CN113852640B - 一种基于rpa的网络安全自动防御系统 - Google Patents

Abstract

本发明提供一种基于RPA的网络安全自动防御系统，涉及网络安全技术领域，包括：数据接收模块，用于接收指定源地址的安全信息；规则分析模块，采用安全分析规则对安全信息进行分析并输出分析结果；执行处理模块，用于当分析结果表示指定源地址的安全信息触发安全分析规则时，生成调用指令并输出；业务对接模块，用于接收调用指令并调用安全防御设备进行封禁；数据存储模块，用于存储安全信息、操作信息并作为结构化数据库；RPA机器人管理模块，用于进行自动化控制。有益效果是本系统使用RPA流程自动封禁，加快封禁和事件处理速度，自动记录相关流程和步骤，自动同步配置信息，减少误封漏封的可能性，具备一键封禁、定时解封、快速解封功能。

Description

一种基于RPA的网络安全自动防御系统

技术领域

本发明涉及网络安全技术领域，尤其涉及一种基于RPA的网络安全自动防御系统。

背景技术

网络安全自动防御系统在日常网络安全场景中，用于检测具有恶意行为的IP地址并使用防火墙、IDS/IPS、WAF、SOC、SIEM、负载均衡、应用安全网关等产品和技术手段进行网络安全防御，通过封禁恶意IP地址可以有效的降低恶意攻击行为带来的安全风险。

现有技术和设备封禁IP人工介入多，处理时间长，效率不高，封禁IP过程需要大量工作记录，可能造成历史追溯较难；封禁IP后需要手动进行配置信息同步和变更流程记录，容易出错，易出现“误封”和“漏封”现象；没有对IP地址或域名进行一键封禁和快速解封的功能，设备如短时间内进行大量封禁IP，可能造成设备能力下降，增加网络延时的问题；设备本身在处理大量历史封禁处理列表时，可能会影响正常访问受限，设备性能也有可能收到影响，且动态维护封禁列表是一项复杂的工作，封禁列表无法有效及时更新，影响正常访问；设备封禁进行一段时间以后，封禁垃圾策略越来越多，没有定时解封功能，需要人工进行统计和解封。

发明内容

针对现有技术中存在的问题，本发明提供一种基于RPA的网络安全自动防御系统，包括：

一数据接收模块，用于接收至少一指定源地址的安全信息；

一规则分析模块，连接数据接收模块，规则分析模块采用预先设定的安全分析规则对安全信息进行分析，并输出分析结果；

一执行处理模块，连接规则分析模块，用于当分析结果表示对应的指定源地址的安全信息触发安全分析规则时，生成对应的调用指令并输出；

一业务对接模块，连接执行处理模块，用于接收调用指令并分别调用对应的安全防御设备，对触发安全分析规则的指定源地址进行封禁；

一数据存储模块，分别连接数据接收模块、规则分析模块、执行处理模块和业务对接模块，用于存储安全信息、网络安全自动防御系统运行过程中产生的操作信息，并作为网络安全自动防御系统的结构化数据库；

一RPA机器人管理模块，分别连接数据接收模块、规则分析模块、执行处理模块、业务对接模块和数据存储模块，用于对数据接收模块、规则分析模块、执行处理模块、业务对接模块和数据存储模块进行自动化控制。

优选的，数据接收模块包括：

一日志接收单元，用于接收指定源地址产生的安全设备日志并包含在安全信息中输出；

一告警采集单元，用于接收外部的安全管理中心针对指定源地址的告警信息并包括在安全信息中输出；

一配置采集单元，用于接收外部的安全设备实时更新的黑白名单信息，并发送至规则分析模块，以包括在安全分析规则中；

一情报采集单元，用于接收预设的威胁情报信息，并发送至规则分析模块，以构建威胁情报库并包括在安全分析规则中。

优选的，告警信息包括指定源地址以及安全管理中心对指定源地址的告警次数。

优选的，规则分析模块包括：

一黑白名单检测单元，用于优先检测指定源地址是否匹配于黑白名单信息，当指定源地址匹配于黑白名单信息的白名单时，将指定源地址发送至数据存储模块进行存储，以及当指定源地址属于黑白名单信息的黑名单时，得到一第一分析结果并输出；

