CN114844765B - 一种网络安全监测方法、终端设备及存储介质 - Google Patents

Abstract

本发明涉及一种网络安全监测方法、终端设备及存储介质，该方法中包括：S1：通过NIFI构建网络安全监测领域包含的单元逻辑并组成单元逻辑库；S2：基于单元逻辑库，根据网络安全监测事件类型的不同构建对应的剧本；S3：根据剧本运行时输出的数据得到网络安全监测结果。本发明解决了面对传统的SIEM产生的海量数据处理时计算慢、耗时久、效率低、协作难的问题，支持海量告警。

Description

一种网络安全监测方法、终端设备及存储介质

技术领域

本发明涉及网络安全领域，尤其涉及一种网络安全监测方法、终端设备及存储介质。

背景技术

随着人工智能、大数据、5G等新兴技术的发展，企业面临的网络安全威胁日益增加。网络风险的升级，人们都对该风险愈加关注。面对成千上万的攻击告警，一方面是威胁处置需要不同的安全设备之间的协同联动，依靠人工操作耗时费力；另一方面是响应人员匮乏，技能水平受困于重复性劳动难以提升，而优秀的工程师的经验也难以形成标准化的流程和动作，安全和运维之间的安全能力融合不充分、海量告警疲于应对，因此建立起一个行之有效的安全运行体系，从发现威胁到处置威胁具有重要的意义。

传统的安全监测及响应的处理方案都是默认逻辑处理及人工响应，依靠人工操作显然耗时费力，采用默认逻辑方式来处理攻击威胁在目前应急场景下显得力不从心，尤其当告警数据量达到TB，甚至PB、ZB级别时，人工处理效率非常低下。而且目前市面的SOAR产品大部分只能基于自家SIEM之上，兼容性较差，处理效率过低，具体不足如下：

1)人工效率低，造成海量告警响应时间长；

2)缺乏应急场景下的协作功能；

3)无法应对不同应急场景下的需求；

4)无法兼容多种安全监测任务；

5)由于编排场景不灵活，造成后期维护成本较高；

6)无法处理大规模数据场景。

发明内容

为了解决上述问题，本发明提出了一种网络安全监测方法、终端设备及存储介质。

具体方案如下：

一种网络安全监测方法，包括以下步骤：

S1：通过NIFI构建网络安全监测领域包含的单元逻辑并组成单元逻辑库；

S2：基于单元逻辑库，根据网络安全监测事件类型的不同构建对应的剧本；

每个剧本的构建过程包括：从单元逻辑库中按照该剧本对应类型的网络安全监测事件的执行流程依次选择需要的单元逻辑添加至NIFI的可视化界面的画布内，并配置添加的单元逻辑对应的参数，当添加完一个单元逻辑后，添加该单元逻辑与其他已添加单元逻辑之间的连线逻辑关系；连线逻辑关系包括单元逻辑之间的数据流动方向和单元逻辑之间数据流动的条件；

S3：根据剧本运行时输出的数据得到网络安全监测结果。

进一步的，单元逻辑的参数类型包括基础设置参数、调度设置参数和属性设置参数。

进一步的，单元逻辑包括数据源模块、分析模块、响应模块和逻辑模块四种类型。

进一步的，所有剧本运行时输出的数据可以通过可视化图表进行展示。

一种网络安全监测终端设备，包括处理器、存储器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本发明实施例上述的方法的步骤。

