数据中心环境下的网络攻击阻断方法、系统、设备及介质转让专利
申请号 : CN202310699154.3
文献号 : CN116436706B
文献日 : 2023-08-22
发明人 : 冯景华 , 徐斌 , 张宝辰 , 仝健辉 , 闫昊 , 杨满堂 , 韩道林 , 麻羽
申请人 : 天津市天河计算机技术有限公司
摘要 :
权利要求 :
1.一种数据中心环境下的网络攻击阻断方法,其特征在于,所述数据中心部署有多个安全设备,所述多个安全设备分别是不同厂商提供的,或者是同一厂商提供的但对应的防护类型不同,针对同一攻击行为,不同厂商提供的安全设备的识别结果不同;所述网络攻击阻断方法包括如下步骤:获取所述多个安全设备分别生成的目标数据,所述目标数据包括网络攻击分析结果和日志;
基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,其中,所述设定分析策略至少包括下述中的一种或多种:对来自不同安全设备的网络攻击分析结果进行比对;以及基于日志中数据包内容的告警验证;
当所述网络攻击参考结果指示为网络攻击时,基于所述目标数据确定距离攻击源最近的安全设备,以及匹配的安全策略;
通过调用与所述最近的安全设备相对应的接口将所述安全策略下发至所述最近的安全设备,以通过所述最近的安全设备对网络攻击进行阻断,其中,所述接口用于将所述安全策略转换为与所述安全设备相适配的数据格式;
当所述设定分析策略是对来自不同安全设备的网络攻击分析结果进行比对时,所述基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,包括:对来自不同安全设备的网络攻击分析结果进行比对;
基于网络攻击分析结果指示为网络攻击的个数以及网络攻击分析结果的总数确定网络攻击参考结果;
当所述设定分析策略是基于日志中数据包内容的告警验证时,所述基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,包括:当针对同一攻击流量,不同安全设备的网络攻击分析结果不一致时,基于日志中记录的请求方法、响应码以及请求内容,结合威胁情报平台返回的源IP的关联信息确定所述网络攻击参考结果。
2.根据权利要求1所述的方法,其特征在于,所述基于网络攻击分析结果指示为网络攻击的个数以及网络攻击分析结果的总数确定网络攻击参考结果,包括:若网络攻击分析结果指示为网络攻击的个数占网络攻击分析结果总数的比例达到阈值,则确定所述网络攻击参考结果为指示网络攻击;
或者,若网络攻击分析结果指示为网络攻击的个数大于网络攻击分析结果指示为非网络攻击的个数,则确定所述网络攻击参考结果为指示网络攻击。
3.根据权利要求1所述的方法,其特征在于,所述基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,包括:对获取到的目标数据基于关键词进行标记、过滤以及转换处理,以获得目标格式的日志,其中,所述关键词包括日志字段、源IP、目的IP、源端口、目的端口、协议、时间、数据流向、攻击类型以及攻击结果中的一个或多个。
4.根据权利要求1所述的方法,其特征在于,所述当所述网络攻击参考结果指示为网络攻击时,基于所述目标数据确定距离攻击源最近的安全设备,以及匹配的安全策略,包括:基于所述目标数据确定攻击源;
根据资产信息记录确定距离攻击源最近的安全设备;
根据所述网络攻击参考结果所指示的攻击类型,从预设对应表中确定匹配的安全策略。
5.根据权利要求1所述的方法,其特征在于,所述通过所述最近的安全设备对网络攻击进行阻断,包括下述中的一种或多种:当所述最近的安全设备是云平台时,通过云平台封禁虚拟机的IP或端口;
当所述最近的安全设备是防火墙时,通过在黑名单配置中增加目标IP;
当所述最近的安全设备是交换机时,关闭交换机的端口。
6.一种数据中心环境下的网络攻击阻断系统,其特征在于,包括:数据源、统一安全平台和防护设备;
其中,所述数据源包括多个安全设备,所述多个安全设备分别是不同厂商提供的,或者是同一厂商提供的但对应的防护类型不同,针对同一攻击行为,不同厂商提供的安全设备的识别结果不同;
所述统一安全平台用于从所述数据源获取所述多个安全设备分别生成的目标数据,所述目标数据包括网络攻击分析结果和日志;基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,其中,所述设定分析策略至少包括下述中的一种或多种:对来自不同安全设备的网络攻击分析结果进行比对;以及基于日志中数据包内容的告警验证;当所述网络攻击参考结果指示为网络攻击时,基于所述目标数据确定距离攻击源最近的安全设备,以及匹配的安全策略;通过调用与所述最近的安全设备相对应的接口将所述安全策略下发至所述最近的安全设备,以通过所述最近的安全设备对网络攻击进行阻断,其中,所述接口用于将所述安全策略转换为与所述安全设备相适配的数据格式;
