[发明专利]基于VPN流量牵引的在线网络威胁检测方法及系统

说明书

本发明提出一种基于VPN流量牵引的在线网络威胁检测方法及系统，所述方法包括：搭建云在线系统，所述云在线系统由至少一个云服务器组成；在所述云服务器上搭建VPN服务；在高带宽网络信道网关处部署旁路恶意威胁流量检测设备；检测目标通过VPN账户连接云在线系统；云在线系统将检测目标的网络流量牵引至旁路恶意威胁流量检测设备；旁路恶意威胁流量检测设备检测接收到的网络流量，并存储检测结果供检测目标查看。本发明还给出相应的系统，通过本发明的技术方案，将威胁流量检测设备进行在线化部署，能够共享检测设备，便于检测设备的维护降低设备部署及人工成本。

技术领域

本发明涉及计算机网络安全领域，特别涉及一种基于VPN流量牵引的在线网络威胁检测方法及系统。

背景技术

现有的网络威胁检测、定位和取证技术仅是使用线下便携式工具到检测目标的网关甚至单机进行人工部署工具来完成检测。在工具部署、威胁检测和定位过程中，以往的恶意流量威胁检测设备，是需要在检测目标的终端设备或者对外出口的路由网关中部署，再通过恶意流量威胁检测设备进行恶意流量检测。因此，在实施取证检测前需要投入很多人工用于部署设备，并且在取证事件中很大比例是无法检测到恶意代码的威胁的，因此造成了很多人工成本的浪费。并且以往在终端或者局域网关部署恶意流量威胁检测设备，只可以检测单个节点或者局域网内的网络健康状态，如果检测目标部署有入侵防御检测系统，则不需要恶意流量威胁检测设备长期部署并检测流量健康状态，若长期部署则会影响网络传输性能和设备资源的消耗，如果拆除恶意流量威胁检测设备，则会进一步增加设备部署成本。并且，以往的恶意流量威胁检测设备，因为属于末端检测类型，因此如果大范围部署检测的话，则需要大量的检测设备，会造成设备难以更新换代，以及难以同步升级检测恶意流量特征库和C2库，同时还需要大量的人工成本投入。综上，目前的检测方法，需要消耗大量的人力、物理和时间等资源，造成取证的高成本投入和时间迟滞。

发明内容

基于上述问题，本发明提出了一种基于VPN流量牵引的在线网络威胁检测方法，通过将网络威胁检测设备旁路部署于云端，实现能够对多个节点的检测，使检测设备共享，简化部署方式，且便于检测设备的升级维护。

本发明通过如下方法实现：

一种基于VPN流量牵引的在线网络威胁检测方法，包括：

搭建云在线系统，所述云在线系统由至少一个云服务器组成；

在所述云服务器上搭建VPN服务；

在高带宽网络信道网关处部署旁路恶意威胁流量检测设备；所述旁路恶意威胁流量检测设备中集成恶意流量特征库及僵尸网络控制节点信息；

检测目标通过VPN账户连接云在线系统；所述检测目标为终端设备或局域网络；

云在线系统将检测目标的网络流量牵引至旁路恶意威胁流量检测设备；

旁路恶意威胁流量检测设备检测接收到的网络流量，并存储检测结果供检测目标查看，所述检测结果中包括IP、Port、Time及恶意代码家族数据。

所述的方法中，所述云在线系统的云服务器间相互联通，并实现负载均衡。

所述的方法中，所述恶意流量特征库为，根据每个恶意代码家族筛选出的能够与C2正常通讯的样本，获取通信交互数据，分类提取每个请求类型的通信数据特征，生成恶意流量特征库。

所述的方法中，在检测目标通过VPN账户连接云在线系统时，还提交自定义流量来源信息，在存储检测结果时根据流量来源信息分类存储，并设定存储位置的访问权限。

所述的方法中，所述云服务器还作为检测目标的网络通信中转节点，实现网络代理服务。

本发明还相应提出一种基于VPN流量牵引的在线网络威胁检测系统，包括：

云在线系统，由至少一个云服务器组成；在所述云服务器上搭建VPN服务；