一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现本发明实施例上述的方法的步骤。

本发明采用如上技术方案，并具有有益效果：

1)解决了面对传统的SIEM产生的海量数据处理时计算慢、耗时久、效率低、协作难的问题，支持海量告警。

2)基于NIFI下扩展的逻辑库可并行处理大数据量，提升数据处理速度,丰富的可扩展的单元逻辑库，可覆盖主流数据消息源接入，可支撑多样的应急场景。

3)分散的安全能力和响应的过程标准化，形成能随时调用的剧本库和应用库，实现团队、工具和流程的整合与协同联动，减少人工干预。

4)流程自动化能够通过自动化告警处置、自动化剧本执行、自动化服务调用等功能，让安全能力自动化执行。

附图说明

图1所示为本发明实施例一的流程图。

图2所示为该实施例中剧本示意图。

图3所示为该实施例中啸天内部数据源的参数配置界面示意图。

图4所示为该实施例中规则新增界面示意图。

图5所示为该实施例中查询微步在线的参数配置界面示意图。

图6所示为该实施例中连线逻辑关系的配置界面示意图。

具体实施方式

为进一步说明各实施例，本发明提供有附图。这些附图为本发明揭露内容的一部分，其主要用以说明实施例，并可配合说明书的相关描述来解释实施例的运作原理。配合参考这些内容，本领域普通技术人员应能理解其他可能的实施方式以及本发明的优点。

现结合附图和具体实施方式对本发明进一步说明。

实施例一：

本发明实施例提供了一种网络安全监测方法，如图1所示，其为本发明实施例所述的网络安全监测方法的流程图，所述方法包括以下步骤：

S1：通过NIFI构建网络安全监测领域包含的单元逻辑并组成单元逻辑库。

单元逻辑通过NIFI API(应用)进行二次开发获得，在NIFI API的二次开发下，单元逻辑被封装成nar包，并部署至服务器上。

在构建单元逻辑时需要设定每个单元逻辑包含的参数类型和每个参数类型包含的参数内容，如该实施例中设定参数类型包括基础设置参数、调度设置参数、属性设置参数等，基础设置参数的参数内容包括自定义节点、日志级别、流转关系、节点有效设置等；调度设置参数的参数内容包括调度模式(定时模式和CRON表达式)、并行参数等。属性设置参数依据单元逻辑输入，支持自定义规则创建输入，不同单元逻辑属性设置略有不同，以上列为通用配置。

该实施例中构建的单元逻辑包括数据源模块、分析模块、响应模块和逻辑模块四种类型。其中，数据源模块对应的单元逻辑包括态势感知内部数据源、模拟数据源、第三方数据源等，分析模块对应的单元逻辑包括资产信息查询、安全事件查询、应急漏洞、漏洞信息、第三方安全信息查询等，响应模块对应的单元逻辑包括网络侧安全访问策略、主机侧安全访问策略、联动处置策略、邮件告警、短信告警等，逻辑模块对应的单元逻辑包括选择逻辑、判断逻辑、通用逻辑等。

S2：基于单元逻辑库，根据网络安全监测事件类型的不同构建对应的剧本。

由于在网络安全监测中往往需要对多种类型(如受到攻击、有病毒木马、磁盘满、匹配某种格式数据等)的网络安全监测事件进行同时监测，不同类型的网络安全监测事件具有不同的执行流程，即应对应不同的单元逻辑组合，因此，该实施例中针对每种类型的网络安全监测事件均构建对应的剧本，用于得到每种类型的网络安全监测事件的监测结果。

每个剧本的构建过程包括：从单元逻辑库中按照该剧本对应类型的网络安全监测事件的执行流程依次选择需要的单元逻辑添加至NIFI的可视化界面的画布内，并配置添加的单元逻辑对应的参数，当添加完一个单元逻辑后，添加该单元逻辑与其他已添加单元逻辑之间的连线逻辑关系。连线逻辑关系包括单元逻辑之间的数据流动方向和单元逻辑之间数据流动的条件。

