CN116155517A - 一种网络入侵检测及防护方法和系统 - Google Patents

Abstract

本发明提供了一种网络入侵检测及防护方法，所述方法包含以下步骤：基于通信包检测功能捕捉网络报文；对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息；以及上传所提取报文的异常行为及报文信息。

Description

一种网络入侵检测及防护方法和系统

技术领域

本发明涉及网络安全领域，具体涉及汽车网络安全领域。本发明公开了一种可以应用于车辆的网络入侵检测及防护方法和系统以及相关联的计算机设备和计算机可读存储介质。

背景技术

随着车载网络（例如，以太网）技术的逐渐普及，以及车联网技术的快速发展，车载以太网与车外网络的融合日渐深化。由于车载以太网网络内节点的计算资源相对较少，且以太网相关通信协议具有很大的开放性，车载以太网很容易受到来自车外网络的攻击。

在现有技术中，存在一些网络入侵检测和防护方法。例如，中国专利申请号CN201911348641.5的专利文件中记载了一种车载外部网络入侵检测系统。该专利通过在车联网终端处进行外部网络入侵的检测。然而，这类方法和系统在车联网终端处设置入侵检测的方式有一些缺点，比如只能对车联网终端与外部网络之间的通信进行检测，无法检测车内节点与后台服务器之间的路由通信。

发明内容

按照本发明的第一方面，提供了一种网络入侵检测及防护方法，所述方法包含以下步骤：基于通信包检测功能捕捉网络报文；对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息；以及上传所提取报文的异常行为及报文信息。

可选地，根据第一方面的一个或多个实施例，其中，动态设置入侵检测报文捕捉规则，从而扩充所述通信包检测功能。

可选地，根据第一方面的一个或多个实施例，其中，报文入侵检测捕捉功能单元在确认报文属于入侵报文后，反馈报文属于入侵报文的信息。

可选地，根据第一方面的一个或多个实施例，其中，所述交换机在接收到报文属于入侵报文的信息后，对报文内的信息进行过滤并将经过滤的报文发动到车载网络节点。

可选地，根据第一方面的一个或多个实施例，其中，所述方法还包含步骤：将所提取报文的异常行为及报文信息存储在内部存储设备中。

可选地，根据第一方面的一个或多个实施例，其中，所述方法还包含将所提取报文的异常行为及报文信息传送到车载网络节点。

可选地，根据第一方面的一个或多个实施例，其中，所述车载网络节点对报文内的信息进行过滤。

可选地，根据第一方面的一个或多个实施例，其中，所述车载网络节点将过滤记录上传到后台服务器节点。

按照本发明的第二方面，提供了一种网络入侵检测及防护系统，所述系统包含：报文转发模块，所述报文转发模块配置成基于通信包检测功能捕捉网络报文；报文控制模块，所述报文控制模块配置成对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息，并且配置成上传所提取报文的异常行为及报文信息。

可选地，根据第二方面的一个或多个实施例，其中，动态设置入侵检测报文捕捉规则，从而扩充所述通信包检测功能。

可选地，根据第二方面的一个或多个实施例，其中，报文入侵检测捕捉功能单元在确认报文属于入侵报文后，反馈报文属于入侵报文的信息。

可选地，根据第二方面的一个或多个实施例，其中，所述交换机在接收到报文属于入侵报文的信息后，对报文内的信息进行过滤并将经过滤的报文发动到车载网络节点。

可选地，根据第二方面的一个或多个实施例，其中，所述报文控制模块还配置成将所提取报文的异常行为及报文信息存储在内部存储设备中。

可选地，根据第二方面的一个或多个实施例，其中，所述报文控制模块还配置成将所提取报文的异常行为及报文信息传送到车载网络节点。

可选地，根据第二方面的一个或多个实施例，其中，所述车载网络节点对报文内的信息进行过滤。

可选地，根据第二方面的一个或多个实施例，其中，所述车载网络节点将过滤记录上传到后台服务器节点。

按照本发明的第三方面，提供了一种计算机设备，其包括存储器、处理器以及存储在所述存储器上并且可在所述处理器上运行的计算机程序，所述处理器运行所述计算机程序以实现：如上所述的方法。

