[发明专利]一种网络安全处理方法、装置、设备及机器可读存储介质

说明书

本公开提供一种网络安全处理方法、装置、设备及机器可读存储介质，该方法包括：获取当前流量对应的会话日志；根据会话日志，获取流量对应的地址信息和数据信息；根据地址和数据信息获取符合预设条件的IP地址，标记获取到的IP地址为受保护IP地址；所述受保护IP地址用于使关联于受保护IP地址的流量被安全分析。通过本公开的技术方案，通过获取当前流量对应的会话日志，并对会话日志进行分析，获取到流量对应的地址信息和数据信息，从而根据地址信息和数据信息以预设的规则进行筛选，自动选择出符合规则的IP地址标记位受保护IP地址，以使后续关联于该IP地址的流量能够被安全分析，从而减少用户投入运维的成本，提高使用的便捷性。

技术领域

本公开涉及通信技术领域，尤其是涉及一种网络安全处理方法、装置、设备及机器可读存储介质。

背景技术

IP地址(Internet Protocol Address)是指互联网协议地址，又译为网际协议地址。IP地址是IP协议提供的一种统一的地址格式，它为互联网上的每一个网络和每一台主机分配一个逻辑地址，以此来屏蔽物理地址的差异。

安全管理平台(态势感知，SIME，SOC)均要求用户主动配置所需要的保护的网段区域范围，用以确定发现的网络安全事件是否需要上报给用户。而用户需要保护的网段区域范围也是对资产的一个扩展的重要依据，根据这个区域范围定义一个IP地址是外网还是内网。这里说的内网就是用户需要保护的网段区域，其包括了传统保留地址，A类:10.0.0.0-10.255.255.255(长度相当于1个A类IP地址)，B类:172.16.0.0-172.31.255.255(长度相当于16个连续的B类IP地址)，C类:192.168.0.0-192.168.255.255(长度相当于256个连续的C类IP地址)，也包含了用户网络环境内的公网IP地址，例如提供对外服务的主站IP地址等。

发明内容

有鉴于此，本公开提供一种网络安全处理方法、装置及电子设备、机器可读存储介质，以改善上述要求用户主动配置所需要的保护的网段区域范围的问题。

具体地技术方案如下：

本公开提供了一种网络安全处理方法，应用于网络设备，所述方法包括：获取当前流量对应的会话日志；根据会话日志，获取流量对应的地址信息和数据信息；根据地址和数据信息获取符合预设条件的IP地址，标记获取到的IP地址为受保护IP地址；所述受保护IP地址用于使关联于受保护IP地址的流量被安全分析。

作为一种技术方案，所述获取当前流量对应的会话日志；配置核心交换机端口镜像；根据端口镜像，接收镜像流量；分析接收到的镜像流量，以获取当前流量对应的会话日志。

作为一种技术方案，所述根据会话日志，获取流量对应的地址信息和数据信息，包括：根据会话日志，获取流量对应的源IP地址和目的IP地址作为地址信息，并获取流量中的请求流量、响应流量的大小，以及流量关联的应用信息。

作为一种技术方案，所述根据地址和数据信息获取符合预设条件的IP地址，标记获取到的IP地址为受保护IP地址，包括：若流量对应的源IP地址和目的IP地址为公网地址，和/或，请求流量、响应流量的大小大于阈值，和/或，流量关联的应用信息为已知应用，则标记获取到的IP地址为受保护IP地址。

本公开同时提供了一种网络安全处理装置，应用于网络设备，所述装置包括：日志模块，用于获取当前流量对应的会话日志；分析模块，用于根据会话日志，获取流量对应的地址信息和数据信息；标记模块，用于根据地址和数据信息获取符合预设条件的IP地址，标记获取到的IP地址为受保护IP地址；所述受保护IP地址用于使关联于受保护IP地址的流量被安全分析。

作为一种技术方案，所述获取当前流量对应的会话日志；配置核心交换机端口镜像；根据端口镜像，接收镜像流量；分析接收到的镜像流量，以获取当前流量对应的会话日志。