下面以钓鱼邮件处置类型的剧本构建为例进行说明。如图2所示，在NIFI的可视化WEB界面中新建剧本，并命名为“钓鱼邮件处置剧本”，创建完成后页面跳转至剧本可视化拖拉画布，画布内先拖拉第一个单元逻辑(即编排起点)作为该剧本起点，然后拖拉数据源模块中的‘啸天内部数据源’作为该剧本的数据来源，拖拉到画布会弹出如图3所示的参数配置界面，包括基础设置参数、调度设置参数和属性设置参数三个子界面配置项，点击属性设置子界面，设定其中的数据源类型属性的属性值为安全事件，环境属性的属性值为生产环境，针对数据过滤规则属性可以通过如图4所示的规则新增界面来添加可选规则作为数据过滤规则属性的属性值，图4中需要选择字段、条件(正则、包含、大于等逻辑)、匹配值等条件做为规则、多个条件需对条件做逻辑关系。数据源配置完成后会调用NIFI API在NIFI服务器上创建逻辑单元实例。之后拖拉下一个单元逻辑，即分析模块中的‘查询微步在线’单元逻辑至画布中，弹出如图5所示的参数配置界面，对其中的属性设置参数进行配置(即查询动作(ip分析、域名分析、信誉分析等)、结果字段、查询字段等)。配置完该单元逻辑后，添加‘啸天内部数据源’单元逻辑与‘查询微步在线’单元逻辑之间的连线逻辑关系，连线逻辑关系的配置界面如图6所示，其属性包括连线ID、源节点、目标节点和源节点到目标节点的关系(即源节点到目标节点数据流动的条件)。连线逻辑关系添加并配置完成后，‘啸天内部数据源’单元逻辑中满足配置的源节点到目标节点的关系条件的数据流向‘查询微步在线’单元逻辑。之后基于上述相同的方式依次添加‘选择逻辑’、‘联动啸天态势安全处置’、‘联动云眼处置恶意文件’和‘编排终点’四个单元逻辑，并添加单元逻辑之间的连线逻辑关系，‘编排终点’单元逻辑输出结果数据。

S3：根据剧本运行时输出的数据得到网络安全监测结果。

在实际应用过程中，可以根据接收到的网络安全监测事件类型的自动调用对应的剧本得到对应的结果。类型包括网页后门、反弹shell、钓鱼邮件攻击、SQL注入攻击、XSS注入、漏洞攻击等。

所有剧本运行时输出的数据可以通过可视化图表进行展示，从可视化图标中用户可以从多种维度(如告警等级、类型、响应时间、处置状态)直观查看网络安全监测结果，为企业的网络安全提供数据依据。

进一步的，该实施例中还包括通过审计日志记录剧本运行过程中各单元逻辑的数据处理过程，审计日志内容包括单元逻辑、剧本、数据唯一编号、时间等信息，可以用于问题的追踪溯源，同时可以对单元逻辑数据的状态进行追踪。

本发明实施例采用NIFI为底层作为数据处理及分发，类型丰富单元逻辑库，单元逻辑可视化参数化，可视化编排WEB界面应对不同场景下的应急需求场景，实时操作日志审计监控实现安全分析、单元逻辑事件追踪。

采用本实施例方法后，既可以独立部署也可以与SOC等设备联动部署，功能、性能更具优势，能够将安全团队、工具和流程真正整合，可以减少大量的运维人员的工作量及成本。无需开发人员的参与，只需要运维人员通过可视化界面创建剧本拖拽单元逻辑即可完成对海量告警数据进行流程化处理，事件自动响应快速处置、事后复盘总结积累经验，全方位提升实战化、体系化、常态化安全运行水平，可以大大的降低后期的运维成本，以及减少因系统变动而引入的问题。

实施例二：

本发明还提供一种网络安全监测终端设备，包括存储器、处理器以及存储在所述存储器中并可在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现本发明实施例一的上述方法实施例中的步骤。

进一步地，作为一个可执行方案，所述网络安全监测终端设备可以是桌上型计算机、笔记本、掌上电脑及云端服务器等计算设备。所述网络安全监测终端设备可包括，但不仅限于，处理器、存储器。本领域技术人员可以理解，上述网络安全监测终端设备的组成结构仅仅是网络安全监测终端设备的示例，并不构成对网络安全监测终端设备的限定，可以包括比上述更多或更少的部件，或者组合某些部件，或者不同的部件，例如所述网络安全监测终端设备还可以包括输入输出设备、网络接入设备、总线等，本发明实施例对此不做限定。

进一步地，作为一个可执行方案，所称处理器可以是中央处理单元(CentralProcessing Unit，CPU)，还可以是其他通用处理器、数字信号处理器(Digital SignalProcessor，DSP)、专用集成电路(Application Specific Integrated Circuit，ASIC)、现场可编程门阵列(Field-Programmable Gate Array，FPGA)或者其他可编程逻辑器件、分立门或者晶体管逻辑器件、分立硬件组件等。通用处理器可以是微处理器或者该处理器也可以是任何常规的处理器等，所述处理器是所述网络安全监测终端设备的控制中心，利用各种接口和线路连接整个网络安全监测终端设备的各个部分。

