[發明專利]結合業務應用的網絡風險行為分析方法

在審

• 申請號: 202210110719.5
• 申請日: 2022-01-29
• 公開（公告）號: CN114598499A
• 公開（公告）日: 2022-06-07
• 發明（設計）人: 王保力;王瑋;劉林;孫耀;高維奇;林春華;孫延軍
• 申請（專利權）人: 國網遼寧省電力有限公司大連供電公司;國家電網有限公司;深圳市云盾科技有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L69/18;H04L69/22;G06F16/22;G06F16/2458;G06F16/25;G06F16/27;G06F16/28
• 代理公司: 大連格智知識產權代理有限公司 21238
• 代理人: 劉琦;潘小鐵

1.一種結合業務應用的網絡風險行為分析方法，其特征在于，其包括：

S1：基于業務識別引擎，采用應用自動識別技術識別出各類技術架構的業務應用，所述自動識別技術為對網絡流量和網絡協議進行分析，綜合采用協議特征分析、特征匹配、服務端口解析、機器學習技術，精準識別網內包括B/S類、C/S類、掃描類技術架構的業務應用；

S2：所述應用自動識別技術將所識別出的業務應用集成至業務應用臺賬；所述業務應用臺賬包括白名單策略以及業務應用白模型，所述白名單策略包括業務應用與業務應用的特征信息，所述業務應用白模型為業務應用與特征信息的所屬關系；

S3：基于端口鏡像的流量采集技術采用大數據分析方法對網絡流量通過抽取、轉換、加載和特征化處理，生成特征化網絡流量數據；所述對網絡流量數據進行抽取、轉換、加載的步驟為：依據http、tcp、udp協議規范解析網絡流量數據，運用redis內存數據庫進行歸一化和格式化轉換，運用數據持久化組件將數據存儲于大數據中心，加載分析時運用MapReduce技術將待分析數據以key，value的格式加載至內存數據庫；

S4：將所述特征化網絡流量數據和業務應用白模型進行試配，符合業務應用白模型的特征化網絡流量數據歸屬白名單列表，不符合業務應用白模型的特征化網絡流量數據歸屬為可疑行為；

S5：人工干預并判斷可疑行為符合業務應用的特征信息時，將所述可疑行為手動提取為白名單策略、補充至業務應用白模型并加入至白名單列表；人工干預并判斷可疑行為不符合業務應用的特征信息時，將所述可疑行為歸屬為風險行為；

S6：根據業務應用臺賬設置黑名單策略，所述黑名單策略為不符合所述白名單策略及業務應用白模型的風險行為，對于符合黑名單策略的網絡流量數據歸屬為黑名單策略風險行為，所述黑名單策略包括：源IP地址、源安全域、目的IP地址、目的安全域、目的端口、協議、時間、報警級別；

S7：根據業務應用臺賬設置邊界訪問控制策略，首先將策略生成規則的配置功能向用戶開放，用戶依據實際需求，按業務應用、安全域和目的IP地址設置多種策略，配置各個策略間的優先級；其次以業務應用、安全域和目的IP地址為中心，梳理出IP地址、設備、網域對各個業務應用、安全域或目的地址的訪問關系，將網絡流量中針對業務應用的訪問關系進行收斂和抽象并生成用戶自定義的邊界訪問控制策略；對所有網絡連接行為進行精準解析匹配，符合邊界訪問控制策略的網絡連接行為進行“歸堆”存放，不符合任何邊界訪問控制策略的網絡連接行為單獨列示，按照設置-檢驗-優化的步驟，經過多次迭代，直至生成準確無誤的邊界訪問控制策略；所述邊界訪問控制策略包括：策略名稱、源IP地址、目的IP地址、目的端口、目的安全域、梳理方式、版本、時間。

2.根據權利要求1所述結合業務應用的網絡風險行為分析方法，其特征在于，所述業務應用的特征信息包括源IP地址、源端口、目的IP地址、目的端口、時間。

3.根據權利要求1所述結合業務應用的網絡風險行為分析方法，其特征在于，業務應用臺賬中與網絡流量數據匹配次數少于一定數量的業務應用被識別為僵尸應用。

4.根據權利要求1所述結合業務應用的網絡風險行為分析方法，其特征在于，根據業務應用臺賬構建重要資產白模型，所述重要資產白模型為人為設定重要資產的業務應用與特征信息的所屬關系，對于超出重要資產白模型的網絡流量數據歸屬為重要資產風險行為并進行重要資產風險行為監控，所述重要資產的特征信息包括：流量方向的選擇即進出總流量、進方向的流量、出方向的流量類型、源IP地址、源端口、目的IP地址、目的端口、協議、時間。