[发明专利]一种双向配置的网络行为监控方法

说明书

技术领域

本发明涉及本发明涉及信息安全领域，涉及到一种动态配置查询表项及双向制定表项的方法，应用于网络行为监控。

背景技术

随着互联网的发展，互联网的业务倾向多样性、复杂性及个性化的趋势。特别是多样业务负载于IP的业务的特点，IP业务逐步成为各种通信基础设施的统一平台，承载的业务越来越多，并且呈现出许多崭新的特征，例如少数低价值的业务正在占有巨大带宽资源，客户的网络行为监控复杂化，更加重要的是对于一些不良信息，缺乏有效的识别和管控手段，导致恶意信息或者不良信息能够通过网络大规模泛滥，影响网络信息安全。

现有的网络安全管控技术一般采用表项下发模式描述用户行为特征。采用的方式一般为抓取用户行为的特征信息，根据特征进行编码后下发到管控硬件产品中，对于用户网上数据包进行过滤、分析以企图分析用户行为的方式进行管理控制。但是由于互联网络的业务特征日趋多元化及隐蔽化。并且采用“合理”网络安防手段，采用原有方式无法得到固定业务特征及业务特征规律。所以难以用简单的几元组方式描述特征，导致管控失败。

失控的原因之一在于在业务特征下发后，无法根据实际网络情况进行动态调整。如果能把已下达的业务特征即管控硬件产品中表项，根据管控产品的网络中实际统计信息及变化特点进行上报，有后台系统根据上报信息进行运算，及时调整业务特征即管控硬件产品表项，就可以实现自动调整监控方式。实现系统的灵活性及适配性。势必大大降低网络管控速度。尽可能地降低网络管理员及后台特征人员的工作反应速度。这是人工配置无法比拟的方式。

发明内容

本发明针对以上问题的提出，而提出的一种双向配置的网络行为监控方法，具有如下步骤：

S1.设定初始查表表项，利用该初始查表表项，在选定时间段内，对被监控网络中的报文进行查表运算，得到查表运算结果；

S2.在相同时间段内，提取当前网络中实际的网络数据报文业务特征数据；

S3.比对查表统计向量数据与网络数据报文业务特征数据，形成比对特征数据；

S4.设定比对特征数据的阈值：若比对特征数据在阈值之内，则维持现有查表表项不变；若比对特征数据超过阈值，则重新下发新的表项。

步骤S1中，在设定初始查表表项的同时，根据网络特征，设定多个查表表项，存储在数据库中。

步骤S4中，在重新下发新的查表表项时，从数据库中调用事先存储的多个查表表项。

步骤S1，还包括获得包含表项与实际网络报文匹配结果的查表统计向量数据，并根据此查表统计向量数据，对当前的查表表项进行实时修改。

在S4之后，还包括复核步骤：在设定的相应时间间隔之后，再次核对预表项信息，将核对的结果上报至后台上位计算机。

一种双向配置的网络行为监控方法，具有：统计与比对单元和执行单元，所述统计单元具有：

监控模块M1：监控并获取实际网络行为中网络报文特征信息，生成网络数据报文统计T1并将其上传至比对特征模块K1；

表项获取模块M2：接收后台上位计算机下发的初始预特征表项信息，生成后台业务特征预特征统计信息T2并将其传至比对特征模块K1；

比对特征模块K1和硬件预处理表项特征模块K2，其中比对特征模块K1：比对由监控模块M1上传的网络数据报文统计信息T1和由表项获取模块M2上传的预特征表项信息T2，将得到的比对预信息T3传送至硬件预处理表项特征模块K2；

所述执行单元具有：查表驱动模块B1、查表驱动模块B2、用于硬件表项复核的TCAM1和TCAM2，

所述查表驱动模块B1接收由表项获取模块M2下发的预特征表项信息，对网络监控设备的表项进行比对，生成后台业务预结果统计信息T4，同时将该信息分别传送至TCAM1和硬件预处理表项特征模块K2，所述TCAM1对下发的信息进行复核；

所述查表驱动模块B2接收由监控模块M1下发的网络报文特征信息，对网络监控设备的表项进行比对，生成网络硬件业务预结果统计T5，同时将该信息分别传送至TCAM2和硬件预处理表项特征模块K2，TCAM2对下发的信息进行复核；

所述硬件预处理模块K2对接收到的

由比对特征模块K1传送的比对预信息T3、

由所述查表驱动模块B1传送的后台业务预结果统计信息T4、

由所述查表驱动模块B2传送的网络硬件业务预结果统计T5、