CN106790023B - 网络安全联合防御方法和装置 - Google Patents

网络安全联合防御方法和装置 Download PDF

Info

Publication number
CN106790023B
CN106790023B CN201611156016.7A CN201611156016A CN106790023B CN 106790023 B CN106790023 B CN 106790023B CN 201611156016 A CN201611156016 A CN 201611156016A CN 106790023 B CN106790023 B CN 106790023B
Authority
CN
China
Prior art keywords
information
intrusion event
attack
detection
security log
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Active
Application number
CN201611156016.7A
Other languages
English (en)
Other versions
CN106790023A (zh
Inventor
王元铭
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Ping An Technology Shenzhen Co Ltd
Original Assignee
Ping An Technology Shenzhen Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Ping An Technology Shenzhen Co Ltd filed Critical Ping An Technology Shenzhen Co Ltd
Priority to CN201611156016.7A priority Critical patent/CN106790023B/zh
Publication of CN106790023A publication Critical patent/CN106790023A/zh
Priority to US16/082,892 priority patent/US10917417B2/en
Priority to PCT/CN2017/099727 priority patent/WO2018107811A1/zh
Priority to SG11201808509RA priority patent/SG11201808509RA/en
Application granted granted Critical
Publication of CN106790023B publication Critical patent/CN106790023B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明涉及一种网络安全联合防御方法，具体包括：获取多个安全设备的安全日志信息，其中，安全日志信息为设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；将获取的多个安全日志信息转换成预设日志格式，其中，预设日志格式为多个安全设备均可识别的日志格式；将转换后的安全日志信息包含的入侵事件信息按照预设的入侵事件类型进行分类汇总；获取预先设置的每个入侵事件类型对应的安全设备标识；将每个入侵事件类型对应的入侵事件信息推送至安全设备标识对应的安全设备，以使安全设备根据推送的入侵事件信息调整对应的自身防御策略。上述方法提高了网络安全防御的准确性和及时性。

