CN110855506A - 安全态势监测方法及系统 - Google Patents

Abstract

本发明公开了一种安全态势监测方法及系统，通过采集网络监测信息，根据触发指令确定所述网络监测信息的目标展示模板；根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式；将所述网络监测信息按照所述目标数据转换方式转成与所述目标展示模板相匹配的展示数据；在所述目标展示模板上展示所述展示数据，得到展示界面，使得用户通过所述展示界面获得当前网络的状态的安全态势信息和攻击源头信息。从而实现了将整个网络环境的安全态势信息通过对应的展示模板进行展示，解决现有技术中网络空间中面临安全态势把握难、源头定位难的技术问题。

Description

安全态势监测方法及系统

技术领域

本发明涉及网络安全技术领域，特别是涉及一种安全态势监测方法及系统。

背景技术

伴随着互联网的普及，在网络空间也面临着安全问题和很大的管理问题，因此对网络用户行为进行审计与责任认定管理非常重要。

现有的网络安全态势感知装置及系统的网络数据采集装置位置的数据采集点分布十分广泛，系统结构复杂，数据采集非常繁琐，给用户带来了很大的不便。

并且在网络安全态势感知装置监测审计过程中一般以单一的、离散的、非系统额线索为主，缺乏面向系统的监测能力，而呈现给用户的结果多数为海量的内容日志，在网络空间中面临安全态势把握难、源头定位难的问题。

发明内容

针对于上述问题，本发明提供一种安全态势监测系统及方法，解决现有技术中网络空间中面临安全态势把握难、源头定位难的技术问题。

为了实现上述目的，本发明提供了如下技术方案：

一种安全态势监测方法，该方法包括：

采集网络监测信息，所述网络监测信息表征当前网络态势信息，且所述网络监测信息包括网络资产信息、业务系统信息、网络配置信息、威胁漏洞信息和流量告警信息；

根据触发指令确定所述网络监测信息的目标展示模板；

根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式，所述展示模板包括所述目标展示模板，所述目标展示模板为内网监测展示模板、外网监测展示模板、设备运行监测模板或者安全管控监测模板中的一种，其中，所述内网监测展示模板用于展示业务系统遭受系统内单位攻击情况信息，所述外网监测展示模块用于展示业务系统遭受外网攻击情况信息，所述设备运行监测模块用于展示目标业务域的安全态势、防护设备的运行状态信息以及实施动态展示边界流量信息，所述安全管控监测模板用于对全生命周期管控和安全设备合规性运行的检查信息进行展示；

将所述网络监测信息按照所述目标数据转换方式转成与所述目标展示模板相匹配的展示数据；

在所述目标展示模板上展示所述展示数据，得到展示界面，使得用户通过所述展示界面获得当前网络的状态信息。

可选地，所述采集网络监测信息，包括：

采集基础数据信息，所述基础数据信息表征通过监测设备采集到的网络基础数据；

对所述基础数据进行预处理，并对预处理后的数据进行信息提取，得到网络监测信息，所述预处理包括数据标准化处理、归一化处理和降噪处理。

可选地，该方法还包括：

根据所述目标展示模板的数据展示区域，对所述网络监测信息进行分类提取，得到分类后的监测数据。

可选地，所述根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式，包括：

根据所述目标展示模板的数据展示区域与监测数据格式转换方式之间的对应关系，确定与分类后的监测数据的目标数据转换方式，所述目标数据转换方式包括数据颜色转换格式、数据响应转换格式和数据变化转换格式。

可选地，所述目标展示模板为外网监测展示模板，其中，所述外网监测展示模板包括背景区域、攻击数据展示区域、数据库展示区域、基础信息展示区域和排名数据展示区域；

所述背景区域用于展示背景图像，所述背景图像表征地域地图图像；

所述攻击数据展示区域用于展示业务系统受攻击的次数信息；

所述数据库展示区域用于展示针对安全情报数据库的信息；

所述基础信息展示区域用于展示时间信息和目标人员信息；

所述排名数据展示区域用于展示业务系统受攻击的攻击信息来源的排名信息。

可选地，所述目标展示模板为内网监测展示模板，其中，所述内网监测展示模板包括攻击信息展示区域、历史信息展示区域、更新数据展示区域和全局信息展示区域；

所述攻击信息展示区域用于对业务系统的攻击情况信息进行展示；

所述历史信息展示区域用于对业务系统的历史攻击信息进行展示；

所述更新数据展示区域用于对业务系统的更新数据进行展示；

所述全局信息展示区域用于对业务系统的全局信息进行展示。

可选地，所述目标展示模板为设备运行监测模板，所述设备运行监测模板包括设备展示区域和设备信息展示区域；

所述设备展示区域用于展示当前用于的安全设备信息；

所述设备信息展示区域用于展示所述安全设备的关联信息，所述关联信息包括故障设备数量信息、流量信息、设备运行信息和设备受攻击信息。

可选地，所述目标展示模板为安全管控监测模板，所述安全管控监测模板用于对业务系统的全生命周期的漏洞信息、风险信息、时间信息和统计信息进行展示，并用于对安全设备合规性运行的检查信息进行展示。

