析：通過交換機鏡像口對網絡數(shù)據(jù)包進行旁路采集，并對部分應用層協(xié)議進行深度解析，提取出網絡報文中的公共數(shù)據(jù)內容和部分應用層深度解析數(shù)據(jù)信息，生成格式化數(shù)據(jù)；其中：所述公共數(shù)據(jù)內容包括：時間戳、源ip地址、目的ip地址、源端口號、目的端口號、源mac地址、目的mac地址、網絡層協(xié)議和應用層協(xié)議；

S2.數(shù)據(jù)清洗與提取：對采集和/或解析后生成的格式化數(shù)據(jù)進行數(shù)據(jù)清洗，去掉重復或異常的數(shù)據(jù)，對于公共數(shù)據(jù)內容全部提取，對于部分深度解析出的應用層數(shù)據(jù)內容，提取其應用層關鍵信息；

S3.分布式持久化：將提取出的數(shù)據(jù)信息全量導入分布式數(shù)據(jù)庫進行持久化；

S4.接受參數(shù)輸入：接受用戶輸入的包括起始時間戳、結束時間戳和應用層協(xié)議類型在內的安全基線生成參數(shù)；

S5.數(shù)據(jù)聚合：依據(jù)用戶輸入的起始時間戳和結束時間戳參數(shù)，從分布式數(shù)據(jù)庫中提取該時間范圍內的基礎數(shù)據(jù)，依據(jù)基礎數(shù)據(jù)中的網絡層協(xié)議、應用層協(xié)議、源ip地址、目的ip地址、源mac地址和目的mac地址信息生成聚合數(shù)據(jù)集A，再根據(jù)用戶輸入的應用層協(xié)議在聚合數(shù)據(jù)集A基礎上再次聚合構造生成指定應用層協(xié)議的聚合數(shù)據(jù)集B；

S6.數(shù)據(jù)分析與計算：聚合數(shù)據(jù)集B的每條數(shù)據(jù)通過所有字段拼接后的字符串經過安全哈希算法生成唯一識別號ID，將附帶該ID的聚合數(shù)據(jù)集B持久化到分布式數(shù)據(jù)庫中，即形成指定應用層協(xié)議的網絡安全基線。

2.根據(jù)權利要求1所述的一種基于全流量的網絡安全基線生成方法，其特征在于，所述步驟S1網絡數(shù)據(jù)深度解析包括以下子步驟：

S11.獲取設備序列號，并創(chuàng)建處理子進程，再分配與子進程的共享內存，給共享內存緩沖區(qū)開啟寫權限；

S12.初始化子進程；

S13.初始化抓包接口，并開啟抓包線程；

S14.初始化存儲線程，并開啟存儲線程；

S15.初始化清除磁盤線程，開啟清除磁盤功能；

S16.監(jiān)控子進程，若有意外關斷則重啟子進程。

3.根據(jù)權利要求1所述的一種基于全流量的網絡安全基線生成方法，其特征在于，所述步驟S5數(shù)據(jù)聚合中，若用戶輸入的應用層協(xié)議為IEC104協(xié)議，則聚合數(shù)據(jù)集B由基礎數(shù)據(jù)中的IEC104數(shù)據(jù)的請求公共體地址、響應公共體地址、報文類型、類型標識以及傳送原因生成。

4.根據(jù)權利要求1所述的一種基于全流量的網絡安全基線生成方法，其特征在于，所述步驟S6數(shù)據(jù)分析與計算中，若分布式數(shù)據(jù)庫中原本已有該應用層協(xié)議的安全基線，則會自動基于該唯一識別號ID對這些數(shù)據(jù)進行更新或完善，用戶也可在此基礎上單獨插入或刪除一條指定的安全基線數(shù)據(jù)。