按照本发明的第四方面，提供了一种计算机可读存储介质，其上存储计算机程序，所述计算机程序可在被处理器执行时实现：如上所述的方法。

本发明提供一种车载网络入侵检测及防护方法和系统，其可以对入侵行为进行检测、阻止、记录和记录上传，不仅保证了车载网络的安全性，还为追溯入侵行为提供记录。

通过纳入本文的附图以及随后与附图一起用于说明本发明的某些原理的具体实施方式，本发明的方法和系统所具有的其它特征和优点将更为具体地变得清楚或得以阐明。

附图说明

本发明的上述和/或其它方面和优点将通过以下结合附图的各个方面的描述变得更加清晰和更容易理解，附图中相同或相似的单元采用相同的标号表示。附图包括：

图1是根据本发明的一个实施例的网络入侵检测及防护系统100的架构图。

图2示出了根据本发明的一个实施例的网络入侵检测及防护方法200的流程图。

图3示出了根据本发明的一个实施例的网络入侵检测及防护系统300的框图。

图4为按照本发明还有一实施例的计算机设备的示意框图。

具体实施方式

在本说明书中，参照其中图示了本发明示意性实施例的附图更为全面地说明本发明。但本发明可以按不同形式来实现，而不应解读为仅限于本文给出的各实施例。给出的各实施例旨在使本文的披露全面完整，以将本发明的保护范围更为全面地传达给本领域技术人员。

诸如“包含”和“包括”之类的用语表示除了具有在说明书中有直接和明确表述的单元和步骤以外，本发明的技术方案也不排除具有未被直接或明确表述的其它单元和步骤的情形。诸如“第一”和“第二”之类的用语并不表示单元在时间、空间、大小等方面的顺序而仅仅是作区分各单元之用。

下文参考根据本发明实施例的方法和系统的流程图说明、框图和/或流程图来描述本发明。将理解这些流程图说明和/或框图的每个框、以及流程图说明和/或框图的组合可以由计算机程序指令来实现。可以将这些计算机程序指令提供给通用计算机、专用计算机或其他可编程数据处理设备的处理器以构成机器，以便由计算机或其他可编程数据处理设备的处理器执行的这些指令创建用于实施这些流程图和/或框和/或一个或多个流程框图中指定的功能/操作的部件。

图1是根据本发明的一个实施例的网络入侵检测及防护系统100的架构图。如图1所示，网络入侵检测及防护系统100可以包括报文控制模块101以及报文转发模块102。网络入侵检测及防护系统100从外部网络109和外部网络110接收报文。报文通过外部网络的网络节点107和网络节点108被发送到系统100并且首先进入系统100的报文转发模块102。报文转发模块102可以配置有报文入侵检测捕捉功能单元106。报文入侵检测捕捉功能单元106对传入的报文首先进行检测和捕捉。确认安全的报文可以通过报文转发模块102可以将安全的报文转发到车内局域网，例如车载网络节点111和车载网络节点112，从而确保车内的网络通信的安全。同时，被入侵检测捕捉单元认为不安全的报文可以被发送到系统100的报文控制模块101中进行进一步处理。报文控制模块101的报文入侵分析单元可以首先对报文进行分析。分析可以是基于历史数据或者用户端的相关设置，下文将具体进行说明。经过分析确认属于入侵报文的报文可以被存储在系统的内部存储器，例如入侵信息存储单元104中。同时，入侵信息也可以被入侵信息上传单元103上传到云端服务器或者远程其他节点中保存，标记，分析等。入侵的相关记录也可以记录在云端服务器或者远程其他节点的日志中，从而进一步提升车辆信息安全环境。

