CN116633664B - 一种用于网络安全监测的评估系统 - Google Patents

Abstract

本发明公开了一种用于网络安全监测的评估系统，涉及网络安全监测评估技术领域，所述监控中心通信连接有数据监测模块、特征分析模块、数据存储模块、数据分析模块、数据处理模块、评估效率模块、安全风险评估模块和安全修复模块；数据监测模块监测各网络节点的多线程网络流；特征分析模块用于获得多线程网络流的特征参数，同时在当前监测周期设置时间切片和特征参数评估指标；数据分析模块判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片；评估效率模块用于根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略，实现了系统在不同时段内进行动态可持续评估。

Description

一种用于网络安全监测的评估系统

技术领域

本发明涉及网络安全监测评估技术领域，具体是一种用于网络安全监测的评估系统。

背景技术

传统网络安全监测评估难对网络的真实安全防范能力进行分析。例如，传统的系统安全风险评估方法包括对标检查、安全漏洞扫描、基于入侵检测结果的分析和评估等，其中，对标检查是一种静态的安全标准对比评估，不能反映系统各项安全控制措施的实际作用和效果，基于安全漏洞扫描的评估方法不能说明系统面临实际威胁以及威胁的可能性，即不能反映出系统的真实风险程度，基于入侵检测结果的风险分析和评估受到入侵检测系统准确率和漏报率的影响，其结果并不可靠，在利用传统的网络安全监测算法进行网络安全监测评估的过程中，假设网络入侵特征存在较大的差异，将导致网络评估指标产生改变，无法对不同时间段中的动态特征进行可持续的评估。

因此，如何避免传统算法没有充分考虑不同入侵特征造成的网络指标变化，造成无法在不同时段内进行动态可持续评估的缺陷，是我们急需解决的问题。

发明内容

为了解决上述技术问题，本发明的目的在于提供一种用于网络安全监测的评估系统，包括监控中心，所述监控中心通信连接有数据监测模块、特征分析模块、数据存储模块、数据分析模块、数据处理模块、评估效率模块、安全风险评估模块和安全修复模块；

所述数据监测模块用于监测业务系统中各网络节点的多线程网络流，设置监测周期并记录监测时间；

所述特征分析模块用于获得多线程网络流的特征参数，同时在当前监测周期设置时间切片，并为时间切片设置特征参数评估指标；

所述数据存储模块包含实时数据库、历史数据库和特征数据库，用于根据多线程网络流监测时间的不同对多线程网络流进行分开存储；

所述数据分析模块用于判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片；

所述数据处理模块用于为特征参数评估指标为已失效的时间切片重新设置特征参数评估指标；

所述评估效率模块用于根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略；

所述安全风险评估模块用于获取各网络节点的网络安全威胁态势图和安全威胁指数；

所述安全修复模块用于对网络节点进行修复或防御升级。

进一步的，所述特征分析模块获得多线程网络流的特征参数，同时在当前监测周期设置时间切片并为时间切片设置特征参数评估指标的过程包括；

设置特征参数计算模型，利用特征参数计算模型获得多线程网络流的特征参数，同时提取历史数据库中历史监测周期内的多线程网络流的特征参数并建立关于特征参数的多维线性回归模型；并根据多维线性回归模型预测特征参数为当前监测周期设置时间切片以及时间切片内的特征参数评估指标。

进一步的，所述数据存储模块根据多线程网络流数据监测时间的不同对多线程网络流进行分开存储的过程包括：

所述数据存储模块包括实时数据库、历史数据库和特征数据库，历史数据库用于存储历史监测周期内的多线程网络流的特征参数；实时数据库用于存储多线程网络流的特征参数；特征数据库用于存储当前监测周期的时间切片以及其特征参数评估指标。

