CN105337951B - 对系统攻击进行路径回溯的方法与装置 - Google Patents

Abstract

本公开涉及一种对系统攻击进行路径回溯的方法与装置。该方法包括采集Netflow数据、路由拓扑数据以及路由器信息；获取系统攻击安全事件；基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯。本公开可以有效地提升互联网攻击应急响应处理效率。

Description

对系统攻击进行路径回溯的方法与装置

技术领域

本公开涉及网络与信息安全技术领域，特别地，涉及一种对系统攻击进行路径回溯的方法与装置。

背景技术

为应对日益猖獗的DDoS(Distributed Denial of Service，分布式拒绝服务)攻击，很有必要对攻击流量进行监测分析；目前主要有3种流量监测分析方法：基于网络流量全镜像的监测技术、基于SNMP(Simple Network Management Protocol，简单网络管理协议)的监测技术和基于Netflow的监测技术。

通过比较发现，基于Netflow的监测技术更适合大网，中国电信已部署了基于Netflow的异常流量监控系统和攻击溯源分析系统，用于实时异常流量攻击监测，攻击溯源分析和取证。

但是，目前已建溯源系统在应用于对现网进行攻击溯源排查时，更多地是借助于安全专家的人工分析，且不能对攻击流量穿行路径进行分析，严重影响了攻击响应的处理时效。

发明内容

本公开鉴于以上问题中的至少一个提出了新的技术方案。

本公开在其一个方面提供了一种对系统攻击进行路径回溯的方法，其可以有效地提升互联网攻击应急响应处理效率。

本公开在其另一方面提供了一种对系统攻击进行路径回溯的装置，其可以有效地提升互联网攻击应急响应处理效率。

根据本公开，提供一种对系统攻击进行路径回溯的方法，包括：

采集Netflow数据、路由拓扑数据以及路由器信息；

获取系统攻击安全事件；

基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯。

在本公开的一些实施例中，通过流量分析系统获取系统攻击安全事件或基于采集的Netflow数据分析出系统攻击安全事件。

在本公开的一些实施例中，所述Netflow数据中包含数据流的五元组信息与流量大小。

在本公开的一些实施例中，所述系统攻击安全事件包括攻击源IP地址与端口、攻击目的IP地址与端口、攻击类型以及攻击时间。

在本公开的一些实施例中，利用广度遍历法对系统攻击进行路径回溯包括：

从系统攻击安全事件中提取出攻击源IP地址、攻击目的IP地址与攻击时间；

根据攻击源IP地址、攻击目的IP地址与攻击时间从Netflow数据中提取相应的流量信息；

根据提取的相应的流量信息确定攻击源路由器与端口以及攻击目的路由器与端口；

自攻击目的路由器与端口开始，根据路由拓扑数据开始遍历拓扑结构中的所有节点，并根据各节点之间的连接关系形成攻击路径链表，以实现对攻击路径的回溯。

根据本公开，还提供了一种对系统攻击进行路径回溯的装置，包括:

采集单元，用于采集Netflow数据、路由拓扑数据以及路由器信息；

获取单元，用于获取系统攻击安全事件；

回溯单元，用于基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯。

在本公开的一些实施例中，所述获取单元通过流量分析系统获取系统攻击安全事件或基于采集的Netflow数据分析出系统攻击安全事件。

在本公开的一些实施例中，所述Netflow数据中包含数据流的五元组信息与流量大小。

在本公开的一些实施例中，所述系统攻击安全事件包括攻击源IP地址与端口、攻击目的IP地址与端口、攻击类型以及攻击时间。

在本公开的一些实施例中，所述回溯单元包括：

攻击信息提取子单元，用于从系统攻击安全事件中提取出攻击源IP地址、攻击目的IP地址与攻击时间；

流量信息提取子单元，用于根据攻击源IP地址、攻击目的IP地址与攻击时间从Netflow数据中提取相应的流量信息；

确定子单元，用于根据提取的相应的流量信息确定攻击源路由器与端口以及攻击目的路由器与端口；

遍历子单元，用于自攻击目的路由器与端口开始，根据路由拓扑数据开始遍历拓扑结构中的所有节点，并根据各节点之间的连接关系形成攻击路径链表，以实现对攻击路径的回溯。

在本公开的技术方案中，基于获取的系统攻击安全事件、Netflow数据、路由拓扑数据以及路由器信息进行综合关联分析，可以实现对网络攻击路径的快速回溯分析，具有监控范围大、智能性高、以及快速准确定位攻击源以及攻击路径等特点，解决了现有技术中存在的自动化程度不高的问题，有效地提升了互联网攻击应急响应处理效率。

