CN106878340B - 一种基于网络流量的综合安全监测分析系统 - Google Patents

Abstract

本发明公开了一种基于网络流量的综合安全监测分析系统,支持多种类型流量的统一获取、集中处理、冗余过滤和负载均衡，并将多种分析技术引擎前移，集成到系统中，从而达到功能集成化和设备小型化的目的。

Description

一种基于网络流量的综合安全监测分析系统

技术领域

本发明涉及计算机网络领域，具体而言，涉及一种基于网络流量的综合安全监测分析系统。

背景技术

当前，基于网络流量的安全监测系统主要包括入侵检测系统、网络行为分析系统、恶意代码检测系统、网络内容安全审计系统等。当前这些系统存在如下问题：

(1)每种设备的功能都相对单一，对网络进行全面的安全监测时，需在网络中部署多种设备和系统，给网络机房管理带来巨大负担；

(2)多种分析设备对于网络流量的采集、处理过程基本类似，只是分析手段和方法不同，因此，部署多种分析设备，对于网络流量的采集和处理过程是重复的，容易造成资源浪费；

(3)要完成综合安全监测分析，需要多种分析设备和系统共同部署，不符合功能集成化和设备小型化的要求，在便携性和快速部署方面比较弱；

(4)多种分析结果数据各自独立，难以完成多种分析数据的融合，数据共享性差，融合关联分析缺乏。

发明内容

为解决上述问题，本发明基于ATCA标准架构，实现了一种基于网络流量的综合安全监测分析系统。

一种基于网络流量的综合安全监测分析系统，包括机箱、汇聚装置、过滤装置、交换装置和分析计算装置；其中，汇聚装置、过滤装置、交换装置、分析计算装置通过机箱的背板互连；

所述分析计算装置由至少一个烧录有分析计算软件的分析计算板卡组成；

所述汇聚装置包括接口子卡和输入板卡；接口子卡设置在输入板卡上；接口子卡作为各类网络链路的输入接口，根据自身维护的数据流表识别流量数据包，并将接收到的网络链路数据转换成以太网流量数据，然后发给输入板卡；

所述输入板卡按照过滤装置发送的流量过滤转发策略对从接口子卡接收的数据包转发给交换板卡或作丢弃处理；

所述过滤装置通过所述背板读取交换板卡的数据包，识别流量的应用协议，并进行解析，得到的解析结果通过交换板卡的配置接口提供给用户，用于制定流量过滤转发策略，用户制定完流量过滤转发策略将该策略配置到过滤装置中；

所述交换装置接收汇聚装置发送的流量数据，通过交换板背板接口或者前面板输出接口，根据过滤装置发送的流量过滤转发策略将流量转发到对应的分析计算板卡中，由此对数据进行具体的流量分析。

进一步的，所述交换装置提供配置接口，实现对综合安全监测分析系统的本地或远程运维管理。

进一步的，所述机箱还包括电源、板卡插槽、通信系统及散热装置。

较佳的，所述机箱采用ATCA标准实现。

较佳的，每个综合安全监测分析系统根据需求设置多个汇聚装置。

较佳的，所述接口子卡支持标准模块接口，支持ATM155M、ATM622M、POS155M、POS622M、POS2.5G、POS10G、POS40G、10GE、1GE接口类型。

较佳的，所述分析计算板卡包括入侵检测模块、异常行为分析模块、网络内容审计模块、可疑代码捕获模块或融合关联分析模块中的一种、两种、三种、四种或者五种模块。

较佳的，分析计算板卡中设置多个相同的计算板卡进行并行运算，当交换装置向分析计算发送数据流时，每发送一次，分析计算板卡均对数据流进行负载均衡处理，即：对于交换装置发送的数据包，提取数据包的源IP与目的IP，并对其进行哈希计算：HASH(源IP，目的IP)，得到的二进制结果再转换为十进制结果；将该十进制结果对计算分析模块中所包含的计算板卡数量n取余数，并根据该余数的值进行流量分配：当余数为0时，将数据流分配给第1号计算板卡，当余数为1时，将数据流分配给第2号计算板卡，依此类推，根据该规律对数据流进行分配。