一RPA规则单元，用于当告警信息触发安全分析规则中的告警次数时，得到一第二分析结果并输出；

一威胁情报检测单元，用于在构建威胁情报库后，检测指定源地址的安全信息是否匹配于威胁情报库，当安全信息匹配于威胁情报库时，进一步检测安全信息所匹配的威胁情报类别，并将检测得到的威胁情报类别作为第三分析结果并输出；

则分析结果中包括第一分析结果、第二分析结果以及第三分析结果中的至少一个。

优选的，执行处理模块包括：

一封禁单元，用于接收分析结果处理得到用于指示封禁对应的指定源地址的调用指令并输出；

一防呆单元，连接封禁单元，用于统计同一时间产生的封禁操作的数量，当封禁操作的数量大于一预设的阈值时，控制封禁单元停止产生调用指令，并直接将分析结果发送至连接业务对接模块的一告警单元；

一解除单元，用于接收外部的一网络运行中心下发的解除指令触发解除操作，以解除被封禁的对应的指定源地址。

优选的，执行处理模块还连接各个安全防御设备，并包括：

一封禁管理单元，封禁管理单元中预设并维护一封禁管理表格，封禁管理表格中包括各个被封禁的指定源地址以及每个指定源地址的封禁时间，封禁管理单元定期依据各个安全防御设备对封禁管理表格进行管理；

一指令生成单元，连接封禁管理单元，用于依据封禁管理表格，在指定源地址的封禁时间到期时生成一解除封禁指令并输出；

一封禁解除单元，连接指令生成单元，用于根据解除封禁指令调用对应的安全防御设备，对指定源地址进行解除封禁操作。

优选的，业务对接模块分别连接安全管理中心、网络运行中心、各安全防御设备和一流程控制系统，业务对接模块包括：

一API发送单元，用于接收调用指令并调用对应的安全防御设备对指定源地址进行封禁操作，当安全防御设备封禁对应的指定源地址时，得到一封禁结果并输出；

一告警单元，连接API发送单元，用于接收封禁结果并将封禁结果发送至安全管理中心进行展示告警；

一工单单元，用于将对指定源地址执行封禁操作的过程中产生的流程信息发送至流程控制系统进行同步更新。

优选的，业务对接模块还包括一人工处理界面，连接网络运行中心，用于接收网络运行中心输出的一处理指令并根据处理指令调用执行处理模块的相应单元进行处理。

优选的，业务对接模块还包括一系统监控单元，用于监测数据接收模块、规则分析模块、执行处理模块、业务对接模块、数据存储模块和RPA机器人管理模块的运行状态。

优选的，数据存储模块包括：

一Mysql存储单元，用于构建网络安全自动防御系统的结构化数据库；

一Redis缓存单元，用于存储各指定源地址的安全信息；

一日志存储单元,用于存储网络安全自动防御系统运行过程中产生的操作信息。

上述技术方案具有如下优点或有益效果：本系统使用RPA流程自动封禁，加快封禁和事件处理速度，自动记录相关流程和步骤，自动同步配置信息，减少误封漏封的可能性，具备一键封禁、定时解封、快速解封功能。