进一步的，所述数据分析模块判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片的过程包括：

对多线程网络流的特征参数与特征数据库中的特征参数评估指标进行匹配，若匹配结果一致，则将其标记为已知多线程网络流，若匹配结果不一致，则将其标记为未知多线程网络流；

获取与已知多线程网络流的特征参数一致的特征参数评估指标的时间切片，并判断该时间切片内是否存在与该时间切片的特征参数评估指标不一致的多线程网络流，若与该时间切片内不存在与其特征参数评估指标不一致的多线程网络流，则标记该时间切片的特征参数评估指标为未失效，若与该时间切片内存在与其特征参数评估指标不一致的多线程网络流，则标记该时间切片的特征参数评估指标为已失效；

获取未知多线程网络流的监测时间，并标记该监测时间所属时间切片的特征参数评估指标为已失效。

进一步的，所述数据处理模块为特征参数评估指标为已失效的时间切片重新设置特征参数评估指标的过程包括：

将该时间切片的已失效的特征参数评估指标删除，之后在该时间切片内根据不同特征参数的多线程网络流的监测时间重新划分该时间切片，并根据多线程网络流的特征参数设置对应时间切片内的与多线程网络流的特征参数一致的特征参数评估指标。

进一步的，所述评估效率模块根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略的过程包括：

设置已失效切片阈值，当监测周期内的特征参数评估指标为已失效的时间切片数量小于等于已失效切片阈值时，则当安全风险评估模块开始评估时，所述数据处理模块开始处理监测周期内时间切片的已失效的特征参数评估指标；当监测周期内的已失效特征参数评估指标的时间切片数量大于已失效切片阈值时，则执行以下步骤：

步骤一：在监测周期中设置若干个监测时间段，所述数据分析模块在监测时间段内从数据存储模块随机选取设定数量时间切片，并对时间切片的特征参数评估指标是否失效进行检测，若特征参数评估指标已失效，则将该时间切片信息发送至数据处理模块处理；

步骤二：设置失效比例阈值，若当前监测时间段内的已失效特征参数评估指标的时间切片数量与随机选取的时间切片数量之比大于失效比例阈值，则继续重复步骤一；若本当前测时间段内的已失效特征参数评估指标的时间切片数量与随机选取的时间切片数量之比小于等于失效比例阈值，则在当前时间段步骤一完成后，等待下一监测时间段检查；

步骤三：当步骤一与步骤二进行步骤循环的时间之和大于等于监测时间段时，强制结束步骤一和步骤二，等待下一监测时间段检查。

进一步的，所述安全风险评估模块获取各网络节点的网络安全威胁态势图和安全威胁指数的过程包括：

根据多线程网络流的特征参数和特征参数评估指标获取各网络节点的网络安全威胁态势图和安全威胁指数。

进一步的，所述安全修复模块对网络节点进行修复或防御升级的过程包括：

根据安全风险评估模块生成的网络安全威胁态势图和安全威胁指数生成网络安全响应优先级，并根据网络安全响应优先级大小对相应的网络节点依次进行修复或防御升级。

与现有技术相比，本发明的有益效果是：为保证网络安全监测评估结果的有效性，所述数据分析模块判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片；所述评估效率模块根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略，保证了本系统在监测周期中不同时间段的动态风险评估过程；同时也提高网络安全监测评估结果的效率，本系统的评估效率和评估准确率都高于传统算法且误评率低于传统算法，能够为网络运行提供安全保障。

附图说明

图1为本申请实施例的一种用于网络安全监测的评估系统的原理图。

具体实施方式

下面结合本申请实施例中的附图，对本申请实施例中的技术方案进行清楚、完整的描述，显然，所描述的实施例是本申请一部分实施例，而不是全部的实施例。基于本申请中的实施例，本领域技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本申请保护的范围。

如图1所示，一种用于网络安全监测的评估系统，包括监控中心，所述监控中心通信连接有数据监测模块、特征分析模块、数据存储模块、数据分析模块、数据处理模块、评估效率模块和安全评估模块；