可选地，该方法还包括：

接收录入信息，对所述录入信息进行更新和管理，所述录入信息包括目标人员信息、业务系统工作信息和安全设备攻击统计信息。

可选地，该方法还包括：

获取与业务系统相匹配的邮件的监测信息；

对所述监测信息进行统计获得邮件登录信息，并对所述邮件登录信息进行统计，对统计后的信息进行展示；

判断所述监测信息是否满足预警信息的处理条件，如果是，则根据所述监测信息生成告警事件。

可选地，该方法还包括：

根据所述网络监测信息生成日志信息，使得用户可以通过所述日志数据获得监测网站的运行情况信息。

一种安全态势监测系统，所述安全态势监测系统用于执行如上任意一项所述的安全态势监测方法，其中，所述安全态势监测系统包括：

路由器、交换机、Web应用防火墙、入侵防御系统、入侵检测系统、防火墙、展示器和警示器，其中，所述路由器与多个客户端连接，所述交换机分别与所述路由器、Web应用防火墙、入侵防御系统、入侵检测系统连接，所述Web应用防火墙与所述警示器连接，所述入侵防御系统通过所述防火墙与所述展示器连接，所述入侵检测系统通过所述防火墙与所述展示器连接；

所述入侵防御系统，包括：数据采集器、数据存储器、安全数据库、结果比较器，其中，所述数据采集器与所述入侵防御系统的入口、数据存储器连接，所述结果比较器分别与数据存储器、安全数据库连接。

相较于现有技术，本发明提供了一种安全态势监测方法及系统，通过采集网络监测信息，根据触发指令确定所述网络监测信息的目标展示模板；根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式；将所述网络监测信息按照所述目标数据转换方式转成与所述目标展示模板相匹配的展示数据；在所述目标展示模板上展示所述展示数据，得到展示界面，使得用户通过所述展示界面获得当前网络的状态的安全态势信息和攻击源头信息。从而实现了将整个网络环境的安全态势信息通过对应的展示模板进行展示，解决现有技术中网络空间中面临安全态势把握难、源头定位难的技术问题。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据提供的附图获得其他的附图。

图1为本发明实施例提供的一种安全态势监测方法的流程示意图；

图2为本发明实施例提供的一种安全态势监测系统的结构示意图。

具体实施方式

下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

本发明的说明书和权利要求书及上述附图中的术语“第一”和“第二”等是用于区别不同的对象，而不是用于描述特定的顺序。此外术语“包括”和“具有”以及他们任何变形，意图在于覆盖不排他的包含。例如包含了一系列步骤或单元的过程、方法、系统、产品或设备没有设定于已列出的步骤或单元，而是可包括没有列出的步骤或单元。

在本发明实施例中提供了一种安全态势监测方法，参见图1，该方法可以包括以下步骤：

S101、采集网络监测信息。

所述网络监测信息表征当前网络态势信息，且所述网络监测信息包括网络资产信息、业务系统信息、网络配置信息、威胁漏洞信息和流量告警信息。

对应的在采集网络监测信息时需要对网络基础数据进行相关的处理和分析，该过程可以包括：

采集基础数据信息，所述基础数据信息表征通过监测设备采集到的网络基础数据；

对所述基础数据进行预处理，并对预处理后的数据进行信息提取，得到网络监测信息，所述预处理包括数据标准化处理、归一化处理和降噪处理。

具体的，可以通过采集多套安全防护设备的基础信息数据，并进行识别和分类。如，通过网站模拟登陆单元、网站智能爬取单元、MYSQL、Oracle等数据库数据采集单元，对提供API的设备远程调取分析模块。同时需要对采集到的数据进行深度加工，使得加工后的数据满足监测数据要求，该过程包括对数据的标准化、归一化处理，合并降噪，并结合大数据引擎，进行数据的关联匹配和智能分析。

S102、根据触发指令确定所述网络监测信息的目标展示模板。

其中，在本申请实施例中触发指令是指用户选择的待展示模板或者选定的展示信息生成的，例如，用户选择对外网监测信息进行展示的指令。目标展示模板来源于与存储的展示模板中的一个或多个。目标展示模板可以确定待展示的监测数据的展示格式和展示状态。

S103、根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式。

所述展示模板包括所述目标展示模板，所述目标展示模板为内网监测展示模板、外网监测展示模板、设备运行监测模板或者安全管控监测模板中的一种，其中，所述内网监测展示模板用于展示业务系统遭受系统内单位攻击情况信息，所述外网监测展示模块用于展示业务系统遭受外网攻击情况信息，所述设备运行监测模块用于展示目标业务域的安全态势、防护设备的运行状态信息以及实施动态展示边界流量信息，所述安全管控监测模板用于对全生命周期管控和安全设备合规性运行的检查信息进行展示。