较佳的，分析计算装置的分析计算板卡中包括融合关联分析模块用于获得其它分析计算板卡的分析结果，当其中一个分析计算板卡的分析结果提示出现可疑IP时，融合关联分析模块调用其它分析计算板卡对该可疑IP相关的分析结果，并进行汇总分析，判断是否是否为安全事件。

一种综合安全监测分析系统的级联系统，包括多个综合安全监测分析系统，采用多层级联的形式，即：综合安全监测分析系统分为至少两级，每一级中至少包括一个综合安全监测分析系统，其中，交换装置的输出接口与上一级综合安全监测分析系统的汇聚装置的输入接口相连。

本发明具有如下有益效果：

本发明提供了一个动态可扩展的流量综合安全分析平台，支持多种类型流量的统一获取、集中处理、冗余过滤和负载均衡，并将多种分析技术引擎前移，集成到平台中，从而达到功能集成化和设备小型化的目的。

附图说明

图1示出了本发明所述的基于网络流量的综合安全监测分析系统的示意图。

图2示出了本发明各组成部分的逻辑关系。

图3示出了多设备级联过程中的连接关系。

图4示出了分析计算装置结构及与交换装置连接关系图。

具体实施方式

下面结合附图并举实施例，对本发明进行详细描述。

本发明的一种基于网络流量的综合安全监测分析系统，如图1所示，由机箱、汇聚装置、过滤装置、交换装置和分析计算装置组成。其中机箱为汇聚装置、过滤装置、交换装置、分析计算装置提供了互联互通和协同工作的基础必要条件；汇聚装置是设备的输入端，主要用于采集各种链路类型的网络流量；过滤装置用于识别网络应用协议，并据此配置过滤和负载均衡规则；交换装置实现其它装置间数据融合、交换转发；分析计算装置依据用户需要集成了不同的流量分析功能。上述装置间逻辑关系如图2所示。

其中，汇聚装置、过滤装置、交换装置、分析计算装置通过机箱背板互连。

所述机箱，主要包括电源、板卡插槽、背板、通信系统及散热装置。采用ATCA标准实现，是各种板卡连接并协同工作的纽带。机箱共分为汇聚层、过滤层、交换层和分析计算层四个区域，汇聚层插槽插入汇聚装置，过滤层插槽插入过滤板卡，交换层插槽插入交换装置，分析计算层插槽插入分析计算装置。各区域的装置通过机箱背板相连。其中汇聚层和分析计算层是必选区域，其它区域以及所有区域的装置数量由用户根据网络节点流量监测的需求而确定。设备中各类板卡支持热插拔和自动配置生效，便于部署和维护。所述汇聚装置，包括接口子卡和输入板卡。输入板卡上设置有多种接口子卡，接口子卡提供当前主流的各类网络链路的输入接口，将不同类型、不同速率的链路统一接入到设备中，进行集中处理，将其转换成以太网流量数据输出，至交换装置，从而实现高速骨干网络多类链路数据的统一获取汇聚和协议转换输出。

其中输入板卡基于ATCA标准实现，用于承载多种接口子卡，实现多种链路流量的处理与转发，每个输入板卡最多承载4个接口子卡。单个输入板卡最大支持80G流量汇聚。一台设备上可根据需求设置多个汇聚装置，最多支持4块汇聚装置。

接口子卡用于采集不同链路流量数据，接口子卡可根据流量速率和流量类型选择不同的子卡类型。接口子卡支持标准模块接口，支持ATM155M、ATM622M、POS155M、POS622M、POS2.5G、POS10G、POS40G、10GE、1GE接口类型。

接口子卡根据维护的数据流表识别流量数据包，并进行转换，再发给输入板卡；输入板卡按照过滤装置发送的流量过滤转发策略对接收的数据包进行转发或丢弃处理。

过滤装置为过滤板卡。过滤装置通过背板接口读取交换板卡的数据数据包，识别流量的应用协议，并进行解析，得到的解析结果通过交换板卡的配置接口提供给用户，用于制定流量过滤转发策略，并将该策略配置到过滤装置中；过滤板识别400余种当前主要的网络流量协议。通过过滤板卡，本发明实现了应用级的负载均衡。

