[发明专利]一种基于攻击关联的安全检测方法和系统

摘要

本发明公开了一种基于攻击关联的检测方法和系统；其中所述方法包括：检测输入流量是否具有攻击行为，提取具有攻击行为的输入流量的信息，存入攻击源集合；并根据检测结果对日志记录结合攻击源的信息进行不同的分析，找出所述输入流量的所有的攻击行为和发现所述输入流量可能隐藏的攻击行为。本发明通过分析输入流量与日志记录的关联关系，方便高效的挖掘出输入流量的所有攻击行为和隐藏的攻击行为，使网络管理更加高效可靠。

主权项

1.一种基于攻击关联的安全检测方法，其特征在于，所述方法包括如下依次执行的步骤：步骤S1：检测输入流量是否具有攻击行为；有，则执行步骤S2；否，则执行步骤S3；步骤S2：阻断所述输入流量的攻击行为，并提取所述输入流量的信息，将所述信息添加至显性攻击源集合；步骤S3：分析所述输入流量与日志记录的关联关系；步骤S4：生成威胁报表；在所述步骤S3之前，还包括如下步骤：用户根据安全知识库存储的攻击规则和漏洞信息，预定义所述输入流量的检测规则和分类标准；若所述输入流量具有攻击行为，则所述步骤S3包括如下步骤：步骤S3‑1：利用预定义的所述分类标准，将所述输入流量分类；步骤S3‑2：将分类之后的所述输入流量指定所述日志记录进行全网分析，匹配出与所述输入流量相关联的所述日志记录，并建立所述输入流量与匹配出的所述日志记录的关联关系；若所述输入流量不具有攻击行为，则所述步骤S3包括如下步骤：步骤S3‑11：打开分析隐藏攻击源选项，对所述日志记录结合安全知识库存储的攻击规则、漏洞信息及用户预定义好的所述检测规则进行分析，查找所述输入流量是否具有攻击行为的记录；有，则判断为隐藏攻击源，继续执行下一步骤；否，则结束；步骤S3‑22：提取所述输入流量的信息，并添加至隐藏攻击源集合；步骤S3‑33：阻断与所述隐藏攻击源集合信息相关的网络流量。