[发明专利]一种基于流量数据分析的服务器安全事件审计方法

权利要求书

1.一种基于流量数据分析的服务器安全事件审计方法，其特征在于，方法步骤如下：

S1、建立第三方服务器安全事件审计系统；

S2、将服务器的实时流量数据同步镜像至第三方服务器安全事件审计系统，并备份；

S3、对流量数据的特征数据流进行采集、分类和分析，并对每组特征数据生成对应的监控节点；

S4、监控节点对该特征数据流的流动轨迹进行全程监控、观察，出现可疑进程和连接时抓包工具配合对其定位、跟踪；

S5、第三方服务器安全事件审计系统对该可疑行为进行分析，并对其的影响进行量化，同时预测该可疑数据流的安全风险，再根据安全风险进行风险等级分类；

S6、根据风险等级的大小做出防御类别判断，并在服务器上产生对应的防御行为；

S7、在服务器上根据风险等级完成对应等级的自检行为，完善服务器的防御性能；

S8、对安全事件进行记录。

2.根据权利要求1所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，采用的抓包工具为Httpwatch、Fiddler或Firebug。

3.根据权利要求1所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，第三方服务器安全事件审计系统包括安全事件记录模块、备份模块、镜像生成模块、监控模块、流量数据采集模块、抓包模块、分析模块、防御模块和自检模块。

4.根据权利要求3所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，镜像生成模块、抓包模块、防御模块、自检模块与服务器通过网络连接；备份模块、监控模块、流量数据采集模块、分析模块均与镜像生成模块通过网络连接；分析模块同时与抓包模块网络连接；抓包模块又与防御模块、自检模块网络连接。

5.根据权利要求3所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，分析模块根据服务器的用途、文件内容、机密情况结合数据泄漏、丢失风险以及对服务器使用者影响对安全风险进行影响量化、分级。

6.根据权利要求3所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，抓包模块从SSH登陆记录中获取攻击来源地IP，再从WEB日志中进行反查，确定攻击IP做出的请求详情。

7.根据权利要求3所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，备份模块用于备份痕迹数据；痕迹数据的来源包括系统日志、应用程序日志、自定义日志、bash_history和其他安全事件相关日志记录。

8.根据权利要求3所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，安全事件记录模块用于记录安全事件以及安全事件的定义规则。

9.根据权利要求8所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，安全事件记录模块还设置有检索单元和安全事件管理单元。

10.根据权利要求3所述的一种基于流量数据分析的服务器安全事件审计方法，其特征在于，监控模块用于监控第三方服务器安全事件审计系统流量中的异常流量，还原事件名称、发生时间，并最终将异常数据流信息传输至抓包模块。