CN102111420A - 基于动态云火墙联动的智能nips架构 - Google Patents

Abstract

一种基于网络的入侵防御系统(NIPS)构架，所述NIPS构架与云火墙联动而连接至云安全。以一种新的设计思想和方式将云安全技术、人工智能技术与网络入侵防御技术结合。利用云安全的新技术特点，结合动态云火墙技术所具有的实时提取、交互协同联动和辨识异常信息的优势，提高了检测与辨识精度、动态交互协同联动和智能阻断决策性能，避免误报和漏报率高，很好地解决计算机网络安全整体动态防御和检测的关键技术和核心问题，从而提高了计算机网络安全可靠性和整体动态联动防御能力。

Description

基于动态云火墙联动的智能NIPS架构

技术领域

本发明涉及计算机网络信息安全技术领域，尤其涉及基于动态云火墙联动的智能NIPS构架。本发明主要应用于计算机网络防火墙及网络安全防御系统NIPS的关键技术，可有效地解决网络安全漏检和误报率高、动态实时交互联动性差等问题，进一步提高网络的整体动态智能实时防御能力和检测辨识阻断决策准确性等。

背景技术

现今一般使用的传统式防火墙是一种被动的静态访问控制系统，依据安全策略只对外网信息进行检测(不对内网检测)，从而只能保护内网不受外界非法访问和攻击。而入侵检测系统(Intrusion Detection System，IDS)，主要通过网络数据包事件行为进行分析、监视、检测和识别系统中未授权或异常现象。注重的是网络监控、审核跟踪，在发现异常时只报告不能防范，只能通过与防火墙等安全设备联动的方式进行防护。目前存在严重缺陷：一是动态联动性差、智能性差；二是网络缺陷，用交换机代替可共享监听的HUB使IDS的网络监听带来麻烦，并且在复杂的网络下精心地构造与发送数据包也可绕过IDS的监听；三是误报量大且出现漏报，报警不断。

入侵防御系统(Intrusion Prevention System，IPS)可以对传输过程中的全部数据包进行过滤检测，实时决策是否许可或禁止访问。IPS具有过滤器功能，能够防止系统上各种类型的弱点受到攻击。当新的弱点被发现之后会创建一个新过滤器并纳入管辖，试探攻击这些弱点的任何操作行为都会受到阻拦。IPS技术能够对网络进行多层、深层、主动的防护以有效保证企事业单位的网络安全。IPS相当于防火墙与入侵检测系统IDS结合，但并不能代替防火墙或IDS。防火墙在基于TCP/IP协议的过滤功能突出，IDS提供的全面审计资料对于攻击还原、入侵及异常操作取证、异常事件识别、网络故障排除等都有很重要的功效。但是仍然存在对计算机网络安全单一检测、误报率高、错误报警率多、漏报、动态实时交互协同联动性差、智能性和整体防御性差等缺点和不足。

网络性能、安全精确度和安全效率是计算机网络安全面临的主要问题。现有的传统式的防火墙是一种被动的静态访问控制系统，依据安全策略只对外网信息进行检测(不对内网检测)，从而只能保护内网不受外界非法访问和攻击。而基于网络的入侵防御系统NIPS(Network Intrusion Prevention System)具有难以智能主动阻断可疑数据包、监控受限、检测分析方法单一、实时性差、联动协同性差、漏误报率高、异构系统难互操作、体系结构不能满足分布及开放的要求等缺点，致使计算机网络安全隐患和威胁不断增加，网络资源利用及共享服务的效能降低，同时也加重了网络管理员和网络安全员的人工辅助处理与管理决策的负荷。严重地影响计算机网络安全防御和检测的关键技术精确度、安全效率、智能性、实动态时联动性和安全防御的整体性能。因此，对其关键技术的研究成为国内外倍受瞩目的高新技术。

云计算(Cloud Computing)是通过互联网提供计算资源环境和服务的实现方式，是基于互联网的超级计算模式。云计算可以将存储于计算机、移动电话和其他设备上的大量信息及处理器资源聚集、协同工作快速处理。云计算主要是以一种分布式计算技术，通过网络将庞大的计算处理程序自动分拆成多个子程序，再由多部服务器所组成的庞大系统，经过协同搜索、计算和分析处理后将结果回传给终端，真正充分实现网络资源共享。