图2示出了根据本发明的一个实施例的网络入侵检测及防护方法200的流程图。如图2所示，网络入侵检测及防护方法200包含以下步骤：步骤201，基于通信包检测功能捕捉网络报文；步骤202，对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息；以及步骤203，上传所提取报文的异常行为及报文信息。可选地，方法200还可以包含步骤204，将所提取报文的异常行为及报文信息存储在内部存储设备中。

在步骤201中，基于通信包检测功能捕捉网络报文。车辆所使用的网络交换机可以配置有通信包检测功能。具体来说，通信包检测可以是深度包检测（DPI）。在DPI检测中，除了包括源地址、目的地址、源端口、目的端口以及协议类型的普通报文检测，还可以包括对数据包的应用层（OSI 七层协议中的应用层）分析，从而识别各种应用及其内容。

当IP数据包、TCP或UDP数据流通过基于 DPI 检测的入侵检测捕捉功能时，通过深入读取 IP 包内载荷的内容来对 OSI 七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的内容和管理策略对流量进行整形操作。在此，系统内容和管理策略可以由系统用户或者服务商来定义。例如，用户可以限定仅车辆驾驶相关的通信包信息可以被传入到车辆内部网络，从而屏蔽冗余信息包。服务商也可以定义仅符合车辆系统的信息报可以被传入，从而避免不同型号的车辆信息包被交叉传入在各个车辆内部，从而减轻车辆网络负担。

在步骤202中，对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息。在步骤201中被捕捉的报文被转发以进一步分析。对入侵报文的分析可以基于多个维度，包括但不限于报文的特征字（特征值）、报文的控制流内容以及发送报文的动作等等。

例如，分析可以是基于定义的“特征字”。基于“特征字”的识别技术通过对业务流中特定数据报文中的“指纹”信息的检测以确定业务流承载的应用。

分析也可以是基于应用层网关识别技术。由于某些业务的控制流和业务流是分离的，业务流没有任何特征。这种情况下，可以需要采用应用层网关识别技术。应用层网关需要先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出相应的业务流。对于每一个协议，需要有不同的应用层网关对其进行分析。

分析还可以基于行为模式识别技术行为模式识别技术基于对终端已经实施的行为的分析，判断出用户正在进行的动作或者即将实施的动作。行为模式识别技术通常用于无法根据协议判断的业务的识别，例如：SPAM（垃圾邮件）。分析还可以本领域常用的其他报文分析方法。

步骤203，上传所提取报文的异常行为及报文信息。经过分析为入侵报文的报文信息以及发送报文的节点的异常行为可以被上传到车辆内部网络中，也可以被上传到外部服务器以及远程节点。在外部服务器以及远程节点可以记录以上报文信息以及异常行为。通过将报文信息以及报文发送节点列入黑名单，可以进一步屏蔽入侵报文以及报文入侵的异常行为。黑名单可以被进一步反馈回到步骤201的通信包检测功能以及步骤202的网络报文分析功能中，从而提升检测以及分析能力。

可选地，步骤204，将所提取报文的异常行为及报文信息存储在内部存储设备中。上传到车辆内部的报文可以被存储在车辆内部的存储设备中。这些入侵行为和报文信息可以被整理和存储为入侵信息并且被反馈回到步骤201的通信包检测功能以及步骤202的网络报文分析功能中，从而提升检测以及分析能力。行为和信息也可以被导出到外部设备从而进行进一步处理。

图3示出了根据本发明的一个实施例的网络入侵检测及防护系统300的框图。如图3所示，网络入侵检测及防护系统300包含以下模块：报文转发模块301，所述报文转发模块301可以配置成基于通信包检测功能捕捉网络报文；以及报文控制模块302，所述报文控制模块302可以配置成对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息，并且报文控制模块302还可以配置成上传所提取报文的异常行为及报文信息。可选地，报文控制模块302还可以配置成将所提取报文的异常行为及报文信息存储在内部存储设备中。