Description

网络安全联合防御方法和装置
技术领域
本发明涉及网络安全技术领域，特别是涉及一种网络安全联合防御方法和装置。
背景技术
随着互联网技术的迅猛发展，企业运转、社会活动以及人们的日常生活都离不开互联网，为保证上述活动的有序运行，必须加强网络安全系统的构建和维护。
传统的网络安全防御主要依赖现有安全设备，如漏洞扫描设备、防火墙、侵入保护设备等。上述安全设备安全防御能力有限，每个安全设备都有其无法避免的短板，安全防御效果不理想。如何利用传统安全设备达到更理想的网络安全防御效果，成了一个亟待解决的问题。
发明内容
基于此，有必要针对上述的问题，提供一种能够提高网络安全防御能力，具备更理想的网络安全防御效果的网络安全联合防御方法和装置。
一种网络安全联合防御方法，所述方法包括：
获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式；
将转换后的所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；
将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
所述将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略的步骤，还包括：
将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
在一个实施例中，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
所述将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略的步骤，还包括：
将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
一种网络安全联合防御方法，所述方法包括：
根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
以接收的所述入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，所述接收的所述入侵事件信息为线索信息生成联合防御策略的步骤包括：
将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；
根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
一种网络安全联合防御装置，所述装置包括：
安全日志信息获取模块，用于获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
格式转换模块，用于将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式；
日志信息分类模块，用于将转换后的所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
关联信息获取模块，用于获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；
日志信息推送模块，用于将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
所述日志信息推送模块还用于将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
在一个实施例中，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
所述日志信息推送模块还用于将将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
一种网络安全联合防御装置，所述装置包括：
安全日志信息生成模块，用于根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
安全信息分享模块，用于将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
事件信息接收模块，用于接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
联合决策模块，用于以接收的所述入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，所述联合决策模块，还用于将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
上述网络安全联合防御方法和装置，通过多个安全设备将自身在进行安全防御时检测到的安全日志信息上传共享平台，共享平台对所有安全日志进行可读性格式转化以及统筹分析分类，并按照设定的信息共享规则，将统计分析的安全日志信息共享至能够更好实现安全日志信息价值的安全设备中，安全设备根据共享平台推送的安全日志信息为线索信息动态调整安全防御策略，实现了攻击事件的快速、精准定位，进而实现对攻击事件的快速有效处理，上述的多安全设备信息共享和联合防御大大提高了网络安全防御能力，取得了更理想的安全防御的效果。
附图说明
图1为一个实施例中网络安全联合防御方法的应用环境图；
图2为一个实施例中服务器的内部结构示意图；
图3为一个实施例中网络安全联合防御方法的流程图；
图4为另一个实施例中网络安全联合防御方法的流程图；
图5为一个实施例中网络安全联合防御装置的结构框图；
图6为又一个实施例中网络安全联合防御装置的结构框图。
具体实施方式
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
如图1所示，在一个实施例中，提供了一种网络安全联合防御方法的应用环境图，该应用环境图包括多个安全设备110和与安全设备110可进行双向通信的共享服务器，其中，安全设备110可以是防火墙安全设备、安装有IDS(Intrusion Detection Systems入侵检测系统)或IPS(Instrusion Prevention System入侵防护系统)硬件安全设备、漏洞扫描安全设备等可对系统和网络进行安全检测防护的设备。安全设备可从计算机网络或者计算机服务器中监控用户行为或系统活动，并以自身防御策略为准则进行监控信息分析，得到记录有违反自身防御策略的入侵事件(包括入侵检测事件、入侵处理事件等)的安全日志。各个安全设备将获取的安全日志信息上传到共享服务器，共享服务器对多个安全日志进行汇总分析，将属于一种类型的入侵事件信息返回给相应的安全设备以实现多个安全设备之间信息的共享，安全设备将利用更加丰富的入侵事件信息，更加及时、准确地进行入侵事件的检测、定位以及处理。