附图说明

图1为本发明的较佳的实施例中，本系统的结构原理图。

具体实施方式

下面结合附图和具体实施例对本发明进行详细说明。本发明并不限定于该实施方式，只要符合本发明的主旨，则其他实施方式也可以属于本发明的范畴。

本发明的较佳的实施例中，基于现有技术中存在的上述问题，现提供一种基于RPA的网络安全自动防御系统，如图1所示，包括：

一数据接收模块1，用于接收至少一指定源地址的安全信息；

一规则分析模块2，连接数据接收模块1，规则分析模块2采用预先设定的安全分析规则对安全信息进行分析，并输出分析结果；

一执行处理模块3，连接规则分析模块2，用于当分析结果表示对应的指定源地址的安全信息触发安全分析规则时，生成对应的调用指令并输出；

一业务对接模块4，连接执行处理模块3，用于接收调用指令并分别调用对应的安全防御设备，对触发安全分析规则的指定源地址进行封禁；

一数据存储模块5，分别连接数据接收模块1、规则分析模块2、执行处理模块3和业务对接模块4，用于存储安全信息、网络安全自动防御系统运行过程中产生的操作信息，并作为网络安全自动防御系统的结构化数据库；

一RPA机器人管理模块6，分别连接数据接收模块1、规则分析模块2、执行处理模块3、业务对接模块4和数据存储模块5，用于对数据接收模块1、规则分析模块2、执行处理模块3、业务对接模块4和数据存储模块5进行自动化控制。

具体地，本实施例中，本系统使用RPA机器人管理模块6完成自动化流程的设置，对数据接收模块1、规则分析模块2、执行处理模块3和业务对接模块4进行全流程的自定义接收、分析、执行封禁、一键解除、API对接等操作，加快封禁和事件处理速度，并且在系统运行的过程中通过数据存储模块5自动记录相关流程和步骤，方便后续进行查看和追溯。

本发明的较佳的实施例中，数据接收模块1包括：

一日志接收单元11，用于接收指定源地址产生的安全设备日志并包含在安全信息中输出；

一告警采集单元12，用于接收外部的安全管理中心针对指定源地址的告警信息并包括在安全信息中输出；

一配置采集单元13，用于接收外部的安全设备实时更新的黑白名单信息，并发送至规则分析模块2，以包括在安全分析规则中；

一情报采集单元14，用于接收预设的威胁情报信息，并发送至规则分析模块2，以构建威胁情报库并包括在安全分析规则中。

本发明的较佳的实施例中，告警信息包括指定源地址以及安全管理中心对指定源地址的告警次数。

本发明的较佳的实施例中，规则分析模块2包括：

一黑白名单检测单元21，用于优先检测指定源地址是否匹配于黑白名单信息，当指定源地址匹配于黑白名单信息的白名单时，将指定源地址发送至数据存储模块5进行存储，以及当指定源地址属于黑白名单信息的黑名单时，得到一第一分析结果并输出；

一RPA规则单元22，用于当告警信息触发安全分析规则中的告警次数时，得到一第二分析结果并输出；

一威胁情报检测单元23，用于在构建威胁情报库后，检测指定源地址的安全信息是否匹配于威胁情报库，当安全信息匹配于威胁情报库时，进一步检测安全信息所匹配的威胁情报类别，并将检测得到的威胁情报类别作为第三分析结果并输出；

则分析结果中包括第一分析结果、第二分析结果以及第三分析结果中的至少一个。

具体地，本实施例中，安全分析规则包括指定源地址、设备类型、告警等级、告警次数以及自定义字段等内容，规则分析模块2还可以增加一扩展单元，后期进行功能扩展，如增加AI分析模块等。

本发明的较佳的实施例中，执行处理模块3包括：

一封禁单元31，用于接收分析结果处理得到用于指示封禁对应的指定源地址的调用指令并输出；

一防呆单元32，连接封禁单元31，用于统计同一时间产生的封禁操作的数量，当封禁操作的数量大于一预设的阈值时，控制封禁单元31停止产生调用指令，并直接将分析结果发送至连接业务对接模块4的一告警单元42；

一解除单元33，用于接收外部的一网络运行中心下发的解除指令触发解除操作，以解除被封禁的对应的指定源地址。

本发明的较佳的实施例中，执行处理模块3还连接各个安全防御设备，并包括：

一封禁管理单元34，封禁管理单元34中预设并维护一封禁管理表格，封禁管理表格中包括各个被封禁的指定源地址以及每个指定源地址的封禁时间，封禁管理单元34定期依据各个安全防御设备对封禁管理表格进行管理；

