CN108924169A - 一种可视化网络安全系统 - Google Patents

Abstract

本发明公开了一种可视化网络安全系统，所述系统包括防火墙、访问分析模块、行为画像模块、溯源分析模块、流量控制模块、可视化模块，通过对用户流量的分析、网络行为的判断、攻击脉络和路径的分析，实现对用户流量、网络行为和攻击的综合控制，并将上述各种信息汇总、相互关联显示，有效地帮助企业更好地监督网络流量和网络行为。

Description

一种可视化网络安全系统

技术领域

本申请涉及网络信息安全技术领域，尤其涉及一种可视化网络安全系统。

背景技术

现有的网络安全系统往往缺乏可视化的显示，通常只有报警、预警等简单的提示功能，缺少系统的功能显示。企业在使用时，不能有效地监督攻击来源和脉络，也不能有效地监督员工的网络行为，更不能有效地汇总信息。

发明内容

本发明的目的在于提供一种可视化网络安全系统，系统除了包括常用的防火墙实施简单的过滤功能，还包括有访问流量分析、网络行为、攻击溯源、综合显示各种信息等功能，方便企业有效地监督网络流量和网络行为。

第一方面，本申请提供一种可视化网络安全系统，所述系统包括：

防火墙，用于接收外部网络的流量数据包，根据数据包的五元组实施预先设置的防范策略，将过滤后的数据包传递给访问分析模块和行为画像模块；

访问分析模块，用于接收防火墙传递过来的数据包，从服务器获取用户的历史访问数据，学习归纳出用户的访问关系模型，将所述数据包与访问关系模型进行匹配，判断用户访问是否异常，将判断结果传递给可视化模块；

行为画像模块，用于接收防火墙传递过来的数据包，提取所述数据包的网络信息，根据所述网络信息判断出用户的网络行为，将网络行为与用户标识一并传递给可视化模块；

溯源分析模块，用于采集各类网络设备的日志信息，从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从所述相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型，将攻击者关系模型传递给可视化模块；

流量控制模块，用于根据所述访问分析模块的判断结果、所述行为画像模块得出的网络行为，对用户的流量进行控制；

可视化模块，用于根据所述访问分析模块的判断结果、所述行为画像模块得出的网络行为和所述溯源分析模块得出的攻击者关系模型，综合显示，生成相互关联的报表和图形演示。

结合第一方面，在第一方面第一种可能的实现方式中，所述学习归纳出用户的访问关系模型，包括：

根据用户的访问流量，识别出流量包含的各种业务；

根据预先定义的各种业务对应的权重值、以及业务种类数量对应的系数，计算所述用户的访问关系值；

根据所述用户的访问关系值，确定所述用户所属的类型，进而得出所述类型对应的访问关系模型。

结合第一方面，在第一方面第二种可能的实现方式中，所述判断用户访问是否异常，包括：

判断所述用户是否偏离访问关系模型的基准；

如果判断为是，则认定所述特定对象访问异常；如果判断为否，则认定所述特定对象访问正常。

结合第一方面，在第一方面第三种可能的实现方式中，所述行为画像模块还包括采用滑动时间窗口引入实时采集的网络信息。

结合第一方面，在第一方面第四种可能的实现方式中，所述采用滑动时间窗口引入实时采集的网络信息，具体包括：

获取初始滑动时间窗口的网络信息；

利用特征和权值估计出滑动时间窗口的位置序列；

使用所述位置序列中的窗口时刻采集所述用户的访问流量；

从所述访问流量中获取携带的网络信息。

结合第一方面，在第一方面第五种可能的实现方式中，所述梳理出攻击事件的发生脉络和攻击路径之前，还包括：对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

本发明提供一种可视化网络安全系统，所述系统包括防火墙、访问分析模块、行为画像模块、溯源分析模块、流量控制模块、可视化模块，通过对用户流量的分析、网络行为的判断、攻击脉络和路径的分析，实现对用户流量、网络行为和攻击的综合控制，并将上述各种信息汇总、相互关联显示，有效地帮助企业更好地监督网络流量和网络行为。

