[发明专利]一种大数据驱动的网络安全态势监测及可视化方法

摘要

本发明涉及一种大数据驱动的网络安全态势监测及可视化方法。该方法包括：1)提取不同维度的网络安全基础数据；2)采用Storm与Hadoop对网络安全基础数据进行存储和处理，其中Hadoop用于处理历史数据，Strom用于处理实时数据；3)Hadoop利用大数据处理方法从历史数据中抽取出关键的安全特征项，并建立数据库表结构，形成网络安全特征知识库；4)Strom从实时数据中提取出相关的安全特征项，将其与网络安全特征知识库进行特征匹配，判定网络安全态势；5)对Strom判定的网络安全态势进行动态可视化展示。本发明能够有效地监测网络安全态势，并全方位展现网络安全态势的可视化结果。

主权项

1.一种大数据驱动的网络安全态势监测及可视化方法，其特征在于，包括如下步骤：1)提取不同维度的网络安全基础数据，包括实时数据和历史数据；2)采用实时计算系统Storm与分布式计算系统Hadoop对网络安全基础数据进行存储和处理，其中Hadoop用于处理历史数据，Storm用于处理实时数据；3)分布式计算系统Hadoop利用大数据处理方法从历史数据中抽取出关键的安全特征项，并建立数据库表结构，形成网络安全特征知识库；4)实时计算系统Storm从实时数据中提取出相关的安全特征项，将其与所述网络安全特征知识库进行特征匹配，并根据匹配结果判定网络安全态势；5)对实时计算系统Storm判定的网络安全态势进行动态可视化展示；其中，步骤4)所述进行特征匹配的方法是：a)根据IP目标地址，若IP目标地址与网络安全特征知识库中的危急主机IP匹配，则定义该主机安全态势为危机，向上层即前端可视化层递交结果，并将该主机出现的危急次数加1；b)根据该条数据的安全等级，若为低，则直接过滤；若为中，则根据安全事件规则编号匹配该条安全事件属于何种类别；若为分布式拒绝服务攻击，则定义该主机安全状态为危机，向上层递交结果；若为探测扫描攻击，则探测扫描计数器加1，直到达到阈值才将相应的安全事件类型视为高危，向上层递交结果；c)所述网络安全特征知识库维护一张安全事件‑漏洞对应表，当接收到一条安全事件时，在安全事件‑漏洞对应表中查找该安全事件的目的主机是否存在相关漏洞，若存在，则将该主机定义为危机状态，同时在危急主机IP表中做特别标注；其中，步骤5)所述可视化展示包括：a)基于网络实时流量的网络安全可视化：采用点对点攻击线条的可视化显示方式，显示原IP地址、目的IP地址、源端口、目的端口、协议、时间、攻击类型，同时辅助其他方法，包括采用颜色映射表示不同类型攻击事件；b)基于历史报告的网络安全可视化：对海量的历史报告根据不同安全需求进行不同维度的可视化展示，包括：全国范围内，主机的安全态势分布或网站安全态势分布；不同安全域下，主机的安全态势分布或网站安全态势分布；IP地址与安全风险值分布关系；网站与安全风险值分布关系。