+

WO2018107811A1 - 网络安全联合防御方法、装置、服务器和存储介质 - Google Patents

网络安全联合防御方法、装置、服务器和存储介质 Download PDF

Info

Publication number
WO2018107811A1
WO2018107811A1 PCT/CN2017/099727 CN2017099727W WO2018107811A1 WO 2018107811 A1 WO2018107811 A1 WO 2018107811A1 CN 2017099727 W CN2017099727 W CN 2017099727W WO 2018107811 A1 WO2018107811 A1 WO 2018107811A1
Authority
WO
WIPO (PCT)
Prior art keywords
information
security
intrusion event
attack
defense
Prior art date
Application number
PCT/CN2017/099727
Other languages
English (en)
French (fr)
Inventor
王元铭
Original Assignee
平安科技（深圳）有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 平安科技（深圳）有限公司 filed Critical 平安科技（深圳）有限公司
Priority to SG11201808509RA priority Critical patent/SG11201808509RA/en
Priority to US16/082,892 priority patent/US10917417B2/en
Publication of WO2018107811A1 publication Critical patent/WO2018107811A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to the field of computer technologies, and in particular, to a network security joint defense method, apparatus, server, and storage medium.
  • a network security joint defense method, apparatus, server, and storage medium are provided.
  • a network security joint defense method comprising:
  • security log information of the plurality of security devices where the security log information is intrusion event information obtained by the security device in a network/system environment that violates its own defense policy
  • a network security joint defense method comprising:
  • the security log sharing platform is configured to classify and summarize the uploaded security log information, generate intrusion event information of multiple event categories, and follow the set rules. Pushing the intrusion event information of the plurality of event categories;
  • a network security joint defense device comprising:
  • the security log information obtaining module is configured to obtain security log information of the plurality of security devices, where the security log information is intrusion event information obtained by the security device in a network/system environment that violates its own defense policy;
  • a log information classification module configured to classify and summarize the intrusion event information included in the security log information according to a preset intrusion event type
  • An association information obtaining module configured to acquire a preset correspondence between each type of the intrusion event and a security device identifier
  • a log information pushing module configured to push the intrusion event information summarized for the intrusion event type to a security device pointed by the security device identifier having a corresponding relationship, so that the security device according to the push
  • the intrusion event information adjusts the self-defense strategy.
  • a network security joint defense device comprising:
  • the security log information generating module is configured to detect network/system state information and user behavior information in the network/system environment according to the self-defense policy, and generate security log information;
  • the security information sharing module is configured to upload the generated security log information to the security log sharing platform, where the security log sharing platform is configured to classify and summarize the uploaded security log information, and generate an intrusion event of multiple event categories. Information, and pushing the intrusion event information of the plurality of event categories according to a set rule;
  • the event information receiving module is configured to receive the intrusion event information of the at least one event category pushed by the secure log sharing platform;
  • the joint decision module is configured to generate a joint defense policy by using the received intrusion event information as the clue information.
  • a server comprising a memory and a processor, the memory storing computer executable instructions, the instructions being executed by the processor, causing the processor to perform the following steps:
  • security log information of the plurality of security devices where the security log information is intrusion event information obtained by the security device in a network/system environment that violates its own defense policy
  • One or more non-volatile readable storage media storing computer-executable instructions, the computer-executable instructions being executed by one or more processors, such that the one or more processors perform the steps of:
  • security log information of the plurality of security devices where the security log information is intrusion event information obtained by the security device in a network/system environment that violates its own defense policy
  • One or more non-volatile readable storage media storing computer-executable instructions, the instructions being executed by one or more processors, such that the one or more processors perform the following steps:
  • the security log sharing platform is configured to classify and summarize the uploaded security log information, generate intrusion event information of multiple event categories, and follow the set rules. Pushing the intrusion event information of the plurality of event categories;
  • FIG. 1 is an application environment diagram of a network security joint defense method in an embodiment
  • FIG. 2 is a flowchart of a network security joint defense method in an embodiment
  • FIG. 3 is a flowchart of a network security joint defense method in another embodiment
  • FIG. 4 is a structural block diagram of a network security joint defense device in an embodiment
  • FIG. 5 is a structural block diagram of a network security joint defense device in still another embodiment
  • FIG. 6 is a schematic diagram showing the internal structure of a server in an embodiment
  • Figure 7 is a schematic diagram showing the internal structure of a security device in one embodiment.
  • an application environment diagram of a network security joint defense method is provided, where the application environment diagram includes a plurality of security devices 110 and a server capable of two-way communication with the security device 110, where
  • the security device 110 can be a firewall security device and is equipped with an IDS (Intrusion) Detection Systems Intrusion Detection System) or IPS (Instrusion Prevention) System Intrusion Prevention System)
  • IDS Intrusion
  • IPS Instrusion Prevention) System Intrusion Prevention System
  • the security device can monitor user behavior or system activity from a computer network or a computer server, and analyze the monitoring information based on its own defense policy, and obtain intrusion events (including intrusion detection events, intrusion processing events, etc.) that record violations of its own defense strategy.
  • Security log Each security device uploads the obtained security log information to the server.
  • the server collects and analyzes multiple security logs, and returns information of one type of intrusion event to the corresponding security device to share information between multiple security devices.
  • the security device will use more abundant intrusion event information to detect, locate and process intrusion events in a timely and accurate manner.
  • FIG. 2 is a schematic flowchart diagram of a network security joint defense method according to an embodiment of the present invention. It should be understood that although the various steps in the flowchart of FIG. 2 are sequentially displayed as indicated by the arrows, these steps are not necessarily performed in the order indicated by the arrows. Except as explicitly stated herein, the execution of these steps is not strictly limited, and may be performed in other sequences. Moreover, at least some of the steps in FIG. 2 may include a plurality of sub-steps or stages, which are not necessarily performed sequentially, but may be alternated or alternated with at least a part of other steps or sub-steps or stages of other steps. carried out.
  • a network security joint defense method specifically includes the following steps:
  • Step S202 Acquire security log information of multiple security devices, where the security log information is intrusion event information that the security device obtains in the network/system environment and violates its own defense policy.
  • a security device is a device that can detect violations of security policies and signs of attacks from a system in a network or network environment.
  • Security devices can include firewalls, IDS (Intrusion Detection Systems Intrusion Detection System), IPS (Instrusion Prevention) System intrusion prevention system, and vulnerability scanning, etc., where the firewall is installed at the boundary of different networks, is the only channel between different security levels of the network or security domain, only the communication explicitly authorized by the firewall policy can pass the channel.
  • IDS identifies attacks, detects anomalies, and alerts anomalies by collecting and analyzing the status and behavior of systems, networks, data, and user activities, typically from system and network log files.
  • the IPS performs simple and fast attack detection and processes the detected attacks in real time.
  • Vulnerability scanning remotely detects vulnerability information on the target network or on the local host over the network.
  • the security log information is the intrusion event information of the security device default defense policy in the network/system environment obtained by the security device through its own functions such as detection and defense.
  • the security information can be access event information that is denied access in the detected firewall security policy; for vulnerability scanning, the security log information can be vulnerability information detected in the network and system environment; for IDS In terms of IPS, the security log information may be an identified attack event or an abnormal event.
  • the IPS security log information also includes event processing information such as terminating the process, disconnecting the connection, and changing the file attributes.
  • the security log information content and log format of different security devices are different.
  • Step S204 Convert the obtained log format of the plurality of security log information into a preset log format, where the preset log format is a log format that can be recognized by multiple security devices.
  • the log format of the security logs of different security devices may be different. You need to unify the log format of the security log information in multiple log formats. Convert the obtained different security log information into a preset log format, and ensure that the preset log format can be recognized by these security devices.
  • the format of the security log includes expressions and field formats, wherein the expressions include text expressions, binary expressions, and other computer language expressions.
  • the unified format of the log format and the format of the field are unified.
  • the security device may encrypt the security log information uploaded to the server, the server pre-stores the secret key information, and decrypts the encrypted security log information according to the secret key information, and then performs step S204.
  • the push information may be encrypted to prevent the information from being changed during the network transmission process, so that the security device cannot be accurately performed. Security detection and security defense.
  • Step S206 The intrusion event information included in the converted security log information is classified and summarized according to a preset intrusion event type.
