[发明专利]数据流监测方法及装置

权利要求书

1.一种数据流监测方法，其特征在于，包括：

获取所述访问数据流的源端标识；

根据预设的白名单及所述源端标识，配置所述访问数据流的安全属性,所述安全属性包括白流、灰流、黑流；

根据所述访问数据流的安全属性，分流所述访问数据流。

2.如权利要求1所述的数据流监测方法，其特征在于，还包括：对所述访问数据流进行初判,判断是否为攻击性数据流,输出初判结果；所述配置所述访问数据流的安全属性包括：根据所述访问数据流的初判结果、源端标识与白名单,配置所述安全属性。

3.如权利要求2所述的数据流监测方法，其特征在于，在对所述访问数据流进行初判之前,还包括：进行无攻击状态学习,获取无攻击状态的数据流的特征信息,根据所述无攻击状态的数据流的特征信息,判断所述访问数据流是否为攻击性数据流。

4.如权利要求3所述的数据流监测方法，其特征在于，所述配置所述安全属性包括：当所述访问数据流的源端标识属于所述白名单时，将所述访问数据流的安全属性设置为白流；当所述访问数据流的源端标识不属于所述白名单、且所述访问数据流的初判结果不为攻击性数据流时，将所述访问数据流的安全属性设置为灰流；当所述访问数据流的源端标识不属于所述白名单、且所述访问数据流的初判结果为攻击性数据流时，将所述访问数据流的安全属性设置为黑流。

5.如权利要求1至4任一项所述的数据流监测方法，其特征在于，所述根据所述访问数据流的安全属性，分流所述访问数据流包括：使用软件定义网络，转发安全属性为白流的访问数据流至目标设备，阻断安全属性为黑流的访问数据流，转发安全属性为灰流的访问数据流至虚拟安全服务链。

6.如权利要求5所述的数据流监测方法，其特征在于，在转发安全属性为灰流的访问数据流至虚拟安全服务链之后，还包括：通过所述虚拟安全服务 链使用虚拟入侵检测系统对所述访问数据流的网络行为进行分析，使用虚拟沙箱模拟目标设备运行环境、并运行所述访问数据流分析是否具有恶意行为，根据分析结果判断所述安全属性为灰流的访问数据流为白流或者黑流。

7.一种数据流监测装置，其特征在于，包括：

获取模块，用于获取所述访问数据流的源端标识

配置模块，用于根据预设的白名单及所述源端标识，配置所述访问数据流的安全属性,所述安全属性包括白流、灰流、黑流；

监测模块，用于根据所述访问数据流的安全属性，分流所述访问数据流。

8.如权利要求7所述的数据流监测装置，其特征在于，还包括初判模块，用于对所述访问数据流进行初判,判断是否为攻击性数据流,输出初判结果；所述配置模块具体用于根据所述访问数据流的初判结果、源端标识与白名单,配置所述安全属性。

9.如权利要求8所述的数据流监测装置，其特征在于，所述初判模块在对所述访问数据流进行初判之前,还用于进行无攻击状态学习,获取无攻击状态的数据流的特征信息,根据所述无攻击状态的数据流的特征信息,判断所述访问数据流是否为攻击性数据流。

10.如权利要求9所述的数据流监测装置，其特征在于，所述配置模块用于当所述访问数据流的源端标识属于所述白名单时，将所述访问数据流的安全属性设置为白流；当所述访问数据流的源端标识不属于所述白名单、且所述访问数据流的初判结果不为攻击性数据流时，将所述访问数据流的安全属性设置为灰流；当所述访问数据流的源端标识不属于所述白名单、且所述访问数据流的初判结果为攻击性数据流时，将所述访问数据流的安全属性设置为黑流。

11.如权利要求7至10任一项所述的数据流监测装置，其特征在于，所述监测模块用于使用软件定义网络，转发安全属性为白流的访问数据流至目标设备，阻断安全属性为黑流的访问数据流，转发安全属性为灰流的访问数据流至虚拟安全服务链。

12.如权利要求11所述的数据流监测装置，其特征在于，还包括分析模 块,用于通过所述虚拟安全服务链使用虚拟入侵检测系统对所述访问数据流的网络行为进行分析，使用虚拟沙箱模拟目标设备运行环境、并运行所述访问数据流分析是否具有恶意行为，根据分析结果判断所述安全属性为灰流的访问数据流为白流或者黑流。