附图说明

此处所说明的附图用来提供对本公开的进一步理解，构成本申请的一部分。在附图中：

图1是本公开一个实施例的对系统攻击进行路径回溯的方法的流程示意图。

图2是本公开另一实施例的对系统攻击进行路径回溯的方法的流程示意图。

图3是本公开利用广度遍历法实现对网络攻击路径的快速回溯分析的一个实例的示意图。

图4是本公开确定攻击源路由器与端口信息以及攻击目的路由器与端口信息的一个实例的示意图。

图5是本公开一个实施例的对系统攻击进行路径回溯的装置的结构示意图。

具体实施方式

下面将参照附图描述本公开。要注意的是，以下的描述在本质上仅是解释性和示例性的，决不作为对本公开及其应用或使用的任何限制。除非另外特别说明，否则，在实施例中阐述的部件和步骤的相对布置以及数字表达式和数值并不限制本公开的范围。另外，本领域技术人员已知的技术、方法和装置可能不被详细讨论，但在适当的情况下意在成为说明书的一部分。

本公开下述实施例对现有技术手段存在的攻击溯源能力不足以及不能对攻击流量穿行路径进行分析的问题，提出了一种对系统攻击进行路径回溯的技术方案，可以有效地提升互联网攻击应急响应的处理效率。

图1是本公开一个实施例的对系统攻击进行路径回溯的方法的流程示意图。

如图1所示，该实施例可以包括以下步骤：

S102，采集Netflow数据、路由拓扑数据以及路由器信息；

具体地，可以由路由器采集Netflow数据、路由拓扑数据以及路由器信息。

其中，Netflow数据中可以包含但并不限于数据流的五元组信息与流量大小。具体地，Netflow提供网络流量的会话级视图，记录下每个TCP/IP事务的信息。一个Netflow流定义为在一个源IP地址和目的IP地址间传输的单向数据包流，且所有数据包具有共同的传输层源与目的端口号。

路由器拓扑链接关系包括链接源路由器和端口、目的路由器和端口的链接关系，以及路由器和子网链接关系。

S104，获取系统攻击安全事件；

其中，系统攻击安全事件可以包括但不限于攻击源IP地址与端口、攻击目的IP地址与端口、攻击类型以及攻击时间。具体地，攻击类型可以包括但不限于DDoS攻击安全事件。

在一个实例中，可以通过流量分析系统获取系统攻击安全事件或基于采集的Netflow数据分析出系统攻击安全事件。

具体地，可以直接自流量分析系统获取该系统检测出的系统攻击安全事件，或者在由路由器采集到Netflow数据后，自己根据Netflow数据分析出其中可能存在的系统攻击安全事件。

S106，基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯；

具体地，基于系统攻击安全事件中承载的信息自所采集的Netflow数据中提取相关数据，再利用路由拓扑数据和路由器信息基于广度遍历法即可回溯攻击路径。

在该实施例中，基于获取的系统攻击安全事件、Netflow数据、路由拓扑数据以及路由器信息进行综合关联分析，可以实现对网络攻击路径的快速回溯分析，具有监控范围大、智能性高、以及快速准确定位攻击源以及攻击路径等特点，解决了现有技术中存在的自动化程度不高的问题，有效地提升了互联网攻击应急响应处理效率。