如图2所示，在一个实施例中，提供了一种共享服务器120，该共享服务器120包括通过系统总线连接的处理器、存储介质、内存和网络接口。其中，该后台服务器120的存储介质存储有操作系统、数据库和一种网络安全联合防御装置，该装置用于实现一种网络安全联合防御方法。数据库用于存储数据，如存储收集的业务流量数据等。处理器用于提供计算和控制能力，支撑整个服务器120的运行。内存为存储介质中的网络安全联合防御方法装置的运行提供环境。网络接口用于与安全设备110通过网络连接通信。
如图3所示，在一个实施例中，提供了一种网络安全联合防御方法，该方法以应用在如图1所示的分享服务器120中进行举例说明，具体包括如下步骤：
步骤S202：获取多个安全设备的安全日志信息，其中，安全日志信息为安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息。
安全设备是指能够从网络或者网络环境下的系统发现违反安全策略行为、遭遇袭击迹象的设备。安全设备可以包括防火墙、IDS(Intrusion Detection Systems入侵检测系统)、IPS(Instrusion Prevention System入侵防护系统)以及漏洞扫描等，其中，防火墙安装在不同网络的边界，是不同安全级别的网络或者安全域之间唯一的通道，只有被防火墙策略明确授权的通信才可以通过通道。IDS通过收集、分析系统、网络、数据以及用户活动的状态和行为(这些信息一般来自系统和网络日志文件)识别攻击行为、发现异常状况并进行异常告警。IPS进行简单快速的攻击检测并对检测的攻击进行实时处理。漏洞扫描可通过网络远程检测目标网络或者本地主机的上存在的漏洞信息。
安全日志信息是安全设备经检测、防御等自身功能得到的网络/系统环境中的违反安全设备预设防御策略的入侵事件信息。例如，对于防火墙来说，安全信息可以为检测到的防火墙安全策略中拒绝访问的访问事件信息；对于漏洞扫描而言，其安全日志信息可以为网络和系统环境中检测到的漏洞信息；对于IDS和IPS而言，其安全日志信息可以是识别的攻击事件、异常事件，IPS的安全日志信息还包括事件处理信息，如终止进程、切断连接以及更改文件属性等事件信息。不同安全设备的安全日志信息内容、日志格式都不尽相同。
步骤S204：将获取的多个安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个安全设备均可识别的日志格式。
不同的安全设备的日志格式可能不同，在对安全日志信息进行统计分析前，需要对将获取的多种日志格式的安全日志信息进行日志格式的统一。将获取的不同的安全日志信息转化成预设的日志格式，并确保该预设的日志格式能够被这些安全设备所识别。
安全日志的格式包括表达方式和字段格式，其中，表达方式包括文本表达方式、二进制表达方式以及其他计算机语言表达方式。进行日志格式的统一即将表达方式以及字段格式都进行统一。
在一个实施例中，安全设备可以对上传到共享服务器中的安全日志信息进行加密处理，共享服务器预先存储秘钥信息，并根据秘钥信息对加密的安全日志信息进行解密，而后执行步骤S204。在另一个实施例中，共享服务器在将分类统计后的入侵事件信息推送至安全设备之前，也可以对推送信息进行加密处理，以防止信息在网络传输过程中被更改，避免安全设备不能准确的进行安全检测和安全防御。
步骤S206：将转换后的安全日志信息所包含的入侵事件信息按照预设的入侵事件类型进行分类汇总。
共享服务器预先设定了入侵事件的类型，如模糊入侵事件、已检测出攻击源的入侵事件、漏洞信息、已处理入侵事件，其中，系统漏洞也可以划分到模糊入侵事件中。在另一个实施例中，还可以对入侵事件的类型进一步细化。
步骤S208：获取预设的每个入侵事件类型与安全设备标识之间的对应关系。
这里设定安全设备包括漏洞扫描安全设备、IDS、IPS以及防火墙，共享服务器为上述的每个安全设备分配唯一的安全设备标识，共享服务器预先建立上述划分的入侵事件类型与安全设备标识之间的对应关系。
在一个实施例中，可将模糊入侵事件与IDS和/或IPS安全设备标识绑定，以使IDS和/或IPS安全设备能够根据模糊入侵事件信息对入侵事件进行进一步的检测以定位攻击类型、攻击源；可将以检测出攻击源的入侵事件与IPS安全设备标识进行绑定以使IPS根据明确的攻击源信息及时做出攻击处理响应，还可将检测到攻击源的入侵事件与防火墙安全设备标识进行绑定，以使防火墙更新安全防御策略，对入侵事件对应的链接进行阻断。
步骤S210：将针对于入侵事件类型汇总的入侵事件信息推送至具有对应关系的安全设备标识所指向的安全设备，以使安全设备根据推送的入侵事件信息调整自身防御策略。
根据入侵事件类型与安全设备之间的绑定关系，将相应的入侵事件类型对应的入侵事件信息推送至具有绑定关系的安全设备中，以使安全设备获得更多的线索，并根据线索调整安全防御策略以更加准确及时的进行入侵事件的检测和处理。
本实施例中，多个安全设备将自身在进行安全防御时检测到的安全日志信息上传共享平台，共享平台对所有安全日志进行可读性格式转化以及统筹分析分类，并按照设定的信息共享规则，将统计分析的安全日志信息共享至能够更好实现安全日志信息价值的安全设备中，安全设备根据共享平台推送的安全日志信息为线索信息动态调整安全防御策略，实现了攻击事件的快速、精准定位，进而实现对攻击事件的快速有效处理，上述的多安全设备信息共享和联合防御大大提高了网络安全防御的准确性和及时性，取得了更理想的安全防御的效果。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联。
具体的，模糊检测设备和攻击检测设备均能够检测出网络和系统中的入侵事件信息。模糊入侵事件信息为共享服务器预设的其中一种入侵事件类型。进一步的，模糊入侵事件信息为未明确攻击信息的模糊入侵事件，也就是，模糊入侵事件为可被其他安全检测设备利用来生成明确攻击信息的入侵事件信息。
步骤S210：将针对于入侵事件类型汇总的入侵事件信息推送至具有对应关系的安全设备标识所指向的安全设备，以使安全设备根据推送的入侵事件信息调整自身防御策略包括：
将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
共享服务器将模糊检测设备检测的模糊入侵事件信息推送至攻击检测设备中，攻击检测设备根据模糊入侵事件信息调整自身防御策略或者生成新的检测策略，该更新的或者新生成的检测策略为联合检测策略，攻击检测设备将根据生成的联合检测策略进行入侵事件信息的进一步检测，得到攻击源信息。
需要说明的是，本实施例在生成所述联合检测策略后，该联合检测策略将被添加至所述安全设备中，以加强该安全设备对入侵事件的检测能力，使该安全设备在后面的检测工作中检测出更多的入侵事件，进而生成新的联合检测策略等。如此往复，不断加强安全设备的检测性能。
举例来说，模糊检测设备为漏洞扫描安全设备，模糊入侵事件信息为漏洞扫描安全设备扫描得到的系统/应用/网络中的漏洞信息，攻击检测设备为IDS，IDS生成针对漏洞信息的攻击检测源策略，执行该攻击源检测策略，检测攻击该漏洞的攻击源信息，IDS检测出的该漏洞的攻击源信息。
本实施例中，攻击检测设备得到的攻击源信息实质上是模糊检测设备与攻击检测设备联合协作得到的更加详细的、明确的入侵事件信息，通过安全日志信息的共享使得各个安全设备之间相互协作，可更加快速准确的进行攻击事件的检测。
