CN113315666A - 一种面向信息网络安全的防御控制方法及系统 - Google Patents
一种面向信息网络安全的防御控制方法及系统 Download PDFInfo
- Publication number
- CN113315666A CN113315666A CN202110753505.5A CN202110753505A CN113315666A CN 113315666 A CN113315666 A CN 113315666A CN 202110753505 A CN202110753505 A CN 202110753505A CN 113315666 A CN113315666 A CN 113315666A
- Authority
- CN
- China
- Prior art keywords
- network
- defense
- network security
- equipment
- alarm data
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 230000007123 defense Effects 0.000 title claims abstract description 87
- 238000000034 method Methods 0.000 title claims abstract description 33
- 238000005065 mining Methods 0.000 claims abstract description 22
- 238000010219 correlation analysis Methods 0.000 claims abstract description 10
- 238000002955 isolation Methods 0.000 claims description 13
- 238000010586 diagram Methods 0.000 claims description 12
- 230000003993 interaction Effects 0.000 claims description 12
- 238000001514 detection method Methods 0.000 claims description 10
- 238000012806 monitoring device Methods 0.000 claims description 10
- 238000004458 analytical method Methods 0.000 claims description 8
- 238000007781 pre-processing Methods 0.000 claims description 8
- 230000007246 mechanism Effects 0.000 claims description 7
- 238000012544 monitoring process Methods 0.000 claims description 6
- 239000000126 substance Substances 0.000 claims description 5
- 238000012098 association analyses Methods 0.000 claims description 3
- 238000010276 construction Methods 0.000 claims description 3
- 230000000694 effects Effects 0.000 abstract description 2
- 238000007726 management method Methods 0.000 description 20
- 230000000875 corresponding effect Effects 0.000 description 11
- 238000005516 engineering process Methods 0.000 description 5
- 230000006399 behavior Effects 0.000 description 4
- 244000035744 Hura crepitans Species 0.000 description 2
- 230000000903 blocking effect Effects 0.000 description 2
- 230000007547 defect Effects 0.000 description 2
- 230000008260 defense mechanism Effects 0.000 description 2
- ZXQYGBMAQZUVMI-GCMPRSNUSA-N gamma-cyhalothrin Chemical compound CC1(C)[C@@H](\C=C(/Cl)C(F)(F)F)[C@H]1C(=O)O[C@H](C#N)C1=CC=CC(OC=2C=CC=CC=2)=C1 ZXQYGBMAQZUVMI-GCMPRSNUSA-N 0.000 description 2
- 238000011084 recovery Methods 0.000 description 2