对应的，该方法还包括：

根据所述目标展示模板的数据展示区域，对所述网络监测信息进行分类提取，得到分类后的监测数据。

其中，所述根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式，包括：

根据所述目标展示模板的数据展示区域与监测数据格式转换方式之间的对应关系，确定与分类后的监测数据的目标数据转换方式，所述目标数据转换方式包括数据颜色转换格式、数据响应转换格式和数据变化转换格式。

具体的，目标数据转换方式确定了监测数据的转换方式，如监测数据在不同时期、或者不同状态下对应的显示颜色、显示状态等。

S104、将所述网络监测信息按照所述目标数据转换方式转成与所述目标展示模板相匹配的展示数据；

S105、在所述目标展示模板上展示所述展示数据，得到展示界面，使得用户通过所述展示界面获得当前网络的状态信息。

下面具体的对本发明实施例中的展示模板进行说明。

第一方面，目标展示模板为外网监测展示模板，其中，所述外网监测展示模板包括背景区域、攻击数据展示区域、数据库展示区域、基础信息展示区域和排名数据展示区域；所述背景区域用于展示背景图像，所述背景图像表征地域地图图像；所述攻击数据展示区域用于展示业务系统受攻击的次数信息；所述数据库展示区域用于展示针对安全情报数据库的信息；所述基础信息展示区域用于展示时间信息和目标人员信息；所述排名数据展示区域用于展示业务系统受攻击的攻击信息来源的排名信息。

举例说明，若该外网监测展示模板生成的展示界面用于展示A城市数据中心M套业务系统遭受国内外攻击情况信息。

界面中心整体以世界地图为背景，将A城市所在国家的地图版块放大进行突出显示，A城市数据中心20套重要业务系统在太平洋上以半圆形依次排开，业务系统以水球形式展示，水球中水位高低展示出该业务系统受攻击次数多少，并在水球中标注受攻击次数，水球下方展示攻击事件的详细字段信息，数据来源于Web攻击溯源系统，通过对接设备普通模式的数据，对接大屏各业务系统进行可视化展示；界面左上方为安全情报库对应右侧上方为值班员以及日期时间等信息，数据来源微步在线威胁情报库，通过API接口实时查询IP地址信誉值，联动Web攻击溯源系统告警IP，将异常攻击IP进行告警展示；左右两侧中间位置各有一个攻击来源的国家排名以及受攻击的业务系统排名，通过API接口对接Web攻击溯源系统的目的地址受攻击IP统计，实时监测业务系统受攻击排名，并提供可视化展示；界面最下方为三排指示灯展示各网省公司以及直属单位的攻击频率、攻击成功、ISS的状态变化，通过数据库查询方式对接ISS设备，获取网站攻击数与威胁事件数，当网站攻击数超过10000，安全威胁数超过1000时触发开关量告警。

具体的，页面中心的地图以及业务系统形象生动的展示攻击源的位置以及目标系统，所有的攻击划分为未成功攻击以及成功攻击两部分。当业务系统遭受未成功攻击，则在攻击源和目标系统间划过绿色线条图示，受攻击业务系统水球颜色无变化，线条自动消失(每条线条从出现到消失时间为10s)；遭受成功攻击，则在攻击源和目标系统间划过红色线条图示，目标系统水球颜色变红，并始终在界面中停留，直至值班员对该次成功攻击事件处理后红色线条消失且水球红色状态变为正常(蓝色)。点击攻击线条出现攻击溯源以及处理选项，点击处理按钮，该按钮置灰且变为已处理。此外，当系统受到的攻击触发蜜罐时则地图上的攻击源处显示黑客形象标志并出现红色攻击线条连接到系统，鼠标移动到黑客标志处显示蜜罐告警的百度ID以及位置信息(点击蜜罐的攻击线条仅有处理按钮一个选项，点击该按钮，状态置灰变为已处理且线条消失)。

半圆弧下方默认展示的是全局分析，包括攻击源IP、资产IP/域名、国家、提交方式、攻击特征、威胁等级、详细参数、HTTP状态码等字段。鼠标点击地图中出现的线条选择攻击溯源选项时展示攻击溯源详情，包括溯源IP、攻击业务系统IP、攻击时间和攻击类型等字段，支持对攻击源的一键封禁。攻击数据每30秒从取一次，每20秒从数据库读取一次从中取到的数据进行效果展示。

