CN110149303A - 一种党校的网络安全预警方法及预警系统 - Google Patents

Abstract

本发明涉及一种党校的网络安全预警方法及预警系统，属于网络安全技术领域。该党校的网络安全预警系统包括一级预警平台和二级预警平台，一级预警平台的数量为多个，多个一级预警平台分别与二级预警平台互联。本发明提供的党校的网络安全预警方法及预警系统，可以积极主动的对网络数据进行预警、防御，可以及时预知主体受攻击的可能性和产生的后果，在主体受攻击开始前或攻击开始的初级阶段提醒使用者注意，以便于及时作出安全应对的策略，作为被动防御的一种补充，可以有效提高网络安全防御能力。

Description

一种党校的网络安全预警方法及预警系统

技术领域

本发明属于网络安全技术领域，具体涉及一种党校的网络安全预警方法及预警系统。

背景技术

当代信息技术的发展推动了数据的产生、收集、传输、共享与分析，使得科学与工程研究日益成为数据密集型的工作。人类社会的信息化程度越来越高，互联网用户数量正在成几何级数增长，用户中具备一定网络技术水平的群体正在快速形成和崛起，伴随着网络流量的日益增加，网络违法、突发事件层出不穷，给国家安全、社会稳定、人民利益造成重大危害。滥用互联网的现象越来越多，给互联网造成的破坏和损失使人触目惊心。因此，整个社会对网络信息的依赖程度也越来越高，互联网安全问题已经显得越来越突出，从而网络安全的重要性也越来越高。因此，对网络安全进行监控预警，对于及时处理网络违法、突发事件，国家社会稳定，以及保障人民利益具有十分重要的作用。

为保证网络的有效安全性，入侵防御系统应运而生。目前，市面上存在大量安全防护程序，比如病毒查杀程序、木马查杀程序、邮件扫描程序等等，然而传统的信息安全防护体系-防火墙技术和入侵检测技术等，属于被动防御，存在一定的安全隐患。

发明内容

鉴于此，本发明实施例的目的在于提供一种党校的网络安全预警方法，积极主动的进行预警、防御，可以及时预知主体受攻击的可能性和产生的后果，在主体受攻击开始前或攻击开始的初级阶段提醒使用者注意，以便于及时作出安全应对的策略，作为被动防御的一种补充，可以有效提高网络安全防御能力。

本发明实施例的目的还在于提供一种党校的网络安全预警系统，可以将党校的网络安全预警方法具象化。

本发明的实施例是这样实现的：

本发明实施例提供了一种党校的网络安全预警方法，其特征在于，具体步骤包括：

S1，一级预警平台接收获取来自数据输入端的网络数据，并将数据打包成目标数据；

S2，实时监测数据输入端的数据流，捕获出现流量异常的目标数据，并标记为异常数据，对异常数据解析编码并拆分成编码段，将各个编码段进行标记；

S3，通过将被标记的编码段与第一数据库内的异常规则特征进行对比，对异常数据进行分类，若异常数据符合已知的攻击类型，则直接进行响应，若异常数据不符合已知的攻击类型，则将异常数据作为预警数据传输至二级预警平台；

S4，二级预警平台对预警数据进行数据挖掘，计算数据的频繁模式，为连接记录添加附件特征；

S5，根据相似度函数对挖掘出的规则与第二数据库的正常规则进行相似度比较，若二者之间的相似度大于预设阈值，则判定当前的行为正常并更新第二数据库，若二者之间的相似度小于预设阈值，则判定当前的行为不正常并上报；

S6，对上报的目标数据进行归并，并建立报警信息关系对应表；

S7，对目标数据进行融合，并对融合后的目标数据进行安全等级评估；

S8，根据报警信息关系对应表，将安全策略发送至对应的响应模块。

作为上述实施例的可选方案，在步骤S7中，使用选择器根据目标数据的安全等级进行选择性报警，当目标数据的安全等级超过预设阈值时，选择器将信号发送至报警单元，由报警单元进行报警。

