[發(fā)明專利]數據的安全監(jiān)測方法和裝置、電子設備、可讀介質

在審

• 申請?zhí)枺?/td>: 202010029243.3
• 申請日: 2020-01-10
• 公開（公告）號: CN111277570A
• 公開（公告）日: 2020-06-12
• 發(fā)明（設計）人: 楊喜志;王浩文;黃朝富;茍道偉
• 申請（專利權）人: 中電長城網際系統應用有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;H04L29/12
• 代理公司: 北京天昊聯合知識產權代理有限公司 11112
• 代理人: 彭瑞欣;馮建基

1.一種數據的安全監(jiān)測方法，其特征在于，所述方法包括：

對獲取到的網絡流量數據進行協議識別，確定所述網絡流量數據的協議類型；

依據所述協議類型和對應的協議特征，對所述網絡流量數據逐層進行解析和重組，獲得對應的還原數據；

對所述還原數據進行分析檢測，確定所述還原數據中是否存在異常。

2.根據權利要求1所述的方法，其特征在于，所述還原數據至少包括網絡層還原數據、傳輸層還原數據和應用層還原數據中的任意兩種。

3.根據權利要求2所述的方法，其特征在于，若確定所述還原數據是所述應用層還原數據，則對所述還原數據進行分析檢測，確定所述還原數據中是否存在異常，包括：

對所述應用層還原數據中的郵件應用數據、訪問應答數據和域名應用數據中的至少一種進行檢測，確定所述應用層還原數據中是否存在異常；

若確定所述應用層還原數據中存在異常數據，則將所述異常數據保存至異常數據庫中。

4.根據權利要求3所述的方法，其特征在于，所述對所述應用層還原數據中的郵件應用數據、訪問應答數據和域名應用數據中的至少一種進行檢測，確定所述應用層還原數據中是否存在異常，包括：

若確定所述應用層還原數據是所述郵件應用數據，則采用多模匹配算法，對所述郵件應用數據中的特征信息進行檢測，確定所述郵件應用數據中是否存在異常郵件；

若確定所述應用層還原數據是所述訪問應答數據，則檢測獲得用戶訪問應用系統的訪問次數和所述應用系統的應答次數；

依據所述訪問次數、所述應答次數和預設次數閾值，判斷所述訪問應答數據中是否存在異常訪問；

若確定所述應用層還原數據是所述域名應用數據，則依據動態(tài)檢測算法對所述域名應用數據進行檢測，確定所述域名應用數據中是否存在異常數據。

5.根據權利要求3或4所述的方法，其特征在于，所述若確定所述應用層還原數據中存在異常數據，則將所述異常數據保存至異常數據庫中，包括：

若確定所述異常數據是異常郵件，則將所述異常郵件保存至異常郵件數據庫中；

若確定所述異常數據是異常訪問數據，則標記所述異常訪問數據所屬的用戶為異常用戶，同時，記錄并保存所述異常用戶的地址和訪問內容信息至異常訪問數據庫中；

若確定所述異常數據是異常域名數據，則將所述異常域名數據進行分類存儲至異常域名數據庫中，所述異常域名數據包括惡意域名數據和可疑域名數據。

6.根據權利要求4所述的方法，其特征在于，所述郵件應用數據中的特征信息至少包括關鍵字信息、敏感字信息和郵件附件信息中的任意一種信息；

所述動態(tài)檢測算法至少包括多維特征域名檢測算法、主機行為特征檢測算法和攻擊鏈分析檢測算法中的任意一種。

7.根據權利要求6所述的方法，其特征在于，所述多維特征域名檢測算法至少包括基于域名生成算法的域名靜態(tài)檢測算法、域名活躍度特征檢測算法和域名動態(tài)變化特征檢測算法中的任意一種。

8.根據權利要求6所述的方法，其特征在于，所述攻擊鏈分析檢測算法至少包括域名結構特征識別算法、域名解析的地址集合識別算法、域名請求客戶端的地址集合識別算法和域名活動周期識別算法中的任意一種。

9.根據權利要求2所述的方法，其特征在于，若確定所述還原數據是所述網絡層還原數據，則對所述還原數據進行分析檢測，確定所述還原數據中是否存在異常，包括：

基于基數樹的網際協議分類查找算法，對所述網絡層還原數據中的網際協議地址進行地址檢測，確定所述網際協議地址是否在地址白名單中，若確定所述網際協議地址不在所述地址白名單中，則確定所述網絡層還原數據中存在異常地址。