在三地中间展示出防篡改(通过页面爬虫方式对接，每10秒取一次数据)、防DDOS(通过syslog接口对接，每5秒取一次数据)、APT(通过syslog接口对接，每10秒取一次数据)、NSSD(通过页面爬虫对接，每30秒取一次数据)统一数据保护四类安全防护类设备。防篡改设备主要监控网站防篡改等问题；防DDoS设备主要监控异常流量，监测发现业务系统域、路由器接口组及IP组流量告警；APT设备通过沙箱技术对http、邮件、ftp等传输文件进行事件信息、文件信息和文件动态检测，监测可疑的危害文件；NSSD主要检测公安部NSSD告警信息；统一数据保护设备主要监控敏感数据泄露。正常情况下，对应设备三角区域内灯为绿色；当对应系统出现告警行为，则对应设备三角区域内灯变红，点击指示灯时弹出弹框展示告警的具体字段信息并有伴有处理按钮，点击处理按钮，按钮状态置灰文字变为已处理，同时指示灯变回绿色。

界面左侧上方列举出来自CNCERT、公安部、总参、厂商等四家机构的安全情报库(每10秒取一次数据)，分别以四个方框进行展示，方框中以圆圈形式展示出当天攻击源IP与对应组织黑库中IP匹配个数，最大个数值均为500，当攻击源IP与对应组织黑库中IP匹配成功并正在攻击，则对应机构方框变红，点击变红的圆圈可弹出匹配成功的攻击源相关字段信息。对应的界面右侧上方展示当日值班员信息，分为白班、晚班，各三人包括一位主值两位值班员，值班信息在每个月末录入下个月的值班表。值班信息随系统刷新时间-每天0：00自动更新。

界面左侧中间可列举出当天攻击来源TOP10排名，界面右侧中间列举当前时段下受攻击系统TOP10排名，实时刷新、动态展示出攻击源攻击次数和业务系统受到攻击的次数排名变化。

界面下方展示出若干家系统内单位列表，列举攻击频率、攻击成功、ISS(每10秒取一次数据)三个状态量，以三排红绿灯方式进行展现。攻击频率表示系统内单位对业务系统攻击的频次，设置每日攻击频率阈值为每分钟200次，当超过该阈值时，则状态量对应的灯变红，提醒值班员注意；攻击成功表示系统内单位对业务系统攻击成功，则状态量对应的灯变红；ISS实时监测安全威胁数量、网站攻击事件的数量；鼠标移动到指示灯上时会出现安全威胁数量以及网站攻击数量实时统计的数值，若安全威胁数量＜1000、网站攻击数＜10000，则指示灯为绿色弹框中的信息字段为白色；若有任何一项超过阈值则指示灯变为红色，并同时弹框内显示“首次告警”信息展示告警类型、数量、时间、以及处理按钮，此时产生“首次告警”的威胁类型相关文字均为红色，点击处理按钮后，按钮状态置灰变为已处理字样，且“首次告警”处该威胁类型信息字符颜色变回白色，但上方实时统计展示处的字符依旧为红色不变指示灯也为红色不变。

第二方面，所述目标展示模板为内网监测展示模板，其中，所述内网监测展示模板包括攻击信息展示区域、历史信息展示区域、更新数据展示区域和全局信息展示区域；所述攻击信息展示区域用于对业务系统的攻击情况信息进行展示；所述历史信息展示区域用于对业务系统的历史攻击信息进行展示；所述更新数据展示区域用于对业务系统的更新数据进行展示；所述全局信息展示区域用于对业务系统的全局信息进行展示。

举例说明，内网监测展示模板生成的展示界面中间为按照国网公司规定的营销应用系统、呼叫平台等一类信息系统；公司总部和省公司级单位内外网门户网站、安全生产管理等二类信息系统；将除一、二类信息系统以外的其他信息系统即三类信息系统进行分类展示。归类划分后的若干套业务系统以圆套圆的形式依次排开，具体业务系统名称在圆圈切线处体现，业务系统展现形式与外网安全态势中业务系统展示保持一致。

具体的，业务系统左侧为国家地图，标注各网省公司，国家地图左侧列举出各网省公司攻击次数；业务系统右侧默认为全局分析，包括攻击源IP、资产IP/域名、国家、提交方式、攻击特征、威胁等级、详细参数、HTTP状态码等字段。鼠标点击地图中出现的线条显示攻击溯源以及处理两个选项，选择攻击溯源选项时展示攻击溯源详情，包括溯源IP、攻击业务系统IP、攻击时间和攻击类型等字段。全局分析/攻击溯源详情右侧列举出总部及直属单位的攻击次数，由高到低排列展示。该界面通过API接口对接Web攻击溯源系统，攻击数据每30秒取一次，每20秒从数据库读取一次从中取到的数据进行效果展示。

例如，界面状态量变化如下：

当业务系统遭受未成功攻击且攻击源来自于网省公司，则在地图和目标系统间划过绿色线条图示；

当业务系统遭受未成功攻击且攻击源来自于总部及直属单位，则在右侧总部及直属单位列表和目标系统间划过绿色线条图示；

当业务系统遭受成功攻击且攻击源来自于网省公司，则在地图和目标系统间划过红色线条图示，对应业务系统名称、水球以及最左侧网省公司表格中的该网省公司底色变红，红色线条不自动消失，需值班员点击该次成功攻击事件的攻击线条选择处理选项该红色线条消失且业务系统名称、水球以及表格中的网省公司底色变回默认状态；

