[發(fā)明專利]基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)

在審

• 申請?zhí)枺?/td>: 202011481680.5
• 申請日: 2020-12-15
• 公開（公告）號: CN112511387A
• 公開（公告）日: 2021-03-16
• 發(fā)明（設(shè)計）人: 宋宣霈;張衛(wèi);于林宇;閆勇;鞠巖;胡晨曦
• 申請（專利權(quán)）人: 北京京航計算通訊研究所
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06;H04L12/24
• 代理公司: 中國兵器工業(yè)集團公司專利中心 11011
• 代理人: 周恒

1.一種基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述系統(tǒng)包括：規(guī)則制定模塊、流量采集模塊、流量處理模塊、惡意代碼樣本采集模塊、流量掃描與分析模塊、威脅評估與預(yù)警發(fā)布模塊；

所述規(guī)則制定模塊用于根據(jù)固定與浮動位置關(guān)鍵詞、應(yīng)用協(xié)議內(nèi)容，制定流量抽樣的標(biāo)準(zhǔn)，使流量采集模塊按照流量比例方式、IP五元組方式或時間方式對流量進行抽樣采集；

所述流量采集模塊用于按照抽樣采集規(guī)則，對流量進行數(shù)據(jù)采集，并將流量數(shù)據(jù)傳遞給流量處理模塊；

所述流量處理模塊用于對采集的流量數(shù)據(jù)進行去重操作、規(guī)范化操作和壓縮處理操作，并傳遞給流量掃描與分析模塊；

所述惡意代碼樣本采集模塊用于在惡意代碼樣本庫中獲取惡意代碼樣本，并傳遞給流量掃描與分析模塊；

所述流量掃描與分析模塊用于將處理后的流量數(shù)據(jù)存儲成流量文件，同時結(jié)合惡意代碼樣本，對要監(jiān)測的流量文件進行檢測，當(dāng)在流量文件中識別出與惡意代碼樣本相匹配的內(nèi)容時，認為發(fā)現(xiàn)網(wǎng)絡(luò)攻擊行為，則生成報警事件數(shù)據(jù)，傳遞給威脅評估與預(yù)警發(fā)布模塊；

所述威脅評估與預(yù)警發(fā)布模塊用于接收報警事件數(shù)據(jù)并實現(xiàn)威脅評估、特征提取與樣本庫升級、事件報警功能。

2.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述規(guī)則制定模塊工作過程中，所述按照流量比例方式抽樣，指的是按百分比對流量進行抽樣采集。

3.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述規(guī)則制定模塊工作過程中，所述按照IP五元組方式抽樣，指的是按源IP、源端口、目的IP、目的端口、協(xié)議對流量進行抽樣采集。

4.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述規(guī)則制定模塊工作過程中，所述按照時間方式抽樣，指的是按時間段對流量進行抽樣采集，時間段可精確到分鐘。

5.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述流量處理模塊工作過程中，所述去重操作指的是：過濾重復(fù)的流量數(shù)據(jù)。

6.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述流量處理模塊工作過程中，所述規(guī)范化操作指的是：對原始流量數(shù)據(jù)進行格式規(guī)范化處理，將原始流量處理為pcap格式的數(shù)據(jù)。

7.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述流量處理模塊工作過程中，所述壓縮操作指的是：將流量數(shù)據(jù)進行壓縮后再上傳。

8.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述威脅評估與預(yù)警發(fā)布模塊工作過程中，所述威脅評估指的是：將報警事件數(shù)據(jù)與歷史記錄的威脅事件數(shù)據(jù)進行分析比對，評估網(wǎng)絡(luò)攻擊的受影響范圍和目標(biāo)威脅情況，并生成評估報告。

9.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述威脅評估與預(yù)警發(fā)布模塊工作過程中，所述特征提取與樣本庫升級指的是：輔助分析報警事件數(shù)據(jù)中攜帶的新型網(wǎng)絡(luò)攻擊和惡意代碼的特征信息，并添加更新到統(tǒng)一的惡意代碼樣本庫中，完成惡意代碼樣本庫升級。

10.如權(quán)利要求1所述的基于多源信息分析的網(wǎng)絡(luò)攻擊監(jiān)測系統(tǒng)，其特征在于，所述威脅評估與預(yù)警發(fā)布模塊工作過程中，所述事件報警指的是：顯示、查詢、統(tǒng)計報警事件數(shù)據(jù)的信息，并生成報表。