所述存储器可用于存储所述计算机程序和/或模块，所述处理器通过运行或执行存储在所述存储器内的计算机程序和/或模块，以及调用存储在存储器内的数据，实现所述网络安全监测终端设备的各种功能。所述存储器可主要包括存储程序区和存储数据区，其中，存储程序区可存储操作系统、至少一个功能所需的应用程序；存储数据区可存储根据手机的使用所创建的数据等。此外，存储器可以包括高速随机存取存储器，还可以包括非易失性存储器，例如硬盘、内存、插接式硬盘，智能存储卡(Smart Media Card,SMC)，安全数字(Secure Digital,SD)卡，闪存卡(Flash Card)、至少一个磁盘存储器件、闪存器件、或其他易失性固态存储器件。

本发明还提供一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，所述计算机程序被处理器执行时实现本发明实施例上述方法的步骤。

所述网络安全监测终端设备集成的模块/单元如果以软件功能单元的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。基于这样的理解，本发明实现上述实施例方法中的全部或部分流程，也可以通过计算机程序来指令相关的硬件来完成，所述的计算机程序可存储于一计算机可读存储介质中，该计算机程序在被处理器执行时，可实现上述各个方法实施例的步骤。其中，所述计算机程序包括计算机程序代码，所述计算机程序代码可以为源代码形式、对象代码形式、可执行文件或某些中间形式等。所述计算机可读介质可以包括：能够携带所述计算机程序代码的任何实体或装置、记录介质、U盘、移动硬盘、磁碟、光盘、计算机存储器、只读存储器(ROM，Read-Only Memory)、随机存取存储器(RAM，Random Access Memory)以及软件分发介质等。

尽管结合优选实施方案具体展示和介绍了本发明，但所属领域的技术人员应该明白，在不脱离所附权利要求书所限定的本发明的精神和范围内，在形式上和细节上可以对本发明做出各种变化，均为本发明的保护范围。

Claims (4)

1.一种网络安全监测方法，其特征在于，包括以下步骤：

S1：通过NIFI构建网络安全监测领域包含的单元逻辑并组成单元逻辑库；单元逻辑的参数类型包括基础设置参数、调度设置参数和属性设置参数；单元逻辑包括数据源模块、分析模块、响应模块和逻辑模块四种类型；

S2：基于单元逻辑库，根据网络安全监测事件类型的不同构建对应的剧本；

每个剧本的构建过程包括：从单元逻辑库中按照该剧本对应类型的网络安全监测事件的执行流程依次选择需要的单元逻辑添加至NIFI的可视化界面的画布内，并配置添加的单元逻辑对应的参数，当添加完一个单元逻辑后，添加该单元逻辑与其他已添加单元逻辑之间的连线逻辑关系；连线逻辑关系包括单元逻辑之间的数据流动方向和单元逻辑之间数据流动的条件；各模块拖拉到画布后弹出的参数配置界面中包括基础设置参数、调度设置参数和属性设置参数三个子界面配置项；其中，数据源模块的属性设置参数子界面内包括数据源类型属性、环境属性和数据过滤规则属性，数据过滤规则属性通过规则新增界面来添加可选规则作为数据过滤规则属性的属性值；分析模块的属性设置参数子界面内包括查询动作、结果字段和查询字段；

S3：根据剧本运行时输出的数据得到网络安全监测结果。

2.根据权利要求1所述的网络安全监测方法，其特征在于：所有剧本运行时输出的数据可以通过可视化图表进行展示。

3.一种网络安全监测终端设备，其特征在于：包括处理器、存储器以及存储在所述存储器中并在所述处理器上运行的计算机程序，所述处理器执行所述计算机程序时实现如权利要求1～2中任一所述方法的步骤。

4.一种计算机可读存储介质，所述计算机可读存储介质存储有计算机程序，其特征在于：所述计算机程序被处理器执行时实现如权利要求1～2中任一所述方法的步骤。