在一个实施例中，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识的关联。
具体的，攻击防御设备是指能够进行攻击事件处理(如终止进程、切断连接、改变文件属性、访问限制)以消除攻击事件的危害或者减少攻击事件影响的安全设备。在一个实施例中，攻击防御设备可以是IPS和防火墙等。
在步骤将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息之后，还包括：
将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
共享服务器将攻击检测设备上传的经过联合协作分析得到的攻击源信息推送给攻击防御设备，攻击防御设备生成针对该攻击源信息的安全防御策略，该安全防御策略实质为根据多个安全设备的入侵事件信息生成的联合防御策略，攻击防御设备通过执行生成的联合防御策略进行更加精准、及时的攻击处理和防御。
在一个实施例中，如图4所示，还提供了一种网络安全联合防御方法，该方法以应用到如图1所示的其中一个安全设备110中进行举例说明，具体包括如下步骤：
步骤S302：根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息。
安全设备是指能够从网络或者网络环境下的系统发现违反安全策略行为、遭遇袭击迹象的设备。安全设备可以包括防火墙、IDS(Intrusion Detection Systems入侵检测系统)、IPS(Instrusion Prevention System入侵防护系统)以及漏洞扫描等。
安全设备设置有自身入侵防御策略，通过执行自身入侵防御策略进行入侵检测，生成违反自身防御策略的入侵事件信息，并将生成的入侵事件信息以安全日志的形式进行记录。
步骤S304：将生成的安全日志信息上传到安全日志共享平台，其中，安全日志共享平台用于分类汇总上传的安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行多种事件类别的入侵事件信息的推送。
具体的，安全设备每个设定时间将生成的安全日志信息上传至共享服务器，或者共享服务器每个设定时间自动从安全设备中进行安全日志信息的抓取。
步骤S306：接收安全日志共享平台推送的至少一种事件类别的入侵事件信息。
步骤S308：以接收的入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，共享服务器进行获取的各个安全设备的安全日志的日志格式进行一致性转化，转化的日志格式保证各个安全设备能够识别。进一步的，共享服务器对格式统一化的安全日志信息进行统计分析，分类整理，并将设定类别的安全日志信息(入侵事件信息)推送至设定的安全设备中以实现信息充分共享，各个安全设备能够根据共享的入侵事件信息更加快速准确地进行攻击的挖掘、定位、防御和处置。
本实施例中，安全设备能够通过共享平台获取到其他安全设备的安全日志信息，充分利用共享的安全日志信息进行安全策略的最优化调整，使攻击检测处理更加高效、准确，极大地提高了安全设备的安全防御能力。
在一个实施例中，步骤S306中的以接收的入侵事件信息为线索信息生成联合防御策略的步骤为：将安全设备自身生成的安全日志信息和接收的入侵事件信息进行事件关联，生成联合安全日志信息；根据联合安全日志信息生成联合防御策略，并执行联合防御策略以进行入侵事件检测和入侵事件防御。
具体的，安全设备可根据安全日志信息中的时间属性进行入侵事件的关联。在另一个实施例中，还可以通过地址特征(如IP)、端口信息属性进行事件的关联，得到联合安全日志信息。
安全设备针对联合安全日志信息生成联合防御策略，以使攻击检测处理更加高效、准确，极大地提高了安全设备的安全防御能力。
在一个实施例中，如图5所示，提供了一种网络安全联合防御装置，该装置包括：
安全日志信息获取模块402，用于获取多个安全设备的安全日志信息，其中，安全日志信息为安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息。
格式转换模块404，用于将获取的多个安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个安全设备均可识别的日志格式。
日志信息分类模块406，用于将转换后的安全日志信息所包含的入侵事件信息按照预设的入侵事件类型进行分类汇总。
关联信息获取模块408，用于获取预设的每个入侵事件类型与安全设备标识之间的对应关系。
日志信息推送模块410，用于将针对于入侵事件类型汇总的入侵事件信息推送至具有对应关系的安全设备标识所指向的安全设备，以使安全设备根据推送的入侵事件信息调整自身防御策略。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联。
日志信息推送模块410，还用于将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
在一个实施例中，所所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联。
日志信息推送模块410，还用于将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
在一个实施例中，如图6所示，提供了一种网络安全联合防御装置，该装置包括：
安全日志信息生成模块502，用于根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息。
安全信息分享模块504，用于将生成的安全日志信息上传到安全日志共享平台，其中，安全日志共享平台用于分类汇总上传的安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行多种事件类别的入侵事件信息的推送。
事件信息接收模块506，用于接收安全日志共享平台推送的至少一种事件类别的入侵事件信息。
联合决策模块508，用于以接收的入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，联合决策模块508，还用于将安全设备自身生成的安全日志信息和接收的入侵事件信息进行事件关联，生成联合安全日志信息；根据联合安全日志信息生成联合防御策略，并执行联合防御策略以进行入侵事件检测和入侵事件防御。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机程序来指令相关的硬件来完成，程序可存储于一计算机可读取存储介质中，如本发明实施例中，该程序可存储于计算机系统的存储介质中，并被该计算机系统中的至少一个处理器执行，以实现包括如上述各方法的实施例的流程。其中，存储介质可为磁碟、光盘、只读存储记忆体(Read-Only Memory，ROM)或随机存储记忆体(Random Access Memory，RAM)等。
以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (8)