“云安全(Cloud Security)”是网络时代信息安全的最新体现和云计算新应用，它融合了并行处理、网格计算、未知病毒行为判断等新兴技术和概念，通过网状的大量客户端对网络中软件行为的异常监测，获取互联网中木马、恶意程序的最新信息，发送到服务器端进行自动分析和处理，再将解决方案发到每一个客户端。

因此，业界需要一种将云安全与基于网络的入侵防御系统NIPS相结合的需求。

发明内容

在深入分析云安全的特点、优势和核心技术的基础上，分析了云火墙的特点结构及功能，以及基于网络的入侵防御系统NIPS技术特点的基础上，将云安全技术、动态云火墙技术、人工智能技术与入侵检测防御技术结合与集成，在构建一种新型的基于动态云火墙结构模型的基础上，设计出基于动态云火墙联动的智能NIPS模型新结构和实现方式。

本发明的一个方面为一种动态智能云火墙架构，其位于外网与内网之间以控制所述外网对所述内网的访问。所述云火墙架构包括：分析模块，收集所述外网的信息进行分析，从而获得安全策略；判定模块，根据所述安全策略判定要访问所述内网的外网信息是否是异常的；监控模块，根据所述判定模块的判定结果对所述内网的访问进行控制。

一些实施例中，所述分析模块包括可信知识库和特征规则库，其中，所述可信知识库收集所述外网的信息作为知识并对所述知识进行数据挖掘而得到特征规则，从而形成所述特征规则数据库。

一些实施例中，所述知识和特征规则经由自适应学习后进入知识库及特征规则库，并经过不断学习进行知识和特征规则的更新。

一些实施例中，所述信息包括用户行为、文件、URL以及电子邮件等之间的相互关联信息。

一些实施例中，所述判定模块包括防御代理模块、专家系统模块和检测辨识代理模块，其中所述专家系统模块根据所述可信知识库及所述特征规则库利用所述防御代理模块和所述检测识别代理模块进行判定和拦截抉择，并将判定结果发送至所述监控模块。

一些实施例中，所述监控模块为监控工作站，其中，若检测出异常行为/信息或数据包，则所述监控工作站进行防御性阻拦、报警并予以审计记录；若没有检测到异常行为/信息或数据包，则允许所述外网信息进入内网进行访问，并实时与所述检测控制工作站交互监控信息。

本发明的另一方面为一种基于网络的入侵防御系统(NIPS)构架，所述NIPS构架与如权利要求1所述的云火墙联动而连接至云安全。

一些实施例中，所述构架利用云安全的特征检测与识别模式，通过所述NIPS判定用户所要访问的资源的安全性，然后通过所述云火墙中的所述判定模块利用所述分析模块进行判定和鉴别抉择。

一些实施例中，所述所述联动包括利用本地服务器群响应、缓存支持和企业内部云服务器同步。

以一种新的设计思想和方式将云安全技术、人工智能技术与网络入侵防御技术结合。利用云安全的新技术特点，结合动态云火墙技术所具有的实时提取、交互协同联动和辨识异常信息的优势，提高了检测与辨识精度、动态交互协同联动和智能阻断决策性能，避免误报和漏报率高，很好地解决计算机网络安全整体动态防御和检测的关键技术和核心问题，从而提高了计算机网络安全可靠性和整体动态联动防御能力。

结合附图，根据下文的通过示例说明本发明主旨的描述可清楚本发明的其他方面和优点。

附图说明

结合附图，通过下文的述详细说明，可更清楚地理解本发明的上述及其他特征和优点，其中：

图1示出了根据本发明实施例的动态智能云火墙架构的例子；

图2示出了根据本发明的基于动态分布式云火墙联动的智能NIPS构架。

具体实施方式

参见示出本发明实施例的附图，下文将更详细地描述本发明。然而，本发明可以以许多不同形式实现，并且不应解释为受在此提出之实施例的限制。相反，提出这些实施例是为了达成充分及完整公开，并且使本技术领域的技术人员完全了解本发明的范围。这些附图中，为清楚起见，可能放大了层及区域的尺寸及相对尺寸。