一指令生成单元35，连接封禁管理单元34，用于依据封禁管理表格，在指定源地址的封禁时间到期时生成一解除封禁指令并输出；

一封禁解除单元36，连接指令生成单元35，用于根据解除封禁指令调用对应的安全防御设备，对指定源地址进行解除封禁操作。

具体地，本实施例中，封禁管理表格包括指定源地址封禁时间、指定源地址数据来源(安全防御设备、安全管理中心、人工等)、自动解除时间、解禁设备等，封禁管理表格具备由网络运行中心解除的功能。

本发明的较佳的实施例中，业务对接模块4分别连接安全管理中心、网络运行中心、各安全防御设备和一流程控制系统，业务对接模块4包括：

一API发送单元41，用于接收调用指令并调用对应的安全防御设备对指定源地址进行封禁操作，当安全防御设备封禁对应的指定源地址时，得到一封禁结果并输出；

一告警单元42，连接API发送单元41，用于接收封禁结果并将封禁结果发送至安全管理中心进行展示告警；

一工单单元43，用于将对指定源地址执行封禁操作的过程中产生的流程信息发送至流程控制系统进行同步更新。

具体地，本实施例中，安全防御设备包括防火墙、WAF、IPS和网关，本系统进行自动封禁的步骤S1包括：

步骤S11.自定义RPA安全分析规则，包括：

RPA检测规则：安全管理中心10分钟内告警同一IP地址出现高危攻击告警30次以上，自动发送到规则分析模块2进行检测；

RPA封禁规则：调用防火墙API接口等形式，对此IP地址进行自动封禁，即加入防火墙黑名单，将次IP地址加入预定义的防火墙策略组中，禁止访问7天；

步骤S12.接收安全管理中心和告警信息，告警信息显示某IP地址出现高危攻击告警30次，该地址为非直接封禁的IP地址，检测是否匹配企业内部黑白名单；

步骤S13.该地址未匹配企业内部黑白名单时，将此告警信息匹配RPA安全分析规则并发送至执行处理模块3，执行处理模块3检测是否命中防呆机制，并未命中防呆机制时，启动封禁单元31，发送调用防火墙API指令；

步骤S14.调用防火墙API执行相关封禁动作，同时查询此地址的封禁结果，将查询后的封禁结果发送至告警单元42和数据存储模块5；

步骤S15.将封禁结果同步至流程控制系统，对操作过程中产生的流程信息进行同步更新，将封禁结果发送至安全管理中心进行展示和告警。

具体地，本实施例中，根据威胁情报信息进行自动封禁的步骤S2包括：

S21.情报采集单元14接收到威胁情报信息，威胁情报信息显示某IP地址被多家厂商确定为恶意IP地址，同时评分为高危；

S22.查询威胁情报信息是否匹配威胁情报库，匹配到威胁情报库时，发送至封禁单元31；

S23.查询威胁情报信息为主动攻击类威胁情报或主动防御类威胁情报，确定为主动攻击类威胁情报时，调用防火墙、IPS等进行入向封禁，确定为主动防御类威胁情报时，调用防火墙、网关等进行出方向封禁。

具体地，本实施例中，本系统进行自动解封的步骤S3包括：

S31.数据存储模块5将封禁数据发送至封禁管理单元34，查询是否到期；

S32.封禁管理单元34通过封禁管理表格查询到已到期时，利用指令生成单元35输出解除封禁指令，封禁解除单元36根据解除封禁指令调用防火墙执行解封操作；

S33.将解封结果发送至告警单元42、数据存储模块5，将解封结果同步至流程控制系统，对操作过程中产生的流程信息进行同步更新，将解封结果发送至安全管理中心进行展示和告警。