  • the server pre-sets the types of intrusion events, such as fuzzy intrusion events, intrusion events that have detected attack sources, vulnerability information, and processed intrusion events.
  • System vulnerabilities can also be classified into fuzzy intrusion events.
  • the type of intrusion event can also be further refined.
  • Step S208 Acquire a preset correspondence between each intrusion event type and the security device identifier.
  • the security device is configured to include a vulnerability scanning security device, an IDS, an IPS, and a firewall.
  • the server allocates a unique security device identifier to each of the foregoing security devices, and the server pre-establishes a correspondence between the classified intrusion event type and the security device identifier. .
  • the fuzzy intrusion event can be bound to the IDS and/or IPS security device identity to enable the IDS and/or IPS security device to further detect the intrusion event based on the fuzzy intrusion event information to locate the attack type, Attack source; the intrusion event that detects the attack source is bound to the IPS security device ID to enable the IPS to respond to the attack response in time according to the explicit attack source information, and also detect the intrusion event and firewall security of the attack source.
  • the device ID is bound to enable the firewall to update the security defense policy and block the link corresponding to the intrusion event.
  • Step S210 Push the intrusion event information summarized for the intrusion event type to the security device pointed to by the security device identifier with the corresponding relationship, so that the security device adjusts its own defense policy according to the pushed intrusion event information.
  • the intrusion event information corresponding to the intrusion event type is pushed to the security device with the binding relationship, so that the security device obtains more clues and adjusts according to the clue.
  • the security defense strategy detects and processes intrusion events in a more accurate and timely manner.
  • multiple security devices upload the security log information detected by the security device during the security defense to the sharing platform, and the sharing platform performs readable format conversion and overall analysis and classification on all security logs, and shares information according to the set information.
  • the rule is to share the security log information of the statistical analysis to the security device that can better realize the value of the security log information.
  • the security device dynamically adjusts the security defense policy according to the security log information pushed by the shared platform, and implements the attack event quickly. Accurate positioning, in order to achieve rapid and effective handling of attack events, the above-mentioned multi-security device information sharing and joint defense greatly improve the accuracy and timeliness of network security defense, and achieve a more ideal security defense effect.
  • the security device includes a blur detection device and an attack detection device, the blur detection device is configured to detect a fuzzy intrusion event, and the attack detection device is configured to detect attack source information, where the detected fuzzy intrusion event is The attack detection device identifies an association.
  • both the fuzzy detection device and the attack detection device can detect the intrusion event information in the network and the system.
  • the fuzzy intrusion event information is one of the types of intrusion events preset by the server. Further, the fuzzy intrusion event information is a fuzzy intrusion event that does not explicitly attack the information, that is, the fuzzy intrusion event is intrusion event information that can be utilized by other security detecting devices to generate explicit attack information.
  • Step S210 Pushing the intrusion event information summarized for the intrusion event type to the security device pointed to by the security device identifier corresponding to the corresponding relationship, so that the security device adjusts the defense policy according to the pushed intrusion event information, including:
  • the server pushes the fuzzy intrusion event information detected by the fuzzy detection device to the attack detection device, and the attack detection device adjusts the defense strategy according to the fuzzy intrusion event information or generates a new detection policy, and the updated or newly generated detection policy is a joint detection strategy.
  • the attack detection device performs further detection of the intrusion event information according to the generated joint detection policy, and obtains the attack source information.
  • the joint detection policy is added to the security device to enhance the security device's ability to detect an intrusion event, so that the security device is behind. More intrusion events are detected during the detection work, and a new joint detection strategy is generated. In this way, the detection performance of safety equipment is continuously enhanced.
  • the fuzzy detection device is a vulnerability scanning security device
  • the fuzzy intrusion event information is vulnerability information in a system/application/network scanned by the vulnerability scanning security device
  • the attack detection device is an IDS
  • the IDS generates an attack detection source for the vulnerability information.
  • the policy performs the attack source detection policy, detects the attack source information that attacks the vulnerability, and detects the attack source information of the vulnerability by the IDS.
  • the attack source information obtained by the attack detection device is substantially more detailed and clear intrusion event information obtained by the cooperation between the fuzzy detection device and the attack detection device, and the security device information is shared by the security device. Collaboration enables faster and more accurate detection of attack events.
  • the security device further includes an attack defense device, and the attack source information is associated with the attack defense device identifier.
  • the attack defense device refers to a security device capable of performing attack event processing (such as terminating a process, cutting a connection, changing file attributes, and access restrictions) to eliminate the harm of an attack event or reduce the impact of an attack event.
  • the attack defense device may be an IPS, a firewall, or the like.
  • the method for detecting the fuzzy intrusion event is sent to the attack detection device, so that the attack detection device generates an attack source joint detection policy according to the fuzzy intrusion event information, and the attack detection device performs joint detection according to the attack source.
  • the policy detects the attack source information it also includes:
  • the server sends the attack source information that is sent by the attack detection device to the attack defense device, and the attack defense device generates a security defense policy for the attack source information.
  • the security defense policy is based on the intrusion event of multiple security devices.
  • the joint defense policy generated by the information, the attack defense device performs more accurate and timely attack processing and defense by executing the generated joint defense policy.
  • a network security joint defense method is also provided.
  • the method is applied to one of the security devices 110 as shown in FIG. 1, and specifically includes the following steps:
  • Step S302 Detect network/system status information and user behavior information in the network/system environment according to the self-defense policy, and generate security log information.
  • a security device is a device that can detect violations of security policies and signs of attacks from a system in a network or network environment.
  • Security devices can include firewalls, IDS (Intrusion Detection Systems Intrusion Detection System, IPS (Instrusion Prevention System) and vulnerability scanning.
  • the security device is configured with its own intrusion prevention policy. It performs intrusion detection by executing its own intrusion prevention policy, generates intrusion event information that violates its own defense policy, and records the generated intrusion event information in the form of a security log.
  • Step S304 Upload the generated security log information to the security log sharing platform, where the security log sharing platform is used for classifying and summarizing the uploaded security log information, generating intrusion event information of various event categories, and performing various according to the set rules. Push of intrusion event information for event categories.
  • the security device uploads the generated security log information to the server every set time, or automatically captures the security log information from the security device every set time.
  • Step S306 Receive intrusion event information of at least one event category pushed by the secure log sharing platform.
  • Step S308 Generate a joint defense policy by using the received intrusion event information as the clue information.
  • the log format of the security log of each security device acquired by the server is consistently converted, and the converted log format ensures that each security device can identify. Further, the server performs statistical analysis on the unified formatted security log information, sorts and sorts, and pushes the set security log information (intrusion event information) into the set security device to realize full information sharing, and each security device Ability to mine, locate, defend, and dispose of attacks more quickly and accurately based on shared intrusion event information.
  • the security device can obtain the security log information of other security devices through the shared platform, and fully utilize the shared security log information to optimize the security policy, so that the attack detection process is more efficient and accurate, and the security is greatly improved.
  • the security defense capability of the device can obtain the security log information of other security devices through the shared platform, and fully utilize the shared security log information to optimize the security policy, so that the attack detection process is more efficient and accurate, and the security is greatly improved.
  • the step of generating the joint defense policy by using the received intrusion event information as the clue information in the step S306 is: associating the security log information generated by the security device itself with the received intrusion event information to generate a joint security log. Information; generates a joint defense policy based on the joint security log information, and implements a joint defense policy for intrusion event detection and intrusion event prevention.
  • the security device may associate the intrusion event according to the time attribute in the security log information.
  • the association of the events may be performed by using address characteristics (such as IP) and port information attributes to obtain joint security log information.
  • the security device generates a joint defense policy for the joint security log information to make the attack detection process more efficient and accurate, and greatly improve the security defense capability of the security device.
  • a network security joint defense device comprising:
