[發(fā)明專利]一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202010547349.2
• 申請日: 2020-06-16
• 公開（公告）號: CN111711626A
• 公開（公告）日: 2020-09-25
• 發(fā)明（設(shè)計）人: 胡欣
• 申請（專利權(quán)）人: 廣州市安鴻網(wǎng)絡(luò)科技有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/24
• 代理公司: 北京科億知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11350
• 代理人: 湯東鳳

1.一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于，具體步驟如下：

步驟一、通過嗅探器檢測入侵來源，實時檢查系統(tǒng)漏洞，核對開放端口信息；

步驟二、初步檢測入侵對象，分析其入侵活動目標，識別已知入侵類型；

步驟三、判斷入侵對象危害程度；

步驟四、及時對工作系統(tǒng)進行數(shù)據(jù)檢測，評估系統(tǒng)關(guān)鍵數(shù)據(jù)以及源文件完整性，維護系統(tǒng)的正常運行；

步驟五、進行危害響應(yīng)報警，并同時采取實施措施；

步驟六、進行自我完善并恢復(fù)整體系統(tǒng)正常運行，后臺統(tǒng)計系統(tǒng)日志管理。

2.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟一中的入侵來源的嗅探通過傳輸介質(zhì)對包括網(wǎng)絡(luò)入侵的嗅探和主機端入侵的嗅探，網(wǎng)絡(luò)入侵檢測主要用保護系統(tǒng)中的某一網(wǎng)段，其數(shù)據(jù)信息主要來源于網(wǎng)絡(luò)上采集的數(shù)據(jù)包，基于主機的入侵檢測主要用于檢測主機的信息，主要包括整體系統(tǒng)的審計記錄和系統(tǒng)日常日志以及審計信息。

3.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟二中的入侵對象的檢測類型包括入侵蠕蟲檢測、木馬檢測、DOS攻擊性檢測、掃描檢測以及代碼源更改入侵檢測等多用入侵方式。

4.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟三的入侵危害程度具體分為以下步驟：

步驟a：對入侵對象的入侵目標進行判斷分析，是否對系統(tǒng)安全造成系統(tǒng)崩潰影響；

步驟b：若對系統(tǒng)本身運行不構(gòu)成威脅則進行對入侵對象的攜帶木馬類型進行檢測；

步驟c：若木馬植入不徹底則對其入侵對象是否針對系統(tǒng)部分源代碼更改進行危害檢測，評判危害等級；

步驟d：對入侵對象的是否針對防火墻以及交換器地址進行入侵進行判斷。

5.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟四對工作系統(tǒng)進行數(shù)據(jù)檢測包括對主機開放端口信息進行檢測掃描以及對系統(tǒng)內(nèi)部源文件程序進行檢測和對系統(tǒng)管理控制文件進行檢測，對可能被植入的病毒進行檢測并清除，并通過防范措施進行防范，其防范措施包括以下幾種方式：

a：對于懷疑運行監(jiān)聽程序的機器，用正確的IP地址和錯誤的物理去除其頻段；

b：對網(wǎng)上傳輸?shù)男畔⑦M行加密，其可以有效的防止網(wǎng)絡(luò)監(jiān)聽；

c：通過對網(wǎng)上發(fā)大量不存在的物理端口的地址資源包，通過比對監(jiān)聽其資源包后的性能后對系統(tǒng)加以判斷；

d：通過分段技術(shù)對入侵源頭進行防范；

e：通過高性能網(wǎng)絡(luò)流量處理方式進行防范。

6.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟五中進行危害響應(yīng)報警以及采取實施措施，其中危害響應(yīng)報警的方式有郵件報警、SNMP報警、以及系統(tǒng)日志報警和物理報警；其中采取的實施措施包括：

a：切斷端口信息連接；

b：通知管理員；

c：協(xié)作連接防火墻；

d：封堵源頭IP地址；

e：與其他設(shè)備協(xié)作。

7.根據(jù)權(quán)利要求2所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述入侵來源的傳輸介質(zhì)包括：微波無線電、IP地址通信、電話線傳輸、英特網(wǎng)和FDDI。

8.根據(jù)權(quán)利要求5所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述防范措施中方式e包括通過軟件優(yōu)化處理方式、通過基于擴展技術(shù)的高速報文捕獲引擎以及精確的匹配算法進行處理和通過特征分析和歷史入侵行為結(jié)合方式。

9.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟六進行自我完善的方式有：

a：對物理安全介質(zhì)的認證信息進行完善；

b：對多級用戶管理以及訪問進行完善；

c：對自身的嗅探器的IP地址的隱藏安全性進行檢測并完善；

d：對系統(tǒng)日志審計功能進行完善。

10.根據(jù)權(quán)利要求1所述的一種網(wǎng)絡(luò)入侵監(jiān)測的方法和系統(tǒng)，其特征在于：所述步驟二中檢測入侵對象，其檢測的對象目標有入侵時間、入侵次數(shù)、入侵事件、用戶協(xié)議、以及網(wǎng)絡(luò)流量和入侵產(chǎn)生流量。