[發明專利]一種基于群體智能的多個安全組件協同響應方法

有效

• 申請號: 202010179805.2
• 申請日: 2020-03-16
• 公開（公告）號: CN111416810B
• 公開（公告）日: 2022-03-08
• 發明（設計）人: 曾穎明;郭敏;李寧;韓磊;溫研;海然;馬書磊
• 申請（專利權）人: 北京計算機技術及應用研究所
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 中國兵器工業集團公司專利中心 11011
• 代理人: 王雪芬

1.一種基于群體智能的多個安全組件協同響應方法，其特征在于，包括以下步驟：

步驟1：將所有的網絡安全實體進行智能化，使得各網絡安全實體具備和同類以及不同類網絡安全實體進行交互的能力；

步驟2：建立所有的網絡安全實體的通信機制；

步驟3：基于步驟2在同類的多個網絡安全實體之間實現對網絡威脅檢測的信息傳遞和共享；

步驟4：在一定條件下觸發執行不同類多個網絡安全實體之間實現對網絡威脅信息的傳遞和共享；

步驟5：基于步驟3和步驟4生成協同響應的安全策略；

還包括基于步驟5實現的以下步驟：

步驟6：同類多個網絡安全實體之間實現對網絡威脅處置的響應策略及協同；

步驟7：不同類多個實體之間實現對網絡威脅處置的響應策略及協同；

步驟2中，設計三種基本消息以實現網絡安全實體之間的通信：活躍消息、更新消息和摘要消息；

其中，活躍消息是指網絡安全實體與鄰居網絡安全實體進行交互的信息，消息內容包括：消息類型，TTL值和關注等級，其中，關注等級是由網絡威脅級別決定的，會進行閾值設定，超過預設關注等級將會觸發與不同類網絡安全實體的信息傳遞，活躍消息僅在物理鄰居之間交換，TTL反映了兩個網絡安全實體之間的邏輯跳數，若兩個網絡安全實體物理上相鄰，即為所述物理鄰居，TTL值＝1，邏輯跳數為1，若兩個網絡安全實體需要通過另一個網絡安全實體才能通信，則稱之為物理鄰居的物理鄰居，TTL值＝2，邏輯跳數為2；

更新消息設置為用于避免網絡安全實體之間交互預設數量的過多的活躍信息，更新信息具有與活躍消息相同的結構，但是當關注等級由于威脅級別的改變或鄰域關注等級的改變而增加或減少時，更新消息自發生成，更新消息僅發送給物理鄰居；

摘要消息用于被多播到許多參與網絡安全實體以報告過去檢測到的攻擊和網絡安全實體位置，從而根據鄰里策略、網絡拓撲變化或最近觀察到的攻擊來重新定義動態鄰域。

2.如權利要求1所述的方法，其特征在于，步驟2中，還針對不同網絡安全實體設置不同策略，來盡可能傳遞或交互更多有價值的消息，策略是基于跳數的限制設置，反映了網絡安全實體與物理鄰居實體之間的網絡距離，同時，網絡安全實體與其物理鄰居及其物理鄰居的物理鄰居交換其網絡威脅的關注等級。

3.如權利要求1所述的方法，其特征在于，步驟2中，還設置邏輯鄰居：基于過去歷史安全性檢測或分析到的網絡攻擊，發現一系列存在關聯關系的網絡安全實體集合，關聯關系指不同網絡安全實體之間的聯系，雖然這些存在關聯關系的網絡安全實體在物理網絡中可能并不相鄰，但是在應對網絡攻擊或處置安全威脅時，需要盡可能進行直接的消息通信，因此，是一種存在邏輯關系的鄰居，將這類鄰居稱為邏輯鄰居。

4.如權利要求1所述的方法，其特征在于，步驟3中，在一個網絡安全實體發現網絡威脅或異常事件后，它自動地向物理鄰居和邏輯鄰居的同類實體發送更新消息或活躍消息，物理鄰居和邏輯鄰居收到更新消息或活躍消息，不斷地發送給其物理鄰居和邏輯鄰居的網絡安全實體，以此類推，最終各網絡安全實體會收到其周圍物理鄰居和邏輯鄰居發送的所有更新信息和活躍信息，會對其收到的所有消息進行數據融合，并把融合后的消息自動再次發送給周圍物理鄰居和邏輯鄰居，從而實現信息的迭代和再次匯聚，如果活躍信息中的關注等級超過設定的閾值，將觸發與不同類網絡安全實體的信息傳遞，即進入步驟4。

5.如權利要求4所述的方法，其特征在于，步驟5中，利用網絡安全感知平臺生成協同響應的安全策略，網絡安全感知平臺作為整個網絡信息系統的控制中心，它通過對各個網絡安全實體上報的信息進行分析，制定和生成網絡安全相關的策略。

6.如權利要求5所述的方法，其特征在于，步驟6中，針對某臺服務器已感染蠕蟲這一威脅，則其對應的同類實體協同防御策略為：首先，將已感染蠕蟲病毒的服務器進行隔離，自身先斷開網絡連接；其次，所有其它服務器斷開與該服務器的網絡連接；接著，采用相關安全軟件對該服務器上的蠕蟲病毒進行查殺；最后，在該服務器周邊網絡的服務器上安裝補丁修補漏洞，關閉相關的網絡端口。