  • the security log information obtaining module 402 is configured to obtain security log information of multiple security devices, where the security log information is intrusion event information that the security device obtains in the network/system environment and violates its own defense policy.
  • the format conversion module 404 is configured to convert the obtained log format of the plurality of security log information into a preset log format, where the preset log format is a log format that can be recognized by multiple security devices.
  • the log information classification module 406 is configured to classify and summarize the intrusion event information included in the converted security log information according to a preset intrusion event type.
  • the association information obtaining module 408 is configured to obtain a preset correspondence between each type of the intrusion event and the security device identifier.
  • the log information pushing module 410 is configured to push the intrusion event information summarized for the intrusion event type to the security device pointed to by the security device identifier corresponding to the corresponding relationship, so that the security device adjusts the defense policy according to the pushed intrusion event information.
  • the security device includes a blur detection device and an attack detection device, the blur detection device is configured to detect a fuzzy intrusion event, and the attack detection device is configured to detect attack source information, where the detected fuzzy intrusion event is The attack detection device identifies an association.
  • the log information sending module 410 is further configured to: push the fuzzy intrusion event information to the attack detection device, so that the attack detection device generates an attack source joint detection policy according to the fuzzy intrusion event information, where the attack detection device The attack source information is detected according to the attack source joint detection policy.
  • the security device further includes an attack defense device, the attack source information being associated with the attack defense device identifier.
  • the log information pushing module 410 is further configured to push the attack source information to the attack defense device, so that the attack defense device generates a joint defense policy according to the attack source information.
  • a network security joint defense device comprising:
  • the security log information generating module 502 is configured to detect network/system state information and user behavior information in the network/system environment according to the self-defense policy, and generate security log information.
  • the security information sharing module 504 is configured to upload the generated security log information to the security log sharing platform, where the security log sharing platform is configured to classify and summarize the uploaded security log information, generate intrusion event information of various event categories, and set according to the Rules are used to push intrusion event information for multiple event categories.
  • the event information receiving module 506 is configured to receive intrusion event information of at least one event category pushed by the secure log sharing platform.
  • the joint decision module 508 is configured to generate a joint defense policy by using the received intrusion event information as the clue information.
  • the joint decision module 508 is further configured to associate the security log information generated by the security device itself with the received intrusion event information to generate joint security log information, and generate a joint defense policy according to the joint security log information, and Implement a joint defense strategy for intrusion event detection and intrusion event prevention.
  • a server having an internal structure as shown in FIG. 6, including a processor coupled through a system bus, a non-volatile storage medium, an internal memory, and a network interface.
  • the non-volatile storage medium of the server stores an operating system, a database, and at least one computer executable instruction executable by the processor.
  • the database is used to store data, such as storing collected traffic data.
  • the processor is used to provide computing and control capabilities to support the operation of the entire server.
  • the internal memory in the server provides a cached operating environment for operating systems, databases, and computer executable instructions in a non-volatile storage medium.
  • the network interface is used to communicate with the security device over a network connection.
  • FIG. 6 is only a block diagram of a part of the structure related to the solution of the present application, and does not constitute a limitation on the server to which the solution of the present application is applied.
  • the specific server may It includes more or fewer components than those shown in the figures, or some components are combined, or have different component arrangements.
  • a server is provided, and when the processor of the server executes the computer executable instructions in the memory, the following steps are performed: acquiring security log information of the plurality of security devices, wherein the security log information is The intrusion event information of the security device in the network/system environment that violates its own defense policy; the intrusion event information included in the security log information is classified and summarized according to a preset intrusion event type; Corresponding relationship between each of the intrusion event types and the security device identifier; pushing the intrusion event information summarized for the intrusion event type to a security device pointed to by the security device identifier having a corresponding relationship, And causing the security device to adjust the self-defense policy according to the pushed intrusion event information.
  • the processor further performs the following steps: converting the obtained log format of the plurality of pieces of security log information into a preset log format, where the preset log format is a plurality of the security devices The recognized log format.
  • the security device includes a blur detection device and an attack detection device, the blur detection device is configured to detect a fuzzy intrusion event, and the attack detection device is configured to detect attack source information, where the detected fuzzy intrusion event is The attack detection device identifier is associated;
  • the processor further performs the following steps: the fuzzy intrusion event information is pushed to the attack detection device, so that the attack detection device generates an attack source joint detection policy according to the fuzzy intrusion event information, and the attack detection device The attack source information is detected according to the attack source joint detection policy.
  • the security device further includes an attack defense device, where the attack source information is associated with the attack defense device identifier;
  • the processor further performs the step of: pushing the attack source information to the attack defense device, so that the attack defense device generates a joint defense policy according to the attack source information.
  • a security device having an internal structure as shown in FIG. 7, including a processor coupled through a system bus, a non-volatile storage medium, an internal memory, and a network interface.
  • the non-volatile storage medium of the security device stores an operating system and at least one computer executable instruction executable by the processor.
  • the processor is used to provide computing and control capabilities to support the operation of the entire security device.
  • the internal memory of the security device provides an efficient caching environment for operating systems and computer executable instructions in a non-volatile storage mechanism.
  • the network interface is used to communicate with the server in Figure 6 over a network connection.
  • FIG. 7 is only a block diagram of a part of the structure related to the solution of the present application, and does not constitute a limitation on the server to which the solution of the present application is applied.
  • the specific server may It includes more or fewer components than those shown in the figures, or some components are combined, or have different component arrangements.
  • a security device performing the following steps: performing network/system status information in a network/system environment according to its own defense policy when executing the computer executable instructions in the memory
  • the user behavior information is detected, and the security log information is generated.
  • the generated security log information is uploaded to the security log sharing platform, where the security log sharing platform is used to classify and summarize the uploaded security log information, and generate multiple types.
  • Intrusion event information of the event category and pushing the intrusion event information of the plurality of event categories according to the setting rule; receiving the intrusion event information of the at least one event category pushed by the security log sharing platform;
  • the intrusion event information generates a joint defense strategy for the clue information.
  • the received intrusion event information executed by the processor generates a joint defense policy for the thread information, including: performing the security log information generated by the security device itself and the received intrusion event information into an event. Correlation, generating joint security log information; generating a joint defense policy according to the joint security log information, and executing the joint defense policy for intrusion event detection and intrusion event defense.
  • Each of the above modules may be implemented in whole or in part by software, hardware, and combinations thereof.
  • the network interface may be an Ethernet card or a wireless network card.
  • Each of the above modules may be embedded in or independent of the processor in the server and the security device, or may be stored in a software in a memory in the server and the security device, so that the processor calls the execution of each of the above modules. Operation.
  • the processor can be a central processing unit (CPU), a microprocessor, a microcontroller, or the like.
  • one or more non-volatile readable storage media storing computer-executable instructions are provided that, when executed by one or more processors, cause one or more processors to perform the above-described implementation All or part of the process in the example method.
  • the computer executable instructions described above are computer executable instructions corresponding to a computer program implemented by all or part of the processes of the various embodiments described above.
  • the program can be stored in a computer readable storage medium, such as the present invention.
  • the program can be stored in a non-volatile readable storage medium of the computer system and executed by at least one processor in the computer system to implement a process comprising an embodiment of the methods described above.
  • the non-volatile readable storage medium may be a magnetic disk, an optical disk, or a read-only memory (Read-Only) Memory, ROM), etc.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer And Data Communications (AREA)
  • Debugging And Monitoring (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

