[发明专利]一种网络监测方法及监测服务器

说明书

本发明公开了一种网络监测方法及监测服务器，其中，网络监测方法包括：监测服务器获取被监测服务器的消息数据；监测服务器获取消息数据中交互方的网络标识；监测服务器根据网络标识查询本地的第一黑名单；第一黑名单是监测服务器从云端服务器的第二黑名单获得的；云端服务器的第二黑名单包括多个关联攻击行为的网络标识；在第一黑名单存在网络标识时，确定消息数据为威胁性消息数据。监测服务器的第一黑名单是从云端服务器的第二黑名单中获得的，由于第二黑名单中的网络标识是关联攻击行为的网络标识，因此即使该网络标识对应的交互方没有发起攻击监测服务器也可以发现交互方对被监测服务器的威胁，从而实现了对攻击行为的主动防御。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络监测方法及监测服务器。

背景技术

随着网络环境越来越复杂，不同的攻击行为更具产业化、团伙化，入侵手法也越来越多样化和复杂化，使得传统安全解决方案持续受到挑战。然而，传统的安全产品，如入侵防御系统(Intrusion Prevention System，IPS)、入侵检测系统(Intrusion DetectionSystems，IDS)、防火墙等通常都是根据特定的攻击行为做出相应的防护，因此，这些防护手段只能在攻击发生后被动进行防护。

发明内容

本发明提供一种网络监测方法及监测服务器，用以实现对攻击行为的主动防御。

本发明实施例提供一种网络监测方法，包括：

监测服务器获取被监测服务器的消息数据；

所述监测服务器获取所述消息数据中交互方的网络标识；

所述监测服务器根据所述网络标识查询本地的第一黑名单；所述第一黑名单是所述监测服务器从云端服务器的第二黑名单获得的；所述云端服务器的第二黑名单包括多个关联攻击行为的网络标识；

在所述第一黑名单存在所述网络标识时，确定所述消息数据为威胁性消息数据。

可选的，所述云端服务器的第二黑名单中还包括每一个网络标识所对应的信息记录；

所述监测服务器确定所述消息数据为威胁性消息数据之后，还包括：

将所述威胁性消息数据对应的威胁事件发送至所述云端服务器；以使所述云端服务器根据所述威胁事件中的网络标识更新所述第二黑名单中所述网络标识的信息记录。

可选的，所述监测服务器还包括第一白名单；所述第一白名单是所述监测服务器从所述云端服务器的第二白名单获得的；

所述监测服务器根据所述网络标识查询本地的第一黑名单之后，还包括：

在所述第一黑名单不存在所述网络标识时，所述监测服务器根据所述网络标识查询所述第一白名单；

在所述第一白名单不存在所述网络标识时，所述监测服务器将所述消息数据发送至所述云端服务器，以使所述云端服务器查询所述第二黑名单和所述第二白名单以确定所述消息数据是否为威胁性消息数据。

可选的，还包括：

所述监测服务器按照预设的第一时间间隔向所述云端服务器发送消息数据包；所述消息数据包中包括在预设的第一时间间隔内，所述被监测服务器的消息数据总量；所述云端服务器用于根据所述消息数据总量对所述被监测服务器进行统计分析。

可选的，还包括：

所述监测服务器接收所述云端服务器返回的分析报告；所述分析报告包括所述被监测服务器在预设的第二时间间隔内的威胁事件统计分析结果。

本发明实施例提供一种监测服务器，包括：

收发单元，用于获取被监测服务器的消息数据；