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000005540 biological transmission Effects 0.000 description 1
- 230000002596 correlated effect Effects 0.000 description 1
- 238000013480 data collection Methods 0.000 description 1
- 238000013144 data compression Methods 0.000 description 1
- 230000006872 improvement Effects 0.000 description 1
- 238000012423 maintenance Methods 0.000 description 1
- 238000012986 modification Methods 0.000 description 1
- 230000004048 modification Effects 0.000 description 1
- 230000002265 prevention Effects 0.000 description 1
- 230000008569 process Effects 0.000 description 1
- 230000003014 reinforcing effect Effects 0.000 description 1
- 230000004044 response Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012795 verification Methods 0.000 description 1
Images
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/06—Management of faults, events, alarms or notifications
- H04L41/0631—Management of faults, events, alarms or notifications using root cause analysis; using analysis of correlation between notifications, alarms or events based on decision criteria, e.g. hierarchy, tree or time analysis
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
- H04L41/14—Network analysis or design
- H04L41/142—Network analysis or design using statistical or mathematical methods
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/08—Network architectures or network communication protocols for network security for authentication of entities
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1416—Event detection, e.g. attack signature detection
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
- H04L63/1425—Traffic logging, e.g. anomaly detection
Abstract
本发明提出一种面向信息网络安全的防御控制方法及系统，包括采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；结合网络拓扑，自动确定参与联合防御的网络安全设备；向选定的网络安全设备下发防御规则，以实现联合防御。上述方案具有很好的抗攻击效果，对于高强度对抗要求的网络防护应用具有重要意义，解决了信息网络难以抵御复杂网络攻击的难题。
Description
技术领域
本发明属于网络安全管理领域，具体涉及一种面向信息网络安全的防御控制方法及系统。
背景技术
互联网+时代给社会各个方面带来便捷的同时，网络安全威胁也随之而来，各类网络攻击也日益增多。金融、医疗、通信以及电力等重要网络的规模较为庞大，网络结构复杂，网络节点数据维度和数量不断增加.近年来，勒索病毒、DDok攻击、钓鱼邮件、木马、缓存区溢出等攻击依然是当前的主要安全攻击行为。当攻击者利用网络漏洞发动以获取目标主机权限的攻击时，防守者必须依据当前网络状态所暴露出的问题快速选择网络防御策略进行有效阻击，这里所说的网络防御策略是由一系列防御动作构成的集合，常用的方法有阻断连接、删除恶意代码、漏洞加固、权限恢复等.当承载大量应用服务的网络系统遭受入侵时如果仅选择切断互联网接入，那么意味着防守方中断了所有的业务，其业务损失代价会给机构带来严重后果，例如游戏、视频服务，或者云平台、集群服务等.因此，这就需要对于网络攻防过程进行精准的数据分析，并得出防护代价最小、防御效果最好的安全策略[3]，使得在有限防御条件下尽量保障业务的连续性和可靠性。
