[发明专利]一种网络安全管理方法、装置、设备及机器可读存储介质

说明书

本公开提供一种网络安全管理方法、装置、设备及机器可读存储介质，该方法包括：根据被开启的防误报功能，获取被认定为是攻击误报的攻击特征的攻击特征ID；将被认定为是攻击误报的攻击特征ID加入防误报哈希表；获取关联于检测引擎上报的各攻击行为的各攻击特征ID，在防误报哈希表中匹配获取到的各攻击特征ID，判定匹配成功的攻击特征ID关联的攻击行为是攻击误报。通过本公开的技术方案，对于不能及时更改或配置特征库的入侵防御系统，根据判定为攻击误报的攻击行为关联的攻击特征ID建立白名单，后续在再次发现该攻击特征ID关联的攻击行为时，直接认为是攻击误报并放行相关报文，从而降低攻击误报率。

技术领域

本公开涉及通信技术领域，尤其是涉及一种网络安全管理方法、装置、设备及机器可读存储介质。

背景技术

IPS(Intrusion Prevention System，入侵防御系统)是一种可以对应用层攻击进行检测并防御的安全防御技术。IPS设备首先升级加载攻击特征库，用户通过配置IPS策略筛选攻击特征并将攻击特征添加到内核的深度报文检测引擎。

DPI(Deep Packet Inspection，深度报文检测)，一种基于数据包的深度检测技术，针对不同的网络应用层载荷(例如HTTP、DNS等)进行深度检测，通过对报文的有效载荷检测决定其合法性。

IPS设备部署在网络中，流量进入IPS设备时，对流量报文数据包进行逐个字节的深度检测，其通过AC(Aho-Corasick)算法扫描AC树检测入侵行为，并通过一定的响应动作来阻断入侵行为，实现保护企业信息系统和网络免遭攻击的目的。例如，如果数据包中包含IPS特征库中的攻击特征，确认所述数据包命中所述IPS特征库，即所述数据包为非法数据包，并且确定在IPS特征库中，与所述非法数据包相匹配的特征为命中特征，以及确定非法数据包的发送端为网络攻击者。而后丢弃所述非法数据包，将被命中的攻击特征记载于IPS日志，并对后续来自网络攻击者的所有数据包进行拦截。IPS的防御效果依赖于IPS特征库的准确性，虽然IPS攻击特征库日趋准确和完善，但由于数据包庞杂多变，经过一段时间对IPS的部署，IPS特征库中的攻击特征的准确度相对降低，在对经过IPS的数据包进行检查时，会将正常的数据包当做非法数据包丢弃，即会有IPS误报的情况出现。一旦出现IPS误报，IPS就会对并非来自网络攻击者，而是来自正常发送端的所有数据包进行拦截，往往会影响正常的网络业务。

发明内容

有鉴于此，本公开提供一种网络安全管理方法、装置及电子设备、机器可读存储介质，以改善上述根据IPS特征库安全检测容易误报的问题。

具体地技术方案如下：

本公开提供了一种网络安全管理方法，应用于安全设备，所述安全设备使用非可配置入侵防御系统IPS特征库，所述方法包括：根据被开启的IPS防误报功能，获取被认定为是攻击误报的攻击特征的攻击特征ID，所述攻击特征ID包括于被下发于DPI检测引擎的IPS特定库；将被认定为是攻击误报的攻击特征ID加入防误报哈希表，所述防误报哈希表是响应于开启IPS防误报功能所建立的；获取关联于DPI检测引擎上报的各攻击行为的各攻击特征ID，在防误报哈希表中匹配获取到的各攻击特征ID，判定匹配成功的攻击特征ID关联的攻击行为是攻击误报。

作为一种技术方案，所述根据被开启的IPS防误报功能，获取被认定为是攻击误报的攻击特征的攻击特征ID，所述攻击特征ID包括于被下发于DPI检测引擎的IPS特定库，包括：所述根据被开启的IPS防误报功能，获取用户判定攻击误报关联的攻击特征的攻击特征ID，所述攻击特征ID包括于被下发于DPI检测引擎的IPS特定库。

作为一种技术方案，所述根据被开启的IPS防误报功能，获取被认定为是攻击误报的攻击特征的攻击特征ID，所述攻击特征ID包括于被下发于DPI检测引擎的IPS特定库，包括：所述根据被开启的IPS防误报功能，获取预先配置的特定攻击特征ID，所述攻击特征ID包括于被下发于DPI检测引擎的IPS特定库。