一种面向信息网络安全的防御控制方法及系统技术方案

本发明专利技术提出一种面向信息网络安全的防御控制方法及系统，包括采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；结合网络拓扑，自动确定参与联合防御的网络安全设备；向选定的网络安全设备下发防御规则，以实现联合防御。上述方案具有很好的抗攻击效果，对于高强度对抗要求的网络防护应用具有重要意义，解决了信息网络难以抵御复杂网络攻击的难题。

【技术实现步骤摘要】
一种面向信息网络安全的防御控制方法及系统
本专利技术属于网络安全管理领域，具体涉及一种面向信息网络安全的防御控制方法及系统。
技术介绍
互联网+时代给社会各个方面带来便捷的同时，网络安全威胁也随之而来，各类网络攻击也日益增多。金融、医疗、通信以及电力等重要网络的规模较为庞大，网络结构复杂，网络节点数据维度和数量不断增加.近年来，勒索病毒、DDok攻击、钓鱼邮件、木马、缓存区溢出等攻击依然是当前的主要安全攻击行为。当攻击者利用网络漏洞发动以获取目标主机权限的攻击时，防守者必须依据当前网络状态所暴露出的问题快速选择网络防御策略进行有效阻击，这里所说的网络防御策略是由一系列防御动作构成的集合，常用的方法有阻断连接、删除恶意代码、漏洞加固、权限恢复等.当承载大量应用服务的网络系统遭受入侵时如果仅选择切断互联网接入，那么意味着防守方中断了所有的业务，其业务损失代价会给机构带来严重后果，例如游戏、视频服务，或者云平台、集群服务等.因此，这就需要对于网络攻防过程进行精准的数据分析，并得出防护代价最小、防御效果最好的安全策略[3]，使得在有限防御条件下尽量保障业务的连续性和可靠性。网络安全联合防御技术强调的是系统适应安全的能力。结合现有的网络安全技术，对网络安全事件准确响应，动态调整响应策略，确保关键数据的自动保护和恢复，最大可能地降低外来攻击造成的损失。网络系统从单纯的被动防护提升为攻防兼备的联合式防御，这在网络安全攻防的应用中具有实用价值。目前，国内外关注度较高的联合防御技术是入侵防御系统IPS，通过防火墙和入侵检测系统IDS之间的联合，以达到保护计算机网络，阻断网络入侵攻击的目的。但现有联合防御技术存在以下三点不足：(1)基于防火墙和入侵检测系统间的联合防御仅考虑防火墙和入侵检测系统等两项网络安全防护设备，未能包括其它安全防护设备，如身份认证、蜜罐等，联合的范围有限，因而防御的效果较差。(2)联合防御仅针对单一安全告警事件，没有采用安全告警事件关联分析，因而存在较高误报，限制了联合防御技术的实用化。(3)事先设定参与联合防御的网络安全设备，不能根据实际的网络环境和攻击情况动态选择，缺乏部署灵活性。
技术实现思路
为了克服上述不足，本专利技术提供一种面向信息网络安全的防御控制方法及系统，通过集中采集和分析网络告警数据，生成相互关联的攻击步骤，消除误报警。联合防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置以及正反向隔离装置等信息网络安全设备，结合信息网络拓扑，自动确定参与联合防御的具体网络安全设备，实现信息网络安全联合防御。本专利技术的目的是采用下述技术方案实现的：一种面向信息网络安全的防御控制方法，所述方法包括：采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；结合网络拓扑，自动确定参与联合防御的网络安全设备；向选定的网络安全设备下发防御规则，以实现联合防御。优选的，所述预先采集安全告警数据包括：在网络安全设备上部署监控装置；其中，所述网络安全设备，包括防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置和正反向隔离装置；所述监控装置采用事件触发机制，以分布式部署方式采集安全设备产生的安全告警数据，并发送至智慧管理平台；通过智慧管理平台对安全告警数据进行解密和解压缩后，获得明文数据；对明文数据进行预处理，统一数据格式。进一步地，所述对明文数据进行预处理具体包括：从明文数据中抽取源IP地址、源端口、目的IP地址、目的端口、告警时间、事件类别和安全告警数据内容；根据抽取的安全告警数据内容和事件类别，定义最终规范类别；所述最终规范类别由操作人员预先制定，其方式包括漏洞扫描、未授权远程访问和权限提升；采用关键字匹配方式，自动确定当前预处理的安全告警数据的时间类别，选择与该安全告警内容和事件类别关键字匹配度最高的类别作为最终规范类别；将<源IP地址，源端口，目的IP地址，目的端口，告警时间，最终规范类别>作为一条安全告警记录存入数据库。优选的，所述采用已知攻击模式对安全告警数据进行关联分析具体包括：k101，输入已知攻击模式，构建与所述已知攻击模式相关联的规则层次结构；k102，从数据库中逐条提取待分析的安全告警数据记录，并将记录中的规范类别与攻击步骤相对应，填充所述规则层次结构；k103，对规则层次结构进行细粒度划分，获取攻击步骤关联集合。进一步地，所述k101中，使用公开的网络攻击模式或者自定义的网络攻击模式作为已知攻击模式，将所述已知攻击模式相关的攻击步骤按照逻辑先后顺序排列，完成规则层次结构的构建；所述k102包括，提取当前待分析的安全告警数据记录，若记录中的规范类别与攻击步骤类型相同，则将该条安全告警数据记录的<源IP地址，源端口，目的IP地址，目的端口，告警时间>信息加入所述规则的相应节点中；循环执行k102，直至分析完成所有安全告警数据记录。优选的，所述采用已知攻击模式对预先采集的安全告警数序列挖掘基于PrefixSpan算法对安全告警数据进行序列挖掘，并根据频繁项集，搜寻疑似关联的攻击，具体包括：k201扫描数据库，找出各个频繁项a并组成集合；其中，对于每一个频繁项a至少满足以下两个条件之一：i.a可以嵌入序列k的最后一个元素中形成一个序列模式；或者，ii.将a追加到序列k末尾，形成一个序列模式；其中，定义k为空序列；k202对于每一个频繁项a，将其追加至序列k组成一个序列模式k’并输出；k203对于每个k’，递归调用PrefixSpan算法，直至序列长度不再增加。优选的，所述结合信息网络拓扑，自动确定参与联合防御的具体网络安全设备包括：结合网络拓扑，选取所有遭受攻击的网络节点的前置或后置网络安全设备；删除重复的网络安全设备；删除选取的所述安全设备之间的其它网络设备，并用直线相连，构建网络安全设备间的虚拟连接图；在虚拟连接图中选取数量最少的节点，以覆盖所有网络路径。进一步地，所述构建网络安全设备间的虚拟连接图包括：按照信息网络层次架构，由外向内选择网络安全设备；当选择节点时，以网络安全设备所覆盖的网络路径数量为判断依据，选择覆盖网络路径数量最多的网络安全设备加入设备队列，然后在虚拟连接图中删除该设备和对应的网络路径；循环执行删除重复的网络安全设备，直至虚拟连接图中所有路径被删除；最终的设备队列仅包含网络安全设备参与联合防御。优选的，所述向选定的网络安全设备下发防御规则，以实现联合防御包括如下步骤：通过智慧管理平台远程调用网络安全设备提供的配置接口；将自定义防御规则发送至对应网络安全设备；通过网络安全设备执行选定的防御规则。一种面向信息网络安全的防御控制系统，所述系统由智慧管理平台、网络安全设备和监控单元组成；其中，所述监控单元，用于采集安全本文档来自技高网...