网络安全联合防御技术强调的是系统适应安全的能力。结合现有的网络安全技术，对网络安全事件准确响应，动态调整响应策略，确保关键数据的自动保护和恢复，最大可能地降低外来攻击造成的损失。网络系统从单纯的被动防护提升为攻防兼备的联合式防御，这在网络安全攻防的应用中具有实用价值。目前，国内外关注度较高的联合防御技术是入侵防御系统IPS，通过防火墙和入侵检测系统IDS之间的联合，以达到保护计算机网络，阻断网络入侵攻击的目的。
但现有联合防御技术存在以下三点不足：(1)基于防火墙和入侵检测系统间的联合防御仅考虑防火墙和入侵检测系统等两项网络安全防护设备，未能包括其它安全防护设备，如身份认证、蜜罐等，联合的范围有限，因而防御的效果较差。(2)联合防御仅针对单一安全告警事件，没有采用安全告警事件关联分析，因而存在较高误报，限制了联合防御技术的实用化。(3)事先设定参与联合防御的网络安全设备，不能根据实际的网络环境和攻击情况动态选择，缺乏部署灵活性。
发明内容
为了克服上述不足，本发明提供一种面向信息网络安全的防御控制方法及系统，通过集中采集和分析网络告警数据，生成相互关联的攻击步骤，消除误报警。联合防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置以及正反向隔离装置等信息网络安全设备，结合信息网络拓扑，自动确定参与联合防御的具体网络安全设备，实现信息网络安全联合防御。
本发明的目的是采用下述技术方案实现的：
一种面向信息网络安全的防御控制方法，所述方法包括：
采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；
结合网络拓扑，自动确定参与联合防御的网络安全设备；
向选定的网络安全设备下发防御规则，以实现联合防御。
优选的，所述预先采集安全告警数据包括：
在网络安全设备上部署监控装置；其中，
所述网络安全设备，包括防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置和正反向隔离装置；
所述监控装置采用事件触发机制，以分布式部署方式采集安全设备产生的安全告警数据，并发送至智慧管理平台；
通过智慧管理平台对安全告警数据进行解密和解压缩后，获得明文数据；
对明文数据进行预处理，统一数据格式。
进一步地，所述对明文数据进行预处理具体包括：
从明文数据中抽取源IP地址、源端口、目的IP地址、目的端口、告警时间、
事件类别和安全告警数据内容；
根据抽取的安全告警数据内容和事件类别，定义最终规范类别；所述最终规范类别由操作人员预先制定，其方式包括漏洞扫描、未授权远程访问和权限提升；
采用关键字匹配方式，自动确定当前预处理的安全告警数据的时间类别，选择与该安全告警内容和事件类别关键字匹配度最高的类别作为最终规范类别；
将<源IP地址，源端口，目的IP地址，目的端口，告警时间，最终规范类别>作为一条安全告警记录存入数据库。
优选的，所述采用已知攻击模式对安全告警数据进行关联分析具体包括：
k101，输入已知攻击模式，构建与所述已知攻击模式相关联的规则层次结构；
k102，从数据库中逐条提取待分析的安全告警数据记录，并将记录中的规范类别与攻击步骤相对应，填充所述规则层次结构；
k103，对规则层次结构进行细粒度划分，获取攻击步骤关联集合。
进一步地，所述k101中，使用公开的网络攻击模式或者自定义的网络攻击模式作为已知攻击模式，将所述已知攻击模式相关的攻击步骤按照逻辑先后顺序排列，完成规则层次结构的构建；
所述k102包括，提取当前待分析的安全告警数据记录，若记录中的规范类别与攻击步骤类型相同，则将该条安全告警数据记录的<源IP地址，源端口，目的IP地址，目的端口，告警时间>信息加入所述规则的相应节点中；循环执行k102，直至分析完成所有安全告警数据记录。
优选的，所述采用已知攻击模式对预先采集的安全告警数序列挖掘基于PrefixSpan算法对安全告警数据进行序列挖掘，并根据频繁项集，搜寻疑似关联的攻击，具体包括：
k201扫描数据库，找出各个频繁项a并组成集合；其中，对于每一个频繁项a至少满足以下两个条件之一：
i.a可以嵌入序列k的最后一个元素中形成一个序列模式；或者，
ii.将a追加到序列k末尾，形成一个序列模式；
其中，定义k为空序列；
k202对于每一个频繁项a，将其追加至序列k组成一个序列模式k’并输出；
k203对于每个k’，递归调用PrefixSpan算法，直至序列长度不再增加。
优选的，所述结合信息网络拓扑，自动确定参与联合防御的具体网络安全设备包括：
结合网络拓扑，选取所有遭受攻击的网络节点的前置或后置网络安全设备；
删除重复的网络安全设备；
删除选取的所述安全设备之间的其它网络设备，并用直线相连，构建网络安全设备间的虚拟连接图；
在虚拟连接图中选取数量最少的节点，以覆盖所有网络路径。
进一步地，所述构建网络安全设备间的虚拟连接图包括：
按照信息网络层次架构，由外向内选择网络安全设备；当选择节点时，以网络安全设备所覆盖的网络路径数量为判断依据，选择覆盖网络路径数量最多的网络安全设备加入设备队列，然后在虚拟连接图中删除该设备和对应的网络路径；循环执行删除重复的网络安全设备，直至虚拟连接图中所有路径被删除；最终的设备队列仅包含网络安全设备参与联合防御。