云安全网络防护体系是一种新一代云客户端安全基础设施，可在新威胁到达之前对其进行阻拦，达到网络安全智能化和主动防御。云安全分为两类：一是特征库或类特征库在云端的储存与共享；二是作为一个最新的恶意代码、垃圾邮件或钓鱼网址等的快速收集、汇总和响应处理的系统。本发明主要利用“云安全”的7大核心技术：Web信誉服务(WRS)、邮件信誉服务(ERS)、文件信誉服务(FRS)、行为关联分析技术、自动反馈机制、威胁信息汇总和病毒特征黑名单技术。这项技术架构的核心超越了阻拦Web威胁的传统方法。云火墙基于云安全核心技术对动态分布式防火墙被动防护原理进行重大改进，其核心思想是将防护攻击变成动态的、协同的、主动的智能访问控制与防御系统。云火墙最关键工作是可信知识库对收集的大量信息进行数据挖掘，主要对用户行为、文件、URL以及电子邮件等之间相互关联信息的挖掘，进行特征提取、检测与辨识。将云安全和防火墙结合，可使得网络间互相协同、动态交互统一的阻止和部署。

根据本发明的动态智能云火墙架构，其位于外网与内网之间以控制所述外网对所述内网的访问。所述智能云火墙架构包括：分析模块，收集所述外网的信息进行分析，从而获得安全策略。判定模块，根据所述安全策略判定要访问所述内网的外网信息是否是异常的。监控模块，根据所述判定模块的判定结果对所述内网的访问进行控制。

分析模块包括可信知识库和特征规则库，其中，所述可信知识库收集所述外网的信息作为知识并对所述知识进行数据挖掘而得到特征规则，从而形成所述特征规则数据库。

所述知识和特征规则经由自适应学习后进入知识库及特征规则库，并经过不断学习进行知识和特征规则的更新。

判定模块包括防御代理模块、专家系统模块和检测辨识代理模块，其中所述专家系统模块根据所述可信知识库及所述特征规则库利用所述防御代理模块和所述检测识别代理模块进行判定和拦截抉择，并将判定结果发送至所述监控模块。

监控模块为监控工作站，其中，若检测出异常行为/信息或数据包，则所述监控工作站进行防御性阻拦、报警并予以审计记录；若没有检测到异常行为/信息或数据包，则允许所述外网信息进入内网进行访问，并实时与所述检测控制工作站交互监控信息。

图1示出了根据本发明实施例的动态智能云火墙架构的例子。

如图1所示，对外网信息经过数据交换机的可信数据库DB训练后，方可进入可信知识库学习与特征规则库/策略比对。可信知识库先由可信数据库训练并进行特征提取与数据挖掘而得到的知识/规则，经过自适应学习才进入知识库及特征规则库，并经过不断学习进行知识、规则和策略的更新。可信知识库和特征规则库是分析模块的例子。

防御代理模块(Agent)、专家系统模块和检测辨识代理模块(Agent)模块交互联动，整体联动统一交互协同、实时防御、检测与辨识。若检测出异常行为/信息或数据包，则通过监控工作站自动进行防御性阻拦、报警并予以审计记录。若没有检测到异常行为/信息或数据包，则可进入内网进行访问，并实时与内容检测控制工作站交互监控信息，包括对内网的动态监控。防御代理模块、专家系统模块和检测辨识代理模块模块是判定模块的例子，而监控工作站是监控模块的例子。用户行为、文件、URL以及电子邮件等之间的相互关联信息是所述信息的例子。

