[发明专利]一种网络入侵探测与主动防御联动控制装置

摘要

本发明公开了一种网络入侵探测与主动防御联动控制装置，包括：数据包转发模块；数据包镜像流量预处理模块；联动控制装置模块；网络行为检测分析模块；流量数据库集群系统。本发明结合传统的网络异常检测PHAD模型方法，结合有限地对数据包内容关键字段进行深度检测和分析，力求准确地判断是否具有攻击行为特征的网络流量，在此基础上，通过对数据包转发模块的转发规则表实施动态干预，实现对异常数据流量的阻断。本发明的主要特点是旁路分析攻击行为，反向控制转发行为，当探测到异常网络攻击时，能实时加以对数据流的主动截断，从而达到主动探测攻击、主动防御的联动效果。

主权项

1.一种网络入侵探测与主动防御联动控制方法，其特征在于，所述网络入侵探测与主动防御联动控制方法包括：进行用户局域网侧的数据包到路由器之间的数据包转发；实现获得基本的镜像流量，以及负责对镜像流量数据进行预处理；规则库获取最新动态规则，同时实现数据连接传输，转发其获得的最新规则状态；根据分析算法的不同或变化，将相关的分析算法动态装载到本联动控制系统，分析算法应依据标准的SQL规范从流量数据库集群获得数据进行相关分析；存储来自镜像服务器的预处理流量，为各类网络行为检测分析服务器提供数据接口，支持网络行为分析；提供规则数据库，存储进网络行为检测分析服务器产生的各类判决规则，同时判决规则数据库为联动控制装置服务器提供来源数据；所述进行用户局域网侧的数据包到路由器之间的数据包转发包括：正常流量时，该装置对数据包不起作用；异常流量时，根据动态的转发规则对异常流量实施丢弃处理，实现对网络流量的区别对待，达到主动阻断网络攻击；所述实现获得基本的镜像流量，以及负责对镜像流量数据进行预处理包括：在镜像端口上捕获数据包，从TCP/IP协议栈的数据链路层开始对数据包进行分析，对数据包的源/目标MAC地址、IP地址、端口、传输层协议类型、TCP标志字段、序号、确认号、应用层部分数据字段进行截取，并包装为新的数据包格式，存入缓冲队列中；从缓冲队列中获取数据包的线程，线程是将缓冲队列中的自定义数据包信息处理到数据库集群系统做阶段性保存；所述规则库获取最新规则动态，同时实现数据连接传输，转发其获得的最新规则状态包括：建立与流量数据库集群系统之间的连接；建立与数据包转发模块之间的数据连接；依据联动控制调度配置实施规则调度策略；将获取到的动态规则表数据转换为TLY格式，实现从联动控制装置到数据包转发模块的推送。