一种网络安全联合防御方法，包括：获取多个安全设备的安全日志信息，其中，安全日志信息为设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；将获取的多个安全日志信息转换成预设日志格式，其中，预设日志格式为多个安全设备均可识别的日志格式；将转换后的安全日志信息包含的入侵事件信息按照预设的入侵事件类型进行分类汇总；获取预先设置的每个入侵事件类型对应的安全设备标识；将每个入侵事件类型对应的入侵事件信息推送至安全设备标识对应的安全设备，以使安全设备根据推送的入侵事件信息调整对应的自身防御策略。

Description

网络安全联合防御方法、装置、服务器和存储介质
本申请要求于2016年12月14日提交中国专利局、申请号为2016111560167、发明名称为“网络安全联合防御方法和装置”的中国专利申请的优先权，其全部内容通过引用结合在本申请中。
【技术领域】
本发明涉及计算机技术领域，特别是涉及一种网络安全联合防御方法、装置、服务器和存储介质。
【背景技术】
随着互联网技术的迅猛发展，企业运转、社会活动以及人们的日常生活都离不开互联网，为保证上述活动的有序运行，必须加强网络安全系统的构建和维护。
传统的网络安全防御主要依赖现有安全设备，如漏洞扫描设备、防火墙、侵入保护设备等。上述安全设备安全防御能力有限，每个安全设备都有其无法避免的短板，安全防御效果不理想。如何利用传统安全设备达到更理想的网络安全防御效果，成了一个亟待解决的问题。
【发明内容】
根据本申请公开的各种实施例，提供一种网络安全联合防御方法、装置、服务器和存储介质。
一种网络安全联合防御方法，所述方法包括：
获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；
将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
一种网络安全联合防御方法，所述方法包括：
根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
以接收的所述入侵事件信息为线索信息生成联合防御策略。
一种网络安全联合防御装置，所述装置包括：
安全日志信息获取模块，用于获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
日志信息分类模块，用于将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
关联信息获取模块，用于获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；
日志信息推送模块，用于将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
一种网络安全联合防御装置，所述装置包括：
安全日志信息生成模块，用于根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
安全信息分享模块，用于将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
事件信息接收模块，用于接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
联合决策模块，用于以接收的所述入侵事件信息为线索信息生成联合防御策略。
一种服务器，包括存储器和处理器，所述存储器中存储有计算机可执行指令，所述指令被所述处理器执行时，使得所述处理器执行以下步骤：
获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；
将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
一个或多个存储有计算机可执行指令的非易失性可读存储介质，所述计算机可执行指令被一个或多个处理器执行，使得所述一个或多个处理器执行以下步骤：
获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；
将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
一个或多个存储有计算机可执行指令的非易失性可读存储介质，所述指令被一个或多个处理器执行，使得所述一个或多个处理器执行以下步骤：
根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；
以接收的所述入侵事件信息为线索信息生成联合防御策略。
本申请的一个或多个实施例的细节在下面的附图和描述中提出。本申请的其它特征、目的和优点将从说明书、附图以及权利要求书变得明显。
【附图说明】
为了更清楚地说明本申请实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本申请的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1为一个实施例中网络安全联合防御方法的应用环境图；
图2为一个实施例中网络安全联合防御方法的流程图；
图3为另一个实施例中网络安全联合防御方法的流程图；
图4为一个实施例中网络安全联合防御装置的结构框图；
图5为又一个实施例中网络安全联合防御装置的结构框图；
图6为一个实施例中服务器的内部结构示意图；
图7为一个实施例中安全设备的内部结构示意图。
【具体实施方式】
为了使本发明的目的、技术方案及优点更加清楚明白，以下结合附图及实施例，对本发明进行进一步详细说明。应当理解，此处所描述的具体实施例仅仅用以解释本发明，并不用于限定本发明。
如图1所示，在一个实施例中，提供了一种网络安全联合防御方法的应用环境图，该应用环境图包括多个安全设备110和与安全设备110可进行双向通信的服务器，其中，安全设备110可以是防火墙安全设备、安装有IDS（Intrusion Detection Systems入侵检测系统）或IPS（Instrusion Prevention System入侵防护系统）硬件安全设备、漏洞扫描安全设备等可对系统和网络进行安全检测防护的设备。安全设备可从计算机网络或者计算机服务器中监控用户行为或系统活动，并以自身防御策略为准则进行监控信息分析，得到记录有违反自身防御策略的入侵事件（包括入侵检测事件、入侵处理事件等）的安全日志。各个安全设备将获取的安全日志信息上传到服务器，服务器对多个安全日志进行汇总分析，将属于一种类型的入侵事件信息返回给相应的安全设备以实现多个安全设备之间信息的共享，安全设备将利用更加丰富的入侵事件信息，更加及时、准确地进行入侵事件的检测、定位以及处理。
图2为本发明一个实施例的网络安全联合防御方法的流程示意图。应当理解的是，虽然图2的流程图中的各个步骤按照箭头的指示依次显示，但是这些步骤并不是必须按照箭头指示的顺序依次执行。除非本文中有明确的说明，这些步骤的执行并没有严格的顺序限制，其可以以其他的顺序执行。而且图2中的至少一部分步骤可以包括多个子步骤或者多个阶段，这些子步骤或者阶段并不必然是依次进行，而是可以与其他步骤或者其他步骤的子步骤或者阶段的至少一部分轮流或者交替执行。
参考图2，一种网络安全联合防御方法具体包括以下步骤：
步骤S202：获取多个安全设备的安全日志信息，其中，安全日志信息为安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息。
安全设备是指能够从网络或者网络环境下的系统发现违反安全策略行为、遭遇袭击迹象的设备。安全设备可以包括防火墙、IDS（Intrusion Detection Systems入侵检测系统）、IPS（Instrusion Prevention System入侵防护系统）以及漏洞扫描等，其中，防火墙安装在不同网络的边界，是不同安全级别的网络或者安全域之间唯一的通道，只有被防火墙策略明确授权的通信才可以通过通道。IDS通过收集、分析系统、网络、数据以及用户活动的状态和行为（这些信息一般来自系统和网络日志文件）识别攻击行为、发现异常状况并进行异常告警。IPS进行简单快速的攻击检测并对检测的攻击进行实时处理。漏洞扫描可通过网络远程检测目标网络或者本地主机的上存在的漏洞信息。
安全日志信息是安全设备经检测、防御等自身功能得到的网络/系统环境中的违反安全设备预设防御策略的入侵事件信息。例如，对于防火墙来说，安全信息可以为检测到的防火墙安全策略中拒绝访问的访问事件信息；对于漏洞扫描而言，其安全日志信息可以为网络和系统环境中检测到的漏洞信息；对于IDS和IPS而言，其安全日志信息可以是识别的攻击事件、异常事件，IPS的安全日志信息还包括事件处理信息，如终止进程、切断连接以及更改文件属性等事件信息。不同安全设备的安全日志信息内容、日志格式都不尽相同。
步骤S204：将获取的多个安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个安全设备均可识别的日志格式。
不同的安全设备的日志格式可能不同，在对安全日志信息进行统计分析前，需要对将获取的多种日志格式的安全日志信息进行日志格式的统一。将获取的不同的安全日志信息转化成预设的日志格式，并确保该预设的日志格式能够被这些安全设备所识别。
安全日志的格式包括表达方式和字段格式，其中，表达方式包括文本表达方式、二进制表达方式以及其他计算机语言表达方式。进行日志格式的统一即将表达方式以及字段格式都进行统一。
在一个实施例中，安全设备可以对上传到服务器中的安全日志信息进行加密处理，服务器预先存储秘钥信息，并根据秘钥信息对加密的安全日志信息进行解密，而后执行步骤S204。在另一个实施例中，服务器在将分类统计后的入侵事件信息推送至安全设备之前，也可以对推送信息进行加密处理，以防止信息在网络传输过程中被更改，避免安全设备不能准确的进行安全检测和安全防御。
步骤S206：将转换后的安全日志信息所包含的入侵事件信息按照预设的入侵事件类型进行分类汇总。
服务器预先设定了入侵事件的类型，如模糊入侵事件、已检测出攻击源的入侵事件、漏洞信息、已处理入侵事件，其中，系统漏洞也可以划分到模糊入侵事件中。在另一个实施例中，还可以对入侵事件的类型进一步细化。
步骤S208：获取预设的每个入侵事件类型与安全设备标识之间的对应关系。
这里设定安全设备包括漏洞扫描安全设备、IDS、IPS以及防火墙，服务器为上述的每个安全设备分配唯一的安全设备标识，服务器预先建立上述划分的入侵事件类型与安全设备标识之间的对应关系。
在一个实施例中，可将模糊入侵事件与IDS和/或IPS安全设备标识绑定，以使IDS和/或IPS安全设备能够根据模糊入侵事件信息对入侵事件进行进一步的检测以定位攻击类型、攻击源；可将以检测出攻击源的入侵事件与IPS安全设备标识进行绑定以使IPS根据明确的攻击源信息及时做出攻击处理响应，还可将检测到攻击源的入侵事件与防火墙安全设备标识进行绑定，以使防火墙更新安全防御策略，对入侵事件对应的链接进行阻断。
步骤S210：将针对于入侵事件类型汇总的入侵事件信息推送至具有对应关系的安全设备标识所指向的安全设备，以使安全设备根据推送的入侵事件信息调整自身防御策略。
根据入侵事件类型与安全设备之间的绑定关系，将相应的入侵事件类型对应的入侵事件信息推送至具有绑定关系的安全设备中，以使安全设备获得更多的线索，并根据线索调整安全防御策略以更加准确及时的进行入侵事件的检测和处理。
本实施例中，多个安全设备将自身在进行安全防御时检测到的安全日志信息上传共享平台，共享平台对所有安全日志进行可读性格式转化以及统筹分析分类，并按照设定的信息共享规则，将统计分析的安全日志信息共享至能够更好实现安全日志信息价值的安全设备中，安全设备根据共享平台推送的安全日志信息为线索信息动态调整安全防御策略，实现了攻击事件的快速、精准定位，进而实现对攻击事件的快速有效处理，上述的多安全设备信息共享和联合防御大大提高了网络安全防御的准确性和及时性，取得了更理想的安全防御的效果。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联。
具体的，模糊检测设备和攻击检测设备均能够检测出网络和系统中的入侵事件信息。模糊入侵事件信息为服务器预设的其中一种入侵事件类型。进一步的，模糊入侵事件信息为未明确攻击信息的模糊入侵事件，也就是，模糊入侵事件为可被其他安全检测设备利用来生成明确攻击信息的入侵事件信息。
步骤S210：将针对于入侵事件类型汇总的入侵事件信息推送至具有对应关系的安全设备标识所指向的安全设备，以使安全设备根据推送的入侵事件信息调整自身防御策略包括：
