[发明专利]一种信息安全监测方法及系统

权利要求书

1.一种信息安全监测方法，其特征在于，包括如下步骤：

获取网络内设备节点的流量信息和报文；

根据所述流量信息与网络流量模型进行对比，判断流量是否异常；

根据所述报文与业务逻辑模型进行对比，判断指令是否异常；

当存在流量异常和/或指令异常时，获取安全设备和/或安全系统日志以判断所述流量异常和/或指令异常是否与信息安全攻击行为存在关联；

当所述流量异常和/或指令异常与信息安全攻击行为存在关联时，进行信息安全告警。

2.根据权利要求1所述的信息安全监测方法，其特征在于，所述根据所述流量信息与网络流量模型进行对比，判断流量是否异常，包括：

根据所述流量信息获取网络内设备节点的连接关系、流量分布以及流量走势；

将所述网络内设备节点的连接关系、流量分布以及流量走势与网络流量模型进行对比；

当所述网络内设备节点的连接关系与网络流量模型不同时，或，所述流量分布与网络流量模型之间的差异大于阈值时，或，所述流量的走势与网络流量模型不同时，判定所述流量信息对应的设备节点存在流量异常。

3.根据权利要求1所述的信息安全监测方法，其特征在于，所述根据所述报文与业务逻辑模型进行对比，判断指令是否异常，包括：

根据所述报文的解析信息获取网络内设备节点的通信关系、通信内容和通信逻辑顺序；

将所述网络内设备节点的通信关系、通信内容和通信逻辑顺序与业务逻辑模型进行对比；

当所述通信关系或通信逻辑顺序与业务逻辑模型不同时，或，所述通信内容与业务逻辑模型之间的差异大于阈值时，判定所述报文对应的设备节点存在指令异常。

4.根据权利要求1所述的信息安全监测方法，其特征在于，所述当存在流量异常和/或指令异常时，获取安全设备和/或安全系统日志以判断所述流量异常和/或指令异常是否与信息安全攻击行为存在关联，包括：

识别所述流量异常和/或指令异常对应的报文的原始发送主机；

获取所述原始发送主机对应的安全设备和/或安全系统日志并识别所述原始发送主机对应的安全设备和/或安全系统日志是否存在异常情况；

当所述原始发送主机对应的安全设备和/或安全系统日志存在异常情况时，判定所述流量异常和/或指令异常与信息安全攻击行为存在关联。

5.根据权利要求4所述的信息安全监测方法，其特征在于，识别所述原始发送主机对应的安全设备和/或安全系统日志是否存在异常情况，包括：

获取所述原始发送主机对应的主机安全监测日志，以识别所述原始发送主机是否感染病毒或木马；

获取防火墙日志和入侵检测系统日志，以识别所述原始发送主机是否存在尝试访问网络上其他设备节点的对应协议端口的情况；

获取所述原始发送主机对应的用户信息及所述用户信息对应的邮件，以识别所述原始发送主机的用户是否存在邮件泄露用户名和口令的情况。

6.根据权利要求5所述的信息安全监测方法，其特征在于：

当所述原始发送主机感染病毒或木马并且所述木马或病毒对所述原始发送主机对应的网络监控系统进程进行修改时；或者，

当所述原始发送主机存在尝试访问网络上其他设备节点的对应协议端口的情况时；或者，

当所述原始发送主机的用户存在邮件泄露用户名和口令的情况时；

判定所述流量异常和/或指令异常与信息安全攻击行为存在关联。

7.一种信息安全监测系统，其特征在于，包括：

报文采集与分析设备，用于获取网络内设备节点的流量信息和报文；

信息安全监测平台，用于根据所述流量信息与网络流量模型进行对比，判断流量是否异常；和用于根据采集到的报文与业务逻辑模型进行对比，判断指令是否异常；以及用于当存在流量异常和/或指令异常时，获取安全设备和/或安全系统日志以判断所述流量异常和/或指令异常是否与信息安全攻击行为存在关联，并且当所述流量异常和/或指令异常与信息安全攻击行为存在关联时，进行信息安全告警。