1.一种网络安全联合防御方法，所述方法包括：
获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式；
将转换后的所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系，包括：所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，获取所述模糊入侵事件与攻击检测设备标识的对应关系；
将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略，包括：将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
2.根据权利要求1所述的方法，其特征在于，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
所述将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略的步骤，还包括：
将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
3.一种网络安全联合防御方法，所述方法包括：
根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送，包括：所述入侵事件信息包括模糊检测设备检测的模糊入侵事件信息，所述安全日志共享平台获取与所述模糊入侵事件信息存在对应关系的攻击检测设备标识，将所述模糊入侵事件信息推送至所述攻击检测设备标识对应的攻击检测设备；
接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
以接收的所述入侵事件信息为线索信息生成联合防御策略，包括：接收所述模糊入侵事件信息，根据所述模糊入侵事件信息生成攻击源联合检测策略，根据所述攻击源联合检测策略检测攻击源信息。
4.根据权利要求3所述的方法，其特征在于，所述接收的所述入侵事件信息为线索信息生成联合防御策略的步骤包括：
将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；
根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
5.一种网络安全联合防御装置，其特征在于，所述装置包括：
安全日志信息获取模块，用于获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
格式转换模块，用于将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式；
日志信息分类模块，用于将转换后的所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
关联信息获取模块，用于获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系，包括：所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，获取所述模糊入侵事件与攻击检测设备标识的对应关系；
日志信息推送模块，用于将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略，包括：将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
6.根据权利要求5所述的装置，其特征在于，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
所述日志信息推送模块还用于将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
7.一种网络安全联合防御装置，其特征在于，所述装置包括：
安全日志信息生成模块，用于根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
安全信息分享模块，用于将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送，包括：所述入侵事件信息包括模糊检测设备检测的模糊入侵事件信息，所述安全日志共享平台获取与所述模糊入侵事件信息存在对应关系的攻击检测设备标识，将所述模糊入侵事件信息推送至所述攻击检测设备标识对应的攻击检测设备；
事件信息接收模块，用于接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
联合决策模块，用于以接收的所述入侵事件信息为线索信息生成联合防御策略，包括：接收所述模糊入侵事件信息，根据所述模糊入侵事件信息生成攻击源联合检测策略，根据所述攻击源联合检测策略检测攻击源信息。
8.根据权利要求7所述的装置，其特征在于，所述联合决策模块，还用于将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
CN201611156016.7A 2016-12-14 2016-12-14 网络安全联合防御方法和装置 Active CN106790023B (zh)