作为上述实施例的可选方案，所述报警单元包括蜂鸣器和闪烁灯。

作为上述实施例的可选方案，在步骤S8后，将目标数据的规则和安全策略更新至第一数据库。

本发明实施例还提供了一种党校的网络安全预警系统，所述网络安全预警系统包括：

多个一级预警平台，用于接收获取来自数据输入端的网络数据，并对网络数据进行分类；

二级预警平台，用于对所述一级预警平台传输的预警信息进行分析，并向所述一级预警平台提供安全策略；

所述多个一级预警平台分别与所述二级预警平台互联。

作为上述实施例的可选方案，所述一级预警平台包括：

数据采集模块，用于接收获取来自数据输入端的网络数据，并将数据打包成目标数据；

数据流监测模块，用于实时监测数据输入端的数据流，捕获出现流量异常的目标数据，并标记为异常数据，对异常数据解析编码并拆分成编码段，将各个编码段进行标记；

攻击分类模块，用于通过将被标记的编码段与第一数据库内的异常规则特征进行对比，对异常数据进行分类，若异常数据符合已知的攻击类型，则由响应模块直接进行响应，若异常数据不符合已知的攻击类型，则将异常数据作为预警数据传输至二级预警平台；

第一数据库，用于存储异常规则特征；

响应模块，用于对异常数据进行响应。

作为上述实施例的可选方案所述数据采集模块包括数据获取单元、数据解析单元、数据编码单元、数据标记单元、数据打包单元和数据输出单元，所述数据输入端与数据获取单元输入端连接，所述数据获取单元的输出端与数据解析单元连接，所述数据解析单元与数据编码单元连接，所述数据编码单元与数据标记单元连接，所述数据标记单元与数据打包单元连接，所述数据打包单元与数据输出单元连接，所述数据输出单元的输出端与所述数据流监测模块连接。

作为上述实施例的可选方案所述二级预警平台包括：

数据挖掘模块，用于对预警数据进行数据挖掘，计算数据的频繁模式；

筛分模块，用于对连接记录添加附件特征；

第二数据库，用于存储正常规则特征；

异常检测模块，用于根据相似度函数对挖掘出的规则与第二数据库的正常规则进行相似度比较，若二者之间的相似度大于预设阈值，则判定当前的行为正常并更新第二数据库，若二者之间的相似度小于预设阈值，则判定当前的行为不正常并上报；

归并模块，用于对上报的目标数据进行归并，并建立报警信息关系对应表；

数据融合模块，用于对目标数据进行融合；

安全等级评估模块，用于对融合后的目标数据进行安全等级评估。

本发明的有益效果是：本发明提供的党校的网络安全预警方法及预警系统，积极主动的进行预警、防御，可以及时预知主体受攻击的可能性和产生的后果，在主体受攻击开始前或攻击开始的初级阶段提醒使用者注意，以便于及时作出安全应对的策略，作为被动防御的一种补充，可以有效提高网络安全防御能力。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。通过附图所示，本发明的上述及其它目的、特征和优势将更加清晰。在全部附图中相同的附图标记指示相同的部分。并未刻意按实际尺寸等比例缩放绘制附图，重点在于示出本发明的主旨。

图1示出了本发明实施例提供的一种党校的网络安全预警系统的结构示意图；

图2示出了数据采集模块的结构示意图；

图3示出了党校的网络安全预警方法的示意图；

图4示出了党校的网络安全预警方法的流程图。

具体实施方式

为使本发明实施例的目的、技术方案和优点更加清楚，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例是本发明一部分实施例，而不是全部的实施例。通常在此处附图中描述和示出的本发明实施例的组件可以以各种不同的配置来布置和设计。

因此，以下对在附图中提供的本发明的实施例的详细描述并非旨在限制要求保护的本发明的范围，而是仅仅表示本发明的选定实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

应注意到：相似的标号和字母在下面的附图中表示类似项，因此，一旦某一项在一个附图中被定义，则在随后的附图中不需要对其进行进一步定义和解释。

此外，术语“第一”、“第二”等仅用于区分描述，而不能理解为指示或暗示相对重要性。

请参照图1所示，本发明的实施例提供了一种党校的网络安全预警系统，该系统主要用于对网络信息进行预警。

党校的网络安全预警系统包括一级预警平台和二级预警平台，一级预警平台的数量为多个，多个一级预警平台分别与二级预警平台互联。

一级预警平台用于接收获取来自数据输入端的网络数据，并对网络数据进行分类。

一级预警平台属于区域性平台，用于对该区域内的网络数据进行获取、预处理及分析。

二级预警平台用于对一级预警平台传输的预警信息进行分析，并向一级预警平台提供安全策略。简而言之，二级预警平台可以就一级预警平台无法判断的可疑数据进行分析并制定安全策略，然后将安全策略发送至一级预警平台，由一级预警平台根据指示进行处理。

