[发明专利]一种基于全流量的网络安全基线生成方法

摘要

本发明公开了一种基于全流量的网络安全基线生成方法，本方法通过对网络全流量数据进行采集、解析、处理，生成格式化数据并存储在分布式数据库中，然后将格式化数据进行聚合、分析、统计等操作，生成网络安全基线，该网络安全基线可以用于识别网络入侵行为。本发明提出的基于全流量的网络安全基线生成方法可以生成更为全面的网络安全基线，能够大规模快速生成整个区域网络内的安全基线，且能够快速灵活地修改网络安全基线，具有应用的通用性，可以广泛适用于各种网络环境。此外，避免了传统的网络安全基线生成方法中需要依赖业务专家、网络安全专家和网络运维人员协同参与的问题，极大的降低了网络安全基线生成的技术门槛。

主权项

1.一种基于全流量的网络安全基线生成方法，其特征在于，包括以下步骤：S1.网络数据深度解析：通过交换机镜像口对网络数据包进行旁路采集，并对部分应用层协议进行深度解析，提取出网络报文中的公共数据内容和部分应用层深度解析数据信息，生成格式化数据；S2.数据清洗与提取：对采集和/或解析后生成的格式化数据进行数据清洗，去掉重复或异常的数据，对于公共数据内容全部提取，对于部分深度解析出的应用层数据内容，提取其应用层关键信息；S3.分布式持久化：将提取出的数据信息全量导入分布式数据库进行持久化；S4.接受参数输入：接受用户输入的包括起始时间戳、结束时间戳和应用层协议类型在内的安全基线生成参数；S5.数据聚合：依据用户输入的起始时间戳和结束时间戳参数，从分布式数据库中提取该时间范围内的基础数据，依据基础数据中的网络层协议、应用层协议、源ip地址、目的ip地址、源mac地址和目的mac地址信息生成聚合数据集A，再根据用户输入的应用层协议在聚合数据集A基础上再次聚合构造生成指定应用层协议的聚合数据集B；S6.数据分析与计算：聚合数据集B的每条数据通过所有字段拼接后的字符串经过安全哈希算法生成唯一识别号ID，将附带该ID的聚合数据集B持久化到分布式数据库中，即形成指定应用层协议的网络安全基线。