Priority Applications (4)

Application Number Priority Date Filing Date Title
CN201611156016.7A CN106790023B (zh) 2016-12-14 2016-12-14 网络安全联合防御方法和装置
US16/082,892 US10917417B2 (en) 2016-12-14 2017-08-30 Method, apparatus, server, and storage medium for network security joint defense
PCT/CN2017/099727 WO2018107811A1 (zh) 2016-12-14 2017-08-30 网络安全联合防御方法、装置、服务器和存储介质
SG11201808509RA SG11201808509RA (en) 2016-12-14 2017-08-30 Method, apparatus, server, and storage medium for network security joint defense

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN201611156016.7A CN106790023B (zh) 2016-12-14 2016-12-14 网络安全联合防御方法和装置

Publications (2)

Publication Number Publication Date
CN106790023A CN106790023A (zh) 2017-05-31
CN106790023B true CN106790023B (zh) 2019-03-01

Family

ID=58888956

Family Applications (1)

Application Number Title Priority Date Filing Date
CN201611156016.7A Active CN106790023B (zh) 2016-12-14 2016-12-14 网络安全联合防御方法和装置

Country Status (4)

Country Link
US (1) US10917417B2 (zh)
CN (1) CN106790023B (zh)
SG (1) SG11201808509RA (zh)
WO (1) WO2018107811A1 (zh)