【技术保护点】
1.一种面向信息网络安全的防御控制方法，其特征在于，所述方法包括：/n采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；/n结合网络拓扑，自动确定参与联动防御的网络安全设备；/n向选定的网络安全设备下发防御规则，以实现联动防御。/n

【技术特征摘要】
1.一种面向信息网络安全的防御控制方法，其特征在于，所述方法包括：
采用已知攻击模式对预先采集的安全告警数据进行关联分析和序列挖掘，生成网络拓扑；
结合网络拓扑，自动确定参与联动防御的网络安全设备；
向选定的网络安全设备下发防御规则，以实现联动防御。


2.如权利要求1所述的方法，其特征在于，所述预先采集安全告警数据包括：
在网络安全设备上部署监控装置；其中，
所述网络安全设备，包括防火墙、入侵检测系统、安全交互平台、逻辑强隔离装置和正反向隔离装置；
所述监控装置采用定时或事件触发机制，采用分布式部署方式采集安全设备产生的安全告警数据，并发送至智慧管理平台；
通过智慧管理平台对安全告警数据进行解密和解压缩后，获得明文数据；
对明文数据进行预处理，统一数据格式。


3.如权利要求2所述的方法，其特征在于，所述对明文数据进行预处理具体包括：
从明文数据中抽取源IP地址、源端口、目的IP地址、目的端口、告警时间、事件类别和安全告警数据内容；
根据抽取的安全告警数据内容和事件类别，定义最终规范类别；所述最终规范类别由操作人员预先制定，其方式包括漏洞扫描、未授权远程访问和权限提升；
采用关键字匹配方式，自动确定当前预处理的安全告警数据的时间类别，选择与该安全告警内容和事件类别关键字匹配度最高的类别作为最终规范类别；
将<源IP地址，源端口，目的IP地址，目的端口，告警时间，最终规范类别>作为一条安全告警记录存入数据库。


4.如权利要求1所述的方法，其特征在于，所述采用已知攻击模式对安全告警数据进行关联分析具体包括：
S101，输入已知攻击模式，构建与所述已知攻击模式相关联的规则层次结构；
S102，从数据库中逐条提取待分析的安全告警数据记录，并将记录中的规范类别与攻击步骤相对应，填充所述规则层次结构；
S103，对规则层次结构进行细粒度划分，获取攻击步骤关联集合。


5.权利要求4所述的方法，其特征在于，所述S101中，使用公开的网络攻击模式或者自定义的网络攻击模式作为已知攻击模式，将所述已知攻击模式相关的攻击步骤按照逻辑先后顺序排列，完成规则层次结构的构建；
所述S102包括，提取当前待分析的安全告警数据记录，若记录中的规范类别与攻击步骤类型相同，则将该条安全告警数据记录的<源IP地址，源端口，目的IP地址，目的端口，告警时间>信息加入所述规则的相应节点中；循环执行S102，直至分析完成所有安全告警数据记录。


6.如权利要求1所述的方法，其特征在于，所述采用已知攻击模式对...

【专利技术属性】
技术研发人员：魏长春，
申请(专利权)人：天津嘉恒达科技有限公司，
类型：发明
国别省市：天津;12