所述防护设备用于在安全设备的控制下执行阻断操作;
当所述设定分析策略是对来自不同安全设备的网络攻击分析结果进行比对时,所述基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,包括:对来自不同安全设备的网络攻击分析结果进行比对;
基于网络攻击分析结果指示为网络攻击的个数以及网络攻击分析结果的总数确定网络攻击参考结果;
当所述设定分析策略是基于日志中数据包内容的告警验证时,所述基于设定分析策略以及获取到的目标数据确定网络攻击参考结果,包括:当针对同一攻击流量,不同安全设备的网络攻击分析结果不一致时,基于日志中记录的请求方法、响应码以及请求内容,结合威胁情报平台返回的源IP的关联信息确定所述网络攻击参考结果。
7.一种电子设备,其特征在于,所述电子设备包括:
处理器和存储器;
所述处理器通过调用所述存储器存储的程序或指令,用于执行如权利要求1至5任一项所述的数据中心环境下的网络攻击阻断方法的步骤。
8.一种计算机可读存储介质,其特征在于,所述计算机可读存储介质存储程序或指令,所述程序或指令使计算机执行如权利要求1至5任一项所述的数据中心环境下的网络攻击阻断方法的步骤。
说明书 :
数据中心环境下的网络攻击阻断方法、系统、设备及介质
技术领域
背景技术
击的种类和数量不断攀升,各安全设备会产生庞大的攻击流量和告警日志。由于不同厂商
提供的安全设备的日志字段和告警规则具有一定的独立性,因此根据某一个安全设备的检
测结果难以对全网的网络攻击情况进行综合分析,并且现有的安全设备均存在不同程度的
攻击漏报和误报。
攻击源进行阻断。显然,现有做法存在运维效率低且耗费大量人力成本的问题,而且要求运
维人员具备较丰富的运维经验,增加了运维难度。
发明内容
率,降低了运维成本。
商提供的但对应的防护类型不同;所述网络攻击阻断方法包括如下步骤:
来自不同安全设备的网络攻击分析结果进行比对;以及基于日志中数据包内容的告警验
证;
安全策略转换为与所述安全设备相适配的数据格式。
据确定网络攻击参考结果,其中,所述设定分析策略至少包括下述中的一种或多种:对来自
不同安全设备的日志进行关联分析;对来自不同安全设备的网络攻击分析结果进行比对;
以及基于日志中数据包内容的告警验证;当所述网络攻击参考结果指示为网络攻击时,基
于所述目标数据确定距离攻击源最近的安全设备,以及匹配的安全策略;通过调用与所述
最近的安全设备相对应的接口将所述安全策略下发至所述最近的安全设备,以通过所述最
近的安全设备对网络攻击进行阻断,其中,所述接口用于将所述安全策略转换为与所述安
全设备相适配的数据格式;
网络攻击阻断方法的步骤。
策略以及获取到的目标数据确定网络攻击参考结果,其中,所述设定分析策略至少包括下
述中的一种或多种:对来自不同安全设备的日志进行关联分析;对来自不同安全设备的网
络攻击分析结果进行比对;以及基于日志中数据包内容的告警验证;当所述网络攻击参考
结果指示为网络攻击时,基于所述目标数据确定距离攻击源最近的安全设备,以及匹配的
安全策略;通过调用与所述最近的安全设备相对应的接口将所述安全策略下发至所述最近
的安全设备,以通过所述最近的安全设备对网络攻击进行阻断,其中,所述接口用于将所述
安全策略转换为与所述安全设备相适配的数据格式,实现了攻击阻断自动化的目的,通过
高效的攻击阻断提高了运维效率,降低了运维成本。
附图说明
附图是本发明的一些实施方式,对于本领域普通技术人员来讲,在不付出创造性劳动的前
提下,还可以根据这些附图获得其他的附图。
具体实施方式
基于本发明中的实施例,本领域普通技术人员在没有做出创造性劳动的前提下所得到的所
有其它实施例,都属于本发明所保护的范围。
平台120和防护设备130;
厂商提供的,或者是同一厂商提供的但对应的防护类型(例如防火墙、入侵防御、抗DDOS攻
击等)不同。不同厂商提供的安全设备或者同一厂商提供的但对应的防护类型不同的安全
设备分别通过自带的特征库对攻击行为进行分析与识别,因此针对同一攻击行为,不同厂
商提供的安全设备的识别结果可能不同,导致运维人员不知道应以哪个安全设备给出的识
别结果为准,造成运维困难增加以及不必要的人力资源的消耗。换言之,所述多个安全设备
在进行攻击行为识别时所使用的特征库不同或者说所述多个安全设备在进行攻击行为识
别时所使用的识别策略不同。
数据确定网络攻击参考结果,其中,所述设定分析策略至少包括下述中的一种或多种:对来
自不同安全设备的日志进行关联分析;对来自不同安全设备的网络攻击分析结果进行比
对;以及基于日志中数据包内容的告警验证;当所述网络攻击参考结果指示为网络攻击时,
基于所述目标数据确定距离攻击源最近的安全设备,以及匹配的安全策略;通过调用与所