本发明的较佳的实施例中，业务对接模块4还包括一人工处理界面44，连接网络运行中心，用于接收网络运行中心输出的一处理指令并根据处理指令调用执行处理模块3的相应单元进行处理。

具体地，本实施例中，通过网络运行中心进行一键自动封禁的步骤S4包括：

步骤S41.网络运行中心一线接到通知，需要对某IP地址进行一键自动封禁，网络运行中心一线调用人工处理界面44，输入某IP地址和时间等要素；

步骤S42.非查询操作时，直接进入黑白名单检测单元21，未查询到相关信息后，进入封禁单元31，封禁单元31将相关信息发送至API发送单元41进行接口调用，执行封禁；

步骤S43.将封禁结果发送至告警单元42和数据存储模块5，将封禁结果同步至流程控制系统，对操作过程中产生的流程信息进行同步更新，将封禁结果发送至安全管理中心进行展示和告警。

本发明的较佳的实施例中，业务对接模块4还包括一系统监控单元45，用于监测数据接收模块1、规则分析模块2、执行处理模块3、业务对接模块4、数据存储模块5和RPA机器人管理模块6的运行状态。

本发明的较佳的实施例中，数据存储模块5包括：

一Mysql存储单元51，用于构建网络安全自动防御系统的结构化数据库；

一Redis缓存单元52，用于存储各指定源地址的安全信息；

一日志存储单元53,用于存储网络安全自动防御系统运行过程中产生的操作信息。

以上所述仅为本发明较佳的实施例，并非因此限制本发明的实施方式及保护范围，对于本领域技术人员而言，应当能够意识到凡运用本说明书及图示内容所作出的等同替换和显而易见的变化所得到的方案，均应当包含在本发明的保护范围内。

Claims (8)

1.一种基于RPA的网络安全自动防御系统，其特征在于，包括:

一数据接收模块，用于接收至少一指定源地址的安全信息；

一规则分析模块，连接所述数据接收模块，所述规则分析模块采用预先设定的安全分析规则对所述安全信息进行分析，并输出分析结果；

一执行处理模块，连接所述规则分析模块，用于当所述分析结果表示对应的指定源地址的所述安全信息触发所述安全分析规则时，生成对应的调用指令并输出；

一业务对接模块，连接所述执行处理模块，用于接收所述调用指令并分别调用对应的安全防御设备，对触发所述安全分析规则的所述指定源地址进行封禁；

一数据存储模块，分别连接所述数据接收模块、所述规则分析模块、所述执行处理模块和所述业务对接模块，用于存储所述安全信息、所述网络安全自动防御系统运行过程中产生的操作信息，并作为所述网络安全自动防御系统的结构化数据库；

一RPA机器人管理模块，分别连接所述数据接收模块、所述规则分析模块、所述执行处理模块、所述业务对接模块和所述数据存储模块，用于对所述数据接收模块、所述规则分析模块、所述执行处理模块、所述业务对接模块和所述数据存储模块进行自动化控制；

所述执行处理模块包括：

一封禁单元，用于接收所述分析结果处理得到用于指示封禁对应的所述指定源地址的所述调用指令并输出；

一防呆单元，连接所述封禁单元，用于统计同一时间产生的所述封禁操作的数量，当所述封禁操作的数量大于一预设的阈值时，控制所述封禁单元停止产生所述调用指令，并直接将所述分析结果发送至连接所述业务对接模块的一告警单元；

一解除单元，用于接收外部的一网络运行中心下发的解除指令触发解除操作，以解除被封禁的对应的所述指定源地址；

所述执行处理模块还连接各个所述安全防御设备，并包括：

一封禁管理单元，所述封禁管理单元中预设并维护一封禁管理表格，所述封禁管理表格中包括各个被封禁的所述指定源地址以及每个所述指定源地址的封禁时间，所述封禁管理单元定期依据各个所述安全防御设备对所述封禁管理表格进行管理；

