CN105791310A - 一种网络入侵事件监控方法及装置 - Google Patents

Abstract

本发明涉及一种网络入侵事件监控方法及装置。所述方法包括：获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。本发明实施例提供的装置基于上述所述的方法实现。本发明方便网络维护人员及时了解网络入侵事件的地理位置，及时对该地理位置的网络进行网络安全预警。

Description

一种网络入侵事件监控方法及装置

技术领域

本发明涉及计算机网络安全技术领域，具体涉及一种网络入侵事件监控方法及装置。

背景技术

随着网络技术的发展，计算机所受到的威胁也在增加，例如病毒、木马、恶意软件攻击等。目前情况下，网络维护人员只能查看网络入侵事件的源IP与目的IP，查看网络入侵事件属于何种类型的攻击，而无从知晓网络入侵事件的源IP与目的IP的地理位置，从而不方便网络维护人员及时处理该网络入侵事件以及无法预防网络安全。

发明内容

针对现有技术中的缺陷，本发明提供了一种网络入侵事件监控方法及装置，可以解决现有技术中网络维护人员无法及时了解网络入侵事件的地理位置而不能及时进行网络安全预警的问题。

第一方面，本发明提供了一种网络入侵事件监控方法，所述方法包括：

获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；

根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；

当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。

可选地，所述每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置的步骤之前包括：

获取网络服务供应商地址库并下载至内存中。

可选地，所述详细信息还包括每个网络入侵事件的端口、协议和事件类型中的一种或多种。

可选地，所述获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址的步骤中还包括：

根据每个网络入侵事件的事件类型赋予每个网络入侵事件相应的风险级别。

可选地，所述将所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置在地图上展示的步骤中包括：

将源IP地址或者目的IP地址合并到地址段中；所述地址段是指，对于同一个地理位置的IP地址集合；

统计每个地理位置的网络入侵事件的数量与风险指数；所述风险指数由每个网络入侵事件的风险级别结合预设算法得到。

可选地，根据风险指数从高到低的顺序展示每个地理位置的网络入侵事件。

第二方面，本发明实施例还提供了一种网络入侵事件监控装置，所述装置包括：

IP地址获取模块，用于获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；

地理位置获取模块，用于根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；

地理位置展示模块，用于当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。

可选地，所述装置还包括数据库下载模块，用于获取网络服务供应商地址库并下载至内存中以供所述地理位置获取模块根据该网络服务供应商地址库查询地理位置。

可选地，所述IP地址获取模块还用于获取每个网络入侵事件的端口、协议和事件类型中的一种或多种。

可选地，所述IP地址获取模块还用于根据每个网络入侵事件的事件类型赋予每个网络入侵事件相应的风险级别；

所述地理位置展示模块还用于执行以下步骤：

将源IP地址或者目的IP地址合并到地址段中；所述地址段是指，对于同一个地理位置的IP地址集合；

统计每个地理位置的网络入侵事件的数量与风险指数；所述风险指数由每个网络入侵事件的风险级别结合预设算法得到；

所述地理位置展示模块还用于根据风险指数从高到低的顺序展示每个地理位置的网络入侵事件。

由上述技术方案可知，本发明通过获取每个网络入侵事件的源IP地址和/目的IP地址，然后获取源IP地址和/目的IP地址的地理位置，最后将所获取的地理位置在地图上展示，从而方便网络维护人员及时了解网络入侵事件的地理位置，及时对该地理位置的网络进行网络安全预警。另外，也无需网络维护人员手动查找，从而减少维护人员的工作量，提高工作效率。