交换装置为交换板卡。交换板卡接收汇聚装置发送的多链路流量数据，通过交换板背板接口或者前面板输出接口，根据流量过滤转发策略将流量转发到分析计算板卡，并实现多块输入板卡数据间的交换融合。交换板卡提供配置接口(串口或网口)，实现对设备的本地或远程运维管理；其中，可设置汇聚装置各类板卡链路类型、链路速率、链路校验方式。交换层输出流量的负载均衡，通过对数据流量的哈希计算将数据包平均转发到不同的输出端口，哈希计算中主要考虑源IP地址和目的IP地址因素，可保证将同一个会话数据包输出到相同的输出接口。当某输出端口故障时，交换板能够自动识别并将输出流量自动负载到其他几个接口。支持配置输出接口的输出权重，为各输出接口分配不同流量输出比例。交换板卡实现流量复制功能，将流量转发给输出接口的同时，复制到其它输出接口。

交换板卡前面板输出接口用于实现设备多层级联以及计算分析装置的功能和性能扩展。如图3所示。多个综合安全监测分析系统采用多层级联的形式，综合安全监测分析系统分为至少两级，每一级中至少包括一个综合安全监测分析系统，其中，交换装置的输出接口与上一级综合安全监测分析系统的汇聚装置的输入接口相连。可直接通过网线连接，也可通过光钎转接方式连接。数据是单向向上传输。

计算分析集群用于对流量分析能力扩展，包括性能上和功能上，从而实现设备的分布式部署和集中统一分析。

进一步地，分析计算装置为分析计算板卡。分析计算板卡是烧录了分析计算软件系统的通用板卡，从而完成具体的流量分析功能，并输出分析数据。用户可根据自身分析需求，选择不同的分析板卡插入设备板卡槽中。本发明提供了入侵检测模块、异常行为分析模块、网络内容审计模块、恶意代码捕获模块、融合关联分析模块五类分析软件系统。依据分析性能要求，五类分析软件系统可组合放置于同一分析计算板卡，也可单独放置于一个分析计算板卡，也可放置于服务器组成分析计算集群。

当处理的数据流量较大时，分析计算模块中可以设置多个相同的计算板卡进行并行运算，因此，当交换装置向分析计算发送数据包时，每发送一次，分析计算模块需要考虑数据流均衡分配的问题，本发明采用的方法为：对于交换装置发送的数据包，提取数据包的源IP与目的IP，并对其进行哈希计算：HASH(源IP，目的IP)，得到的二进制结果再转换为十进制结果；将该十进制结果对计算分析模块中所包含的计算板卡数量n取余数，并根据该余数的值进行流量分配：当余数为0时，将数据流分配给第1号计算板卡，当余数为1时，将数据流分配给第2号计算板卡，依此类推，根据该规律对数据流进行分配。

所述分析计算架构如图4所示：

进一步地，所述入侵检测模块完成单个数据包中具有攻击特征的网络安全威胁的报警。主要通过拆分解析数据包，并与攻击特征库比对的方法实现。入侵检测模块由计算板卡实现功能，用户依据对性能的需求，选择计算板卡的数量，并插入设备板卡槽中。

所述异常行为分析模块完成网络流量中在一定时间窗口内表现出攻击特征的网络安全威胁的报警。主要通过统计、计算安全威胁指标，并与异常行为特征库比对的方法实现。异常行为分析模块由计算板卡实现功能，用户依据对性能的需求，选择计算板卡的数量，并插入设备板卡槽中。

所述网络内容审计模块完成对网络流量中传输的网络内容进行安全审计并对违规信息进行报警，主要通过还原网络应用协议、进而提取文本信息、再与违规信息库进行比对的方法实现。网络内容审计模块由计算板卡实现功能，用户依据对性能的需求，选择计算板卡的数量，并插入设备板卡槽中。

所述恶意代码捕获模块完成网络流量中传输的程序代码进行安全分析功能。主要通过还原网络应用协议、提取传输的程序代码、并投放至集成的虚拟执行环境监控程序代码恶意行为，进而判别程序代码的安全威胁等步骤来实现。恶意代码捕获模块由计算板卡实现功能，用户依据对性能的需求，选择计算板卡的数量，并插入设备板卡槽中。