将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
服务器将模糊检测设备检测的模糊入侵事件信息推送至攻击检测设备中，攻击检测设备根据模糊入侵事件信息调整自身防御策略或者生成新的检测策略，该更新的或者新生成的检测策略为联合检测策略，攻击检测设备将根据生成的联合检测策略进行入侵事件信息的进一步检测，得到攻击源信息。
需要说明的是，本实施例在生成所述联合检测策略后，该联合检测策略将被添加至所述安全设备中，以加强该安全设备对入侵事件的检测能力，使该安全设备在后面的检测工作中检测出更多的入侵事件，进而生成新的联合检测策略等。如此往复，不断加强安全设备的检测性能。
举例来说，模糊检测设备为漏洞扫描安全设备，模糊入侵事件信息为漏洞扫描安全设备扫描得到的系统/应用/网络中的漏洞信息，攻击检测设备为IDS，IDS生成针对漏洞信息的攻击检测源策略，执行该攻击源检测策略，检测攻击该漏洞的攻击源信息，IDS检测出的该漏洞的攻击源信息。
本实施例中，攻击检测设备得到的攻击源信息实质上是模糊检测设备与攻击检测设备联合协作得到的更加详细的、明确的入侵事件信息，通过安全日志信息的共享使得各个安全设备之间相互协作，可更加快速准确的进行攻击事件的检测。
在一个实施例中，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识的关联。
具体的，攻击防御设备是指能够进行攻击事件处理（如终止进程、切断连接、改变文件属性、访问限制）以消除攻击事件的危害或者减少攻击事件影响的安全设备。在一个实施例中，攻击防御设备可以是IPS和防火墙等。
在步骤将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息之后，还包括：
将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
服务器将攻击检测设备上传的经过联合协作分析得到的攻击源信息推送给攻击防御设备，攻击防御设备生成针对该攻击源信息的安全防御策略，该安全防御策略实质为根据多个安全设备的入侵事件信息生成的联合防御策略，攻击防御设备通过执行生成的联合防御策略进行更加精准、及时的攻击处理和防御。
在一个实施例中，如图3所示，还提供了一种网络安全联合防御方法，该方法以应用到如图1所示的其中一个安全设备110中进行举例说明，具体包括以下步骤：
步骤S302：根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息。
安全设备是指能够从网络或者网络环境下的系统发现违反安全策略行为、遭遇袭击迹象的设备。安全设备可以包括防火墙、IDS（Intrusion Detection Systems入侵检测系统）、IPS（Instrusion Prevention System入侵防护系统）以及漏洞扫描等。
安全设备设置有自身入侵防御策略，通过执行自身入侵防御策略进行入侵检测，生成违反自身防御策略的入侵事件信息，并将生成的入侵事件信息以安全日志的形式进行记录。
步骤S304：将生成的安全日志信息上传到安全日志共享平台，其中，安全日志共享平台用于分类汇总上传的安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行多种事件类别的入侵事件信息的推送。
具体的，安全设备每个设定时间将生成的安全日志信息上传至服务器，或者服务器每个设定时间自动从安全设备中进行安全日志信息的抓取。
步骤S306：接收安全日志共享平台推送的至少一种事件类别的入侵事件信息。
步骤S308：以接收的入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，服务器进行获取的各个安全设备的安全日志的日志格式进行一致性转化，转化的日志格式保证各个安全设备能够识别。进一步的，服务器对格式统一化的安全日志信息进行统计分析，分类整理，并将设定类别的安全日志信息（入侵事件信息）推送至设定的安全设备中以实现信息充分共享，各个安全设备能够根据共享的入侵事件信息更加快速准确地进行攻击的挖掘、定位、防御和处置。
本实施例中，安全设备能够通过共享平台获取到其他安全设备的安全日志信息，充分利用共享的安全日志信息进行安全策略的最优化调整，使攻击检测处理更加高效、准确，极大地提高了安全设备的安全防御能力。
在一个实施例中，步骤S306中的以接收的入侵事件信息为线索信息生成联合防御策略的步骤为：将安全设备自身生成的安全日志信息和接收的入侵事件信息进行事件关联，生成联合安全日志信息；根据联合安全日志信息生成联合防御策略，并执行联合防御策略以进行入侵事件检测和入侵事件防御。
具体的，安全设备可根据安全日志信息中的时间属性进行入侵事件的关联。在另一个实施例中，还可以通过地址特征（如IP）、端口信息属性进行事件的关联，得到联合安全日志信息。
安全设备针对联合安全日志信息生成联合防御策略，以使攻击检测处理更加高效、准确，极大地提高了安全设备的安全防御能力。
在一个实施例中，如图4所示，提供了一种网络安全联合防御装置，该装置包括：
安全日志信息获取模块402，用于获取多个安全设备的安全日志信息，其中，安全日志信息为安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息。
格式转换模块404，用于将获取的多个安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个安全设备均可识别的日志格式。
日志信息分类模块406，用于将转换后的安全日志信息所包含的入侵事件信息按照预设的入侵事件类型进行分类汇总。
关联信息获取模块408，用于获取预设的每个入侵事件类型与安全设备标识之间的对应关系。
日志信息推送模块410，用于将针对于入侵事件类型汇总的入侵事件信息推送至具有对应关系的安全设备标识所指向的安全设备，以使安全设备根据推送的入侵事件信息调整自身防御策略。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联。
日志信息推送模块410，还用于将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
在一个实施例中，所所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联。
日志信息推送模块410，还用于将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
在一个实施例中，如图5所示，提供了一种网络安全联合防御装置，该装置包括：
安全日志信息生成模块502，用于根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息。
安全信息分享模块504，用于将生成的安全日志信息上传到安全日志共享平台，其中，安全日志共享平台用于分类汇总上传的安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行多种事件类别的入侵事件信息的推送。
事件信息接收模块506，用于接收安全日志共享平台推送的至少一种事件类别的入侵事件信息。
联合决策模块508，用于以接收的入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，联合决策模块508，还用于将安全设备自身生成的安全日志信息和接收的入侵事件信息进行事件关联，生成联合安全日志信息；根据联合安全日志信息生成联合防御策略，并执行联合防御策略以进行入侵事件检测和入侵事件防御。
在一个实施例中，提供了一种服务器，该服务器的内部结构如图6所示，包括通过系统总线连接的处理器、非易失性存储介质、内存储器和网络接口。其中，该服务器的非易失性存储介质存储有操作系统、数据库和至少一条计算机可执行指令，该计算机可执行指令可被处理器执行。数据库用于存储数据，如存储收集的业务流量数据等。处理器用于提供计算和控制能力，支撑整个服务器的运行。服务器中的内存储器为非易失性存储介质中的操作系统、数据库和计算机可执行指令提供高速缓存的运行环境。网络接口用于与安全设备通过网络连接通信。本领域技术人员可以理解，图6中示出的服务器的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的服务器的限定，具体的服务器可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
在一个实施例中，提供了一种服务器，该服务器的处理器执行存储器中的计算机可执行指令时，具体执行以下步骤：获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
在一个实施例中，所述处理器还执行以下步骤：将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式。
在一个实施例中，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
所述处理器还执行以下步骤：将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
在一个实施例中，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
所述处理器还执行以下步骤：将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
在一个实施例中，提供了一种安全设备，该安全设备的内部结构如图7所示，包括通过系统总线连接的处理器，非易失性存储介质、内存储器和网络接口。其中，安全设备的非易失性存储介质存储有操作系统和至少一条计算机可执行指令，该计算机可执行指令可被处理器所执行。处理器用于提供计算和控制能力，支撑整个安全设备的运行。安全设备的内存储器为非易失存储机制中的操作系统和计算机可执行指令提供高效缓存的运行环境。网络接口用于与图6中的服务器通过网络连接通信。本领域技术人员可以理解，图7中示出的服务器的结构，仅仅是与本申请方案相关的部分结构的框图，并不构成对本申请方案所应用于其上的服务器的限定，具体的服务器可以包括比图中所示更多或更少的部件，或者组合某些部件，或者具有不同的部件布置。
在一个实施例中，提供了一种安全设备，该安全设备的处理器执行存储器中的计算机可执行指令时，具体执行以下步骤：根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；以接收的所述入侵事件信息为线索信息生成联合防御策略。
在一个实施例中，处理器执行的所述接收的所述入侵事件信息为线索信息生成联合防御策略，包括：将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
上述各个模块可全部或部分通过软件、硬件及其组合来实现。其中，网络接口可以是以太网卡或无线网卡等。上述各模块可以硬件形式内嵌于或独立于上述的服务器和安全设备中的处理器中，也可以以软件形式存储于服务器和安全设备中的存储器中，以便于处理器调用执行以上各个模块对应的操作。该处理器可以为中央处理单元（CPU)、微处理器、单片机等。
在一个实施例中，提供了一个或多个存储有计算机可执行指令的非易失性可读存储介质，该指令被一个或多个处理器执行时，使得一个或多个处理器执行上述实施例方法中的全部或部分流程。上述的计算机可执行指令为由上述各实施例方法中的全部或者部分流程实现的计算机程序对应的计算机可执行指令。
本领域普通技术人员可以理解实现上述实施例方法中的全部或部分流程，是可以通过计算机可执行指令来指令相关的硬件来完成，程序可存储于一计算机可读取存储介质中，如本发明实施例中，该程序可存储于计算机系统的非易失性可读存储介质中，并被该计算机系统中的至少一个处理器执行，以实现包括如上述各方法的实施例的流程。其中，非易失性可读存储介质可为磁碟、光盘、只读存储记忆体（Read-Only Memory，ROM）等。
以上实施例的各技术特征可以进行任意的组合，为使描述简洁，未对上述实施例中的各个技术特征所有可能的组合都进行描述，然而，只要这些技术特征的组合不存在矛盾，都应当认为是本说明书记载的范围。
以上实施例仅表达了本发明的几种实施方式，其描述较为具体和详细，但并不能因此而理解为对发明专利范围的限制。应当指出的是，对于本领域的普通技术人员来说，在不脱离本发明构思的前提下，还可以做出若干变形和改进，这些都属于本发明的保护范围。因此，本发明专利的保护范围应以所附权利要求为准。