通常情况下，网络攻击是在一些区域内进行，一级预警平台和二级预警平台独立设置，可以有效减少网络数据汇总处理所带来的网络开销，使各个一级预警平台的数据检测效率达到平衡，有效改善网络数据预警的实时性和并行性。

具体的，一级预警平台包括数据采集模块、数据流监测模块、攻击分类模块、第一数据库和响应模块。

数据采集模块，基于远程数据采集模块平台的通信模块，它将通信芯片、存储芯片等集成在一块电路板上，使其具有发送通过远程数据采集模块平台收发短消息、语音通话、数据传输等功能。

数据采集模块用于接收获取来自数据输入端的网络数据，并将数据打包成目标数据。

数据采集模块是基于网络嗅探原理，在以太王忠进行数据的捕获，用户可以根据需要，选择网络接口响应向所有计算机广播的数据帧或只响应与其硬件地址匹配的数据帧。

在本实施例中，选择winpcap库作为网络数据包，从而实现网络数据包的数据采集工作。

winpcap(windows packet capture)是windows平台下一个免费，公共的网络访问系统。开发winpcap这个项目的目的在于为win32应用程序提供访问网络底层的能力。它提供了以下的各项功能：1. 捕获原始数据包，包括在共享网络上各主机发送/接收的以及相互之间交换的数据包；2.在数据包发往应用程序之前，按照自定义的规则将某些特殊的数据包过滤掉；3.在网络上发送原始的数据包；4.收集网络通信过程中的统计信息。

数据采集模块会对网络数据进行预处理，具体的，将一个条连接记录包含的数据包进行梳理、整合，从而形成一条完整的连接记录，然后将二进制格式的数据进行格式转化，转化的格式可以为ASCII，形成目标数据，将目标数据按照时间的先后顺序进行存放分组，从目标数据中选取一些特殊属性，然后经过连接和选取了具有特殊属性的目标数据放入知识库。

在本实施例中，请参照图2所示，数据采集模块包括数据获取单元、数据解析单元、数据编码单元、数据标记单元、数据打包单元和数据输出单元，数据输入端与数据获取单元输入端连接，数据获取单元的输出端与数据解析单元连接，数据解析单元与数据编码单元连接，数据编码单元与数据标记单元连接，数据标记单元与数据打包单元连接，数据打包单元与数据输出单元连接，数据输出单元的输出端与数据流监测模块连接。

数据流监测模块，用于实时监测数据输入端的数据流，捕获出现流量异常的目标数据，并标记为异常数据，对异常数据解析编码并拆分成编码段，将各个编码段进行标记。

数据流是指一组有序，有起点和终点的字节的数据序列，包括输入流和输出流。输入流是指程序从输入流读取数据源，输出流是指程序向输出流写入数据。

由于网络攻击的初始阶段会使数据流发生一定的变化，因此通过对数据流进行监控，可以发现网络攻击的苗头，及时进行检测预警。

第一数据库，用于存储异常规则特征。

第一数据库的中异常规则特征是已经被研究分析过、现有的规则特点，可以为攻击分类模块提供参考。

攻击分类模块，用于通过将被标记的编码段与第一数据库内的异常规则特征进行对比，对异常数据进行分类。

若异常数据符合已知的攻击类型，则由响应模块直接进行响应，若异常数据不符合已知的攻击类型，则将异常数据作为预警数据传输至二级预警平台。

在这个过程中，攻击分类模块可以对异常数据进行筛分，可以减小二级预警平台的工作量，加快攻击响应速度。

响应模块，用于对异常数据进行响应，主要功能是对入侵行为作出适当的反应并进行预警，然后将网络数据记入日志文件，为管理员日后的整理和分析提供参考。

响应模块可以分为主动响应和被动响应，主动响应主要有断开连接、修正系统和更新信息等措施，被动响应是将信息反馈至管理者，由管理者决定如何采取应对措施。

二级预警平台包括数据挖掘模块、异常检测模块、归并模块、数据融合模块和安全等级评估模块。

数据挖掘模块，用于对预警数据进行数据挖掘，计算数据的频繁模式。

数据挖掘（英语：Data mining），又译为资料探勘、数据采矿。是一种透过数理模式来分析企业内储存的大量资料，以找出不同的客户或市场划分，分析出消费者喜好和行为的方法。它是数据库知识发现（英语：Knowledge-Discovery in Databases，简称：KDD）中的一个步骤。数据挖掘一般是指从大量的数据中自动搜索隐藏于其中的有着特殊关系性（属于Association rule learning）的信息的过程。主要有数据准备、规律寻找和规律表示3个步骤。数据挖掘的任务有关联分析、聚类分析、分类分析、异常分析、特异群组分析和演变分析等。数据挖掘通常与计算机科学有关，并通过统计、在线分析处理、情报检索、机器学习、专家系统（依靠过去的经验法则）和模式识别等诸多方法来实现上述目标。