附图说明

通过参考附图会更加清楚的理解本发明的特征和优点，附图是示意性的而不应理解为对本发明进行任何限制，在附图中：

图1是本发明实施例提供的一种网络入侵事件监控方法流程图；

图2是本发明实施例提供的地理位置请求展示过程示意图；

图3是本发明实施例提供的展示网络入侵事件详细信息的示意图；

图4是本发明实施例提供的一种地理位置展示网络入侵事件的示意图；

图5是本发明实施例提供的另一种地理位置展示网络入侵事件的示意图；

图6是本发明实施例提供的一种网络入侵事件监控装置框图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

第一方面，本发明实施例提供了一种网络入侵事件监控方法，如图1所示，所述方法包括：

S1、获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；

S2、根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；

S3、当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。

为体现本发明实施例提供的网络入侵事件监控方法的优越性，下面以结合实施例与附图对上述方法作进一步说明。

首先，介绍S101、获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址的步骤。

本发明实施例中，网络入侵是指一台计算机(入侵计算机，具有源IP地址)通过非法手段访问另一台计算机(被入侵计算机，具有目的IP地址)以期获取被入侵计算机内的数据资料的行为。网络入侵事件是指记录该入侵过程的信息的行为，通过该网络入侵事件可以还原入侵过程以帮忙网络维护人员进行安全防护。

实际应用中，为清楚了解入侵计算机和被入侵计算机的情况，首先需要获取多个网络入侵事件的详细信息。然后从该详细信息中获取入侵计算机的IP地址(源IP地址)和/或被入侵计算机的IP地址(目的IP地址)。根据该源IP地址和/或目的IP地址即可查询到对应计算机的信息。

本发明实施例中，由于网络维护人员的需求不同，可以选择源IP地址以查询到入侵计算机，方便网络入侵处理；也可以选择目的IP地址，有针对性地进行网络安全预警；当然也可以选择源IP地址与目的IP地址，同时进行网络入侵处理与预警，提高对网络入侵事件的响应效率。

需要说明的是，上述网络入侵事件的详细信息还包括网络入侵事件的端口、协议和事件类型中的一种或者多种。当然，本发明实施例中该详细信息还可以包括其他内容，本文中只介绍相关的内容。本领域技术人员可以根据需要合理选择该详细信息包括哪些内容，本发明不作限定。

其次，介绍S2、根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置的步骤。

当发生网络入侵事件时通常只检测该网络入侵事件属于何种攻击类型以及源IP地址和/或目的IP地址。当网络入侵事件过多时，在无法及时了解和确定入侵计算机和/或被入侵计算机的情况下，网络维护人员不能很好的网络入侵事件以及网络安全预警。

实际应用中，网络维护人员还会根据源IP地址和/或目的IP地址手动查询IP地址所对应的地理位置，以保持关注该地理位置对应区域的网络安全。但是手动查询比较浪费时间且效率比较低，容易错过处理网络入侵事件的最佳时间。为此，本发明实施例中根据源IP地址和目的IP地址结合网络服务供应商地址库自动获取源IP地址的地理位置和/或目的IP地址的地理位置，通过地理位置可以使网络维护人员处理该地理位置对应区域的网络安全。

需要说明的是，该网络服务供应端地址库中包括IP地址及其对应的实际地理位置。本发明实施例中网络服务供应商地址库从网络服务供应端服务器中下载并保存到内存中。该内存是指运行本方法的设备中的内存。

最后，介绍S3、当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示的步骤。

如图2所示，当运行本方法的设备接收到地理位置请求时，本发明实施例中根据地理位置请求(请求源IP地址地理位置或者目的IP地址地理位置)从网络入侵事件数据库中提取该请求所需要的数据反馈给运行本方法的设备，以供运行本方案的设备在地图上进行展示，最终形成如图3所示的网络入侵事件展示图。

需要说明的是，实际应用中运行在设备上的地图插件对应的地理位置的最小区域是以市级别的，而本发明实施例中从网络服务供应商地址库中获取的地理位置是实际物理地址(对应于某个地点)，比较详细。因此，如图2所示，还需将上述地理位置转换为城市名。这样就可以对该城市名对应的地址段内的网络入侵事件进行统计(如图4所示)，从而向网络维护人员展示如图5所示的网络入侵事件城市名、风险指数、事件总数，无需网络维护人员手动查询地理位置。