当业务系统遭受成功攻击且攻击源来自于总部及直属单位，则在最右侧总部及直属单位列表和目标系统间划过红色线条图示，对应业务系统名称、水球以及总部或直属单位底色变红，需值班员点击该次成功攻击事件的攻击线条选择处理选项该红色线条消失且业务系统名称、水球以及表格中的总部或直属单位底色变回默认状态；

界面下方展示出若干家系统内单位列表，对应状态量为攻击频率、攻击成功的状态量。(状态变化与外网界面保持一致)。

第三方面，所述目标展示模板为设备运行监测模板，所述设备运行监测模板包括设备展示区域和设备信息展示区域；所述设备展示区域用于展示当前用于的安全设备信息；所述设备信息展示区域用于展示所述安全设备的关联信息，所述关联信息包括故障设备数量信息、流量信息、设备运行信息和设备受攻击信息。

举例说明，通过设备运行监测模板生成的展示界面时，该界面可视化展现三地六张网若干业务域的安全态势以及防火墙、IPS、WAF、等防护设备的运行状态，并实时动态展示边界流量信息。

具体的，界面最上方以方框形式列举出典型的安全设备，分别为防火墙、隔离装置、IPS、WAF、基线、漏扫、攻击溯源、流量分析、安全审计、堡垒机、安全接入平台、其他。每个安全设备类型为的一个元素，分为上下两部分，上半部分为安全设备类型的名称；下半部分是一个分子分母的展现形式，分母表示当前该类设备的总数量，分子表示当前该类设备出现故障的数量。正常情况下，设备方框为绿色；当设备出现故障，方框变红，鼠标移动到该安全设备类型上时出现弹框展示该设备名称、IP、时间信息。(数据通过数据查询方式取自综合网管系统，每60秒读取一次)

界面中间按照防护不同业务系统依次展现N台隔离装置，其中P台部署在C地区，Q台部署在D区域，分别以一个、两个、三个、四个、六个、八个一组保护对应业务系统，隔离装置左侧为内网区，右侧为外网区。隔离装置出现断开的情况则方框颜色变红，鼠标移动到该隔离装置出显示弹框展示该隔离装置的名称、IP、位置信息，当隔离装置检修完成综合网管不再告警时该隔离装置变回默认状态。(数据取自综合网管每60秒读取一次)

内外网出口处三地各有实时监测流量出口带宽信息展示，每60秒取一次数据，不同的流量出口所设置的阈值不同,内网E为10000M/s、F为800M/s、H为1500M/s；外网E为400M/s、F为1000M/s、H为1800M/s。当流量超过这些阈值时方框变红，等于或低于这些阈值时方框为默认状态。

E内网主要展示一期总部三级区、E用户区、二期总部、二期总部三级区、二期直属单位、二期托管区等的主备防火墙设备；F内网展示出主备防火墙、WAF和IPS；H内网展示出城广域网、调度大厅、用户区；E外网展示E一期、国际业务、E二期、WAF、IPS、主备防火墙、ISP；F外网展示出主备防火墙、IPS、ISP；H外网展示出主备防火墙、邮件阻断设备、ISP。目标设备采用SNMP方式对接，每60秒读取一次数据；其他设备则采用网页爬取的方式每5秒读取一次数据。

每台设备均监测CPU、内存、会话数等信息实时变化情况，且采集展示每台设备的受攻击次数。方框对应的状态变化如下所示:

安全防护设备方框正常显示为绿色，当该安全防护设备受到成功攻击断开时，则安全设备框变红且线路中连接线变红，断开的设备处自动弹出弹框展示故障设备名称、IP、位置信息且字符颜色为红色，正常运行的设备鼠标移动到设备上弹出弹框展示信息与上述内容一致，但字符颜色为白色；

CPU方框正常情况下为绿色，当设备CPU利用率超过90％的阈值，则方框变红；内存方框正常情况下为绿色，当设备内存利用率超过80％的阈值，则方框变红；会话方框正常情况下为绿色，当设备会话超过1000000时，则方框变红。

第四方面，所述目标展示模板为安全管控监测模板，所述安全管控监测模板用于对业务系统的全生命周期的漏洞信息、风险信息、时间信息和统计信息进行展示，并用于对安全设备合规性运行的检查信息进行展示。