频繁模式是数据集中频繁出现的项集、序列或子结构，频繁模式挖掘是关联规则、相关分析、因果分析的基础，对分类、聚类也有很大帮助。

筛分模块，用于对连接记录添加附件特征。

添加的附件特征，可以为主机统计特征、时间统计特征等。

第二数据库，用于存储正常规则特征。

第二数据库包含了系统或用户正常行为模式的规则，这些规则是从系统以及过去的网络行为中总结出来的特征，第二数据库需要不断的更新。

异常检测模块，用于根据相似度函数对挖掘出的规则与第二数据库的正常规则进行相似度比较，若二者之间的相似度大于预设阈值，则判定当前的行为正常并更新第二数据库，若二者之间的相似度小于预设阈值，则判定当前的行为不正常并上报。

异常检测模块是对添加附件特征后的异常数据进行异常检测，以判断当前的行为是正常行为还是攻击入侵行为，若特征与以往的正常特征相似度较大，则可以认定当前行为为正常行为并将这些特征更新至第二数据库，若特征与以往的正常特征相似度较小，则将其认定为攻击入侵行为并做进一步的处理。这种方式，可以有效辨别未在第二数据库内存储的正常行为特征，避免将正常行为进行异常处理的情况发生，大大提高异常数据的处理效率。

归并模块，用于对上报的目标数据进行归并，并建立报警信息关系对应表。

归并模块可以将报警信息进行初步处理，可以使具有明显异常特征且具有很高响应优先级的报警及时得到响应。

数据融合模块，用于对目标数据进行融合。

数据融合模块可以对报警信息进一步处理，数据融合技术是信息科学领域内的一项技术，该技术是新一代智能信息技术的重要基础。该技术利用计算机对按时序获得的若干观测信息，在一定准则下加以自动分析、综合，以完成所需的决策和评估任务而进行的信息处理技术。

安全等级评估模块，用于对融合后的目标数据进行安全等级评估。

安全等级评估模块，可以将一段时间内以及不同区域内产生的网络入侵攻击行为进行整合，结合一级预警平台的控制策略及防护能力，计算出该王若入侵攻击行为对整个网络的影响，以便于二级预警平台可以选择性的对部分区域或全部区域进行安全预警，并提供相应的安全策略。

对应的，请参照图3、图4所示，本发明实施例还提供了一种党校的网络安全预警方法，具体步骤如下：

S1，一级预警平台接收获取来自数据输入端的网络数据，并将数据打包成目标数据。

S2，实时监测数据输入端的数据流，捕获出现流量异常的目标数据，并标记为异常数据，对异常数据解析编码并拆分成编码段，将各个编码段进行标记。

S3，通过将被标记的编码段与第一数据库内的异常规则特征进行对比，对异常数据进行分类，若异常数据符合已知的攻击类型，则直接进行响应，若异常数据不符合已知的攻击类型，则将异常数据作为预警数据传输至二级预警平台。

S4，二级预警平台对预警数据进行数据挖掘，计算数据的频繁模式，为连接记录添加附件特征。

S5，根据相似度函数对挖掘出的规则与第二数据库的正常规则进行相似度比较，若二者之间的相似度大于预设阈值，则判定当前的行为正常并更新第二数据库，若二者之间的相似度小于预设阈值，则判定当前的行为不正常并上报。

S6，对上报的目标数据进行归并，并建立报警信息关系对应表。

S7，对目标数据进行融合，并对融合后的目标数据进行安全等级评估。在这个步骤中，可以使用选择器根据目标数据的安全等级进行选择性报警，当目标数据的安全等级超过预设阈值时，选择器将信号发送至报警单元，由报警单元进行报警。

S8，根据报警信息关系对应表，将安全策略发送至对应的响应模块。

以上所述仅为本发明的优选实施例而已，并不用于限制本发明，对于本领域的技术人员来说，本发明可以有各种更改和变化。凡在本发明的精神和原则之内，所作的任何修改、等同替换、改进等，均应包含在本发明的保护范围之内。