附图说明

为了更清楚地说明本发明实施例中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，对于本领域普通技术人员而言，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明可视化网络安全系统的一个实施例的框架图。

具体实施方式

下面结合附图对本发明的优选实施例进行详细阐述，以使本发明的优点和特征能更易于被本领域技术人员理解，从而对本发明的保护范围做出更为清楚明确的界定。

图1为本发明提供的可视化网络安全系统的一个实施例的框架图，所述系统包括：

防火墙101，用于接收外部网络的流量数据包，根据数据包的五元组实施预先设置的防范策略，将过滤后的数据包传递给访问分析模块和行为画像模块；

访问分析模块102，用于接收防火墙传递过来的数据包，从服务器获取用户的历史访问数据，学习归纳出用户的访问关系模型，将所述数据包与访问关系模型进行匹配，判断用户访问是否异常，将判断结果传递给可视化模块；

行为画像模块103，用于接收防火墙传递过来的数据包，提取所述数据包的网络信息，根据所述网络信息判断出用户的网络行为，将网络行为与用户标识一并传递给可视化模块；

溯源分析模块104，用于采集各类网络设备的日志信息，从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从所述相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型，将攻击者关系模型传递给可视化模块；

流量控制模块105，用于根据所述访问分析模块的判断结果、所述行为画像模块得出的网络行为，对用户的流量进行控制；

可视化模块106，用于根据所述访问分析模块的判断结果、所述行为画像模块得出的网络行为和所述溯源分析模块得出的攻击者关系模型，综合显示，生成相互关联的报表和图形演示。

在一些优选实施例中，所述学习归纳出用户的访问关系模型，包括：

根据用户的访问流量，识别出流量包含的各种业务；

根据预先定义的各种业务对应的权重值、以及业务种类数量对应的系数，计算所述用户的访问关系值；

根据所述用户的访问关系值，确定所述用户所属的类型，进而得出所述类型对应的访问关系模型。

计算所述特定对象的访问关系值可以采用如下公式：

Value＝(Service1*Weight1+Service2*Weight2+……+Servicen*Weightn)*Coeff

其中，Value为某一特定对象的访问关系值，Servicen为某一种业务，Weightn为权重值，Coeff为某一特定对象业务种类数量对应的系数。

对于业务多样、流量变化比较大的所述访问关系模型，采用实时采集访问流量的方式；对于业务单一、流量相对固定的所述访问关系模型，采用固定周期采集访问流量的方式。

在一些优选实施例中，所述判断用户访问是否异常，包括：

判断所述用户是否偏离访问关系模型的基准；

如果判断为是，则认定所述特定对象访问异常；如果判断为否，则认定所述特定对象访问正常。

所述判断所述特定对象是否偏离访问关系模型的基准，具体包括：

根据访问关系模型确定用户访问关系的平均值；

根据所述特定对象的实时访问数据计算实时访问关系值；

计算所述特定对象的实时访问关系值与所述平均值的差值，判断所述差值是否大于预先定义的阈值；

如果判断为是，则认定所述特定对象访问异常；如果判断为否，则认定所述特定对象访问正常。

在一些优选实施例中，所述行为画像模块还包括采用滑动时间窗口引入实时采集的网络信息。

在一些优选实施例中，所述采用滑动时间窗口引入实时采集的网络信息，具体包括：

获取初始滑动时间窗口的网络信息；

利用特征和权值估计出滑动时间窗口的位置序列；

使用所述位置序列中的窗口时刻采集所述用户的访问流量；

从所述访问流量中获取携带的网络信息。

在一些优选实施例中，所述梳理出攻击事件的发生脉络和攻击路径之前，还包括：对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。