报文转发模块301可以配置成基于通信包检测功能捕捉网络报文。车辆所使用的网络交换机可以配置有通信包检测功能。具体来说，通信包检测可以是深度包检测（DPI）。在DPI检测中，除了包括源地址、目的地址、源端口、目的端口以及协议类型的普通报文检测，还可以包括对数据包的应用层（OSI 七层协议中的应用层）分析，从而识别各种应用及其内容。

当IP数据包、TCP或UDP数据流通过基于 DPI 检测的入侵检测捕捉功能时，通过深入读取 IP 包内载荷的内容来对 OSI 七层协议中的应用层信息进行重组，从而得到整个应用程序的内容，然后按照系统定义的内容和管理策略对流量进行整形操作。在此，系统内容和管理策略可以由系统用户或者服务商来定义。例如，用户可以限定仅车辆驾驶相关的通信包信息可以被传入到车辆内部网络，从而屏蔽冗余信息包。服务商也可以定义仅符合车辆系统的信息报可以被传入，从而避免不同型号的车辆信息包被交叉传入在各个车辆内部，从而减轻车辆网络负担。

报文控制模块302可以配置成对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息。在报文转发模块301中被捕捉的报文被转发以进一步分析。对入侵报文的分析可以基于多个维度，包括但不限于报文的特征字（特征值）、报文的控制流内容以及发送报文的动作等等。

例如，分析可以是基于定义的“特征字”。基于“特征字”的识别技术通过对业务流中特定数据报文中的“指纹”信息的检测以确定业务流承载的应用。

分析也可以是基于应用层网关识别技术。由于某些业务的控制流和业务流是分离的，业务流没有任何特征。这种情况下，可以需要采用应用层网关识别技术。应用层网关需要先识别出控制流，并根据控制流的协议通过特定的应用层网关对其进行解析，从协议内容中识别出相应的业务流。对于每一个协议，需要有不同的应用层网关对其进行分析。

分析还可以基于行为模式识别技术行为模式识别技术基于对终端已经实施的行为的分析，判断出用户正在进行的动作或者即将实施的动作。行为模式识别技术通常用于无法根据协议判断的业务的识别，例如：SPAM（垃圾邮件）。分析还可以本领域常用的其他报文分析方法。

报文控制模块302还可以配置成上传所提取报文的异常行为及报文信息。经过分析为入侵报文的报文信息以及发送报文的节点的异常行为可以被上传到车辆内部网络中，也可以被上传到外部服务器以及远程节点。在外部服务器以及远程节点可以记录以上报文信息以及异常行为。通过将报文信息以及报文发送节点列入黑名单，可以进一步屏蔽入侵报文以及报文入侵的异常行为。黑名单可以被进一步反馈回到报文转发模块301的通信包检测功能以及报文控制模块302的网络报文分析功能中，从而提升检测以及分析能力。

可选地，报文控制模块302还可以配置成将所提取报文的异常行为及报文信息存储在内部存储设备中。上传到车辆内部的报文可以被存储在车辆内部的存储设备中。这些入侵行为和报文信息可以被整理和存储为入侵信息并且被反馈回到报文转发模块301的通信包检测功能以及报文控制模块302的网络报文分析功能中，从而提升检测以及分析能力。行为和信息也可以被导出到外部设备从而进行进一步处理。

图4为按照本发明还有一实施例的计算机设备的示意框图。该计算机设备包含存储器、处理器以及存储在所述存储器上并且可在所述处理器上运行的计算机程序。所述处理器运行所述程序以实现上述网络入侵检测及防护方法。

按照本发明的另一方面，还提供了一种计算机可读存储介质，其上存储计算机程序，该程序被处理器执行时可实现上述网络入侵检测及防护方法。

本发明提供的网络入侵检测及防护方法和系统对从连接了车外网络的端口进入的报文进行针对性检测、过滤和捕捉，保证了车内网络的安全性。另外由于用户可以动态设置入侵检测和捕捉的规则，因此可以根据网络的带宽、交换机转发能力和功能特点等因素捕捉和分析报文，使得报文分析和捕捉功能具有较高的灵活性。