Claims (8)

1.一种党校的网络安全预警方法，其特征在于，具体步骤包括：

S1，一级预警平台接收获取来自数据输入端的网络数据，并将数据打包成目标数据；

S2，实时监测数据输入端的数据流，捕获出现流量异常的目标数据，并标记为异常数据，对异常数据解析编码并拆分成编码段，将各个编码段进行标记；

S3，通过将被标记的编码段与第一数据库内的异常规则特征进行对比，对异常数据进行分类，若异常数据符合已知的攻击类型，则直接进行响应，若异常数据不符合已知的攻击类型，则将异常数据作为预警数据传输至二级预警平台；

S4，二级预警平台对预警数据进行数据挖掘，计算数据的频繁模式，为连接记录添加附件特征；

S5，根据相似度函数对挖掘出的规则与第二数据库的正常规则进行相似度比较，若二者之间的相似度大于预设阈值，则判定当前的行为正常并更新第二数据库，若二者之间的相似度小于预设阈值，则判定当前的行为不正常并上报；

S6，对上报的目标数据进行归并，并建立报警信息关系对应表；

S7，对目标数据进行融合，并对融合后的目标数据进行安全等级评估；

S8，根据报警信息关系对应表，将安全策略发送至对应的响应模块。

2.根据权利要求1所述的党校的网络安全预警方法，其特征在于，在步骤S7中，使用选择器根据目标数据的安全等级进行选择性报警，当目标数据的安全等级超过预设阈值时，选择器将信号发送至报警单元，由报警单元进行报警。

3.根据权利要求2所述的党校的网络安全预警方法，其特征在于，所述报警单元包括蜂鸣器和闪烁灯。

4.根据权利要求1所述的党校的网络安全预警方法，其特征在于，在步骤S8后，将目标数据的规则和安全策略更新至第一数据库。

5.一种党校的网络安全预警系统，其特征在于：所述网络安全预警系统包括：

多个一级预警平台，用于接收获取来自数据输入端的网络数据，并对网络数据进行分类；

二级预警平台，用于对所述一级预警平台传输的预警信息进行分析，并向所述一级预警平台提供安全策略；

所述多个一级预警平台分别与所述二级预警平台互联。

6.根据权利要求5所述的党校的网络安全预警系统，其特征在于，所述一级预警平台包括：

数据采集模块，用于接收获取来自数据输入端的网络数据，并将数据打包成目标数据；

数据流监测模块，用于实时监测数据输入端的数据流，捕获出现流量异常的目标数据，并标记为异常数据，对异常数据解析编码并拆分成编码段，将各个编码段进行标记；

攻击分类模块，用于通过将被标记的编码段与第一数据库内的异常规则特征进行对比，对异常数据进行分类，若异常数据符合已知的攻击类型，则由响应模块直接进行响应，若异常数据不符合已知的攻击类型，则将异常数据作为预警数据传输至二级预警平台；

第一数据库，用于存储异常规则特征；

响应模块，用于对异常数据进行响应。

7.根据权利要求6所述的党校的网络安全预警系统，其特征在于：所述数据采集模块包括数据获取单元、数据解析单元、数据编码单元、数据标记单元、数据打包单元和数据输出单元，所述数据输入端与数据获取单元输入端连接，所述数据获取单元的输出端与数据解析单元连接，所述数据解析单元与数据编码单元连接，所述数据编码单元与数据标记单元连接，所述数据标记单元与数据打包单元连接，所述数据打包单元与数据输出单元连接，所述数据输出单元的输出端与所述数据流监测模块连接。

8.根据权利要求5所述的党校的网络安全预警系统，其特征在于，所述二级预警平台包括：

数据挖掘模块，用于对预警数据进行数据挖掘，计算数据的频繁模式；

筛分模块，用于对连接记录添加附件特征；

第二数据库，用于存储正常规则特征；

异常检测模块，用于根据相似度函数对挖掘出的规则与第二数据库的正常规则进行相似度比较，若二者之间的相似度大于预设阈值，则判定当前的行为正常并更新第二数据库，若二者之间的相似度小于预设阈值，则判定当前的行为不正常并上报；

归并模块，用于对上报的目标数据进行归并，并建立报警信息关系对应表；

数据融合模块，用于对目标数据进行融合；

安全等级评估模块，用于对融合后的目标数据进行安全等级评估。