该模板主要实现常态化、自动化开展应用渗透漏洞的发现、通知、整改以及反馈，可视化展现漏洞的整改情况，对信息安全漏洞隐患进行“全寿命周期”管控。

该模板的展示信息集成有漏洞单号、系统名称、漏洞名称、网域、风险级别、漏洞单的发送日期、漏洞整改截止日期、漏洞整改状态、当前状态计时、办结日期等字段，列表上方通过数字来统计整改信息的数量(当日验证、累计下发、累计验证，无法整改、超期未整改、超期未反馈)，通过列表方式展示未验证的详细信息，计时时间均为分子分母的展现形式，分子为漏洞整改单发送时间到当前时间天数，分母为计划整改时间天数。其中超期未整改及超期未反馈相关信息进度条和计时的时间变为红色，计时时间为正计时，从超期日期到当前日期的天数，超期未整改排序在超期未反馈的前边，同一超期情况，天数越多越靠前；未超期的状态(未反馈，计划整改，整改失败(整改失败重新整改)，无法整改)为绿色，计时时间为倒计时，从当前日期到整改或者反馈的截止日期的天数，同一状态，天数越少越靠前。该模板的展示信息上面一行进行总体归类展示出自系统运行以来累计下发漏洞整改通知单的数量、累计验证漏洞数目、无法整改漏洞数、超期未反馈的漏洞数、超期未整改的漏洞数、本日验证数据，当日漏洞信息将本日发布漏洞按照严重、高危、中危、低危风险等级进行分类展示。

进一步，安全管控监测模板还用于展示安全合规模块的功能信息。具体的，该模块主要实现常态化、自动化开展安全设备相关配置规范的检查，可视化展现在运设备的安全合规情况；集成有单号、源IP、目的IP、告警源类型、告警名称、告警类型、风险级别、首次告警时间、最新告警时间、风险处置状态，其中风险处置状态分为五个状态，分别为未下发、待处置、检修中、忽略与关闭、已处置，以进度条形式进行展示，状态字段与进度条表示意义如下所示：

①未下发：告警通知单未发送至处置人员处。

②未处置：该告警通知单需专责进行处置验证。

③检修中：该告警通知单无法通过s6000完成处置，已生成工单，转至i6000处进行处置。

④忽略已关闭：此告警备忽略。

⑤已处置：此告警已经完成处置。

该模块上面一行进行总体归类展示出自从系统运行以来的主机不合规数、防火墙不合规数、高危端口数、客户端病毒库过期数、服务端病毒库过期、终端弱口令数、违规外联数、邮件阻断数、敏感文件外发数。

两部分右上方均有翻页功能，展示此刻显示页面数且可进行上下页面的翻阅；漏洞管控部分的数据每2小时读取一次，合规性部分的数据每30分钟读取一次。

对应的该方法还提供了微应用后台管理界面，即通过接收录入信息，对所述录入信息进行更新和管理，所述录入信息包括目标人员信息、业务系统工作信息和安全设备攻击统计信息。

具体的，该界面主要功能值班员日常管理工作自动化主要功能，日常工作的信息自动化录入。包括设备状态、日常表单、统计报表、事件跟踪、系统配置、文件管理等方面。日常表单主要负责i6000巡检表、安全设备巡检表、iss设备巡检表、日常交接表、每日要情、安全监控封禁ip表等表单的信息自动化录入。统计报表主要有内网攻击数据统计，外网攻击数据统计，I6000设备告警数据统计，ISS告警数据统计，APT事件统计。事件跟踪有APT事件跟踪，未备案事件跟踪。系统配置有微应用平台界面的配置，用户管理，系统更新。

需要说明的是，在该方法中采集的数据可以通过对接微应用展示平台所展示的数据，采用方式api接口对接方式。后端通过flask框架，为前端提供api接口传输json数据；前端根据提供的接口地址获取相关数据，请求时间不高于30秒。

在该方法中还可以生成外网邮件页面实现对邮件相关信息的展示。例如，获取与业务系统相匹配的邮件的监测信息；对所述监测信息进行统计获得邮件登录信息，并对所述邮件登录信息进行统计，对统计后的信息进行展示；判断所述监测信息是否满足预警信息的处理条件，如果是，则根据所述监测信息生成告警事件。

具体的，外网邮件页面可以实现如下模块的功能：

统计量模块：通过API对接邮件攻击溯源系统，实时获取今日邮件量与历史邮件量，并提供前端可视化展示。

账号安全模块：通过API对接邮件攻击溯源系统，实时获取弱口令、暴破、可疑域内账号、海外登录四个模块的数据，并提供前端可视化展示。

威胁邮件态势监测模块：通过API对接邮件攻击溯源系统，实时获取威胁告警类型数据、收件域数据、发件域数据三个模块的统计数据，并以饼图形式提供前端可视化展示。

邮件数量统计图：通过通过API对接邮件攻击溯源系统，实时获取当前时间段的邮件统计量，并以折线图形式提供前端可视化展示。

威胁邮件告警监测：通过API方式对接系统、以syslog方式对接亚信邮件沙箱系统，实时获取高危威胁数据，并将相同威胁邮件告警事件。

文字云模块：通过以API方式对接邮件系统还原的邮件数据，实时分析当前邮件域的邮件正文，匹配当前邮件域中邮件关键字，并提供可视化展示。

在本申请实施例中还可以提供全景网络安全监控页面，该界面通过syslog方式对接了floweye系统的防火墙策略告警，通过API方式对接泰和SOC系统的策略命中统计，通过syslog方式对接DNS日志监控设备病毒木马违规外联的威胁告警，通过API对接网络攻击溯源系统的外网违规外联及失陷终端告警，通过API接口对接微步TDP系统告警数据的失陷终端告警及违规外联告警，通过页面爬虫方式对接S6000系统的系统运行数据，通过API方式对接移动端口监测的敏感端口告警数据。该页面通过统计全网存活的IP资产端，自动绘制3D拓扑，通过动态对接各模块的数据，实时展示终端异常告警。

