[發明專利]一種網絡入侵防護系統

在審

• 申請號: 201911286665.2
• 申請日: 2019-12-14
• 公開（公告）號: CN111193719A
• 公開（公告）日: 2020-05-22
• 發明（設計）人: 陳暉;方曦;邵亮;喻群;賈力;龍章勇;敖志敏;祝嘉偉;肖乾;向召明;魏莉莉;姜丹;周子雅
• 申請（專利權）人: 貴州電網有限責任公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 成都拓荒者知識產權代理有限公司 51254
• 代理人: 鄒廣春

1.一種網絡入侵防護系統，其特征在于，包括：

網絡引擎模塊，所述網絡引擎模塊通過多核硬件平臺獲取外部數據交換，通過IP協議棧進行IP碎片重組、TCP狀態跟蹤、數據捕獲和源匯聚分析，并對獲取數據進行行為分析、關聯分析、協議異常檢測、流量異常檢測、智能協議識別和深度協議分析，構建文件特征庫、網站信譽庫和攻擊特征庫；

管理模塊，所述管理模塊對所述網絡引擎模塊分析的數據和用戶狀態進行用戶管理、配置管理、策略管理、時間管理、日志管理和系統監控，生成相關管理文件，并配置相關管理信息；

安全響應模塊，所述安全響應模塊用于在所述網絡引擎模塊檢測到網絡入侵后，啟動相應處理指令，進行相應處理程序，包括包丟失、會話阻斷、IP隔離、報警顯示、郵件報警、記錄日志、互動接口、自定義命令。

2.根據權利要求1所述的網絡入侵防護系統，其特征在于，所述網絡引擎模塊包括：

IP碎片重組單元、流匯聚單元、TCP狀態跟蹤單元、數據捕獲單元、交換單元、IP雙協議棧單元、行為分析單元、關聯分析單元、協議異常檢測單元、流量異常檢測單元、智能協議識別單元、深度協議分析單元、文件特征庫單元、網站信譽庫單元、攻擊特征庫單元；

所述IP碎片重組單元用于通過IP碎片重組檢測黑客采取的任意分片方式進行的攻擊；

所述流匯聚單元用于通過流匯聚方式檢測黑客采取的任意分片方式進行的攻擊；

所述TCP狀態跟蹤單元用于跟蹤TCP傳輸協議的數據傳輸，并判斷是否發生網絡入侵；

所述數據捕獲單元用于捕獲發生網絡入侵的數據或病毒包、木馬程序；

所述交換單元用于通過網絡協議來完成外部數據的交換；

所述IP雙協議棧單元用于完成IPv4和IPv6雙IP協議的功能，識別IPv4和IPv6通訊流量，通過多隧道模式的支持，保證IPv6和IPv4網絡通訊協議的互聯互通；

所述行為分析單元通過對網絡訪問活動進行長時間收集并經過分析，根據用戶身份、地理位置、IP地址、業務系統、網絡應用、操作方法、操作時間、訪問頻次條件建立用戶的正常網絡訪問模型，當檢測到網絡中出現了違背正常網絡訪問模型的異常行為時，則對其進行分析，以判斷是否發生攻擊；

所述關聯分析單元用于通過分析本機與外部設備的關聯特性，檢測是否發生網絡入侵；

所述協議異常檢測單元以深度協議分析為核心，將發現的任何違背RFC規定的行為視為協議異常，從而發現未知的溢出攻擊、零和攻擊以及拒絕服務攻擊；

所述流量異常檢測單元通過學習和調整特定網絡環境下的設定正常流量值，來發現非預期的異常流量；

所述智能協議識別單元通過動態分析網絡報文中包含的協議特征，發現其所在協議，然后遞交給相應的協議分析引擎進行處理，檢測出通過動態端口或者智能隧道實施的惡意入侵，發現綁定在任意端口的各種木馬后門；

所述深度協議分析單元用于分析網絡入侵的深度協議，通過分析用戶協議和網絡入侵的后門，完成協議漏洞的補充；

所述文件特征庫單元用于提取病毒特征，建立病毒特征庫；

所述網站信譽庫單元用于提取惡意網站、僵尸網絡，建立惡意網站和僵尸網絡數據庫；

所述攻擊特征庫單元用于提取安全事件的特征，建立安全事件特征庫。

3.根據權利要求1所述的網絡入侵防護系統，其特征在于，所述管理模塊包括：

用戶管理單元、配置管理單元、策略管理單元、事件管理單元、日志管理單元、系統監控單元；

所述用戶管理單元用于建立用戶目錄信息，并通過用戶身份識別和基于用戶身份權限的訪問控制；

所述配置管理單元用于實時配置管理項目和管理項目參數，選擇管理模式，配置管理模式參數；

所述策略管理單元用于生成網絡入侵的防御策略，設定網絡入侵的參數閾值，配置網絡入侵應用管理策略，并根據管理策略控制相應的應用程序的使用，所述管理策略模塊包括多個規則模板，用戶通過不同的網絡環境選擇相應的規則模板，達到策略管理的最簡化和防護效果的最大化；

所述事件管理單元用于對網絡入侵事件進行管理，并生成事件管理文件信息；

所述日志管理單元用于對用戶網絡行為生成日志信息，并對日志信息進行歸并，避免網絡入侵攻擊；

所述系統監控單元用于監控事件管理單元和日志管理單元的文件信息，并對網絡入侵行為進行監控，啟動安全響應。