[发明专利]一种网络监测方法及系统

权利要求书

1.一种网络监测方法，其步骤包括：

接收攻击窃密行为检测策略；

根据攻击窃密行为检测策略中的规则特征，对网络流量进行检测，得到攻击窃密行为；

根据与攻击窃密行为检测策略对应的报文留存策略，对相应攻击窃密行为进行报文留存；

根据留存的报文完成攻击窃密行为溯源；

所述报文留存策略采用网络流的窗口式动态留存方法，包括：

1)设定一窗口长度，并从一条网络流的第一个报文的原始报文开始进行留存；

2)当下一个报文到达时，判断当前留存的原始报文长度是否达到窗口长度；

3)若当前留存的原始报文长度未达到窗口长度，则留存该报文的原始报文；若当前留存的原始报文长度达到窗口长度，则判断当前留存的原始报文中是否有符合规则特征的报文；

4)若有符合规则特征的报文，则留存该条网络流后续的所有报文的原始报文，并将留存的该条网络流所有报文的原始报文上报至监测中心；

5)若没有符合规则特征的报文，则留存该报文的原始报文，并丢弃第一个留存的原始报文；

6)循环执行步骤2)至步骤5)，若保留的最新的窗口长度内的原始报文有符合规则特征的报文，则执行步骤4)；否则当该条网络流结束时，丢弃留存的该条网络流所有报文的原始报文。

2.如权利要求1所述的网络监测方法，其特征在于，所述攻击窃密行为检测策略是指监测中心下发的攻击窃密检测策略或用户配置的内置攻击窃密检测策略。

3.如权利要求2所述的网络监测方法，其特征在于，根据攻击窃密行为检测策略中的策略ID，判断所述攻击窃密行为对应的攻击窃密行为检测策略是内置攻击窃密检测策略还是攻击窃密检测策略；

若所述攻击窃密行为对应的攻击窃密行为检测策略是内置攻击窃密检测策略，则直接对该攻击窃密行为进行报文留存；

若所述攻击窃密行为对应的攻击窃密行为检测策略是攻击窃密检测策略，则获取该攻击窃密行为对应的攻击窃密检测策略中的store_pcap参数值，并判断该参数值是否指示进行报文留存。

4.如权利要求1所述的网络监测方法，其特征在于，所述攻击窃密行为的类型包括木马攻击窃密行为、漏洞利用攻击窃密行为和恶意程序攻击窃密行为；每一类型的攻击窃密行为都对应相应的攻击窃密行为检测策略。

5.如权利要求4所述的网络监测方法，其特征在于，所述攻击窃密行为检测策略包括木马攻击窃密检测策略、漏洞利用攻击窃密检测策略和恶意程序攻击窃密检测策略。

6.如权利要求1所述的网络监测方法，其特征在于，所述报文留存策略采用动态流式攻击窃密报文留存方法，包括：当一条网络流的一个报文符合规则特征时，留存该条网络流所有报文的原始报文，并将该条网络流所有报文的原始报文上报至监测中心。

7.如权利要求6所述的网络监测方法，其特征在于，所述动态流式攻击窃密报文留存方法还包括：

留存一条网络流所有报文的原始报文时，判断该条网络流中是否有符合规则特征的报文；

若有，则将留存的该条网络流所有报文的原始报文上报至监测中心；否则丢弃留存的该条网络流所有报文的原始报文。

8.如权利要求1所述的网络监测方法，其特征在于，所述原始报文包括该原始报文对应的策略ID。

9.一种网络监测系统，包括存储器、接收器和处理器；

所述存储器用于存储攻击窃密行为检测策略以及与权利要求1至8任一项所述方法对应的程序指令；

所述接收器用于接收内部网络与互联网之间的网络流量以及上述攻击窃密行为检测策略；

所述处理器用于执行存储器中存储的权利要求1至8任一项所述方法对应的程序指令，以使所述网络监测系统执行相应方法的步骤。