所述融合关联分析模块完成上述模块分析结果数据的再分析和融合分析功能。主要通过调用上述模块，由用户协同分析同一安全威胁的不同方面。融合关联分析模块由计算板卡实现功能，用户依据对性能的需求，选择计算板卡的数量，并插入设备板卡槽中。融合关联分析模块获得其它分析模块的分析结果，当其中一个分析模块的分析结果提示出现可疑IP时，融合关联分析模块调用其它分析模块对该可疑IP相关的分析结果，进行汇总分析，并通过关联规则库中的规则判定是否为安全事件。

综上所述，以上仅为本发明的较佳实施例而已，并非用于限定本发明的保护范围。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (7)

1.一种基于网络流量的综合安全监测分析系统，其特征在于，包括机箱、汇聚装置、过滤装置、交换装置和分析计算装置；其中，汇聚装置、过滤装置、交换装置、分析计算装置通过机箱的背板互连；

所述分析计算装置由至少一个烧录有分析计算软件的分析计算板卡组成；

所述汇聚装置包括接口子卡和输入板卡；接口子卡设置在输入板卡上；接口子卡作为各类网络链路的输入接口，将不同类型、不同速率的链路统一接入到设备中，进行集中处理，根据自身维护的数据流表识别流量数据包，并将接收到的网络链路数据转换成以太网流量数据，然后发给输入板卡；

所述输入板卡按照过滤装置发送的流量过滤转发策略对从接口子卡接收的数据包转发给交换板卡或作丢弃处理；

所述过滤装置通过所述背板读取交换板卡的数据包，识别流量的应用协议，并进行解析，得到的解析结果通过交换板卡的配置接口提供给用户，用于制定流量过滤转发策略，用户制定完流量过滤转发策略将该策略配置到过滤装置中；

所述交换装置接收汇聚装置发送的流量数据，通过交换板背板接口或者前面板输出接口，根据过滤装置发送的流量过滤转发策略将流量转发到对应的分析计算板卡中，由此对数据进行具体的流量分析；

分析计算板卡中设置多个相同的计算板卡进行并行运算，当交换装置向分析计算发送数据流时，每发送一次，分析计算板卡均对数据流进行负载均衡处理，对于交换装置发送的数据包，提取数据包的源IP与目的IP，并对其进行哈希计算，得到的二进制结果再转换为十进制结果；将该十进制结果对计算分析模块中所包含的计算板卡数量n取余数，并根据该余数的值进行流量分配：当余数为0时，将数据流分配给第1号计算板卡，当余数为1时，将数据流分配给第2号计算板卡，依此类推，根据该规律对数据流进行分配；

所述分析计算板卡包括入侵检测模块、异常行为分析模块、网络内容审计模块、可疑代码捕获模块或融合关联分析模块中的一种、两种、三种、四种或者五种模块；分析计算装置的分析计算板卡中包括融合关联分析模块用于获得其它分析计算板卡的分析结果，当其中一个分析计算板卡的分析结果提示出现可疑IP时，融合关联分析模块调用其它分析计算板卡对该可疑IP相关的分析结果，并进行汇总分析，判断是否为安全事件。

2.如权利要求1所述的一种基于网络流量的综合安全监测分析系统，其特征在于，所述交换装置提供配置接口，实现对综合安全监测分析系统的本地或远程运维管理。

3.如权利要求1所述的一种基于网络流量的综合安全监测分析系统，其特征在于，所述机箱还包括电源、板卡插槽、通信系统及散热装置。

4.如权利要求1所述的一种基于网络流量的综合安全监测分析系统，其特征在于，所述机箱采用ATCA标准实现。

5.如权利要求1所述的一种基于网络流量的综合安全监测分析系统，其特征在于，每个综合安全监测分析系统根据需求设置多个汇聚装置。

6.如权利要求1所述的一种基于网络流量的综合安全监测分析系统，其特征在于，所述接口子卡支持标准模块接口，支持ATM155M、ATM622M、POS155M、POS622M、POS2.5G、POS10G、POS40G、10GE、1GE接口类型。

7.一种基于权利要求1-6中任意一个所述的综合安全监测分析系统的级联系统，其特征在于，包括多个综合安全监测分析系统，采用多层级联的形式，即：综合安全监测分析系统分为至少两级，每一级中至少包括一个综合安全监测分析系统，其中，交换装置的输出接口与上一级综合安全监测分析系统的汇聚装置的输入接口相连。