为方便在地图上展示网络入侵事件，本发明实施例中步骤S1中还包括：

根据每个网络入侵事件的事件类型(例如，ips、av、url、filefilter、datafilter、trojan或者其他类型)赋予每个网络入侵事件相应的风险级别。

上述风险等级可以通过查找风险等级表进行获取。该风险等级表是指预先存储在运行本方法的设备中数据表。该风险等级表可由网络维护人员设置、修改以及上传。当然也可由本设备根据预设生成算法自动生成。本领域技术人员可以根据具体场景进行选择，本发明不作限定。

实际应用时，本发明实施例从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示的步骤中包括：

将源IP地址或者目的IP地址合并到地址段中；所述地址段是指，对于同一个地理位置的IP地址集合；

统计每个地理位置的网络入侵事件的数量与风险指数；所述风险指数由每个网络入侵事件的风险级别结合预设算法得到。

本发明一实施例中，该预设算法用于累加各个地址段中每个源IP地址和/或目的IP地址对应的网络入侵事件的风险级别。该预设算法还可以采用例如为不同风险级别设置不同权重，然后再累加的方式实现，只要能够突出影响网络安全的入侵事件即可，本发明不作限定。

如图3所示，本发明实施例中还可以根据风险指数由高到低的顺序展示到入侵事件列表中，这样网络维护人员可以查看风险指数为Top5或者Top10的网络入侵事件，从而对该地址位置的网络入侵事件进行处理。

第二方面，本发明还提供一种网络入侵事件监控装置，如图6所示，所述装置包括：

IP地址获取模块，用于获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；

地理位置获取模块，用于根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；

地理位置展示模块，用于当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。

可选地，所述装置还包括数据库下载模块，用于获取网络服务供应商地址库并下载至内存中以供所述地理位置获取模块根据该网络服务供应商地址库查询地理位置。

可选地，所述IP地址获取模块还用于获取每个网络入侵事件的端口、协议和事件类型中的一种或多种。

可选地，所述IP地址获取模块还用于根据每个网络入侵事件的事件类型赋予每个网络入侵事件相应的风险级别；

所述地理位置展示模块还用于执行以下步骤：

将源IP地址或者目的IP地址合并到地址段中；所述地址段是指，对于同一个地理位置的IP地址集合；

统计每个地理位置的网络入侵事件的数量与风险指数；所述风险指数由每个网络入侵事件的风险级别结合预设算法得到；

所述地理位置展示模块还用于根据风险指数从高到低的顺序展示每个地理位置的网络入侵事件。

由上可以看出，本发明上述两个实施例提供的适于云数据中心多租户的公网IP地址共享装置以及云数据中心都是基于上文所述的公网IP地址共享方法实现，因而可以解决同样的技术问题，并取得相同的技术效果，在此不再一一赘述。

应当注意的是，在本实施例公开的装置的各个部件中，根据其要实现的功能而对其中的部件进行了逻辑划分，但是，本公开不受限于此，可以根据需要对各个部件进行重新划分或者组合，例如，可以将一些部件组合为单个部件，或者可以将一些部件进一步分解为更多的子部件。

本公开的各个部件实施例可以以硬件实现，或者以在一个或者多个处理器上运行的软件模块实现，或者以它们的组合实现。本领域的技术人员应当理解，可以在实践中使用微处理器或者数字信号处理器(DSP)来实现根据本公开实施例的系统中的一些或者全部部件的一些或者全部功能。本公开还可以实现为用于执行这里所描述的方法的一部分或者全部的设备或者装置程序(例如，计算机程序和计算机程序产品)。这样的实现本公开的程序可以存储在计算机可读介质上，或者可以具有一个或者多个信号的形式。这样的信号可以从因特网网站上下载得到，或者在载体信号上提供，或者以任何其他形式提供。