所述数据监测模块用于监测业务系统中各网络节点的多线程网络流，设置监测周期并记录监测时间；

所述特征分析模块用于获得多线程网络流的特征参数，同时在当前监测周期设置时间切片，并为时间切片设置特征参数评估指标；

所述数据存储模块包含实时数据库、历史数据库和特征数据库，用于根据多线程网络流监测时间的不同对多线程网络流进行分开存储；

所述数据分析模块用于判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片；

所述数据处理模块用于为特征参数评估指标为已失效的时间切片重新设置特征参数评估指标；

所述评估效率模块用于根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略；

所述安全风险评估模块用于获取各网络节点的网络安全威胁态势图和安全威胁指数；

所述安全修复模块用于对网络节点进行修复或防御升级。

需要进一步说明的是，在具体实施过程中，所述特征分析模块获得多线程网络流的特征参数，同时在当前监测周期设置时间切片并为时间切片设置特征参数评估指标的过程包括；

设置特征参数计算模型，利用特征参数计算模型获得多线程网络流的特征参数，所述特征参数包括数据类型、源IP地址、目的IP地址、源端口号、目的端口号、协议类型、数据流大小、数据流开始时间和数据流结束时间；同时提取历史数据库中历史监测周期内的多线程网络流的特征参数并建立关于特征参数的多维线性回归模型；并根据多维线性回归模型预测特征参数为当前监测周期设置时间切片以及时间切片内的特征参数评估指标，并将其发送至数据存储模块；

需要进一步说明的是，在具体实施过程中，所述数据存储模块根据多线程网络流数据监测时间的不同对多线程网络流进行分开存储的过程包括：

所述数据存储模块包括实时数据库、历史数据库和特征数据库，历史数据库用于存储历史监测周期内的多线程网络流的特征参数；实时数据库用于存储多线程网络流的特征参数；特征数据库用于存储当前监测周期的时间切片以及其特征参数评估指标。当实时数据库检测到下一监测周期的多线程网络流的特征参数时，将当前监测周期实时数据库中采集到的多线程网络流的特征参数发送至历史数据库进行储存。

需要进一步说明的是，在具体实施过程中，所述数据分析模块判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片的过程包括：

对多线程网络流的特征参数与特征数据库中的特征参数评估指标进行匹配，若匹配结果一致，则将其标记为已知多线程网络流，若匹配结果不一致，则将其标记为未知多线程网络流；

获取与已知多线程网络流的特征参数一致的特征参数评估指标的时间切片，并判断该时间切片内是否存在与该时间切片的特征参数评估指标不一致的多线程网络流，若与该时间切片内不存在与其特征参数评估指标不一致的多线程网络流，则标记该时间切片的特征参数评估指标为未失效，若与该时间切片内存在与其特征参数评估指标不一致的多线程网络流，则标记该时间切片的特征参数评估指标为已失效；

获取未知多线程网络流的监测时间，并标记该监测时间所属时间切片的特征参数评估指标为已失效。

需要进一步说明的是，在具体实施过程中，所述数据处理模块为特征参数评估指标为已失效的时间切片重新设置特征参数评估指标的过程包括：

将该时间切片的已失效的特征参数评估指标删除，之后在该时间切片内根据不同特征参数的多线程网络流的监测时间重新划分该时间切片，并根据多线程网络流的特征参数设置对应时间切片内的与多线程网络流的特征参数一致的特征参数评估指标。

需要进一步说明的是，在具体实施过程中，所述评估效率模块根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略的过程包括：

设置已失效切片阈值，当监测周期内的特征参数评估指标为已失效的时间切片数量小于等于已失效切片阈值时，则当安全风险评估模块开始评估时，所述数据处理模块开始处理监测周期内时间切片的已失效的特征参数评估指标；当监测周期内的已失效特征参数评估指标的时间切片数量大于已失效切片阈值时，则执行以下步骤：

步骤一：在监测周期中设置若干个监测时间段，所述数据分析模块在监测时间段内从数据存储模块随机选取设定数量时间切片，并对时间切片的特征参数评估指标是否失效进行检测，若特征参数评估指标已失效，则将该时间切片信息发送至数据处理模块处理；

