[发明专利]全程全网安全协同防御系统的协同防御方法

权利要求书

1.一种全程全网安全协同防御系统的协同防御方法，所述全程全网安全协同防御系统包括安全分析控制中心、设置于计算机网络节点外端口处的流量数据探测子系统和设置于计算机网络节点的协同防御设备，所述的协同防御方法包括如下步骤：

(1)流量数据探测子系统持续接收预进入内部网络的流量，采集流量数据并将其发送至协同防御设备，协同防御设备将分析确认不包含异常活动和异常内容的流量数据传送到计算机内部系统；

(2)当协同防御设备检测到有异常的数据包或者异常流量安全事件时，则通知流量数据探测子系统将异常流量数据后续包传送给协同防御设备，协同防御设备对异常流量数据进行分析，依据原有的预设策略或形成的新策略或安全分析中心发送过来的安全策略对安全事件进行处理；

(3)协同防御设备将安全事件、策略、事件处理结果及其日记传送给安全分析控制中心；

(4)安全分析控制中心接收并传送事件相关信息至安全分析控制内置的数据中心，经安全分析控制中心进行统一分析后做出管理决策，查看各协同防御设备并分析全程全网安全协同防御系统的运行状况，然后更新各协同防御设备的协同防御策略，对协同防御设备的各功能组件进行统一部署，并通过审核日记对安全事件进行源头控制；

(5)安全分析控制中心记录整个安全事件处理时间，结果等，以备追踪查询。

2.如权利要求1所述的全程全网安全协同防御系统的协同防御方法，其特征在于，所述的步骤(2)中，当原有安全策略可以处理安全事件时仅利用其原有的预设策略响应；当原有的预设策略无法处理安全事件时，协同防御设备利用自身的策略和网络资源，或反映给管理员制定新的可执行策略，并将策略分发至其他协同防御设备；当协同防御设备自身无法制定相应的策略时，发送报告给安全分析控制中心，安全分析控制中心结合数据中心制定策略，并分发给其他协同防御设备。

3.如权利要求1所述的全程全网安全协同防御系统的协同防御方法，其特征在于，所述全程全网安全协同防御系统基于服务器-代理的模式，安全分析控制中心通过部署在协同防御设备上的代理程序与协同防御设备进行安全通信，代理程序中的本地监控插件根据安全分析控制中心的指令，指示协同防御设备完成相应的协同策略管理动作。

4.如权利要求3所述的全程全网安全协同防御系统的协同防御方法，其特征在于，所述协同防御设备完成的协同策略管理动作包括：返回当前各协同防御设备的状态信息和性能数据；指示各协同防御设备在特定的情况下筛选某一时间段内的安全组件日志信息，并将这些信息汇总到安全分析控制中心；对协同防御设备中的各个网络安全组件进行统一更新和控制，调动多台协同防御设备中的安全组件协同工作；升级更新协同防御设备安全组件、安全策略和协同策略。

5.如权利要求1所述的全程全网安全协同防御系统的协同防御方法，其特征在于，所述安全分析控制中心与各协同防御设备呈树型网络拓扑结构。

6.如权利要求5所述的全程全网安全协同防御系统的协同防御方法，其特征在于，所述的各协同防御设备包括第一级协同防御设备和第二级协同防御设备，所述第一级协同防御设备分别与安全分析控制中心连接，所述的第一级协同防御设备分别与多个第二级协同防御设备连接。

7.如权利要求6所述的全程全网安全协同防御系统的协同防御方法，其特征在于，所述的步骤(2)中还包括：

(2.1)当所述第二级CTM设备发现新的安全事件后，直接向其所属的上一级的第一级CTM设备报告；

(2.2)第一级CTM设备收到报告后，如果该第一级CTM设备依据所预先设定的安全策略和数据库，应对处理该安全事件，进入下一步骤，若该第一级CTM设备依据所设定的安全策略和数据库不能应对处理该安全事件，进入步骤4)：

(2.3)该第一级CTM设备生成响应策略并分发给所属的各CTM设备子域，再将该第一级CTM设备的处理结果的摘要信息向安全分析控制中心报告；

(2.4)该第一级CTM设备将该安全事件向安全分析控制中心报告，由安全分析控制中心进行分析处理后并将响应策略并转发给各个第一级CTM设备，并统一调控各个第一级、第二级CTM设备的功能组件和更新各第一、第二级CTM设备的策略数据。