[发明专利]基于专有数据帧分析算法实现的分布式互联网安全探测告警系统

说明书

本发明的目的是提供一种基于专有数据帧分析算法实现的分布式互联网安全探测告警系统，在不影响现有互联网网络体系结构的情况下接入已经完成搭建并投入使用的网络架构，并通过专有模块实时监控内网子网段客户端的通讯行为，具备对客户端的异常行为发出告警的机制，以此来弥补现行网络安全方案的不足，提高现行网络结构对威胁的发现侦查能力，降低内网内部受到攻击的风险，从而加固网络安全。

技术领域

本发明涉及一种互联网安全探测告警系统，尤其是在不影响现有互联网网络体系结构的情况下接入使用，具体地说，是关于一种基于专有数据帧分析算法实现的分布式互联网安全探测告警系统。

背景技术

由于互联网的高速发展、物联网概念的崛起使得局域网络内部连接设备数量骤增，尤其是信息化与工业化深度融合后，广播包在网络内泛滥，给网络造成极其严重的负担。

广播包的实际应用可以分为两种情况：1、当本地局域网中某一设备上的某个应用程序需要在网内搜索资源，而该应用程序对所需资源的目标地址没有任何先验认知。2.网络中常见的一些重要的功能，比如路由要求把它们的信息发送给所有可以找到的邻机。

计算机网络病毒同样可以利用广播包的性质在局域网内传播。依据其病毒传播方式可以分为蠕虫病毒和木马病毒。在局域网内部传播能力更强造成危害相对偏大的是蠕虫病毒。

蠕虫病毒在内网中是通过扫描搜索漏洞来传播，其在网络中传播的行为特征就是计算机IP扫描。通过扫描对系统、应用进行漏洞挖掘，然后再通过这些漏洞进行入侵、传播。而扫描所依赖的就是发送广播包给所有网络内设备。

目前网络架构中，通常是在外网到内网的入口处，架设防火墙作为保护，蠕虫病毒无法由外向内扫描。防火墙常见的防蠕虫方式有两种，一是将已知蠕虫的端口号封禁以达到防传播的目的；二是对所有外网进入内网的数据包进行监控，拦截疑似蠕虫的数据包。但是由于防火墙假设在网络边缘，无法阻断蠕虫病毒从内网内部发起传播。

对于已经搭建完成并投入使用的网络架构，更换或拓展网络设备相当困难，既需要考虑现有设备的可拓展性，还需要兼顾设备的兼容性。

发明内容

本发明的目的是提供一种基于专有数据帧分析算法实现的分布式互联网安全探测告警系统，在不影响现有互联网网络体系结构的情况下接入已经完成搭建并投入使用的网络架构，并通过专有模块实时监控内网子网段客户端的通讯行为，具备对客户端的异常行为发出告警的机制，以此来弥补现行网络安全方案的不足，提高现行网络结构对威胁的发现侦查能力，降低内网内部受到攻击的风险，从而加固网络安全。

该基于专有数据帧分析算法实现的分布式互联网安全探测告警系统，其技术特征主要包括防扫描仪、数据帧分析模块、被动探测模块以及管理软件：

(1)所述防扫描仪，是指采用BroadCom 56XXX、53XXX系列、Marvell硬件作为开发平台生产的设备，可通过光纤或普通网线接入网络，对各子网进行监控；

(2)所述被动探测模块是通过嵌入式模块在设备中创建多个陷阱地址，当陷阱地址接收到攻击包时，与其建立连接，根据连接行为特征判断是否为非法连接；

(3)所述数据帧分析模块是通过对被动探测模块接收到的数据帧作分析，根据其数据帧特点，对连接通讯作出合法性判断，并发出告警；

(4)所述管理软件主要功能包括查看设备基本信息、所接入网络拓扑状态，并对各嵌入式模块的功能进行管理，同时也对设备进行配置管理和维护。

本发明与现有技术相比，具有的增益效果是：

(1)采用了分布式的结构方式加强对内网子网的安全监控，即通过在每个子网内架设一台所述的防扫描仪，充分弥补了现有网络防火墙只能在架设在网络边缘局限性地对内外网衔接处的数据作监控，而无法对内网内部之间发生的攻击作监控的严重缺陷；