在一个实施例中，利用广度遍历法对系统攻击进行路径回溯的步骤可以包括：

从系统攻击安全事件中提取出攻击源IP地址、攻击目的IP地址与攻击时间；

根据攻击源IP地址、攻击目的IP地址与攻击时间从Netflow数据中提取相应的流量信息；

根据提取的相应的流量信息确定攻击源路由器与端口以及攻击目的路由器与端口；

自攻击目的路由器与端口开始，根据路由拓扑数据开始遍历拓扑结构中的所有节点，并根据各节点之间的连接关系形成攻击路径链表，以实现对攻击路径的回溯。

需要指出的是，由于多个攻击源可能一起攻击同一攻击目的路由器，因此，自攻击目的路由器与端口开始遍历。

图2是本公开另一实施例的对系统攻击进行路径回溯的方法的流程示意图。

在该实施例中，以DDoS攻击为例进行详细的说明。

如图2所示，要针对DDoS攻击进行攻击路径的快速回溯，可以通过以下步骤实现：

步骤一，采集、存储Netflow数据、路由拓扑数据、攻击安全事件、路由器等数据信息；

具体地，可以由路由器采集NetFlow数据、路由器拓扑连接关系以及端口信息，从流量分析系统采集攻击安全事件。

步骤二，通过采集流量分析系统的攻击安全事件或基于采集的Netflow流量数据进行分析，根据TCP链接阈值监测DDoS攻击安全事件；

具体地，可以通过SYSLOG接收流量分析系统的攻击安全事件。

步骤三，基于已采集的数据与监测到的DDoS攻击安全事件，采用广度遍历算法，实现对网络攻击路径的快速回溯分析。

图3是本公开利用广度遍历法实现对网络攻击路径的快速回溯分析的一个实例的示意图。

如图3所示，基于采集的Netflow数据、路由拓扑数据、攻击安全事件、路由器等信息，实现DDoS攻击路径快速回溯的具体实现可以包括以下步骤：

步骤一，新建空的活节点队列Q和空的攻击路径链表L；其中，活节点表示还没有计算处理的节点。

步骤二，从攻击安全事件中提取攻击源IP地址/段、攻击目的IP地址/段、攻击时间等信息，并根据提取信息及存储的NetFlow数据关联查询攻击流量信息，即，以攻击源地址、攻击目的地址、攻击时间段等为查询条件从采集的NetFlow信息中查询攻击流量，包括攻击所流经的路由器、路由器端口以及攻击流量大小。

步骤三，确定攻击源路由器与端口信息以及攻击目的路由器与端口信息：如路由器用户侧端口输出流量含有攻击目的地址，则为攻击目的路由器与端口；如路由器用户侧端口输入流量含有攻击源地址，则为攻击源路由器与端口；并根据路由拓扑关系将攻击源子网与攻击源路由器的连接关系以及攻击目的子网与攻击目的路由器的连接关系放入攻击路径链表L。

图4是本公开确定攻击源路由器与端口信息以及攻击目的路由器与端口信息的一个实例的示意图。

如图4所示，用户侧端口port1的输入流量就是攻击用户主机1到R1用户侧端口port1的流量，包含有攻击源地址到攻击目的地址的流量信息。用户侧端口port3的输出流量就是用户侧端口3到被攻击用户主机的流量，包含有攻击源地址到攻击目的地址的流量信息。

步骤四，因为针对一个攻击，攻击目的是一个，而攻击源可能是多个，所以从攻击目的路由器R开始访问，此时节点R是已被访问的节点。令U＝攻击目的路由器R，标记R为已被访问。

步骤五，以节点R作为扩展节点，根据网络拓扑连接关系，搜索所有与R相邻的节点W。

步骤六，判断节点W是否已被访问，如已被访问，则转步骤十，否则转步骤七；

步骤七，如果节点W还未被访问，则判断在节点W与节点R相连的端口输出流量中是否有攻击源到攻击目的的流量，如没有，则转步骤八，否则，转步骤九；

步骤八，如果节点W还未被访问，且在节点W与节点R相连端口输出流量中未查询到攻击源到攻击目的的流量，则将节点W打上已被访问的标记。

步骤九，如果在节点W与节点R相连端口输出流量中查询到攻击源到攻击目的的流量，则将W放入活节点队列Q的对尾，将节点W打上已被访问的标记，并将节点R与节点W的连接关系放入攻击路径链表L。