Claims (22)

  1. 一种网络安全联合防御方法，包括：
    获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
    将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
    获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；及
    将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
  2. 根据权利要求1所述的方法，其特征在于，在所述获取多个安全设备的安全日志信息之后，还包括：
    将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式。
  3. 根据权利要求1或2所述的方法，其特征在于，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
    所述将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略，还包括：
    将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
  4. 根据权利要求3所述的方法，其特征在于，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
    所述将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略，还包括：
    将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
  5. 一种网络安全联合防御方法，包括：
    根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
    将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
    接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；及
    以接收的所述入侵事件信息为线索信息生成联合防御策略。
  6. 根据权利要求5所述的方法，其特征在于，所述接收的所述入侵事件信息为线索信息生成联合防御策略，包括：
    将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；
    根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
  7. 一种网络安全联合防御装置，其特征在于，包括：
    安全日志信息获取模块，用于获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
    日志信息分类模块，用于将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
    关联信息获取模块，用于获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；及
    日志信息推送模块，用于将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
  8. 根据权利要求7所述的装置，其特征在于，还包括：
    格式转换模块，用于将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式。
  9. 根据权利要求7或8所述的装置，其特征在于，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
    所述日志信息推送模块还用于将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
  10. 根据权利要求9所述的装置，其特征在于，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
    所述日志信息推送模块还用于将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
  11. 一种网络安全联合防御装置，其特征在于，包括：
    安全日志信息生成模块，用于根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
    安全信息分享模块，用于将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
    事件信息接收模块，用于接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；及
    联合决策模块，用于以接收的所述入侵事件信息为线索信息生成联合防御策略。
  12. 根据权利要求11所述的装置，其特征在于，所述联合决策模块，还用于将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
  13. 一种服务器，包括存储器和处理器，所述存储器中存储有计算机可执行指令，所述指令被所述处理器执行时，使得所述处理器执行以下步骤：
    获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
    将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
    获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；及
    将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
  14. 根据权利要求13所述的服务器，其特征在于，所述处理器还执行以下步骤：将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式。
  15. 根据权利要求13或14所述的服务器，其特征在于，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
    所述处理器还执行以下步骤：
    将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
  16. 根据权利要求15所述的服务器，其特征在于，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
    所述处理器还执行以下步骤：
    将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
  17. 一个或多个存储有计算机可执行指令的非易失性可读存储介质，所述指令被一个或多个处理器执行，使得所述一个或多个处理器执行以下步骤：
    获取多个安全设备的安全日志信息，其中，所述安全日志信息为所述安全设备在网络/系统环境中获取的违反自身防御策略的入侵事件信息；
    将所述安全日志信息所包含的所述入侵事件信息按照预设的入侵事件类型进行分类汇总；
    获取预设的每个所述入侵事件类型与安全设备标识之间的对应关系；及
    将针对于所述入侵事件类型汇总的所述入侵事件信息推送至具有对应关系的所述安全设备标识所指向的安全设备，以使所述安全设备根据推送的所述入侵事件信息调整所述自身防御策略。
  18. 根据权利要求17所述的非易失性可读存储介质，其特征在于，所述处理器还执行以下步骤：将获取的多个所述安全日志信息的日志格式转换成预设日志格式，其中，预设日志格式为多个所述安全设备均可识别的日志格式。
  19. 根据权利要求17或18所述的非易失性可读存储介质，其特征在于，所述安全设备包括模糊检测设备和攻击检测设备，所述模糊检测设备用于检测模糊入侵事件，所述攻击检测设备用于检测攻击源信息，所述检测模糊入侵事件与所述攻击检测设备标识关联；
    所述处理器还执行以下步骤：
    将所述模糊入侵事件信息推送至所述攻击检测设备，以使所述攻击检测设备根据所述模糊入侵事件信息生成攻击源联合检测策略，所述攻击检测设备根据所述攻击源联合检测策略检测攻击源信息。
  20. 根据权利要求19所述的非易失性可读存储介质，其特征在于，所述安全设备还包括攻击防御设备，所述攻击源信息与所述攻击防御设备标识关联；
    所述处理器还执行以下步骤：
    将所述攻击源信息推送至所述攻击防御设备，以使所述攻击防御设备根据所述攻击源信息生成联合防御策略。
  21. 一个或多个存储有计算机可执行指令的非易失性可读存储介质，所述指令被一个或多个处理器执行，使得所述一个或多个处理器执行以下步骤：
    根据自身防御策略对网络/系统环境中的网络/系统状态信息和用户行为信息进行检测，生成安全日志信息；
    将生成的所述安全日志信息上传到安全日志共享平台，其中，所述安全日志共享平台用于分类汇总上传的所述安全日志信息，生成多种事件类别的入侵事件信息，并按照设定规则进行所述多种事件类别的入侵事件信息的推送；
    接收所述安全日志共享平台推送的至少一种事件类别的所述入侵事件信息；及
    以接收的所述入侵事件信息为线索信息生成联合防御策略。
  22. 根据权利要求21所述的非易失性可读存储介质，其特征在于，所述处理器执行的所述接收的所述入侵事件信息为线索信息生成联合防御策略，包括：
    将安全设备自身生成的所述安全日志信息和接收的所述入侵事件信息进行事件关联，生成联合安全日志信息；
    根据所述联合安全日志信息生成联合防御策略，并执行所述联合防御策略以进行入侵事件检测和入侵事件防御。
PCT/CN2017/099727 2016-12-14 2017-08-30 网络安全联合防御方法、装置、服务器和存储介质 WO2018107811A1 (zh)