最后，本发明提供的网络入侵检测及防护方法和系统对报文的入侵行为和报文信息进行了提取和整理，保留有效信息的同时降低了资源和带宽的消耗。可选地还可以将提取和整理的信息进一步处理，使得未来依靠所提取和整理的历史数据更好的分析和捕捉入侵报文。

提供本文中提出的实施例和示例，以便最好地说明按照本技术及其特定应用的实施例，并且由此使本领域的技术人员能够实施和使用本发明。但是，本领域的技术人员将会知道，仅为了便于说明和举例而提供以上描述和示例。所提出的描述不是意在涵盖本发明的各个方面或者将本发明局限于所公开的精确形式。

Claims (18)

1.一种网络入侵检测及防护方法，其特征在于，所述方法包含以下步骤：

基于通信包检测功能捕捉网络报文；

对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息；以及

上传所提取报文的异常行为及报文信息。

2.根据权利要求1所述的网络入侵检测及防护方法，其中，动态设置入侵检测报文捕捉规则，从而扩充所述通信包检测功能。

3.根据权利要求1所述的网络入侵检测及防护方法，其中，报文入侵检测捕捉功能单元在确认报文属于入侵报文后，反馈报文属于入侵报文的信息。

4.根据权利要求3所述的网络入侵检测及防护方法，其中，所述交换机在接收到报文属于入侵报文的信息后，对报文内的信息进行过滤并将经过滤的报文发动到车载网络节点。

5.根据权利要求1所述的网络入侵检测及防护方法，其中，所述方法还包含步骤：将所提取报文的异常行为及报文信息存储在内部存储设备中。

6.根据权利要求1或2所述的网络入侵检测及防护方法，其中，所述方法还包含将所提取报文的异常行为及报文信息传送到车载网络节点。

7.根据权利要求6所述的网络入侵检测及防护方法，其中，所述车载网络节点对报文内的信息进行过滤。

8.根据权利要求7所述的网络入侵检测及防护方法，其中，所述车载网络节点将过滤记录上传到后台服务器节点。

9. 一种网络入侵检测及防护系统，其特征在于，所述系统包含：

报文转发模块，所述报文转发模块配置成基于通信包检测功能捕捉网络报文；以及

报文控制模块，所述报文控制模块配置成对所捕捉的网络报文进行分析，提取报文的异常行为及报文信息，并且配置成上传所提取报文的异常行为及报文信息。

10.根据权利要求9所述的网络入侵检测及防护系统，其中，动态设置入侵检测报文捕捉规则，从而扩充所述通信包检测功能。

11.根据权利要求9所述的网络入侵检测及防护系统，其中，报文入侵检测捕捉功能单元在确认报文属于入侵报文后，反馈报文属于入侵报文的信息。

12.根据权利要求11所述的网络入侵检测及防护系统，其中，所述交换机在接收到报文属于入侵报文的信息后，对报文内的信息进行过滤并将经过滤的报文发动到车载网络节点。

13.根据权利要求9所述的网络入侵检测及防护系统，其中，所述报文控制模块还配置成将所提取报文的异常行为及报文信息存储在内部存储设备中。

14.根据权利要求9或10所述的网络入侵检测及防护系统，其中，所述报文控制模块还配置成将所提取报文的异常行为及报文信息传送到车载网络节点。

15.根据权利要求14所述的网络入侵检测及防护系统，其中，所述车载网络节点对报文内的信息进行过滤。

16.根据权利要求15所述的网络入侵检测及防护系统，其中，所述车载网络节点将过滤记录上传到后台服务器节点。

17.一种计算机设备，其包括存储器、处理器以及存储在所述存储器上并且可在所述处理器上运行的计算机程序，其特征在于，所述处理器运行所述计算机程序以实现：

如权利要求1-8中的任一项所述的方法。

18.一种计算机可读存储介质，其上存储计算机程序，其特征在于，所述计算机程序可在被处理器执行时实现：

如权利要求1-8中的任一项所述的方法。

Images