步骤十，判断是否已处理完所有与节点R相连的节点，如果未处理完，则转步骤十一，否则，转步骤十二；

步骤十一，提取下一个与节点R相连的节点W，并转步骤六；

步骤十二，判断活节点队列Q是否为空，如为空，则结束整个流程，否则转步骤十三；

步骤十三，访问与节点R相邻的所有节点后，再取出活节点队列Q的第一元素U作为扩展节点，转步骤五，如同对节点R的处理算法一样，处理扩展节点U，这样的处理一直进行到活节点队列空时为止。

最后，根据攻击路径链表L可对攻击路径进行重演回放，即，根据攻击路径链接关系在拓扑中进行展示。

该实施例通过基于Netflow数据、路由拓扑数据、攻击安全事件等信息进行综合关联分析，不但可以准确地定位攻击源，而且还可以对攻击流量穿行路径进行分析。

本领域普通技术人员可以理解，实现上述方法实施例的全部和部分步骤可以通过程序指令相关的硬件来完成，前述的程序可以存储于一计算设备可读取存储介质中，该程序在执行时，执行包括上述方法实施例的步骤，而前述的存储介质可以包括ROM、RAM、磁碟和光盘等各种可以存储程序代码的介质。

图5是本公开一个实施例的对系统攻击进行路径回溯的装置的结构示意图。

如图5所示，该实施例中的装置50可以包括采集单元502、获取单元504和回溯单元506。其中，

采集单元502，用于采集Netflow数据、路由拓扑数据以及路由器信息；

获取单元504，用于获取系统攻击安全事件；

回溯单元506，用于基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯。

在该实施例中，基于获取的系统攻击安全事件、Netflow数据、路由拓扑数据以及路由器信息进行综合关联分析，可以实现对网络攻击路径的快速回溯分析，具有监控范围大、智能性高、以及快速准确定位攻击源以及攻击路径等特点，解决了现有技术中存在的自动化程度不高的问题，有效地提升了互联网攻击应急响应处理效率。

在一个实施例中，获取单元可以通过流量分析系统获取系统攻击安全事件或基于采集的Netflow数据分析出系统攻击安全事件。

在另一实施例中，Netflow数据中包含数据流的五元组信息与流量大小。

在又一实施例中，系统攻击安全事件可以包括但不限于攻击源IP地址与端口、攻击目的IP地址与端口、攻击类型以及攻击时间。

在再一实施例中，回溯单元可以包括攻击信息提取子单元、流量信息提取子单元、确定子单元和遍历子单元。其中，

攻击信息提取子单元，用于从系统攻击安全事件中提取出攻击源IP地址、攻击目的IP地址与攻击时间；

流量信息提取子单元，用于根据攻击源IP地址、攻击目的IP地址与攻击时间从Netflow数据中提取相应的流量信息；

确定子单元，用于根据提取的相应的流量信息确定攻击源路由器与端口以及攻击目的路由器与端口；

遍历子单元，用于自攻击目的路由器与端口开始，根据路由拓扑数据开始遍历拓扑结构中的所有节点，并根据各节点之间的连接关系形成攻击路径链表，以实现对攻击路径的回溯。

本公开上述实施例基于Netflow数据和路由拓扑，针对DDoS攻击进行攻击路径的快速回溯，具体地基于Netflow数据、路由拓扑数据、攻击安全事件等信息进行综合关联分析，实现对网络攻击路径的快速回溯分析；该方法具有监控范围大、智能性高特点，能快速准确定位攻击源及重演攻击路径，解决了现有技术中存在的自动化程度不高以及不能对攻击流量穿行路径进行分析的问题，提升了攻击溯源的分析能力。

本说明书中各个实施例均采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同和相似的部分可以相互参见。对于装置实施例而言，由于其与方法实施例基本相似，所以描述的比较简单，相关之处可以参见方法实施例部分的说明。