现描述基于前述云火墙的NIPS构架。动态智能云火墙需要与NIPS进一步联动协同，才能更好地发挥系统的整体协调、优化、检测与实时交互防御等功效。

根据本发明的基于网络的入侵防御系统(NIPS)构架，所述NIPS构架与如前述的云火墙联动而连接至云安全。所述构架利用云安全的特征检测与识别模式，通过所述NIPS判定用户所要访问的资源的安全性，然后通过所述云火墙中的所述判定模块利用所述分析模块进行判定和鉴别抉择。所述所述联动包括利用本地服务器群响应、缓存支持和企业内部云服务器同步。

图2示出了根据本发明的基于动态分布式云火墙联动的智能NIPS构架。

如图2所示，“云安全”将用户和智能技术平台通过互联网集成，组成一个木马/恶意软件及攻击指令监测、查杀、防护安全网络。外网中包括各种信息和威胁，例如，WEB/文件/邮件信誉、病毒、恶意代码、攻击指令、安全威胁等。“云端”进行动态实时的威胁信息集中采样与共享，从而形成多个特征库。NIPS构架的病毒/恶意软件自动分析系统通过云火墙根据特征库进行采集识别和特征提起，从而实现主动交互协同安全服务。

云火墙最本质的特点是其动态智能化，其技术实现的途径可充分利用“云端”进行动态实时的威胁信息集中采样与共享，实现主动交互协同安全服务。实现状态检测的关键是验证转发数据包的序号及窗口信息等确认数据包的合法性，可靠性和连接性可由上层TCP协议提供，TCP的流量控制由连接端通过声明的窗口大小提供，主要确定合法数据包界定条件及持续收集传输大量相关信息。如思科拥有目前全球最庞大的安全威胁监测网络Sensor Base，就是新一代防火墙的‘云端’。可以持续收集互联网上已知威胁的相关信息，包括连续攻击者、僵尸网络收获者、恶意爆发和黑网(Dark Nets)等。通过实时传输到云火墙，可提前及时阻断或过滤掉这些攻击者。获得云火墙的方法其实比较简单，如思科将ASA防火墙的软件升级到8.2版本即可，而无须改变硬件。Sensor Base所产生的更新量也比较小，结果表明新系统的防御功效非常显著。

在思科云火墙的基础上，提出的一种新的基于云安全的与动态分布式多功能云火墙联动的智能IPS结构设计与实现方法。可将安装云火墙的电脑和“云安全”系统平台实时相联，通过互联网组成覆盖整个网络的恶意攻击、网络病毒、恶意网址监测的强大云安全网络体系，利用本地服务器群响应、缓存支持和企业内部云服务器同步等技术，即可实现动态云火墙与智能IPS联动问题。基于“云安全”策略和“智能主动防御”技术开发的新一代互联网安全防护系统，可以将智能防护、杀毒软件与防火墙的无缝集成、整体联动，极大降低占用计算机资源，集“拦截、防御、查杀、保护”多重防护功能于一身。可在最短时间内发现、截获、处理大量的最新异常攻击、计算机病毒和恶意网址等，并将解决方案及时送到所有用户端，提前防范各种新生网络威胁。

本发明中，通过“云安全”模式以浏览器与“安全云”进行交互，访问文件、邮件或网站；以智能采集、识别、特征提取等方式，自动分析判断用户所访问资源的安全性，然后通过专家系统利用安全知识库进行深入分析和拦截抉择，并将解决方案发到客户端。对恶意文件或网站的处理同银行体系的信用模式类似，利用对文件、网页等资源信息进行信誉建模，予以智能监控识别和防护，然后对这些资源的信誉评级进行判定。“安全云”最关键工作是安全知识库对收集的大量信息进行数据挖掘，主要对文件、URL以及电子邮件之间相互关联信息的挖掘，进行特征提取检测判别，从而达到智能防护功能。

根据本发明的基于动态分布式云火墙联动的智能NIPS构架，通过建立共享、动态交互和整体协同工作的安全体系，实现防火墙、监测引擎的动态互动集成与联动。

对于本发明，可以通过对其进行模拟测试的方法，对比其效果，可采用来源于全球信息安全认证中心的数据，分别选取30个正常和异常数据，对新模型采用CURE和RIPPER算法，并对正常用户训练数据和实时用户数据进行挖掘，分别比较判断用户的历史和当前行为模式。

