[发明专利]一种基于流检测的网络安全检测方法

说明书

本发明公开了一种基于流检测的网络安全检测方法。本方法为：1)将监听的网络数据实时地传送到分布式流处理平台；2)分布式流处理平台对网络数据包进行实时解析，再根据网络数据协议特征库对解析的网络数据内容分别进行特征匹配和访问统计，将匹配确认为异常或根据访问统计确认为异常的网络流量数据发送给数据处理平台进行存储；3)数据处理平台对存储的网络流量数据进行聚类分析、分类，然后根据得到的网络数据类别动态更新所述网络数据协议特征库。本发明在网络流量异常特征检测时具备可扩展性、可配置性，在计算能力上具备线性扩展性能力，具有较好的经济和社会效益。

技术领域

本发明属于数据通信网络安全领域，涉及一种基于流检测的数据通信网络安全检测分析方法。

背景技术

近几十年来，全球通信网络的发展进程可以由摩尔定律和古尔德定律进行诠释，科技快速进步的同时也推动通信数据网的持续增长。据预测，2019年，全球数据月均流量将是2014年的2.81倍，年复合增长率为23％。未来，以大数据、云计算服务为代表的高性能计算技术将提高数据的使用价值，推动各行业的数据化进程，进一步带动数据传输需求。到2020年全球数据量将达到44ZB，是2010年数据量的数倍之多。

数据通信网络是实现数据传输的基础设施，也是国家信息基础建设的根本，其安全性不言而喻。一次次触目惊心的网络安全事件，让人们陷入恐慌的同时，也不断意识到网络安全防范迫在眉睫。历史经验告诉我们，任何先进技术都是“双刃剑”，一方面可以造福社会、造福人民，另一方面也可以被一些人用来损害社会公共利益和民众利益。从近两年信息化发展来看，网络安全威胁和风险日益突出，并日益向政治、经济、文化、社会、生态、国防等领域传导渗透。特别是国家关键信息基础设施面临较大风险隐患，网络安全防控能力薄弱，难以有效应对国家级、有组织的高强度网络攻击。目前传统互联网“筑墙式”的安全边界防护方式已经力不从心，亟须新技术和新理念的防护。

发明内容

为了满足日益复杂的数据通信网络安全防控需求，本发明提供一种基于流检测的数据通信网络安全检测分析方法。

检测分析系统包括网络数据监听、分布式实时数据传输通道、分布式流处理平台、网络数据议特征库和数据处理平台。针对网络数据包分析结果，通过分布式实时数据传输通道，系统将监听的数据实时发送到分布式流处理平台，分布式流处理平台对接收到的网络数据包进行实时数据解析，并通过网络数据协议特征库进行数据特征匹配，将经过匹配确认为异常的网络流量数据发送给数据处理平台进行存储，数据处理平台对存储的网络流量数据进行聚类分析、分类训练，并动态更新网络数据协议特征库。

本发明的技术方案为：

一种基于流检测的网络安全检测方法，其步骤包括：

1)将监听的网络数据实时地传送到分布式流处理平台；

2)分布式流处理平台对网络数据包进行实时解析，再根据网络数据协议特征库对解析的网络数据内容分别进行特征匹配和访问统计，将匹配确认为异常或根据访问统计确认为异常的网络流量数据发送给数据处理平台进行存储；

3)数据处理平台对存储的网络流量数据进行聚类分析、分类，然后根据得到的网络数据类别动态更新所述网络数据协议特征库。

进一步的，所述网络数据内容包括：数据包的协议、发送地址、目的地址、发送端口、目的端口、数据包长度和数据包头部校验和。

进一步的，所述特征匹配是将网络数据内容与网络数据异常特征信息通过匹配引擎进行异常判断。

进一步的，特征匹配时，采用恒虚警率异常探测算法进行异常判断，判断网络数据是否为异常网络数据。