[發明專利]一種網絡違規操作識別系統、方法和裝置

在審

• 申請號: 202210380629.8
• 申請日: 2022-04-12
• 公開（公告）號: CN114785721A
• 公開（公告）日: 2022-07-22
• 發明（設計）人: 陶文偉;吳金宇;胡榮;蘇揚;龐曉健;曾初陽
• 申請（專利權）人: 中國南方電網有限責任公司
• 主分類號: H04L43/12
• 分類號: H04L43/12;H04L67/1095;H04L69/22;H04L9/40
• 代理公司: 華進聯合專利商標代理有限公司 44224
• 代理人: 樊倩

本申請涉及一種網絡違規操作識別系統、方法和裝置，所述系統包括：探測端，以及分析端。探測端用于獲取探測報文，并向待識別設備發送探測報文，探測報文的源IP地址為分析端的端IP地址，分析端IP地址用于指示待識別設備向分析端發送與探測報文對應的反饋報文；分析端用于當接收到反饋報文時，將待識別設備判定為違規設備，并根據反饋報文，得到違規設備的違規設備IP地址，違規設備為存在預設網絡邊界安全違規操作的待識別設備，預設網絡安全違規操作包括違規外聯行為和跨區互聯行為。采用本系統能夠精準識別出違規外聯或跨區互聯的具體設備。

技術領域

本申請涉及網絡邊界安全技術領域，特別是涉及一種網絡違規操作識別系統、方法和裝置。

背景技術

隨著網絡邊界安全技術的發展，出現了網絡違規外聯或跨區互聯探測技術，目前常見的違規外聯或跨區互聯探測技術為，通過網絡鏡像流量分析監測發現違規外聯或跨區互聯行為。

網絡鏡像流量分析技術的傳統方案是，通過網絡鏡像流量中的違規外聯或跨區互聯的相關特征信息，來發現違規外聯或跨區互聯行為。然而網絡鏡像流量分析技術往往只能獲取到有限的違規外聯或跨區互聯設備信息，無法識別出違規外聯或跨區互聯的具體設備。

發明內容

基于此，有必要針對上述技術問題，提供一種網絡違規操作識別系統、方法和裝置。

第一方面，本申請提供了一種網絡違規操作識別系統。所述系統包括：探測端，以及分析端；其中，

所述探測端，用于獲取探測報文，并向待識別設備發送所述探測報文；所述探測報文的源IP地址為所述分析端的分析端IP地址；所述分析端IP地址用于指示所述待識別設備向所述分析端發送與所述探測報文對應的反饋報文；

所述分析端，用于當接收到所述反饋報文時，將所述待識別設備判定為違規設備，并根據所述反饋報文，得到所述違規設備的違規設備IP地址；所述違規設備為存在預設網絡邊界安全違規操作的待識別設備；所述預設網絡安全違規操作包括違規外聯行為和跨區互聯行為。

在其中一個實施例中，所述探測端，還用于：基于所述探測報文，得到所述探測報文的目的IP地址；根據所述探測報文的目的IP地址，將所述探測報文發送給所述待識別設備。

在其中一個實施例中，所述探測端，還用于：獲取所述探測端的探測端IP地址，并基于所述探測端IP地址作為原始探測報文的源IP地址，得到所述原始探測報文；將所述原始探測報文的源IP地址修改為所述分析端IP地址，得到所述探測報文。

在其中一個實施例中，所述分析端，還用于：獲取所述分析端的鏡像流量；過濾所述鏡像流量，得到所述鏡像流量的過濾后的鏡像流量；從所述過濾后的鏡像流量中，得到所述反饋報文。

在其中一個實施例中，所述探測端，還用于：對所述探測報文進行標記，得到所述探測報文的第一標記特征；所述第一標記特征用于所述待識別設備向所述分析端發送攜帶有第二標記特征的反饋報文；所述第二標記特征與所述第一標記特征相匹配；所述分析端，還用于：根據所述第二標記特征，通過報文捕獲工具，從所述過濾后的鏡像流量中，得到所述反饋報文。

在其中一個實施例中，所述分析端，還用于：從預設的警告分級列表中，獲取與所述分析端IP地址匹配的警告等級；所述分析端與外網網絡，以及跨區內網網絡連接；基于所述警告等級、所述分析端IP地址，以及所述違規設備IP地址，得到所述違規設備的警告記錄。

第二方面，本申請還提供了一種網絡違規操作識別方法。所述方法包括：

獲取探測報文；所述探測報文的源IP地址為分析端的分析端IP地址；