对应的，该方法还包括：根据所述网络监测信息生成日志信息，使得用户可以通过所述日志数据获得监测网站的运行情况信息。即该方法可以生成用户访问安全页面，其中，用户访问安全页面共涉及4个模块，模块一为日志分析模块，该模块通过syslog方式对接明御系统的实时主机日志告警，并通过可视化形式展示主机日志告警，模块二为业务系统关停巡检模块，该模块通过实时巡检公司直属单位及网省公司的门户网站，实时监测网站运行情况，并通过保障规范，判断是否存在异常。模块三为业务系统流量监测模块，该模块通过API方式对接科来全流量威胁回溯设备的流量数据，实时监测单位辖管范围内的业务系统运行的流量情况，并以可视化提供动态展示。模块四为防篡改模块，该模块通过嵌套篡改监测模型，实时获取业务系统后台文件篡改情况，并将异常文件提供前端可视化展示。

本发明提供了一种安全态势监测方法，通过采集网络监测信息，根据触发指令确定所述网络监测信息的目标展示模板；根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式；将所述网络监测信息按照所述目标数据转换方式转成与所述目标展示模板相匹配的展示数据；在所述目标展示模板上展示所述展示数据，得到展示界面，使得用户通过所述展示界面获得当前网络的状态的安全态势信息和攻击源头信息。从而实现了将整个网络环境的安全态势信息通过对应的展示模板进行展示，解决现有技术中网络空间中面临安全态势把握难、源头定位难的技术问题。

对应的，在本申请中还提供一种安全态势监测系统，该系统用于执行上述任意一项所述的安全态势监测方法，参见图2，该系统包括：

路由器201、交换机202、Web应用防火墙203、入侵防御系统204、入侵检测系统205、防火墙206、展示器207和警示器208，其中，所述路由器与多个客户端200连接，所述交换机分别与所述路由器、Web应用防火墙、入侵防御系统、入侵检测系统连接，所述Web应用防火墙与所述警示器连接，所述入侵防御系统通过所述防火墙与所述展示器连接，所述入侵检测系统通过所述防火墙与所述展示器连接；

所述入侵防御系统，包括：数据采集器、数据存储器、安全数据库、结果比较器，其中，所述数据采集器与所述入侵防御系统的入口、数据存储器连接，所述结果比较器分别与数据存储器、安全数据库连接。

进一步，所述展示器为液晶大屏显示器。

进一步，所述入侵检测系统，包括：数据采集器、数据存储器、安全数据库、结果比较器，其中，所述数据采集器与所述入侵防御系统的入口、数据存储器连接，所述结果比较器分别与数据存储器、安全数据库连接。

进一步，所述警示器为LED灯。

本发明构建了一个可获取多个客户端的安全态势监测系统，通过Web应用防火墙、入侵防御系统、入侵检测系统获取该客户端所处网络的网络环境态势，可获知该区域内整个网络环境的安全态势，并通过展示器对整个地区区域的网络环境进行展示，通过警示器提供安全事件的警示功能。

本说明书中各个实施例采用递进的方式描述，每个实施例重点说明的都是与其他实施例的不同之处，各个实施例之间相同相似部分互相参见即可。对于实施例公开的装置而言，由于其与实施例公开的方法相对应，所以描述的比较简单，相关之处参见方法部分说明即可。

对所公开的实施例的上述说明，使本领域专业技术人员能够实现或使用本发明。对这些实施例的多种修改对本领域的专业技术人员来说将是显而易见的，本文中所定义的一般原理可以在不脱离本发明的精神或范围的情况下，在其它实施例中实现。因此，本发明将不会被限制于本文所示的这些实施例，而是要符合与本文所公开的原理和新颖特点相一致的最宽的范围。

Claims (12)

1.一种安全态势监测方法，其特征在于，该方法包括：

采集网络监测信息，所述网络监测信息表征当前网络态势信息，且所述网络监测信息包括网络资产信息、业务系统信息、网络配置信息、威胁漏洞信息和流量告警信息；

根据触发指令确定所述网络监测信息的目标展示模板；

根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式，所述展示模板包括所述目标展示模板，所述目标展示模板为内网监测展示模板、外网监测展示模板、设备运行监测模板或者安全管控监测模板中的一种，其中，所述内网监测展示模板用于展示业务系统遭受系统内单位攻击情况信息，所述外网监测展示模块用于展示业务系统遭受外网攻击情况信息，所述设备运行监测模块用于展示目标业务域的安全态势、防护设备的运行状态信息以及实施动态展示边界流量信息，所述安全管控监测模板用于对全生命周期管控和安全设备合规性运行的检查信息进行展示；