优选的，所述向选定的网络安全设备下发防御规则，以实现联合防御包括如下步骤：
通过智慧管理平台远程调用网络安全设备提供的配置接口；
将自定义防御规则发送至对应网络安全设备；
通过网络安全设备执行选定的防御规则。
一种面向信息网络安全的防御控制系统，所述系统由智慧管理平台、网络安全设备和监控单元组成；其中，
所述监控单元，用于采集安全告警数据并发送至智慧管理平台；
所述智慧管理平台，用于对采集到的安全告警数据进行预处理；
所述网络安全设备，用于执行防御规则，以实现联合防御；
其中，所述智慧管理平台包括分析单元、序列挖掘单元、拓扑单元和执行单元；
所述分析单元，用于采用已知攻击模式对安全告警数据进行关联分析；
所述序列挖掘单元，用于采用已知攻击模式对安全告警数据进行序列挖掘。
所述拓扑单元，用于自动确定参与联合防御的网络安全设备；
所述执行单元，用于向选定的网络安全设备下发防御规则。
与最接近的现有技术相比，本发明的有益效果为：
本发明提供的方法针对信息网络安全防护，首次提出信息网络安全联合防御方法及系统，解决了信息网络难以抵御复杂网络攻击的难题。
本发明使用已知攻击模式匹配和攻击事件序列挖掘方法，联合防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置以及正反向隔离装置等信息网络安全设备，获取相互关联的攻击事件，以消除网络安全设备产生的误报警事件，使得联合防御更具有目的性；
本发明专利结合信息网络拓扑，自动确定参与联合防御的具体网络安全设备，避免了人工干预，使得信息网络安全联合防御方法及系统更加实用化。
附图说明
图1为本发明提供的信息网络安全联合防御方法流程图；
图2为本发明提供的信息网络安全联合防御系统结构示意图；
图3为本发明实施例中提供的网络安全设备部署架构图；
图4为本发明实施例中提供的联合防御机制示意图。
具体实施方式：
本发明提供了一种面向信息网络安全的防御控制方法及系统，解决了信息网络无法有效防御复杂网络攻击的难题。通过已知攻击模式和事件序列挖掘方式对信息网络安全告警事件进行关联规则分析，获取相互关联的攻击事件。结合信息网络拓扑结构，确定每一个攻击事件针对的网络节点，选择该网络节点的前置或后置网络安全设备参与联合防御。通过向选定的网络安全设备下发防御规则，切断参与攻击的网络节点间的网络连接，或将特定网络流量引入蜜罐等网络安全攻击分析设备中，执行联合防御。该联合防御方法及系统实现过程具体如下：
一种面向信息网络安全的防御控制方法，如图1所示，包括如下步骤：
步骤k1，采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；
步骤k1中，预先采集的安全告警数据具体步骤为：
在网络安全设备上部署监控装置；其中，所述网络安全设备，包括防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置以及正反向隔离装置；
所述监控装置，可以为网络安全设备的组件，也可以为独立运行的软件程序。
所述监控装置采用事件触发机制，采集安全设备产生的安全告警数据，并发送至智慧管理平台；其中，监控装置可以通过调用网络安全设备自身提供的数据访问接口方式进行数据采集，也可以通过读取网络安全设备的日志方式来采集告警数据。定时机制为设定一时间范围t，每隔t时间进行一次数据采集。事件触发机制为当有新的告警事件发生时，监控装置立即读取该事件并发送至智慧管理平台。采用定时机制或事件触发机制可由网络管理员根据实际网络需求进行设定。为保障数据传输安全，监控装置采用数据压缩和加密网络连接方式将采集的告警数据发送至智慧管理平台。
通过智慧管理平台以分布式部署方式采集安全告警数据，并对采集到的安全告警数据集中进行预处理，智慧管理平台对采集的数据进行解密和解压缩后，得到明文数据，然后对明文数据进行预处理，统一数据格式。预处理过程具体为：
从明文数据中抽取源IP地址、源端口、目的IP地址、目的端口、告警时间、事件类别以及具体的安全告警数据内容。
根据抽取的安全告警数据内容和事件类别，定义该告警的最终规范类别；所述最终规范类别由系统运维人员或网络安全专家预先制定，包括漏洞扫描、未授权远程访问和权限提升等；
可使用关键字匹配方式，自动确定当前预处理的告警事件的规范类别，寻找与抽取的安全告警内容和事件类别拥有最多共同关键字的类别作为最终规范类别。
将<源IP地址，源端口，目的IP地址，目的端口，告警时间，最终规范类别>作为一条安全告警记录存入数据库。
步骤k1中，采用已知攻击模式对预先采集的安全告警数据进行关联分析；在数据预处理基础上，本发明实施例首先使用已知攻击模式对信息网络安全告警事件进行关联分析，寻找出相互关联的攻击步骤，将多个分散的安全告警事件形成一个整体，恢复出完整攻击路径，从而减少由于误告警而导致的错误联合防御次数。
具体包括如下步骤：
k101，输入已知攻击模式，构建与攻击模式对应关联规则的层次结构；k201中，使用公开的网络攻击模式或者自定义的网络攻击模式作为已知攻击模式，将所述已知攻击模式相关的攻击事件按照逻辑先后顺序排列，完成与攻击模式对应关联规则的层次结构的构建；
k102，从数据库中逐条提取待分析的安全告警数据记录，并将记录中的规范类别与其攻击事件相对应，填充所述关联规则的层次结构；
