[发明专利]基于多层数据拦截的远程网络行为实时监控方法

说明书

技术领域

本发明涉及一种基于多层数据拦截的远程网络行为实时监控方法，属于网络行为安全技术领域。

背景技术

随着Internet的高速发展，网络应用越来越多，大多数企业的一些关键业务也开始通过Internet提供。而Internet的一大特性是开放性，正是这种开放性给Internet上服务的安全构成了严重的威胁。为了保证健康有序的发展，必须在网络安全上提供强有力的保证。

由于传统的网络行为监控系统是终端行设备，报文分析后就丢弃，监控结果存放在数据库，有严重的局限性：不能对报文进行二次分析，监控设备之间的数据不共享，安全信息闭塞，网络行为分析不能更好的表现当前网络状况。

基于多层数据拦截的远程网络行为实时监控技术解决这方面问题，监控设备向安全中心上报数据报文，统一存储在安全中心服务器，安全中心嵌入报文解析引擎，根据不同的策略二次解析，提供全方面的网络行为分析引擎，使用户能更好的了解当前网络状况。

基于多层数据拦截的远程网络行为实时监控系统提供以下功能和特性：

1)报文检测：对报文从第二层到第七层深度检测，检测的结果反映为对报文的处理决定，报文被按照处理决定进行处理；

2)监控策略：用户监控策略解析为协议类型，下发到监控设备，监控设备加载监控策略并实时监控网络报文；

3)报文解析引擎：报文二次解析，解析报文协议类型，汇总流量；

4)网络行为分析引擎：根据报文解析引擎，汇总数据，分析当前网络行为，以饼图、曲线等形式显示当前网络状况。

5)有效资源利用：报文统一管理，有效的利用网络资源和人力资源，提高网络安全。

随着计算机网络的发展与普及，网络内部的安全性越来越受到人们的关注，如何对网络内部主机的行为进行监视与控制，是解决问题的基础和关键所在。

发明内容

本发明的目的是克服现有技术存在的不足，提供一种基于多层数据拦截的远程网络行为实时监控方法。

本发明的目的通过以下技术方案来实现：

基于多层数据拦截的远程网络行为实时监控方法，特点是：多台监控设备与安全中心连接，网络行为实时监控分为两部分：一是，监控设备实时报文检测，符合监控策略的报文上报安全中心；二是，安全中心向监控设备下发监控策略，安全中心提供报文解析引擎，通过终端连接安全中心，用户配置监控策略和查询网络行为；从而实现对远程网络行为实时监控。

进一步地，上述的基于多层数据拦截的远程网络行为实时监控方法，其中，报文检测，监控设备对报文进行第二层到第七层的检测，检测内容包括状态的分类和处理、防火墙、防病毒、反间谍软件、入侵检测/入侵防御、内容过滤、应用层网关、虚拟专用网，检测的结果反映为对报文的处理决定，报文被按照处理决定进行处理；

监控策略，用户设置监控策略，安全中心解析监控策略，下发到监控设备并执行；

报文解析引擎，安全中心根据用户的搜索指令对报文二次解析，识别协议类型并返回搜索结果；

网络行为分析引擎，分析用户在不同时间段、不同协议的网络占用率、流量、内容，了解目前网络的运行状况，如有异常情况，及时处理。

更进一步地，上述的基于多层数据拦截的远程网络行为实时监控方法，安全中心和监控设备通过双向通信实现远程网络行为实时监控，用户终端接口响应用户的的请求，分为两部分：监控策略配置和查询引擎，首先监控策略模块向监控设备下发监控策略，监控策略模块调用服务器接口，服务器接口通过安全连接通道向监控设备请求，监控设备接口响应请求，监控策略配置模块配置监控策略，并通知流预处理模块加载，用户设置的监控策略下发到监控设备，监控设备实时监控网络行为；网络中的报文流向监控设备，捕获网络数据并把报文发送给流预处理模块，流预处理模块对报文深度检索，符合监控策略要求的报文上报给监控设备接口，监控设备接口向安全中心请求上报，服务器接口响应上报请求，进行报文解析并存储数据库mysql；用户在终端查询指定QQ号码，用户终端接口提交给查询引擎模块，报文解析出QQ协议，深度匹配QQ号码，返回结果发送给用户终端接口；监控设备实时上报符合安全策略的报文，安全中心汇总报文并解析，用户通过安全中心实现远程网络行为的实时监控。

本发明技术方案突出的实质性特点和显著的进步主要体现在：