[發(fā)明專利]一種基于原始報文的安全分析方法

在審

• 申請?zhí)枺?/td>: 202110322464.4
• 申請日: 2021-03-25
• 公開（公告）號: CN113518067A
• 公開（公告）日: 2021-10-19
• 發(fā)明（設(shè)計）人: 張波;王斌;呂齊;汪志奕;倪旭明;邵航軍;盛輝;張文杰;楊懷仁;金旭;吳哲翔;余侃;吳穎;王曉晨
• 申請（專利權(quán)）人: 國網(wǎng)浙江省電力有限公司金華供電公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 杭州華鼎知識產(chǎn)權(quán)代理事務(wù)所(普通合伙) 33217
• 代理人: 項軍

1.一種基于原始報文的安全分析方法，配合設(shè)置于應(yīng)用端的探針使用，其特征在于，包括以下步驟：

A.探針獲取報文后，同時啟用入侵檢測系統(tǒng)和WEB應(yīng)用防火墻；

B.依次通過威脅情報對比，WEBshell檢測，惡意文件或異常行為分析作為檢測手段進(jìn)行檢測；

C.對檢測結(jié)果進(jìn)行研判分析；若分析結(jié)果為存在威脅則進(jìn)入步驟D，否則結(jié)束本次檢測流程；

D.應(yīng)用端進(jìn)行響應(yīng)：開啟旁路阻斷功能，發(fā)現(xiàn)攻擊行為后自動封堵啟動威脅；

E.將事件流程記載入日志；

F.安全管理平臺通過人工分析結(jié)合智能分析，并結(jié)合日志信息制定安全策略，并將安全策略下發(fā)至應(yīng)用端；

G.應(yīng)用端更新安全策略并予以執(zhí)行。

2.根據(jù)權(quán)利要求1所述的一種基于原始報文的安全分析方法，其特征在于，所述步驟D中旁路阻斷的具體流程為：在用戶訪問服務(wù)器的時候，流量鏡像到探針，如果流量中的特征命中了預(yù)設(shè)的阻斷規(guī)則，則探針發(fā)送一個RST阻斷報文。

3.根據(jù)權(quán)利要求1所述的一種基于原始報文的安全分析方法，其特征在于，所述步驟C中研判分析過程中存儲威脅pcap包和元數(shù)據(jù)日志并與告警日志相關(guān)聯(lián)。

4.根據(jù)權(quán)利要求1所述的一種基于原始報文的安全分析方法，其特征在于，所述步驟E中所述日志中包含常見的協(xié)議和工控協(xié)議，常見協(xié)議日志包括：TCP流量日志、UDP流量日志、郵件行為日志、Telnet行為日志、認(rèn)證日志、HTTP日志、域名解析日志、FTP訪問日志、郵件日志、SSL日志；工控日志：goose日志、coap日志、Moubus日志。

5.根據(jù)權(quán)利要求1所述的一種基于原始報文的安全分析方法，其特征在于，所述步驟F中獲取日志有了威脅研判以后，對事件中的攻擊者和受害者進(jìn)行分析統(tǒng)計，獲取威脅統(tǒng)計以及關(guān)聯(lián)統(tǒng)計，最終形成高危事件統(tǒng)計、分析、處置建議。

6.根據(jù)權(quán)利要求5所述的一種基于原始報文的安全分析方法，其特征在于，威脅統(tǒng)計包括：攻擊者統(tǒng)計、受害者統(tǒng)計、惡意文件統(tǒng)計、威脅事件統(tǒng)計、事件分布；關(guān)聯(lián)分析包括：支持攻擊者分析、受害者分析以及對于的行為分析。

7.根據(jù)權(quán)利要求6所述的一種基于原始報文的安全分析方法，其特征在于，還包括流量統(tǒng)計：流量趨勢、應(yīng)用構(gòu)成、VPN構(gòu)成。

8.根據(jù)權(quán)利要求1至7中任一所述的一種基于原始報文的安全分析方法，其特征在于，還設(shè)有自定義敏感信息識別引擎用于對敏感信息進(jìn)行檢測并使用這些敏感信息結(jié)合用戶的業(yè)務(wù)模型對業(yè)務(wù)違規(guī)行為進(jìn)行預(yù)警。

9.根據(jù)權(quán)利要求1至7中任一所述的一種基于原始報文的安全分析方法，其特征在于，整個過程中留存所有原始流量，并提供API進(jìn)行查詢?nèi)∽C。

10.一種電子設(shè)備，其特征在于：用于存儲并執(zhí)行如權(quán)利要求1-9其中任一所述基于原始報文的安全分析方法。