一指令生成单元，连接所述封禁管理单元，用于依据所述封禁管理表格，在所述指定源地址的所述封禁时间到期时生成一解除封禁指令并输出；

一封禁解除单元，连接所述指令生成单元，用于根据所述解除封禁指令调用对应的所述安全防御设备，对所述指定源地址进行解除封禁操作。

2.根据权利要求1所述的基于RPA的网络安全自动防御系统，其特征在于，所述数据接收模块包括：

一日志接收单元，用于接收所述指定源地址产生的安全设备日志并包含在所述安全信息中输出；

一告警采集单元，用于接收外部的安全管理中心针对所述指定源地址的告警信息并包括在所述安全信息中输出；

一配置采集单元，用于接收外部的安全设备实时更新的黑白名单信息，并发送至所述规则分析模块，以包括在所述安全分析规则中；

一情报采集单元，用于接收预设的威胁情报信息，并发送至所述规则分析模块，以构建威胁情报库并包括在所述安全分析规则中。

3.根据权利要求2所述的基于RPA的网络安全自动防御系统，其特征在于，所述告警信息包括所述指定源地址以及所述安全管理中心对所述指定源地址的告警次数。

4.根据权利要求3所述的基于RPA的网络安全自动防御系统，其特征在于，所述规则分析模块包括：

一黑白名单检测单元，用于优先检测所述指定源地址是否匹配于所述黑白名单信息，当所述指定源地址匹配于所述黑白名单信息的白名单时，将所述指定源地址发送至所述数据存储模块进行存储，以及当所述指定源地址属于所述黑白名单信息的黑名单时，得到一第一分析结果并输出；

一RPA规则单元，用于当所述告警信息触发所述安全分析规则中的告警次数时，得到一第二分析结果并输出；

一威胁情报检测单元，用于在构建所述威胁情报库后，检测所述指定源地址的所述安全信息是否匹配于所述威胁情报库，当所述安全信息匹配于所述威胁情报库时，进一步检测所述安全信息所匹配的威胁情报类别，并将检测得到的所述威胁情报类别作为第三分析结果并输出；

则所述分析结果中包括所述第一分析结果、所述第二分析结果以及所述第三分析结果中的至少一个。

5.根据权利要求2所述的基于RPA的网络安全自动防御系统，其特征在于，所述业务对接模块分别连接所述安全管理中心、所述网络运行中心、各所述安全防御设备和一流程控制系统，所述业务对接模块包括：

一API发送单元，用于接收所述调用指令并调用对应的所述安全防御设备对所述指定源地址进行封禁操作，当所述安全防御设备封禁对应的所述指定源地址时，得到一封禁结果并输出；

一告警单元，连接所述API发送单元，用于接收所述封禁结果并将所述封禁结果发送至所述安全管理中心进行展示告警；

一工单单元，用于将对所述指定源地址执行所述封禁操作的过程中产生的流程信息发送至所述流程控制系统进行同步更新。

6.根据权利要求5所述的基于RPA的网络安全自动防御系统，其特征在于，所述业务对接模块还包括一人工处理界面，连接所述网络运行中心，用于接收所述网络运行中心输出的一处理指令并根据所述处理指令调用所述执行处理模块的相应单元进行处理。

7.根据权利要求5所述的基于RPA的网络安全自动防御系统，其特征在于，所述业务对接模块还包括一系统监控单元，用于监测所述数据接收模块、所述规则分析模块、所述执行处理模块、所述业务对接模块、所述数据存储模块和所述RPA机器人管理模块的运行状态。

8.根据权利要求1所述的基于RPA的网络安全自动防御系统，其特征在于，所述数据存储模块包括：

一Mysql存储单元，用于构建所述网络安全自动防御系统的所述结构化数据库；

一Redis缓存单元，用于存储各指定源地址的所述安全信息；

一日志存储单元,用于存储所述网络安全自动防御系统运行过程中产生的操作信息。

Images