[發明專利]一種面向信息網絡安全的防御控制方法及系統

在審

• 申請號: 202110753505.5
• 申請日: 2021-07-02
• 公開（公告）號: CN113315666A
• 公開（公告）日: 2021-08-27
• 發明（設計）人: 魏長春
• 申請（專利權）人: 天津嘉恒達科技有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 北京酷愛智慧知識產權代理有限公司 11514
• 代理人: 胡林

1.一種面向信息網絡安全的防御控制方法，其特征在于，所述方法包括：

采用已知攻擊模式對預先采集的安全告警數據進行關聯分析和序列挖掘，生成網絡拓撲；

結合網絡拓撲，自動確定參與聯動防御的網絡安全設備；

向選定的網絡安全設備下發防御規則，以實現聯動防御。

2.如權利要求1所述的方法，其特征在于，所述預先采集安全告警數據包括：

在網絡安全設備上部署監控裝置；其中，

所述網絡安全設備，包括防火墻、入侵檢測系統、安全交互平臺、邏輯強隔離裝置和正反向隔離裝置；

所述監控裝置采用定時或事件觸發機制，采用分布式部署方式采集安全設備產生的安全告警數據，并發送至智慧管理平臺；

通過智慧管理平臺對安全告警數據進行解密和解壓縮后，獲得明文數據；

對明文數據進行預處理，統一數據格式。

3.如權利要求2所述的方法，其特征在于，所述對明文數據進行預處理具體包括：

從明文數據中抽取源IP地址、源端口、目的IP地址、目的端口、告警時間、事件類別和安全告警數據內容；

根據抽取的安全告警數據內容和事件類別，定義最終規范類別；所述最終規范類別由操作人員預先制定，其方式包括漏洞掃描、未授權遠程訪問和權限提升；

采用關鍵字匹配方式，自動確定當前預處理的安全告警數據的時間類別，選擇與該安全告警內容和事件類別關鍵字匹配度最高的類別作為最終規范類別；

將源IP地址，源端口，目的IP地址，目的端口，告警時間，最終規范類別作為一條安全告警記錄存入數據庫。

4.如權利要求1所述的方法，其特征在于，所述采用已知攻擊模式對安全告警數據進行關聯分析具體包括：

S101，輸入已知攻擊模式，構建與所述已知攻擊模式相關聯的規則層次結構；

S102，從數據庫中逐條提取待分析的安全告警數據記錄，并將記錄中的規范類別與攻擊步驟相對應，填充所述規則層次結構；

S103，對規則層次結構進行細粒度劃分，獲取攻擊步驟關聯集合。

5.權利要求4所述的方法，其特征在于，所述S101中，使用公開的網絡攻擊模式或者自定義的網絡攻擊模式作為已知攻擊模式，將所述已知攻擊模式相關的攻擊步驟按照邏輯先后順序排列，完成規則層次結構的構建；

所述S102包括，提取當前待分析的安全告警數據記錄，若記錄中的規范類別與攻擊步驟類型相同，則將該條安全告警數據記錄的源IP地址，源端口，目的IP地址，目的端口，告警時間信息加入所述規則的相應節點中；循環執行S102，直至分析完成所有安全告警數據記錄。

6.如權利要求1所述的方法，其特征在于，所述采用已知攻擊模式對預先采集的安全告警數序列挖掘基于PrefixSpan算法對安全告警數據進行序列挖掘，并根據頻繁項集，搜尋疑似關聯的攻擊，具體包括：

S201掃描數據庫，找出各個頻繁項a并組成集合；其中，對于每一個頻繁項a至少滿足以下兩個條件之一：

i.a可以嵌入序列s的最后一個元素中形成一個序列模式；或者，

ii.將a追加到序列s末尾，形成一個序列模式；

其中，定義s為空序列；

S202對于每一個頻繁項a，將其追加至序列s組成一個序列模式s’并輸出；

S203對于每個s’，遞歸調用PrefixSpan算法，直至序列長度不再增加。

7.如權利要求1所述的方法，其特征在于，所述結合信息網絡拓撲，自動確定參與聯動防御的具體網絡安全設備包括：

結合網絡拓撲，選取所有遭受攻擊的網絡節點的前置或后置網絡安全設備；

刪除重復的網絡安全設備；

刪除選取的所述安全設備之間的其它網絡設備，并用直線相連，構建網絡安全設備間的虛擬連接圖；

在虛擬連接圖中選取數量最少的節點，以覆蓋所有網絡路徑。