k102包括，提取当前待分析的安全告警数据记录，若记录中的规范类别与攻击事件类型相同，则将该条安全告警数据记录的<源IP地址，源端口，目的IP地址，目的端口，告警时间>信息加入所述关联规则的相应节点中；循环执行k102，直至分析完成所有安全告警数据记录。
k103，对关联规则进行细粒度划分，获取攻击事件关联集合。
步骤k1，对预先采集的安全告警数据进行序列挖掘具体包括：使用PrefixSpan算法对安全告警数据进行序列挖掘，并根据频繁项集，搜寻疑似关联攻击事件：
k201扫描数据库，找出各个频繁项a并组成集合；其中，对于每一个频繁项a至少满足以下两个条件之一：
i.a可以嵌入序列k的最后一个元素中形成一个序列模式；或者，
ii.将a追加到序列k末尾，形成一个序列模式；
其中，定义k为空序列；
k202对于每一个频繁项a，将其追加至序列k组成一个序列模式k’并输出；
k203对于每个k’，递归调用PrefixSpan算法，直至序列长度不再增加。
步骤k2，结合网络拓扑，自动确定参与联合防御的网络安全设备；
结合网络拓扑，选取所有遭受攻击的网络节点的前置或后置网络安全设备；
删除重复的网络安全设备；
构建网络安全设备间的虚拟连接图；构建网络安全设备间的虚拟连接图包括：删除选取的所述安全设备之间的所有其它网络设备，并用直线相连，从而形成网络安全设备间的虚拟连接图；
在虚拟连接图中选取数量最少的节点，以覆盖所有网络路径。具体包括：按照信息网络层次架构，由外向内选择网络安全设备；当选择节点时，以网络安全设备所覆盖的网络路径数量为判断依据，选择覆盖网络路径数量最多的网络安全设备加入设备队列，然后在虚拟连接图中删除该设备和对应的网络路径；循环执行k202，直至虚拟连接图中所有路径被删除；最终的设备队列仅包含网络安全设备参与联合防御。
步骤k3，向选定的网络安全设备下发安全防御规则，执行联合防御。具体包括如下步骤：
通过智慧管理平台远程调用网络安全设备提供的配置接口；
将自定义防御规则发送至对应网络安全设备；
网络安全设备执行防御规则，实现联合防御。
其中，智慧管理平台通过远程调用网络安全设备提供的配置接口进行防御规则的分发。常见的配置接口包括web页面、kkh、telnet等，依据具体网络安全设备而定。若某一类型的网络安全设备不提供远程调用接口时，可通过人工复制方式进行规则分发。
如图2所示的一种面向信息网络安全的防御控制系统，由智慧管理平台、网络安全设备和监控单元组成；其中，
监控单元，用于采集安全告警数据并发送至智慧管理平台；
智慧管理平台，用于对收集到的数据进行预处理；
所述网络安全设备，用于执行防御规则，以实现联合防御。
其中，所述智慧管理平台包括分析单元、序列挖掘单元、拓扑单元和执行单元；
分析单元，用于采用已知攻击模式对安全告警数据进行关联分析；
序列挖掘单元，用于采用已知攻击模式对安全告警数据进行序列挖掘。
拓扑单元，用于自动确定参与联合防御的网络安全设备；
执行单元，用于向选定的网络安全设备下发防御规则。
实施例1：
某公司采用如图3所示的网络安全设备部署架构进行联合防御。互联网客户端访问位于信息内网的具体业务系统时，访问流量首先转发至安全交互平台，进行身份认证。通过身份认证后，安全交互平台将认证通过信息发送至防火墙。此后，访问流量进过防火墙和入侵检测系统IDk，两种安全设备对流量行为和内容进行判断。若判断为正常流量，则转发流量至部署于信息外网和内网之间的隔离装置，最后由隔离装置提取具体的业务数据内容，并发送数据至业务系统。业务系统返回的流量经过隔离装置、IDk和防火墙，发送至互联网客户端。
具体的实施方案为：
数据采集Agent采集到的安全事件包括：
(1)安全交互平台检测到该互联网终端(IP地址为128.10.xx.xx)在多次输入错误密码(用户名为liandong_tekt)，成功通过身份验证，发生时间为2021年4月15日19时00分至2021年4月15日19时20分；
(2)防火墙和IDk检测到该互联网终端的访问流量中包括exe可执行文件，但未能判断exe文件是否为恶意木马，仅给出可疑文件报警信息，发生时间为2021年4月15日19时30分；
(3)隔离装置检测出敏感文件泄漏，发生时间为2021年4月16日09时30分。
由于防火墙和IDk未能判断exe文件为何种恶意木马，因此无法采用已知攻击模式进行告警信息关联分析。但通过序列挖掘方法，形成如下所示攻击步骤：
登陆尝试→上传恶意代码文件→窃取机密文件
由于防火墙和安全交互平台已覆盖上述攻击步骤对应的网络路径，自动选择防火墙和安全交互平台为联合防御组件。该攻击中使用了未知的恶意木马，造成了敏感文件的泄漏，给公司造成了严重损失。为避免此类攻击事件的进一步发生，在公司信息外网中增加了恶意文件检测沙箱安全设备，对可执行文件的行为进行分析，判定是否为恶意文件。
网络管理员制动联合防御规则，在安全交互平台中针对该账号增加身份验证方式，在通过用户名/密码认证后，进一步采用硬件密钥方式确认身份；将该互联网客户端IP地址加入防火墙黑名单，并在防火墙中增加规则，将检测出含有执行文件的流量导入沙箱中进行行为判定，判定通过以后才能接入业务系统。
智慧管理平台下发联合防御规则至安全交互平台和防火墙，最终形成的联合防御机制如图4所示。
最后应说明的是：以上各实施例仅用以说明本发明的技术方案，而非对其限制；尽管参照前述各实施例对本发明进行了详细的说明，本领域的普通技术人员应当理解：其依然可以对前述各实施例所记载的技术方案进行修改，或者对其中部分或者全部技术特征进行等同替换；而这些修改或者替换，并不使相应技术方案的本质脱离本发明各实施例技术方案的范围，其均应涵盖在本发明的权利要求和说明书的范围当中。