步骤二：设置失效比例阈值，若当前监测时间段内的已失效特征参数评估指标的时间切片数量与随机选取的时间切片数量之比大于失效比例阈值，则继续重复步骤一；若本当前测时间段内的已失效特征参数评估指标的时间切片数量与随机选取的时间切片数量之比小于等于失效比例阈值，则在当前时间段步骤一完成后，等待下一监测时间段检查；

步骤三：当步骤一与步骤二进行步骤循环的时间之和大于等于监测时间段时，强制结束步骤一和步骤二，等待下一监测时间段检查。

需要进一步说明的是，在具体实施过程中，所述安全风险评估模块获取各网络节点的网络安全威胁态势图和安全威胁指数的过程包括：

根据多线程网络流的特征参数和特征参数评估指标获取各网络节点的网络安全威胁态势图和安全威胁指数。

需要进一步说明的是，在具体实施过程中，网络安全威胁态势图和安全威胁指数的获取过程为：

将多维线性回归模型预测的网络流特征参数转换成随时间变化的网络流趋势曲线，并将其标记为标准网络流趋势曲线；并将实时网络流特征参数转换成随时间变化的实时网络流趋势曲线；对实时网络流趋势曲线与标准网络流趋势曲线进行叠合，获得网络安全威胁态势图；

同时判断网络安全威胁态势图中的实时网络流趋势曲线是否在标准网络流趋势曲线的范围内，若是，则表示实时网络流趋势曲线正常，若否，则表示实时网络流趋势曲线存在异常，将实时网络流趋势曲线不在标准网络流趋势曲线的范围内的时间段内的特征数据标记为异常趋势特征数据，获取实时网络流趋势曲线中的异常趋势特征数据。

根据实时网络流趋势曲线中的异常趋势特征数据，计算网络终端的安全威胁指数。

需要进一步说明的是，在具体实施过程中，所述安全修复模块对网络节点进行修复或防御升级的过程包括：

根据安全风险评估模块生成的网络安全威胁态势图和安全威胁指数生成网络安全响应优先级，并根据网络安全响应优先级大小对相应的网络节点依次进行修复或防御升级。

以上实施例仅用以说明本发明的技术方法而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方法进行修改或等同替换，而不脱离本发明技术方法的精神和范围。

Claims (7)

1.一种用于网络安全监测的评估系统，包括监控中心，其特征在于，所述监控中心通信连接有数据监测模块、特征分析模块、数据存储模块、数据分析模块、数据处理模块、评估效率模块、安全风险评估模块和安全修复模块；

所述数据监测模块用于监测业务系统中各网络节点的多线程网络流，设置监测周期并记录监测时间；

所述特征分析模块用于获得多线程网络流的特征参数，同时在当前监测周期设置时间切片，并为时间切片设置特征参数评估指标；

所述数据存储模块包含实时数据库、历史数据库和特征数据库，用于根据多线程网络流监测时间的不同对多线程网络流进行分开存储；

所述数据分析模块用于判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片；

所述数据处理模块用于为特征参数评估指标为已失效的时间切片重新设置特征参数评估指标；

所述评估效率模块用于根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略；

所述安全风险评估模块用于获取各网络节点的网络安全威胁态势图和安全威胁指数；

所述安全修复模块用于对网络节点进行修复或防御升级；

所述评估效率模块根据监测周期内的已失效特征参数评估指标的时间切片数量动态调整网络监测评估策略的过程包括：

设置已失效切片阈值，当监测周期内的特征参数评估指标为已失效的时间切片数量小于等于已失效切片阈值时，则当安全风险评估模块开始评估时，所述数据处理模块开始处理监测周期内时间切片的已失效的特征参数评估指标；当监测周期内的已失效特征参数评估指标的时间切片数量大于已失效切片阈值时，则执行以下步骤：