虽然已参照示例性实施例描述了本公开，但应理解，本公开不限于上述的示例性实施例。对于本领域技术人员显然的是，可以在不背离本公开的范围和精神的条件下修改上述的示例性实施例。所附的权利要求的范围应被赋予最宽的解释，以包含所有这样的修改以及等同的结构和功能。

Claims (10)

1.一种对系统攻击进行路径回溯的方法，其特征在于，包括：

采集Netflow数据、路由拓扑数据以及路由器信息；

获取系统攻击安全事件；

基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯；

其中，所述利用广度遍历法对系统攻击进行路径回溯包括：

基于所述系统攻击安全事件中承载的信息，自所述Netflow数据中提取相应的流量信息，以确定路由拓扑数据和路由器信息；

根据所述路由拓扑数据和所述路由器信息，基于广度遍历法进行路径回溯。

2.根据权利要求1所述的对系统攻击进行路径回溯的方法，其特征在于，通过流量分析系统获取系统攻击安全事件或基于采集的Netflow数据分析出系统攻击安全事件。

3.根据权利要求1所述的对系统攻击进行路径回溯的方法，其特征在于，所述Netflow数据中包含数据流的五元组信息与流量大小。

4.根据权利要求1所述的对系统攻击进行路径回溯的方法，其特征在于，所述系统攻击安全事件包括攻击源IP地址与端口、攻击目的IP地址与端口、攻击类型以及攻击时间。

5.根据权利要求4所述的对系统攻击进行路径回溯的方法，其特征在于，利用广度遍历法对系统攻击进行路径回溯包括：

从系统攻击安全事件中提取出攻击源IP地址、攻击目的IP地址与攻击时间；

根据攻击源IP地址、攻击目的IP地址与攻击时间从Netflow数据中提取相应的流量信息；

根据提取的相应的流量信息确定攻击源路由器与端口以及攻击目的路由器与端口；

自攻击目的路由器与端口开始，根据路由拓扑数据开始遍历拓扑结构中的所有节点，并根据各节点之间的连接关系形成攻击路径链表，以实现对攻击路径的回溯。

6.一种对系统攻击进行路径回溯的装置，其特征在于，包括：

采集单元，用于采集Netflow数据、路由拓扑数据以及路由器信息；

获取单元，用于获取系统攻击安全事件；

回溯单元，用于基于系统攻击安全事件与所采集的Netflow数据、路由拓扑数据以及路由器信息，利用广度遍历法对系统攻击进行路径回溯；

其中，所述回溯单元基于所述系统攻击安全事件中承载的信息，自所述Netflow数据中提取相应的流量信息，以确定路由拓扑数据和路由器信息，根据所述路由拓扑数据和所述路由器信息，基于广度遍历法进行路径回溯。

7.根据权利要求6所述的对系统攻击进行路径回溯的装置，其特征在于，所述获取单元通过流量分析系统获取系统攻击安全事件或基于采集的Netflow数据分析出系统攻击安全事件。

8.根据权利要求6所述的对系统攻击进行路径回溯的装置，其特征在于，所述Netflow数据中包含数据流的五元组信息与流量大小。

9.根据权利要求6所述的对系统攻击进行路径回溯的装置，其特征在于，所述系统攻击安全事件包括攻击源IP地址与端口、攻击目的IP地址与端口、攻击类型以及攻击时间。

10.根据权利要求9所述的对系统攻击进行路径回溯的装置，其特征在于，所述回溯单元包括：

攻击信息提取子单元，用于从系统攻击安全事件中提取出攻击源IP地址、攻击目的IP地址与攻击时间；

流量信息提取子单元，用于根据攻击源IP地址、攻击目的IP地址与攻击时间从Netflow数据中提取相应的流量信息；

确定子单元，用于根据提取的相应的流量信息确定攻击源路由器与端口以及攻击目的路由器与端口；

遍历子单元，用于自攻击目的路由器与端口开始，根据路由拓扑数据开始遍历拓扑结构中的所有节点，并根据各节点之间的连接关系形成攻击路径链表，以实现对攻击路径的回溯。