[發明專利]一種實現網絡流量安全分析的硬件無關化方法及系統

有效

• 申請號: 202010796947.3
• 申請日: 2020-08-10
• 公開（公告）號: CN111935145B
• 公開（公告）日: 2021-05-25
• 發明（設計）人: 段彬
• 申請（專利權）人: 武漢思普崚技術有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L12/26;G06N20/00
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種實現網絡流量安全分析的硬件無關化方法，其特征在于，所述方法包括：

通過物理接口獲取網絡流量，在規定時間內分析網絡流量速度，提取所述網絡流量的標識信息，根據所述標識信息聚類獲取的網絡流量，結合網絡流量的速度分布，得到不同標識信息聚類后的網絡流量對應的速度分布；

在總線上布置若干個硬件探針，對輸入的流量報文進行關鍵詞提取和匹配，對包含指定關鍵詞的流量報文，直接上報平臺示警，記錄當前異常點位置，所述硬件探針提供開放的REST服務接口、日志接口、API接口，跨過物理接口直接整合對接第三方態勢感知大平臺或者大數據平臺；

在平臺上布置若干個虛擬機，在虛擬機上運行流量安全分析進程，獲取所述若干個虛擬機的工作狀態和負載情況，對應將流量速度快的聚類網絡流量分配給空閑的虛擬機，所述虛擬機通過內部接口與硬件探針連接，接收分配的聚類網絡流量，執行深度包檢測分析，提取流量中攜帶的協議特征，調用數據庫保存的協議典型特征模型，分析流量所屬網絡協議類型，解析出流量中的應用數據，從相應字段中提取應用協議特征，再次調用數據庫的協議典型特征模型，確定流量中攜帶有的應用協議類型；

其中，所述解析出流量中的應用數據包括：判斷所述應用數據是否被加密或編碼，所述判斷包括深度分析數據片段是否符合預先設定的邏輯規律，若數據片段為雜亂隨機，則初步認定所述數據片段被置亂或編碼，若數據片段為具有某種規律分布，則初步認定所述數據片段為明文，進一步分析雜亂隨機的數據片段，調用數據庫中的保存的加密算法或隨機處理方法，還原數據片段；

根據所述確定的應用協議類型和網絡協議類型，確定流量中攜帶的會話，為所述會話賦予會話標識，進行會話分析，判斷所述會話雙方的身份是否合法，所述會話雙方的可支持業務范圍是否包括對方的業務，所述會話的時長是否超過預先設定的閾值，以及所述會話傳輸的數據包是否攜帶有敏感關鍵詞或涉密文件，當判斷所述會話出現異常時，所述虛擬機中斷所述會話，通知平臺異常點的位置；

所述虛擬機將所述會話分析后的流量送入第一機器學習模型，所述流量此時攜帶了相關的會話標識，檢測是否包括第一攻擊向量，當檢測出所述第一攻擊向量時，標記對應會話標識的會話為異常，針對會話雙方進行源點傳播溯源；

獲取會話雙方的用戶關系鏈，所述用戶關系鏈包括所屬部門的同事關系、與公司外部的客戶關系、親戚好友關系、郵件收發關系，將每一種關系下每一個人作為一個子節點，擴展檢測每一個子節點涉及的終端、郵箱、文件、即時通信，判斷是否包括所述第一攻擊向量，如果是，則標記該子節點為異常點；

獲取會話雙方的可支持業務范圍，根據業務流程的前后關系、具體業務動作的經辦人，得到業務關系鏈，將每一個經辦人、經辦人名下的終端、設備、文件、即時通信作為一個子節點，檢測每一個子節點是否包括所述第一攻擊向量，如果是，則標記該子節點為異常點；

確定所有異常點的位置，連接所有的異常點，形成完整的攻擊覆蓋面，對所述攻擊覆蓋面進行形態分析，根據攻擊覆蓋面的形態和所述若干個虛擬機的位置，調整所述虛擬機的工作權重，當有限幾個虛擬機對應覆蓋范圍廣的攻擊覆蓋面時，即某個范圍內的單個虛擬機對應的覆蓋密度小于閾值時，提高所述有限幾個虛擬機的流量安全分析權重，減小指令交互的權重，賦予獨立決斷的權重；當有限幾個虛擬機對應覆蓋范圍小的攻擊覆蓋面時，即某個范圍內的單個虛擬機對應的覆蓋密度大于閾值時，降低所述有限幾個虛擬機的流量安全分析權重，決策需要上傳平臺決斷。

2.根據權利要求1所述的方法，其特征在于：平臺根據虛擬機部署防御策略包括：完全隔離單個設備或用戶、完全禁止單項業務、僅拒絕單個設備或用戶開展指定的單項業務、僅拒絕單個設備或用戶修改數據中的一種或若干種；

根據網絡節點的負載情況自動部署防御策略，若異常攻擊的源點負載小于預設的閾值，則直接在源點部署，否則，為源點選擇負載小于閾值的鄰近網絡節點部署，切斷源點向外傳輸的路徑；

當所述鄰近網絡節點的負載上升大于閾值時，先判斷源點負載是否還大于閾值，如果是，為源點切換到第二鄰近網絡節點部署策略，所述第二鄰近網絡節點是在源點潛在的傳播路徑上；

定期檢測源點的負載情況，當負載穩定小于閾值時，則將部署切換回源點。