述最近的安全设备相对应的接口将所述安全策略下发至所述最近的安全设备,以通过所述
最近的安全设备对网络攻击进行阻断,其中,所述接口用于将所述安全策略转换为与所述
安全设备相适配的数据格式;
析;对来自不同安全设备的网络攻击分析结果进行比对;以及基于日志中数据包内容的告
警验证。
量不是网络攻击。
述网络攻击参考结果。
记录,基于该记录确定网络攻击参考结果。例如针对一个webshell上传行为,对应的攻击流
量经过安全产品A和安全产品B,其中安全产品A判断此流量为攻击并产生告警日志,安全产
品B判断此流量为非攻击且没有产生告警日志。统一安全平台通过特定算法对流量日志和
告警日志进行分析:HTTP请求方法为POST,响应码为200,请求内容包含一句话“木马”等流量特征。同时在威胁情报平台查询源IP返回结果是恶意IP,因此最终判定该流量为攻击流
量。
网络攻击参考结果的效率以及精度。
所述安全策略转换为与所述安全设备相适配的数据格式。
目的,解决了不同安全设备之间不兼容的问题。可以理解的是,相互兼容的多个安全设备可
以共用一个接口。此处“兼容”的含义为:向不同安全设备分别发送的安全策略能够被对应
的安全设备识别与执行。目前由于不同的安全设备是不同厂商提供的,或者说不同的安全
设备的配置不同,工作原理不同,无法通过一种数据发送方式向多个安全设备发送安全策
略,针对此,本申请的方案中针对每个安全设备都预先配置了对应的接口,当需要发送安全
策略时通过对应的接口向对应的安全设备发送,解决了不同安全设备之间不兼容的问题,
实现了攻击阻断的联动,提高了网络安全,降低了运维难度,节省了人力二次分析与人工阻
断的成本。
的安全策略的目的,避免了依靠人工经验确定安全策略,降低了对运维人员的经验要求,节
省了相关的人力成本,且有助于提升安全策略的确定准确性、客观一致性。
略,然后通过策略分发模块向防火墙X下发安全策略(例如是在黑名单配置中增加对IP地址
1.1.1.1的拦截策略),从而实现对攻击源进行自动封禁。
配的安全策略:关闭G0/1端口,从而实现对异常流量的进行自动封禁。
理,解决了产品兼容性问题。通过对海量日志和攻击数据进行自动化分析,减少了单一安全
产品安全告警的误报和漏报,同时降低人工分析成本。能够对攻击源进行快速和精确定位,
并自动关联网络安全设备下发安全策略,从而阻断攻击。
储器例如可以包括随机存取存储器(RAM)和/或高速缓冲存储器(cache)等。所述非易失性存储器例如可以包括只读存储器(ROM)、硬盘、闪存等。在所述计算机可读存储介质上可以存储一个或多个计算机程序指令,处理器401可以运行所述程序指令,以实现上文所说明的
本发明任意实施例的数据中心环境下的网络攻击阻断方法以及/或者其他期望的功能。在
所述计算机可读存储介质中还可以存储诸如初始外参、阈值等各种内容。
盘、鼠标等等。该输出装置404可以向外部输出各种信息,包括预警提示信息、制动力度等。
该输出装置404可以包括例如显示器、扬声器、打印机、以及通信网络及其所连接的远程输
出设备等等。
还可以包括任何其他适当的组件。
施例所提供的数据中心环境下的网络攻击阻断方法的步骤。
Java、C++等,还包括常规的过程式程序设计语言,诸如“C”语言或类似的程序设计语言。程序代码可以完全地在用户计算设备上执行、部分地在用户设备上执行、作为一个独立的软
件包执行、部分在用户计算设备上部分在远程计算设备上执行、或者完全在远程计算设备
或服务器上执行。
的数据中心环境下的网络攻击阻断方法的步骤。
磁、红外线、或半导体的系统、装置或器件,或者任意以上的组合。可读存储介质的更具体的例子(非穷举的列表)包括:具有一个或多个导线的电连接、便携式盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦式可编程只读存储器(EPROM或闪存)、光纤、便携式紧凑盘只读存储器(CD‑ROM)、光存储器件、磁存储器件、或者上述的任意合适的组合。
有明确列出的其他要素,或者是还包括为这种过程、方法或者设备所固有的要素。在没有更
多限制的情况下,由语句“包括一个……”限定的要素,并不排除在包括所述要素的过程、方法或者设备中还存在另外的相同要素。
操作,因此不能理解为对本发明的限制。除非另有明确的规定和限定,术语“安装”、“相连”、“连接”等应做广义理解,例如,可以是固定连接,也可以是可拆卸连接,或一体地连接;可以是机械连接,也可以是电连接;可以是直接相连,也可以通过中间媒介间接相连,可以是两
个元件内部的连通。对于本领域的普通技术人员而言,可以具体情况理解上述术语在本发
明中的具体含义。
然可以对前述各实施例所记载的技术方案进行修改,或者对其中部分或者全部技术特征进
行等同替换;而这些修改或者替换,并不使相应技术方案的本质脱离本发明各实施例技术
方案。