[发明专利]一种旁路设置的威胁管控系统及方法

权利要求书

1.一种旁路设置的威胁管控系统，其特征在于，所述威胁管控系统包括数据分流器(51)、数据传感器(52)、数据处理模块(53)、状态监控模块(54)、流量审计模块(55)、辅助决策模块(56)、初始化模块(57)以及显示模块(58)，威胁管控系统(5)旁路设置于测试评估系统(1)与被测试网络(4)之间的链路；

威胁管控系统的方法：测试评估系统(1)对被测试网络(4)攻击、测试产生的流量数据通过置于路由器(3)的数据分流器进入数据处理模块(53)，被测试网络(4)实时产生的状态数据通过置于各主机、服务器的数据传感器(52)取出，同样提交给数据处理模块(53)；数据处理模块(53)将数据过滤还原、深度检测后，一份数据传输到状态监控模块(54)，另一份数据移交给流量审计模块(55)；状态监控模块(54)内置有特征库、规则库，可将按已知的流量特征和预先设置的规则识别合法的攻击测试流量，实时监控被测网络的状态；流量审计模块(55)则对数据内容进行还原、识别，通过与预置应用进程白名单校对，审计应用进程的合法性；辅助决策模块(56)根据状态监控模块(54)和流量审计模块(55)的识别结果提供决策策略以供选择，根据损伤程度可提供报警、IP阻断、系统初始化操作，防火墙(2)则根据决策内容具体执行IP阻断动作，初始化模块(57)执行系统初始化动作，显示模块(58)实时执行报警动作，同时显示被测试网络(4)状态，为人机交互提供必要支持。

2.如权利要求1所述的旁路设置的威胁管控系统，其特征在于，所述数据分流器(51)为一种嵌入式程序或者具有混杂模式的网卡，可打开路由器或交换机的空置端口，复制途经路由器或交换机的上行、下行流量。

3.如权利要求1或2所述的旁路设置的威胁管控系统，其特征在于，所述数据传感器(52)为一种嵌入式程序，可置于主机、服务器的操作系统内，获取系统日志、应用进程状态数据。

4.如权利要求1至3任一项所述的旁路设置的威胁管控系统，其特征在于，所述数据处理模块(53)为依托于高速运算单元，可根据预置规则过滤数据包，并执行IP数据包重组和TCP会话还原动作，可深度检测数据包内容；可基于网络地址、协议类型建立转发表，转发数据报文。

5.如权利要求1至4任一项所述的旁路设置的威胁管控系统，其特征在于，所述状态监控模块(54)能够根据预置特征库识别测试评估系统(1)产生的威胁流量，并根据预定规则管理合法威胁流量，对非法接入的攻击数据包进行识别；可根据网络状态数据监控被测试网络的状态。

6.如权利要求1至5任一项所述的旁路设置的威胁管控系统，其特征在于，所述流量审计模块(55)支持对合法接入和非法接入的测试评估数据还原；支持对系统日志、应用进程审计；支持审计数据统计分析和试验任务关联分析，支持与进程白名单校核；可对审计数据提取、去重、存储、备份与恢复。

7.如权利要求1至6任一项所述的旁路设置的威胁管控系统，其特征在于，所述辅助决策模块(56)可基于多种状态数据对被测试网络进行状态评估，辅助制定应对策略；利用声音、弹窗、动画形式提供报警信息，支持威胁种类、事件类型、源/目的主机IP、源/目的端口、损伤程度和协议类型详细报警信息查询；可对防火墙发出IP阻断指令，屏蔽失控主机；可对初始化模块发出状态恢复命令，恢复被测试网络预设记录点的状态。

8.如权利要求1至7任一项所述的旁路设置的威胁管控系统，其特征在于，所述初始化模块(57)可记录、存储、灌装被测试网络任意指定时刻的物理机、虚拟机的系统镜像。

9.如权利要求1至8任一项所述的旁路设置的威胁管控系统，其特征在于，所述显示模块(58)具备网络拓扑的图形化展示和编辑能力，支持网络拓扑图的拖拽、放大、缩小操作，能够以图元大小、颜色、闪烁特效形式展现对抗试验动态过程。