Claims (10)
1.一种面向信息网络安全的防御控制方法，其特征在于，所述方法包括：
采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；
结合网络拓扑，自动确定参与联动防御的网络安全设备；
向选定的网络安全设备下发防御规则，以实现联动防御。
2.如权利要求1所述的方法，其特征在于，所述预先采集安全告警数据包括：
在网络安全设备上部署监控装置；其中，
所述网络安全设备，包括防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置和正反向隔离装置；
所述监控装置采用定时或事件触发机制，采用分布式部署方式采集安全设备产生的安全告警数据，并发送至智慧管理平台；
通过智慧管理平台对安全告警数据进行解密和解压缩后，获得明文数据；
对明文数据进行预处理，统一数据格式。
3.如权利要求2所述的方法，其特征在于，所述对明文数据进行预处理具体包括：
从明文数据中抽取源IP地址、源端口、目的IP地址、目的端口、告警时间、事件类别和安全告警数据内容；
根据抽取的安全告警数据内容和事件类别，定义最终规范类别；所述最终规范类别由操作人员预先制定，其方式包括漏洞扫描、未授权远程访问和权限提升；
采用关键字匹配方式，自动确定当前预处理的安全告警数据的时间类别，选择与该安全告警内容和事件类别关键字匹配度最高的类别作为最终规范类别；
将<源IP地址，源端口，目的IP地址，目的端口，告警时间，最终规范类别>作为一条安全告警记录存入数据库。
4.如权利要求1所述的方法，其特征在于，所述采用已知攻击模式对安全告警数据进行关联分析具体包括：
S101，输入已知攻击模式，构建与所述已知攻击模式相关联的规则层次结构；
S102，从数据库中逐条提取待分析的安全告警数据记录，并将记录中的规范类别与攻击步骤相对应，填充所述规则层次结构；
S103，对规则层次结构进行细粒度划分，获取攻击步骤关联集合。
5.权利要求4所述的方法，其特征在于，所述S101中，使用公开的网络攻击模式或者自定义的网络攻击模式作为已知攻击模式，将所述已知攻击模式相关的攻击步骤按照逻辑先后顺序排列，完成规则层次结构的构建；
所述S102包括，提取当前待分析的安全告警数据记录，若记录中的规范类别与攻击步骤类型相同，则将该条安全告警数据记录的<源IP地址，源端口，目的IP地址，目的端口，告警时间>信息加入所述规则的相应节点中；循环执行S102，直至分析完成所有安全告警数据记录。
6.如权利要求1所述的方法，其特征在于，所述采用已知攻击模式对预先采集的安全告警数序列挖掘基于PrefixSpan算法对安全告警数据进行序列挖掘，并根据频繁项集，搜寻疑似关联的攻击，具体包括：
S201扫描数据库，找出各个频繁项a并组成集合；其中，对于每一个频繁项a至少满足以下两个条件之一：
i.a可以嵌入序列s的最后一个元素中形成一个序列模式；或者，
ii.将a追加到序列s末尾，形成一个序列模式；
其中，定义s为空序列；
S202对于每一个频繁项a，将其追加至序列s组成一个序列模式s’并输出；
S203对于每个s’，递归调用PrefixSpan算法，直至序列长度不再增加。
7.如权利要求1所述的方法，其特征在于，所述结合信息网络拓扑，自动确定参与联动防御的具体网络安全设备包括：
结合网络拓扑，选取所有遭受攻击的网络节点的前置或后置网络安全设备；
删除重复的网络安全设备；
删除选取的所述安全设备之间的其它网络设备，并用直线相连，构建网络安全设备间的虚拟连接图；
在虚拟连接图中选取数量最少的节点，以覆盖所有网络路径。
8.如权利要求7所述的方法，其特征在于，所述构建网络安全设备间的虚拟连接图包括：
按照信息网络层次架构，由外向内选择网络安全设备；当选择节点时，以网络安全设备所覆盖的网络路径数量为判断依据，选择覆盖网络路径数量最多的网络安全设备加入设备队列，然后在虚拟连接图中删除该设备和对应的网络路径；循环执行删除重复的网络安全设备，直至虚拟连接图中所有路径被删除；最终的设备队列仅包含网络安全设备参与联动防御。
9.如权利要求1所述的方法，其特征在于，所述向选定的网络安全设备下发防御规则，以实现联动防御包括如下步骤：
通过智慧管理平台远程调用网络安全设备提供的配置接口；
将自定义防御规则发送至对应网络安全设备；
通过网络安全设备执行选定的防御规则。
10.一种面向信息网络安全的防御控制系统，其特征在于，所述系统由智慧管理平台、网络安全设备和监控单元组成；其中，
所述监控单元，用于采集安全告警数据并发送至智慧管理平台；
所述智慧管理平台，用于对采集到的安全告警数据进行预处理；
所述网络安全设备，用于执行防御规则，以实现联动防御；
其中，所述智慧管理平台包括分析单元、序列挖掘单元、拓扑单元和执行单元；
所述分析单元，用于采用已知攻击模式对安全告警数据进行关联分析；
所述序列挖掘单元，用于采用已知攻击模式对安全告警数据进行序列挖掘；
所述拓扑单元，用于自动确定参与联动防御的网络安全设备；