步骤一：在监测周期中设置若干个监测时间段，所述数据分析模块在监测时间段内从数据存储模块随机选取设定数量时间切片，并对时间切片的特征参数评估指标是否失效进行检测，若特征参数评估指标已失效，则将该时间切片信息发送至数据处理模块处理；

步骤二：设置失效比例阈值，若当前监测时间段内的已失效特征参数评估指标的时间切片数量与随机选取的时间切片数量之比大于失效比例阈值，则继续重复步骤一；若本当前测时间段内的已失效特征参数评估指标的时间切片数量与随机选取的时间切片数量之比小于等于失效比例阈值，则在当前时间段步骤一完成后，等待下一监测时间段检查；

步骤三：当步骤一与步骤二进行步骤循环的时间之和大于等于监测时间段时，强制结束步骤一和步骤二，等待下一监测时间段检查。

2.根据权利要求1所述的一种用于网络安全监测的评估系统，其特征在于，所述特征分析模块获得多线程网络流的特征参数，同时在当前监测周期设置时间切片并为时间切片设置特征参数评估指标的过程包括；

设置特征参数计算模型，利用特征参数计算模型获得多线程网络流的特征参数，同时提取历史数据库中历史监测周期内的多线程网络流的特征参数并建立关于特征参数的多维线性回归模型；并根据多维线性回归模型预测特征参数为当前监测周期设置时间切片以及时间切片内的特征参数评估指标。

3.根据权利要求2所述的一种用于网络安全监测的评估系统，其特征在于，所述数据存储模块根据多线程网络流数据监测时间的不同对多线程网络流进行分开存储的过程包括：

所述数据存储模块包括实时数据库、历史数据库和特征数据库，历史数据库用于存储历史监测周期内的多线程网络流的特征参数；实时数据库用于存储多线程网络流的特征参数；特征数据库用于存储当前监测周期的时间切片以及其特征参数评估指标。

4.根据权利要求3所述的一种用于网络安全监测的评估系统，其特征在于，所述数据分析模块判断多线程网络流的特征参数是否存在于特征数据库中，并获得特征参数评估指标为已失效的时间切片的过程包括：

对多线程网络流的特征参数与特征数据库中的特征参数评估指标进行匹配，若匹配结果一致，则将其标记为已知多线程网络流，若匹配结果不一致，则将其标记为未知多线程网络流；

获取与已知多线程网络流的特征参数一致的特征参数评估指标的时间切片，并判断该时间切片内是否存在与该时间切片的特征参数评估指标不一致的多线程网络流，若与该时间切片内不存在与其特征参数评估指标不一致的多线程网络流，则标记该时间切片的特征参数评估指标为未失效，若与该时间切片内存在与其特征参数评估指标不一致的多线程网络流，则标记该时间切片的特征参数评估指标为已失效；

获取未知多线程网络流的监测时间，并标记该监测时间所属时间切片的特征参数评估指标为已失效。

5.根据权利要求4所述的一种用于网络安全监测的评估系统，其特征在于，所述数据处理模块为特征参数评估指标为已失效的时间切片重新设置特征参数评估指标的过程包括：

将该时间切片的已失效的特征参数评估指标删除，之后在该时间切片内根据不同特征参数的多线程网络流的监测时间重新划分该时间切片，并根据多线程网络流的特征参数设置对应时间切片内的与多线程网络流的特征参数一致的特征参数评估指标。

6.根据权利要求5所述的一种用于网络安全监测的评估系统，其特征在于，所述安全风险评估模块获取各网络节点的网络安全威胁态势图和安全威胁指数的过程包括：

根据多线程网络流的特征参数和特征参数评估指标获取各网络节点的网络安全威胁态势图和安全威胁指数。

7.根据权利要求6所述的一种用于网络安全监测的评估系统，其特征在于，所述安全修复模块对网络节点进行修复或防御升级的过程包括：

根据安全风险评估模块生成的网络安全威胁态势图和安全威胁指数生成网络安全响应优先级，并根据网络安全响应优先级大小对相应的网络节点依次进行修复或防御升级。