[发明专利]一种数据全流量漏洞采集方法

说明书

本发明涉及一种数据全流量漏洞采集方法，更具体的说，是一种分布式架构基于网络全流量回溯分析锁定漏洞的方法，包括以下步骤：(1)抓取网络数据包(2)对常用协议进行识别、解析与内容还原(3)网络全流量采集与历史数据回溯分析(4)数据回溯与数据挖掘；本发明能够对网络全流量做到全方位深度透视分析与回溯，分析数据展现到最底层的数据包级，展现时间精确到微秒级，各种网络信息安全问题，APT木马渗透，黑客入侵，僵尸远控等能做到精准分析和快速定位，实现漏洞精准锁定。

技术领域

本发明涉及网络空间安全技术领域，尤其涉及一种分布式架构的 数据全流量采集漏洞方法。

背景技术

我国的全流量存储分析目前处于起步阶段，技术手段不够成熟， 在应对当前复杂的网络安全形势下，通常是处于亡羊补牢的状态，究 其原因，主要是缺乏对网络安全技术发展趋势的预测以及相应的网络 全流量分析技术，不能及时发现异常及可疑的通讯流量，本方法正式 为了弥补国内流量分析技术的不足而提出，解决全流量分析寻找漏洞 的问题，通过对网络全流量做到全方位深度透视分析与回溯，分析数 据展现到最底层的数据包级，展现时间精确到微秒级，各种网络信息 安全问题，APT木马渗透，黑客入侵，僵尸远控等能做到精准分析和 快速定位，能够变被动为主动，不仅能够突破国外主流厂商的垄断， 摆脱对海外产品的依赖，而且能够创立国内自主知识产权的全流量分 析核心技术创新与产品研发，为网络空间安全工作提供全新的管理模 式。

发明内容

本发明为了克服上述内容的短板，提供了一种全新的全流量采集 方法和网络全流量数据存储技术并可满足网络攻击有效存储和攻击 溯源漏洞的需求。

本发明的全流量漏洞采集方法，其特别之处在于，本方法包括了 以下步骤：(1)抓取网络数据包(2)对常用协议进行识别、解析与 内容还原(3)网络全流量采集与历史数据回溯分析(4)数据回溯与 数据挖掘；

在步骤(1)中，抓取网络数据包。

在步骤(2)中，在全流量分析中采用协议识别引擎实时识别、 分析原始网络流量，协议分析覆盖了绝大多数网络中常见的L2-L7层 主流通信协议，例如HTTP协议、IGMP协议、OSPF协议、kerberos协 议或工控协议、非标准协议等，既而精准对网络中的协议进行解码和 统计，并采用TRE协议识别过滤模块，可以按需实时过滤流量中的P2P， 视频，音频，在线直播等低价值数据，只存储高价值流量。系统提供 HTTP、DNS、邮件日志、数据库日志、FTP日志、远程访问日志、 加密会话日志、ICMP日志等八类元数据日志，对网络中常见的web 访问、邮件、IM聊天、文件传输、OA、数据库等互联网行为和内网 行为进行全方位的识别和审计。

在步骤(3)中，采用回溯分析服务器对网络中原始流量进行实 时采集、分析以及原始流量完整保存；采用分析控制台提供人机数据 交互，用于连接分析服务器进行数据展示与回溯分析，当成功连接到 回溯分析服务器之后，可以进行数据挖掘、警报分析、异常通讯分析、 回溯分析、数据包分析等各种数据分析操作。通过控制台可同时连接 到多个分析服务器进行远程集中分析。

在步骤(4)中，使用网络流量统计，统计固定时间段内的各种 网络指标，提取统计数据中一些可用特征，再根据这些特征反向去查 找原始的数据包，完成网络数据分析，利用警报和行为分析生成日志， 用日志中的IP等信息为入口点来过滤分析原始数据包。通过原始数据 包对任意时间进行完整回溯，定位安全事件时间、源IP、目的IP、事 件起因、事件经过以及事件造成的影响。

本发明的积极进步效果在于：

本发明在全流量分析中采用业界领先的自主知识产权协议识别 引擎，能够实现1500中网络协议识别以及650种以上协议精细字段解 码。