所述执行单元，用于向选定的网络安全设备下发防御规则。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110753505.5A CN113315666A (zh) | 2021-07-02 | 2021-07-02 | 一种面向信息网络安全的防御控制方法及系统 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202110753505.5A CN113315666A (zh) | 2021-07-02 | 2021-07-02 | 一种面向信息网络安全的防御控制方法及系统 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN113315666A true CN113315666A (zh) | 2021-08-27 |
Family
ID=77381054
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202110753505.5A Pending CN113315666A (zh) | 2021-07-02 | 2021-07-02 | 一种面向信息网络安全的防御控制方法及系统 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN113315666A (zh) |
Cited By (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114205169A (zh) * | 2021-12-20 | 2022-03-18 | 上海纽盾科技股份有限公司 | 网络安全防御方法、装置及系统 |
| CN114301712A (zh) * | 2021-12-31 | 2022-04-08 | 西安交通大学 | 一种基于图方法的工业互联网告警日志关联分析方法及系统 |
| CN114629715A (zh) * | 2022-03-31 | 2022-06-14 | 张绍辉 | 一种基于大数据的网络安全防护方法及系统 |
| CN115174233A (zh) * | 2022-07-08 | 2022-10-11 | 广东瑞普科技股份有限公司 | 基于大数据的网络安全分析方法、设备、系统及介质 |
Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106411562A (zh) * | 2016-06-17 | 2017-02-15 | 全球能源互联网研究院 | 一种电力信息网络安全联动防御方法及系统 |
| CN109302380A (zh) * | 2018-08-15 | 2019-02-01 | 全球能源互联网研究院有限公司 | 一种安全防护设备联动防御策略智能决策方法及系统 |
| US20190098027A1 (en) * | 2016-12-14 | 2019-03-28 | Ping An Technology(Shenzhen) Co., Ltd. | Joint defence method and apparatus for network security, and server and storage medium |
| CN109587174A (zh) * | 2019-01-10 | 2019-04-05 | 广东电网有限责任公司信息中心 | 用于网络防护的协同防御方法和系统 |
-
2021
- 2021-07-02 CN CN202110753505.5A patent/CN113315666A/zh active Pending
Patent Citations (4)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN106411562A (zh) * | 2016-06-17 | 2017-02-15 | 全球能源互联网研究院 | 一种电力信息网络安全联动防御方法及系统 |
| US20190098027A1 (en) * | 2016-12-14 | 2019-03-28 | Ping An Technology(Shenzhen) Co., Ltd. | Joint defence method and apparatus for network security, and server and storage medium |
| CN109302380A (zh) * | 2018-08-15 | 2019-02-01 | 全球能源互联网研究院有限公司 | 一种安全防护设备联动防御策略智能决策方法及系统 |
| CN109587174A (zh) * | 2019-01-10 | 2019-04-05 | 广东电网有限责任公司信息中心 | 用于网络防护的协同防御方法和系统 |
Cited By (7)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN114205169A (zh) * | 2021-12-20 | 2022-03-18 | 上海纽盾科技股份有限公司 | 网络安全防御方法、装置及系统 |
| CN114205169B (zh) * | 2021-12-20 | 2023-09-08 | 上海纽盾科技股份有限公司 | 网络安全防御方法、装置及系统 |
| CN114301712A (zh) * | 2021-12-31 | 2022-04-08 | 西安交通大学 | 一种基于图方法的工业互联网告警日志关联分析方法及系统 |