具体实现中，本发明还提供一种计算机存储介质，其中，该计算机存储介质可以存储有程序，该程序执行时可包括本发明提供的用户访问合规性分析的方法的各实施例中的部分或全部步骤。所述的存储介质可以为磁碟、光盘、只读存储记忆体(简称：ROM)或随机存储记忆体(简称：RAM)等。

本领域的技术人员可以清楚地了解到本发明实施例中的技术可借助软件加必需的通用硬件平台的方式来实现。基于这样的理解，本发明实施例中的技术方案本质上或者对现有技术做出贡献的部分可以以软件产品的形式体现出来，该计算机软件产品可以存储在存储介质中，如ROM/RAM、磁碟、光盘等，包括若干指令用以使得一台计算机设备(可以是个人计算机、服务器、或者网络设备等)执行本发明各个实施例或者实施例的某些部分所述的方法。

本说明书各个实施例之间相同相似的部分互相参见即可。尤其，对于实施例而言，由于其基本相似于方法实施例，所以描述的比较简单，相关之处参见方法实施例中的说明即可。

以上所述的本发明实施方式并不构成对本发明保护范围的限定。

Claims (6)

1.一种可视化网络安全系统，所述系统包括：

防火墙，用于接收外部网络的流量数据包，根据数据包的五元组实施预先设置的防范策略，将过滤后的数据包传递给访问分析模块和行为画像模块；

访问分析模块，用于接收防火墙传递过来的数据包，从服务器获取用户的历史访问数据，学习归纳出用户的访问关系模型，将所述数据包与访问关系模型进行匹配，判断用户访问是否异常，将判断结果传递给可视化模块；

行为画像模块，用于接收防火墙传递过来的数据包，提取所述数据包的网络信息，根据所述网络信息判断出用户的网络行为，将网络行为与用户标识一并传递给可视化模块；

溯源分析模块，用于采集各类网络设备的日志信息，从时间、空间多重维度进行深度关联分析和数据挖掘，梳理出攻击事件的发生脉络和攻击路径，获取攻击者的相关信息和行为，从所述相关信息和行为中提取出特征属性，基于所述特征属性，建立攻击者关系模型，将攻击者关系模型传递给可视化模块；

流量控制模块，用于根据所述访问分析模块的判断结果、所述行为画像模块得出的网络行为，对用户的流量进行控制；

可视化模块，用于根据所述访问分析模块的判断结果、所述行为画像模块得出的网络行为和所述溯源分析模块得出的攻击者关系模型，综合显示，生成相互关联的报表和图形演示。

2.根据权利要求1所述的系统，所述学习归纳出用户的访问关系模型，包括：

根据用户的访问流量，识别出流量包含的各种业务；

根据预先定义的各种业务对应的权重值、以及业务种类数量对应的系数，计算所述用户的访问关系值；

根据所述用户的访问关系值，确定所述用户所属的类型，进而得出所述类型对应的访问关系模型。

3.根据权利要求1所述的系统，所述判断用户访问是否异常，包括：

判断所述用户是否偏离访问关系模型的基准；

如果判断为是，则认定所述特定对象访问异常；如果判断为否，则认定所述特定对象访问正常。

4.根据权利要求1所述的系统，所述行为画像模块还包括采用滑动时间窗口引入实时采集的网络信息。

5.根据权利要求4所述的系统，所述采用滑动时间窗口引入实时采集的网络信息，具体包括：

获取初始滑动时间窗口的网络信息；

利用特征和权值估计出滑动时间窗口的位置序列；

使用所述位置序列中的窗口时刻采集所述用户的访问流量；

从所述访问流量中获取携带的网络信息。

6.根据权利要求1所述的系统，所述梳理出攻击事件的发生脉络和攻击路径之前，还包括：对采集的所述日志信息从时间、空间多重维度进行深度关联分析和数据挖掘，建立规则库；

将疑似攻击的溯源信息与规则库中的信息进行对比，通过传播查询和追溯查询构建溯源图，根据所述溯源图获取攻击事件的发生脉络和攻击路径。