Priority Applications (2)

Application Number Priority Date Filing Date Title
SG11201808509RA SG11201808509RA (en) 2016-12-14 2017-08-30 Method, apparatus, server, and storage medium for network security joint defense
US16/082,892 US10917417B2 (en) 2016-12-14 2017-08-30 Method, apparatus, server, and storage medium for network security joint defense

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN201611156016.7A CN106790023B (zh) 2016-12-14 2016-12-14 网络安全联合防御方法和装置
CN201611156016.7 2016-12-14

Publications (1)

Publication Number Publication Date
WO2018107811A1 true WO2018107811A1 (zh) 2018-06-21

Family

ID=58888956

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2017/099727 WO2018107811A1 (zh) 2016-12-14 2017-08-30 网络安全联合防御方法、装置、服务器和存储介质

Country Status (4)

Country Link
US (1) US10917417B2 (zh)
CN (1) CN106790023B (zh)
SG (1) SG11201808509RA (zh)
WO (1) WO2018107811A1 (zh)

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110535703A (zh) * 2019-08-30 2019-12-03 艾西威汽车科技(北京)有限公司 一种车联网通信检测方法、装置及平台和计算机可读存储介质
CN110912899A (zh) * 2019-11-27 2020-03-24 王向远 网络安全入侵检测方法、装置、服务器及可读存储介质
CN111162929A (zh) * 2019-12-04 2020-05-15 杭州迪普科技股份有限公司 一种分级管理方法和系统
CN113254138A (zh) * 2021-06-08 2021-08-13 中国传媒大学 一种漏洞靶场防御方演练过程可视化的方法和系统
CN113472725A (zh) * 2020-03-31 2021-10-01 阿里巴巴集团控股有限公司 一种数据处理的方法和装置
CN113839935A (zh) * 2021-09-14 2021-12-24 上海纽盾科技股份有限公司 网络态势感知方法、装置及系统
CN114679341A (zh) * 2022-05-27 2022-06-28 江苏益柏锐信息科技有限公司 结合erp系统的网络入侵攻击分析方法、设备及介质
CN116893942A (zh) * 2023-07-06 2023-10-17 九科信息技术(深圳)有限公司 日志数据的格式转换方法、装置、设备及存储介质
CN117040912A (zh) * 2023-09-13 2023-11-10 湖南新生命网络科技有限公司 一种基于数据分析的网络安全运维管理方法及系统
CN119066506A (zh) * 2024-09-03 2024-12-03 广州天成网络技术有限公司 应用于数据中台构建的数据处理方法及系统

Families Citing this family (44)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN106790023B (zh) 2016-12-14 2019-03-01 平安科技（深圳）有限公司 网络安全联合防御方法和装置
CN107342982A (zh) * 2017-06-09 2017-11-10 国网湖北省电力公司 大数据分析系统
CN109257329A (zh) * 2017-07-13 2019-01-22 国网浙江省电力公司电力科学研究院 一种基于海量Web日志的网站风险指数计算系统及方法
CN107733914B (zh) * 2017-11-04 2020-11-10 公安部第三研究所 面向异构安全机制的集中管控系统
CN107733725B (zh) * 2017-11-27 2021-01-19 深信服科技股份有限公司 一种安全预警方法、装置、设备及存储介质
CN108183916B (zh) * 2018-01-15 2020-08-14 华北电力科学研究院有限责任公司 一种基于日志分析的网络攻击检测方法及装置
CN109309687A (zh) * 2018-11-27 2019-02-05 杭州迪普科技股份有限公司 网络安全防御方法、装置及网络设备
CN109995794B (zh) * 2019-04-15 2021-09-17 深信服科技股份有限公司 一种安全防护系统、方法、设备及存储介质
CN110730165A (zh) * 2019-09-25 2020-01-24 山石网科通信技术股份有限公司 数据处理方法及装置
CN110650155A (zh) * 2019-10-16 2020-01-03 杭州安恒信息技术股份有限公司 网络安全态势感知平台中安全隐患信息的快速传递方法
CN111030987A (zh) * 2019-10-30 2020-04-17 哈尔滨安天科技集团股份有限公司 一种多安全设备的关联分析方法、装置及存储介质
CN110912882A (zh) * 2019-11-19 2020-03-24 北京工业大学 一种基于智能算法的入侵检测方法及系统
CN111125728A (zh) * 2019-12-04 2020-05-08 深圳昂楷科技有限公司 一种治理数据库安全问题的方法、装置及治理设备
US12292988B2 (en) * 2019-12-20 2025-05-06 Nec Corporation Automatic specification of conforming activity history meeting predetermined correlation condition
CN113497793B (zh) * 2020-04-03 2024-04-19 中移动信息技术有限公司 模型的优化方法、告警事件的检测方法、装置和设备
CN113810351A (zh) * 2020-06-16 2021-12-17 深信服科技股份有限公司 网络攻击的攻击者确定方法及装置和计算机可读存储介质
US20210409446A1 (en) * 2020-06-24 2021-12-30 Fortinet, Inc. Leveraging network security scanning to obtain enhanced information regarding an attack chain involving a decoy file
CN111818089A (zh) * 2020-07-31 2020-10-23 北京微步在线科技有限公司 一种网络攻击事件的展示方法及存储介质
CN112073411B (zh) * 2020-09-07 2022-10-04 软通智慧信息技术有限公司 一种网络安全推演方法、装置、设备及存储介质
CN112559595B (zh) * 2020-12-14 2024-12-31 东软集团股份有限公司 安全事件挖掘方法、装置、存储介质及电子设备
CN112468516A (zh) * 2020-12-17 2021-03-09 全球能源互联网研究院有限公司 一种安全防御方法、装置、电子设备及存储介质
CN112751864B (zh) * 2020-12-30 2023-04-07 招联消费金融有限公司 网络攻击反制系统、方法、装置和计算机设备
CN112688964B (zh) * 2021-01-28 2022-07-01 国网江苏省电力有限公司宿迁供电分公司 一种低成本物联网络安全防护方法及终端设备
US12034731B2 (en) * 2021-01-29 2024-07-09 Paypal, Inc. Evaluating access requests using assigned common actor identifiers
CN113315666A (zh) * 2021-07-02 2021-08-27 天津嘉恒达科技有限公司 一种面向信息网络安全的防御控制方法及系统
CN113904838A (zh) * 2021-09-30 2022-01-07 北京天融信网络安全技术有限公司 一种传感器数据检测方法、装置、电子设备及存储介质
CN114006748B (zh) * 2021-10-28 2024-04-02 国网山东省电力公司信息通信公司 一种网络安全综合监控方法、系统、设备和存储介质
CN114244564B (zh) * 2021-11-16 2024-04-16 北京网宿科技有限公司 攻击防御方法、装置、设备及可读存储介质
CN114205143B (zh) * 2021-12-09 2024-08-16 国家电网有限公司信息通信分公司 一种面向异构安全设备的智能化协同防御的方法及系统
CN114301796B (zh) * 2021-12-20 2023-10-03 上海纽盾科技股份有限公司 预测态势感知的验证方法、装置及系统
CN114448672A (zh) * 2021-12-27 2022-05-06 奇安信科技集团股份有限公司 一种多源网络安全数据处理方法及装置
CN114282225A (zh) * 2021-12-27 2022-04-05 北京安天网络安全技术有限公司 漏洞防御方法、装置、计算机设备
CN114006775B (zh) * 2021-12-31 2022-04-12 北京微步在线科技有限公司 一种入侵事件的检测方法及装置
CN115438984A (zh) * 2022-03-07 2022-12-06 韩国平 一种基于ai的大数据处理方法及服务器
CN114978666A (zh) * 2022-05-18 2022-08-30 杭州安恒信息技术股份有限公司 一种网络攻击流程还原方法、装置、设备及存储介质
CN114978729A (zh) * 2022-05-27 2022-08-30 重庆长安汽车股份有限公司 基于can总线车载入侵的检测方法、系统及可读存储介质
CN115001815A (zh) * 2022-05-31 2022-09-02 重庆长安汽车股份有限公司 一种车载系统攻击事件监控方法、系统、介质及电子设备
CN115150194B (zh) * 2022-08-12 2024-11-26 国汽智控(北京)科技有限公司 防御策略的确定方法、装置、设备及存储介质
CN115442133A (zh) * 2022-09-02 2022-12-06 国网浙江省电力有限公司信息通信分公司 一种基于soar的防御自动化流程编排方法
CN115589324B (zh) * 2022-10-20 2024-06-04 周思华 基于云计算的数据安全防御应急系统及方法
CN116436706B (zh) * 2023-06-14 2023-08-22 天津市天河计算机技术有限公司 数据中心环境下的网络攻击阻断方法、系统、设备及介质
CN116962049B (zh) * 2023-07-25 2024-03-12 三峡高科信息技术有限责任公司 一种综合监测和主动防御的零日漏洞攻击防控方法和系统
CN116996310B (zh) * 2023-08-15 2024-04-23 广东中山网传媒信息科技有限公司 基于主动式防御的服务器网络安全保护方法和装置
CN119051888A (zh) * 2024-07-24 2024-11-29 东莞市东特新能源科技有限公司 一种基于物联网的分布式储能系统

Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102457475A (zh) * 2010-10-15 2012-05-16 中国人民解放军国防科学技术大学 网络安全数据集成与转换系统
CN103581198A (zh) * 2013-11-13 2014-02-12 浙江中烟工业有限责任公司 基于Apriori算法的安全日志分析方法
CN103618692A (zh) * 2013-10-28 2014-03-05 中国航天科工集团第二研究院七〇六所 一种构建日志快速匹配的方法
CN106790023A (zh) * 2016-12-14 2017-05-31 平安科技（深圳）有限公司 网络安全联合防御方法和装置

Family Cites Families (6)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
TW200644495A (en) * 2005-06-10 2006-12-16 D Link Corp Regional joint detecting and guarding system for security of network information
US9015839B2 (en) * 2013-08-30 2015-04-21 Juniper Networks, Inc. Identifying malicious devices within a computer network
CN104883356A (zh) 2015-04-24 2015-09-02 北京邮电大学 一种基于目标模型的网络攻击检测方法
CN104883365A (zh) * 2015-05-14 2015-09-02 浪潮电子信息产业股份有限公司 一种安全日志存储和读取方法、装置及安全管控系统
CN105791289A (zh) * 2016-03-02 2016-07-20 夏杰 一种基于大数据计算的网络保护的方法及系统
CN106209826A (zh) * 2016-07-08 2016-12-07 瑞达信息安全产业股份有限公司 一种网络安全设备监测的安全事件分析方法

Patent Citations (4)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102457475A (zh) * 2010-10-15 2012-05-16 中国人民解放军国防科学技术大学 网络安全数据集成与转换系统
CN103618692A (zh) * 2013-10-28 2014-03-05 中国航天科工集团第二研究院七〇六所 一种构建日志快速匹配的方法
CN103581198A (zh) * 2013-11-13 2014-02-12 浙江中烟工业有限责任公司 基于Apriori算法的安全日志分析方法
CN106790023A (zh) * 2016-12-14 2017-05-31 平安科技（深圳）有限公司 网络安全联合防御方法和装置

Cited By (14)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN110535703A (zh) * 2019-08-30 2019-12-03 艾西威汽车科技(北京)有限公司 一种车联网通信检测方法、装置及平台和计算机可读存储介质
CN110912899B (zh) * 2019-11-27 2022-05-31 深圳第一线通信有限公司 网络安全入侵检测方法、装置、服务器及可读存储介质
CN110912899A (zh) * 2019-11-27 2020-03-24 王向远 网络安全入侵检测方法、装置、服务器及可读存储介质
CN111162929A (zh) * 2019-12-04 2020-05-15 杭州迪普科技股份有限公司 一种分级管理方法和系统
CN111162929B (zh) * 2019-12-04 2022-11-01 杭州迪普科技股份有限公司 一种分级管理方法和系统
CN113472725A (zh) * 2020-03-31 2021-10-01 阿里巴巴集团控股有限公司 一种数据处理的方法和装置
CN113254138A (zh) * 2021-06-08 2021-08-13 中国传媒大学 一种漏洞靶场防御方演练过程可视化的方法和系统
CN113839935A (zh) * 2021-09-14 2021-12-24 上海纽盾科技股份有限公司 网络态势感知方法、装置及系统
CN113839935B (zh) * 2021-09-14 2024-01-23 上海纽盾科技股份有限公司 网络态势感知方法、装置及系统
CN114679341A (zh) * 2022-05-27 2022-06-28 江苏益柏锐信息科技有限公司 结合erp系统的网络入侵攻击分析方法、设备及介质
CN116893942A (zh) * 2023-07-06 2023-10-17 九科信息技术(深圳)有限公司 日志数据的格式转换方法、装置、设备及存储介质
CN117040912A (zh) * 2023-09-13 2023-11-10 湖南新生命网络科技有限公司 一种基于数据分析的网络安全运维管理方法及系统
CN117040912B (zh) * 2023-09-13 2024-01-05 湖南新生命网络科技有限公司 一种基于数据分析的网络安全运维管理方法及系统
CN119066506A (zh) * 2024-09-03 2024-12-03 广州天成网络技术有限公司 应用于数据中台构建的数据处理方法及系统

Also Published As

Publication number Publication date
SG11201808509RA (en) 2018-11-29
CN106790023B (zh) 2019-03-01
CN106790023A (zh) 2017-05-31
US10917417B2 (en) 2021-02-09
US20190098027A1 (en) 2019-03-28

Similar Documents

Publication Publication Date Title
WO2018107811A1 (zh) 网络安全联合防御方法、装置、服务器和存储介质
US11048822B2 (en) System, apparatus and method for anonymizing data prior to threat detection analysis
US11032301B2 (en) Forensic analysis
US9407602B2 (en) Methods and apparatus for redirecting attacks on a network
US8407798B1 (en) Method for simulation aided security event management
CN109495443B (zh) 一种基于主机蜜罐对抗勒索软件攻击的方法和系统
WO2011105659A1 (ko) 프로세스의 행위 분석을 통한 유해 프로그램을 실시간으로 탐지하고 차단하는 시스템, 방법, 프로그램 및 기록매체
US20130246925A1 (en) System and method for managing data and policies
WO2013048111A2 (ko) 클라우드 컴퓨팅 서비스로의 침입을 탐지하는 방법 및 장치
WO2017171188A1 (ko) 웹 애플리케이션 서버 또는 웹 서버로부터 수집된 트랜잭션 정보를 이용한 보안장치
CN103226675B (zh) 一种分析入侵行为的溯源系统及方法
CN103441926B (zh) 数控机床网安全网关系统
WO2019231089A1 (ko) 보안정책 및 감사로그 양방향 조회, 대조, 추적 시스템 및 그 방법
CN103236932A (zh) 一种基于访问控制和目录保护的网页防篡改装置及方法
Meng et al. Adaptive non-critical alarm reduction using hash-based contextual signatures in intrusion detection
CN111970232A (zh) 一种电力营业厅智能服务机器人的安全接入系统
CN111914300A (zh) 一种防止文件泄密的文档加密装置与方法
RU2770570C2 (ru) Система и способ определения процесса, связанного с вредоносным программным обеспечением, шифрующим файлы компьютерной системы
CN118890211A (zh) Apt攻击行为的检测方法、系统及可读存储介质
CN118432835A (zh) Ct云及边缘云安全平台
WO2019027106A1 (ko) 머신러닝을 이용한 악성코드 유포지 위험도 분석 시스템
WO2018076539A1 (zh) 伪无线接入点识别方法及系统
Bakshi et al. Improving threat detection capabilities in windows endpoints with osquery
Banerjee et al. Digital forensics as a service: analysis for forensic knowledge
Smorti Analysis and improvement of ransomware detection techniques

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 17880727

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

32PN Ep: public notification in the ep bulletin as address of the adressee cannot be established

Free format text: NOTING OF LOSS OF RIGHTS PURSUANT TO RULE 112(1) EPC (EPO FORM 1205 DATED 01/10/2019)

122 Ep: pct application non-entry in european phase

Ref document number: 17880727

Country of ref document: EP

Kind code of ref document: A1

点击 这是indexloc提供的php浏览器服务，不要输入任何密码和下载