| CN114301712B (zh) * | 2021-12-31 | 2023-04-07 | 西安交通大学 | 一种基于图方法的工业互联网告警日志关联分析方法及系统 |
| CN114629715A (zh) * | 2022-03-31 | 2022-06-14 | 张绍辉 | 一种基于大数据的网络安全防护方法及系统 |
| CN115174233A (zh) * | 2022-07-08 | 2022-10-11 | 广东瑞普科技股份有限公司 | 基于大数据的网络安全分析方法、设备、系统及介质 |
| CN115174233B (zh) * | 2022-07-08 | 2024-03-26 | 广东瑞普科技股份有限公司 | 基于大数据的网络安全分析方法、设备、系统及介质 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN106411562B (zh) | 一种电力信息网络安全联动防御方法及系统 | |
| Kholidy et al. | CIDS: A framework for intrusion detection in cloud systems | |
| CN106790186B (zh) | 基于多源异常事件关联分析的多步攻击检测方法 | |
| CN113315666A (zh) | 一种面向信息网络安全的防御控制方法及系统 | |
| Xu et al. | Alert correlation through triggering events and common resources | |
| US7197762B2 (en) | Method, computer readable medium, and node for a three-layered intrusion prevention system for detecting network exploits | |
| CN1841397B (zh) | 聚合计算机系统的知识库以主动保护计算机免受恶意软件侵害 | |
| Jansen et al. | Mobile agents in intrusion detection and response | |
| Sandhu et al. | A survey of intrusion detection & prevention techniques | |
| CN110602042B (zh) | 基于级联攻击链模型的apt攻击行为分析检测方法及装置 | |
| Ramachandran et al. | A P2P intrusion detection system based on mobile agents | |
| Hegazy et al. | A multi-agent based system for intrusion detection | |
| EP3623983A1 (en) | Method and device for identifying security threats, storage medium, processor and terminal | |
| CN113411295A (zh) | 基于角色的访问控制态势感知防御方法及系统 | |
| KR100332891B1 (ko) | 분산 침입 탐지 에이전트를 기반으로 한 지능형 침입탐지시스템 | |
| CN113794590B (zh) | 处理网络安全态势感知信息的方法、装置及系统 | |
| Zhai et al. | Integrating IDS alert correlation and OS-level dependency tracking | |
| CN113660222A (zh) | 基于强制访问控制的态势感知防御方法及系统 | |
| Jaiganesh et al. | An efficient algorithm for network intrusion detection system | |
| CN113132335A (zh) | 一种虚拟变换系统、方法及网络安全系统与方法 | |
| KR102131496B1 (ko) | 보안 문제의 근본적인 원인 제공을 위한 보안 출처 제공 시스템 및 그 방법 | |
| CN106878338B (zh) | 远动设备网关防火墙一体机系统 | |
| KR20130033161A (ko) | 클라우드 컴퓨팅 서비스에서의 침입 탐지 시스템 | |
| KR101518233B1 (ko) | 기업 내부 전산환경의 위협탐지를 위한 보안 장치 | |
| Salim et al. | Improving the quality of alerts with correlation in intrusion detection |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| WD01 | Invention patent application deemed withdrawn after publication |
Application publication date: 20210827 |
|
| WD01 | Invention patent application deemed withdrawn after publication |