经过10次是否异常的模拟测试，每次测试均进行20次正常访问和20次攻击访问，可以得到模拟系统的检测结果。结果表明，传统防火墙和网络防御系统采用静态被动防御及单一的检测造成一定的误报与漏报，而改进的新模型可提高特征库准确性、动态交互协同联动和涵盖面，以一种新的设计思想和方式将云安全技术、人工智能技术与网络入侵防御技术结合。。

本发明具有如下优点。

(1)将云安全技术、动态云火墙技术、人工智能技术与NIPS结合是一种新的设计思想和方法。

(2)利用云安全的新技术特点，结合动态云火墙技术所具有的实时提取、交互协同联动和辨识异常信息的优势，提高了检测与辨识精度、动态交互协同联动和智能阻断决策性能，避免误报和漏报率高，很好地解决计算机网络安全整体动态防御和检测的关键技术和核心问题，从而提高了计算机网络安全可靠性和整体动态联动防御能力.

(3)通过建立共享、动态交互和联动工作的安全体系，实现防火墙、监测引擎的互通与联动，提高了网络系统的智能检测辨识、阻断决策、实时交互协同联动和多深层、主动性、整体协调的防御能力。。

(4)通过构建一个新型基于动态分布式云火墙联动的智能NIPS模型新结构，探索了一种先进而有效的网络安全检测防御新技术，更好地构造具有高效检测辨识能力、智能性、适应性和可扩展性的新型NIPS

因本技术领域的技术人员应理解，本发明可以以许多其他具体形式实现而不脱离本发明的精神或范围。尽管业已描述了本发明的实施例，应理解本发明不应限制为这些实施例，本技术领域的技术人员可如所附权利要求书界定的本发明精神和范围之内作出变化和修改。

Claims (9)

1.一种动态智能云火墙架构，其位于外网与内网之间以控制所述外网对所述内网的访问，其特征在于，包括：

分析模块，收集所述外网的信息进行分析，从而获得安全策略；

判定模块，根据所述安全策略判定要访问所述内网的外网信息是否是异常的；

监控模块，根据所述判定模块的判定结果对所述内网的访问进行控制。

2.如权利要求1所述的云火墙构架，其特征在于，所述分析模块包括可信知识库和特征规则库，其中，所述可信知识库收集所述外网的信息作为知识并对所述知识进行数据挖掘而得到特征规则，从而形成所述特征规则数据库。

3.如权利要求2所述的云火墙构架，其特征在于，所述知识和特征规则经由自适应学习后进入知识库及特征规则库，并经过不断学习进行知识和特征规则的更新。

4.如权利要求3所述的云火墙构架，其特征在于，所述信息包括用户行为、文件、URL以及电子邮件等之间的相互关联信息。

5.如权利要求1所述的云火墙构架，其特征在于，所述判定模块包括防御代理模块、专家系统模块和检测辨识代理模块，其中所述专家系统模块根据所述可信知识库及所述特征规则库利用所述防御代理模块和所述检测识别代理模块进行判定和拦截抉择，并将判定结果发送至所述监控模块。

6.如权利要求5所述的云火墙构架，其特征在于，所述监控模块为监控工作站，其中，若检测出异常行为/信息或数据包，则所述监控工作站进行防御性阻拦、报警并予以审计记录；若没有检测到异常行为/信息或数据包，则允许所述外网信息进入内网进行访问，并实时与所述检测控制工作站交互监控信息。

7.一种基于网络的入侵防御系统(NIPS)构架，其特征在于，所述NIPS构架与如权利要求1所述的云火墙联动而连接至云安全。

8.如权利要求7所述的构架，其特征在于，所述构架利用云安全的特征检测与识别模式，通过所述NIPS判定用户所要访问的资源的安全性，然后通过所述云火墙中的所述判定模块利用所述分析模块进行判定和鉴别抉择。

9.如权利要求8所述的构架，其特征在于，所述所述联动包括利用本地服务器群响应、缓存支持和企业内部云服务器同步。

Images