Families Citing this family (48)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790023B (zh) 2016-12-14 2019-03-01 平安科技（深圳）有限公司 网络安全联合防御方法和装置
CN107342982A (zh) * 2017-06-09 2017-11-10 国网湖北省电力公司 大数据分析系统
CN109257329A (zh) * 2017-07-13 2019-01-22 国网浙江省电力公司电力科学研究院 一种基于海量Web日志的网站风险指数计算系统及方法
CN107733914B (zh) * 2017-11-04 2020-11-10 公安部第三研究所 面向异构安全机制的集中管控系统
CN107733725B (zh) * 2017-11-27 2021-01-19 深信服科技股份有限公司 一种安全预警方法、装置、设备及存储介质
CN108183916B (zh) * 2018-01-15 2020-08-14 华北电力科学研究院有限责任公司 一种基于日志分析的网络攻击检测方法及装置
CN109309687A (zh) * 2018-11-27 2019-02-05 杭州迪普科技股份有限公司 网络安全防御方法、装置及网络设备
CN109995794B (zh) * 2019-04-15 2021-09-17 深信服科技股份有限公司 一种安全防护系统、方法、设备及存储介质
CN110535703A (zh) * 2019-08-30 2019-12-03 艾西威汽车科技(北京)有限公司 一种车联网通信检测方法、装置及平台和计算机可读存储介质
CN110730165A (zh) * 2019-09-25 2020-01-24 山石网科通信技术股份有限公司 数据处理方法及装置
CN110650155A (zh) * 2019-10-16 2020-01-03 杭州安恒信息技术股份有限公司 网络安全态势感知平台中安全隐患信息的快速传递方法
CN111030987A (zh) * 2019-10-30 2020-04-17 哈尔滨安天科技集团股份有限公司 一种多安全设备的关联分析方法、装置及存储介质
CN110912882A (zh) * 2019-11-19 2020-03-24 北京工业大学 一种基于智能算法的入侵检测方法及系统
CN110912899B (zh) * 2019-11-27 2022-05-31 深圳第一线通信有限公司 网络安全入侵检测方法、装置、服务器及可读存储介质
CN111125728A (zh) * 2019-12-04 2020-05-08 深圳昂楷科技有限公司 一种治理数据库安全问题的方法、装置及治理设备
CN111162929B (zh) * 2019-12-04 2022-11-01 杭州迪普科技股份有限公司 一种分级管理方法和系统
CN113472725B (zh) * 2020-03-31 2023-04-07 阿里巴巴集团控股有限公司 一种数据处理的方法和装置
CN113497793B (zh) * 2020-04-03 2024-04-19 中移动信息技术有限公司 模型的优化方法、告警事件的检测方法、装置和设备
CN113810351A (zh) * 2020-06-16 2021-12-17 深信服科技股份有限公司 网络攻击的攻击者确定方法及装置和计算机可读存储介质
US20210409446A1 (en) * 2020-06-24 2021-12-30 Fortinet, Inc. Leveraging network security scanning to obtain enhanced information regarding an attack chain involving a decoy file
CN111818089A (zh) * 2020-07-31 2020-10-23 北京微步在线科技有限公司 一种网络攻击事件的展示方法及存储介质
CN112073411B (zh) * 2020-09-07 2022-10-04 软通智慧信息技术有限公司 一种网络安全推演方法、装置、设备及存储介质
CN112468516A (zh) * 2020-12-17 2021-03-09 全球能源互联网研究院有限公司 一种安全防御方法、装置、电子设备及存储介质
CN112751864B (zh) * 2020-12-30 2023-04-07 招联消费金融有限公司 网络攻击反制系统、方法、装置和计算机设备
CN112688964B (zh) * 2021-01-28 2022-07-01 国网江苏省电力有限公司宿迁供电分公司 一种低成本物联网络安全防护方法及终端设备
US12034731B2 (en) * 2021-01-29 2024-07-09 Paypal, Inc. Evaluating access requests using assigned common actor identifiers
CN113254138B (zh) * 2021-06-08 2024-06-18 中国传媒大学 一种漏洞靶场防御方演练过程可视化的方法和系统
CN113315666A (zh) * 2021-07-02 2021-08-27 天津嘉恒达科技有限公司 一种面向信息网络安全的防御控制方法及系统
CN113839935B (zh) * 2021-09-14 2024-01-23 上海纽盾科技股份有限公司 网络态势感知方法、装置及系统
CN113904838A (zh) * 2021-09-30 2022-01-07 北京天融信网络安全技术有限公司 一种传感器数据检测方法、装置、电子设备及存储介质
CN114006748B (zh) * 2021-10-28 2024-04-02 国网山东省电力公司信息通信公司 一种网络安全综合监控方法、系统、设备和存储介质
CN114244564B (zh) * 2021-11-16 2024-04-16 北京网宿科技有限公司 攻击防御方法、装置、设备及可读存储介质
CN114205143B (zh) * 2021-12-09 2024-08-16 国家电网有限公司信息通信分公司 一种面向异构安全设备的智能化协同防御的方法及系统
CN114301796B (zh) * 2021-12-20 2023-10-03 上海纽盾科技股份有限公司 预测态势感知的验证方法、装置及系统
CN114448672A (zh) * 2021-12-27 2022-05-06 奇安信科技集团股份有限公司 一种多源网络安全数据处理方法及装置
CN114006775B (zh) * 2021-12-31 2022-04-12 北京微步在线科技有限公司 一种入侵事件的检测方法及装置
CN115438984A (zh) * 2022-03-07 2022-12-06 韩国平 一种基于ai的大数据处理方法及服务器
CN114978666A (zh) * 2022-05-18 2022-08-30 杭州安恒信息技术股份有限公司 一种网络攻击流程还原方法、装置、设备及存储介质
CN114978729A (zh) * 2022-05-27 2022-08-30 重庆长安汽车股份有限公司 基于can总线车载入侵的检测方法、系统及可读存储介质
CN114679341B (zh) * 2022-05-27 2022-08-16 江苏益柏锐信息科技有限公司 结合erp系统的网络入侵攻击分析方法、设备及介质
CN115001815A (zh) * 2022-05-31 2022-09-02 重庆长安汽车股份有限公司 一种车载系统攻击事件监控方法、系统、介质及电子设备
CN115150194A (zh) * 2022-08-12 2022-10-04 国汽智控(北京)科技有限公司 防御策略的确定方法、装置、设备及存储介质
CN115589324B (zh) * 2022-10-20 2024-06-04 周思华 基于云计算的数据安全防御应急系统及方法
CN116436706B (zh) * 2023-06-14 2023-08-22 天津市天河计算机技术有限公司 数据中心环境下的网络攻击阻断方法、系统、设备及介质
CN116893942B (zh) * 2023-07-06 2024-08-16 九科信息技术(深圳)有限公司 日志数据的格式转换方法、装置、设备及存储介质
CN116962049B (zh) * 2023-07-25 2024-03-12 三峡高科信息技术有限责任公司 一种综合监测和主动防御的零日漏洞攻击防控方法和系统
CN116996310B (zh) * 2023-08-15 2024-04-23 广东中山网传媒信息科技有限公司 基于主动式防御的服务器网络安全保护方法和装置
CN117040912B (zh) * 2023-09-13 2024-01-05 湖南新生命网络科技有限公司 一种基于数据分析的网络安全运维管理方法及系统