将所述网络监测信息按照所述目标数据转换方式转成与所述目标展示模板相匹配的展示数据；

在所述目标展示模板上展示所述展示数据，得到展示界面，使得用户通过所述展示界面获得当前网络的状态信息。

2.根据权利要求1所述的方法，其特征在于，所述采集网络监测信息，包括：

采集基础数据信息，所述基础数据信息表征通过监测设备采集到的网络基础数据；

对所述基础数据进行预处理，并对预处理后的数据进行信息提取，得到网络监测信息，所述预处理包括数据标准化处理、归一化处理和降噪处理。

3.根据权利要求1所述的方法，其特征在于，该方法还包括：

根据所述目标展示模板的数据展示区域，对所述网络监测信息进行分类提取，得到分类后的监测数据。

4.根据权利要求3所述的方法，其特征在于，所述根据预存储的展示模板与监测数据格式转换方式之间的对应关系，确定与所述目标展示模板对应的目标数据转换方式，包括：

根据所述目标展示模板的数据展示区域与监测数据格式转换方式之间的对应关系，确定与分类后的监测数据的目标数据转换方式，所述目标数据转换方式包括数据颜色转换格式、数据响应转换格式和数据变化转换格式。

5.根据权利要求1所述的方法，其特征在于，所述目标展示模板为外网监测展示模板，其中，所述外网监测展示模板包括背景区域、攻击数据展示区域、数据库展示区域、基础信息展示区域和排名数据展示区域；

所述背景区域用于展示背景图像，所述背景图像表征地域地图图像；

所述攻击数据展示区域用于展示业务系统受攻击的次数信息；

所述数据库展示区域用于展示针对安全情报数据库的信息；

所述基础信息展示区域用于展示时间信息和目标人员信息；

所述排名数据展示区域用于展示业务系统受攻击的攻击信息来源的排名信息。

6.根据权利要求1所述的方法，其特征在于，所述目标展示模板为内网监测展示模板，其中，所述内网监测展示模板包括攻击信息展示区域、历史信息展示区域、更新数据展示区域和全局信息展示区域；

所述攻击信息展示区域用于对业务系统的攻击情况信息进行展示；

所述历史信息展示区域用于对业务系统的历史攻击信息进行展示；

所述更新数据展示区域用于对业务系统的更新数据进行展示；

所述全局信息展示区域用于对业务系统的全局信息进行展示。

7.根据权利要求1所述的方法，其特征在于，所述目标展示模板为设备运行监测模板，所述设备运行监测模板包括设备展示区域和设备信息展示区域；

所述设备展示区域用于展示当前用于的安全设备信息；

所述设备信息展示区域用于展示所述安全设备的关联信息，所述关联信息包括故障设备数量信息、流量信息、设备运行信息和设备受攻击信息。

8.根据权利要求1所述的方法，其特征在于，所述目标展示模板为安全管控监测模板，所述安全管控监测模板用于对业务系统的全生命周期的漏洞信息、风险信息、时间信息和统计信息进行展示，并用于对安全设备合规性运行的检查信息进行展示。

9.根据权利要求1所述的方法，其特征在于，该方法还包括：

接收录入信息，对所述录入信息进行更新和管理，所述录入信息包括目标人员信息、业务系统工作信息和安全设备攻击统计信息。

10.根据权利要求1所述的方法，其特征在于，该方法还包括：

获取与业务系统相匹配的邮件的监测信息；

对所述监测信息进行统计获得邮件登录信息，并对所述邮件登录信息进行统计，对统计后的信息进行展示；

判断所述监测信息是否满足预警信息的处理条件，如果是，则根据所述监测信息生成告警事件。

11.根据权利要求1所述的方法，其特征在于，该方法还包括：

根据所述网络监测信息生成日志信息，使得用户可以通过所述日志数据获得监测网站的运行情况信息。

12.一种安全态势监测系统，其特征在于，所述安全态势监测系统用于执行如上权利要求1-11中任意一项所述的安全态势监测方法，其中，所述安全态势监测系统包括：

路由器、交换机、Web应用防火墙、入侵防御系统、入侵检测系统、防火墙、展示器和警示器，其中，所述路由器与多个客户端连接，所述交换机分别与所述路由器、Web应用防火墙、入侵防御系统、入侵检测系统连接，所述Web应用防火墙与所述警示器连接，所述入侵防御系统通过所述防火墙与所述展示器连接，所述入侵检测系统通过所述防火墙与所述展示器连接；

所述入侵防御系统，包括：数据采集器、数据存储器、安全数据库、结果比较器，其中，所述数据采集器与所述入侵防御系统的入口、数据存储器连接，所述结果比较器分别与数据存储器、安全数据库连接。

Images