应该注意的是，上述实施例对本公开进行说明而不是对本公开进行限制，并且本领域技术人员在不脱离所附权利要求的范围的情况下可设计出替换实施例。在权利要求中，不应将位于括号之间的任何参考符号构造成对权利要求的限制。单词“包含”不排除存在未列在权利要求中的元件或步骤。位于元件之前的单词“一”或“一个”不排除存在多个这样的元件。本公开可以借助于包括有若干不同元件的硬件以及借助于适当编程的计算机来实现。在列举了若干装置的单元权利要求中，这些装置中的若干个可以是通过同一个硬件项来具体体现。单词第一、第二、以及第三等的使用不表示任何顺序。可将这些单词解释为名称。

以上实施方式仅适于说明本公开，而并非对本公开的限制，有关技术领域的普通技术人员，在不脱离本公开的精神和范围的情况下，还可以做出各种变化和变型，因此所有等同的技术方案也属于本公开的范畴，本公开的专利保护范围应由权利要求限定。

Claims (10)

1.一种网络入侵事件监控方法，其特征在于，所述方法包括：

获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；

根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；

当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。

2.根据权利要求1所述的网络入侵事件监控方法，其特征在于，所述每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置的步骤之前包括：

获取网络服务供应商地址库并下载至内存中。

3.根据权利要求1所述的网络入侵事件监控方法，其特征在于，所述详细信息还包括每个网络入侵事件的端口、协议和事件类型中的一种或多种。

4.根据权利要求1所述的网络入侵事件监控方法，其特征在于，所述获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址的步骤中还包括：

根据每个网络入侵事件的事件类型赋予每个网络入侵事件相应的风险级别。

5.根据权利要求4所述的网络入侵事件监控方法，其特征在于，所述从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示的步骤中包括：

将源IP地址或者目的IP地址合并到地址段中；所述地址段是指，对于同一个地理位置的IP地址集合；

统计每个地理位置的网络入侵事件的数量与风险指数；所述风险指数由每个网络入侵事件的风险级别结合预设算法得到。

6.根据权利要求5所述的网络入侵事件监控方法，其特征在于，根据风险指数从高到低的顺序展示每个地理位置的网络入侵事件。

7.一种网络入侵事件监控装置，其特征在于，所述装置包括：

IP地址获取模块，用于获取多个网络入侵事件的详细信息以得到每个网络入侵事件的源IP地址和/或目的IP地址；

地理位置获取模块，用于根据每个网络入侵事件的源IP地址和/或目的IP地址遍历网络服务供应商地址库以获取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置并存储在网络入侵事件数据库中；

地理位置展示模块，用于当接收到获取地理位置请求时，从所述网络入侵事件数据库提取所述源IP地址对应的地理位置和/或目的IP地址对应的地理位置以实现在地图上展示。

8.根据权利要求7所述的网络入侵事件监控装置，其特征在于，所述装置还包括数据库下载模块，用于获取网络服务供应商地址库并下载至内存中以供所述地理位置获取模块根据该网络服务供应商地址库查询地理位置。

9.根据权利要求7所述的网络入侵事件监控装置，其特征在于，所述IP地址获取模块还用于获取每个网络入侵事件的端口、协议和事件类型中的一种或多种。

10.根据权利要求9所述的网络入侵事件监控装置，其特征在于，所述IP地址获取模块还用于根据每个网络入侵事件的事件类型赋予每个网络入侵事件相应的风险级别；

所述地理位置展示模块还用于执行以下步骤：

将源IP地址或者目的IP地址合并到地址段中；所述地址段是指，对于同一个地理位置的IP地址集合；

统计每个地理位置的网络入侵事件的数量与风险指数；所述风险指数由每个网络入侵事件的风险级别结合预设算法得到；

所述地理位置展示模块还用于根据风险指数从高到低的顺序展示每个地理位置的网络入侵事件。