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104883365A (zh) * 2015-05-14 2015-09-02 浪潮电子信息产业股份有限公司 一种安全日志存储和读取方法、装置及安全管控系统
CN105791289A (zh) * 2016-03-02 2016-07-20 夏杰 一种基于大数据计算的网络保护的方法及系统
CN106209826A (zh) * 2016-07-08 2016-12-07 瑞达信息安全产业股份有限公司 一种网络安全设备监测的安全事件分析方法

Family Cites Families (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW200644495A (en) * 2005-06-10 2006-12-16 D Link Corp Regional joint detecting and guarding system for security of network information
CN102457475A (zh) * 2010-10-15 2012-05-16 中国人民解放军国防科学技术大学 网络安全数据集成与转换系统
US9015839B2 (en) * 2013-08-30 2015-04-21 Juniper Networks, Inc. Identifying malicious devices within a computer network
CN103618692B (zh) * 2013-10-28 2017-01-11 中国航天科工集团第二研究院七〇六所 一种构建日志快速匹配的方法
CN103581198A (zh) * 2013-11-13 2014-02-12 浙江中烟工业有限责任公司 基于Apriori算法的安全日志分析方法
CN104883356A (zh) 2015-04-24 2015-09-02 北京邮电大学 一种基于目标模型的网络攻击检测方法
CN106790023B (zh) * 2016-12-14 2019-03-01 平安科技（深圳）有限公司 网络安全联合防御方法和装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN104883365A (zh) * 2015-05-14 2015-09-02 浪潮电子信息产业股份有限公司 一种安全日志存储和读取方法、装置及安全管控系统
CN105791289A (zh) * 2016-03-02 2016-07-20 夏杰 一种基于大数据计算的网络保护的方法及系统
CN106209826A (zh) * 2016-07-08 2016-12-07 瑞达信息安全产业股份有限公司 一种网络安全设备监测的安全事件分析方法

Also Published As

Publication number Publication date
CN106790023A (zh) 2017-05-31
US10917417B2 (en) 2021-02-09
SG11201808509RA (en) 2018-11-29
US20190098027A1 (en) 2019-03-28
WO2018107811A1 (zh) 2018-06-21

Similar Documents

Publication Publication Date Title
CN106790023B (zh) 网络安全联合防御方法和装置
CN111245793A (zh) 网络数据的异常分析方法及装置
CN109873811A (zh) 基于攻击ip画像的网络安全防护方法及其网络安全防护系统
CN107046543A (zh) 一种面向攻击溯源的威胁情报分析系统
CN108289088A (zh) 基于业务模型的异常流量检测系统及方法
CN101119369A (zh) 一种网络数据流的安全检测方法及其系统
CN117081868B (zh) 一种基于安全策略的网络安全运营方法
Azam et al. Defending the digital Frontier: IDPS and the battle against Cyber threat
CN104113538A (zh) 一种检测内部用户攻击行为的网络安全防护方案
CN111885019A (zh) 一种基于攻防信息对比的网络安全态势要素提取方法
CN115766235A (zh) 一种网络安全预警系统及预警方法
CN110378115B (zh) 一种信息安全攻防平台的数据层系统
CN115694928A (zh) 全舰计算环境云端蜜罐、攻击事件感知和行为分析方法
CN117319090A (zh) 一种网络安全智能防护系统
Dhangar et al. Analysis of proposed intrusion detection system
Kumari et al. SmRM: Ensemble Learning Devised Solution for Smart Riskware Management in Android Machines
Sun et al. A deception defense and active defense based three-dimensional defense architecture: DA-3DD design and implementation plan
CN118337540B (zh) 一种基于物联网的网络入侵攻击识别系统及方法
Li et al. IoT Honeypot Scanning and Detection System Based on Authorization Mechanism
Daffu et al. Energy Aware Supervised Pattern Attack Recognition Technique for Mitigation of EDoS Attacks in Cloud Platform
TWI738078B (zh) 滲透測試監控伺服器及系統
Li A New Detection Method of Network APT Based on Big Data Analysis
Kissoon et al. An Analysis of Key Tools for Detecting Cross-Site Scripting Attacks on Web-Based Systems
CN115865472A (zh) 一种基于日志分析的请求拦截方法及系统
Wang et al. Research on the Application and Testing Method of AI Firewalls in Network Attack Detection

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant