一種阻斷高風險網絡入侵的方法及系統(tǒng)的制作方法
【技術領域】
[0001]本發(fā)明涉及網絡與信息安全領域中的網絡入侵阻斷技術，尤其涉及一種阻斷高風險網絡入侵的方法及系統(tǒng)。
【背景技術】
[0002]現(xiàn)有的安全防護系統(tǒng)包括漏洞掃描器、入侵檢測系統(tǒng)(Intrus1n Detect1nSystems, IDS)和防火墻，這三部分各司其職，孤立工作。
[0003]其中，IDS采用傳統(tǒng)的模式匹配方法，將所檢測數(shù)據(jù)包中的內容與系統(tǒng)已知的入侵特征庫中的攻擊特征串機械地進行匹配，只要發(fā)現(xiàn)數(shù)據(jù)包中的內容與攻擊特征相匹配，就馬上發(fā)出告警，并不判斷該數(shù)據(jù)包是不是真的攻擊行為，這樣就不可避免地會產生誤報，因此，IDS每天會有海量的告警信息，而在這些告警信息中，真正有威脅的入侵是其中的很少一部分，安全維護人員很難發(fā)現(xiàn)并有針對性地進行阻斷操作；而且，安全維護人員還需要手工操作防火墻，因此入侵防御難以實施且不及時。

【發(fā)明內容】

[0004]有鑒于此，本發(fā)明實施例期望提供一種阻斷高風險網絡入侵的方法及系統(tǒng)，能夠快速、準確地發(fā)現(xiàn)真正有威脅的網絡入侵行為，并及時阻斷入侵，大大提高了高風險網絡入侵的檢測效率和安全維護人員的工作成效。
[0005]為達到上述目的，本發(fā)明的技術方案是這樣實現(xiàn)的:
[0006]本發(fā)明實施例提供了一種阻斷高風險網絡入侵的方法，建立漏洞-攻擊對應表，所述方法還包括:
[0007]將提取的告警信息中的入侵事件信息與漏洞-攻擊對應表進行匹配，確定匹配成功時，生成緊急告警信息；
[0008]根據(jù)所述緊急告警信息生成阻斷策略，并將所述阻斷策略發(fā)送至防火墻，所述防火墻根據(jù)所述阻斷策略阻斷入侵。
[0009]上述方案中，所述建立漏洞-攻擊對應表包括:對保護的業(yè)務系統(tǒng)進行漏洞掃描，獲取所述系統(tǒng)的漏洞信息，提取漏洞掃描結果中關鍵信息，并在每條漏洞記錄中增加可利用此漏洞的入侵事件鏈表，生成漏洞-攻擊對應表。
[0010]上述方案中，所述將提取的告警信息中的入侵事件信息與所述漏洞-攻擊對應表進行匹配包括:提取告警信息中入侵事件的源IP地址和事件名稱，并將同一源網絡協(xié)議(Internet Protocol, IP)地址發(fā)起的入侵事件的名稱,與所述漏洞_攻擊對應表中包含的入侵事件的名稱取交集，結果為空集時，確定匹配不成功；結果為非空集合時，匹配成功。
[0011]上述方案中，所述生成緊急告警信息包括:提取所述告警信息中入侵事件的名稱、IP地址和時間信息，統(tǒng)一格式并標識告警級別為緊急告警，生成緊急告警信息。
[0012]上述方案中，所述根據(jù)所述緊急告警信息生成阻斷策略包括:提取所述緊急告警信息中入侵事件的源IP地址，并結合策略序號自動生成防火墻的阻斷策略；
[0013]所述生成防火墻的阻斷策略之后，所述方法還包括:顯示所述緊急告警信息及對應阻斷策略。
[0014]上述方案中，所述將所述阻斷策略發(fā)送至防火墻之前，所述方法還包括:將所述阻斷策略和所述緊急告警信息一起以短信方式發(fā)送給安全維護人員確認，在收到確認信息后，再將所述阻斷策略發(fā)送至防火墻。
[0015]本發(fā)明實施例還提供了一種阻斷高風險網絡入侵的系統(tǒng)，所述系統(tǒng)包括:獲取模塊、匹配模塊、策略生成與執(zhí)行模塊、漏洞-攻擊信息庫和防火墻；其中，
[0016]所述獲取模塊，用于建立漏洞-攻擊對應表；
[0017]所述匹配模塊，用于將提取的告警信息中的入侵事件信息與漏洞-攻擊對應表進行匹配，確定匹配成功時，生成緊急告警信息，并將所述緊急告警信息發(fā)送至策略生成與執(zhí)4丁豐旲塊；
[0018]所述策略生成與執(zhí)行模塊，用于根據(jù)所述緊急告警信息生成阻斷策略，并將所述阻斷策略發(fā)送至防火墻；
[0019]所述防火墻，用于根據(jù)所述阻斷策略阻斷入侵；
[0020]所述漏洞-攻擊信息庫，用于存儲所述漏洞-攻擊對應表；
[0021]上述方案中，所述獲取模塊包括:漏洞掃描單元和生成單元；其中，
[0022]所述漏洞掃描單元，用于對保護的業(yè)務系統(tǒng)進行漏洞掃描，獲取所述系統(tǒng)的漏洞信息，并將所述漏洞信息發(fā)送至生成單元；
[0023]所述生成單元，用于提取漏洞掃描結果中關鍵信息，并在每條漏洞記錄中增加可利用此漏洞的入侵事件鏈表，生成漏洞-攻擊對應表；
[0024]所述防火墻包括防火墻策略庫，用于存儲防火墻策略。
[0025]上述方案中，所述系統(tǒng)還包括顯示模塊和入侵檢測設模塊；其中，
[0026]所述顯示模塊，用于顯示緊急告警信息和次要告警信息；
[0027]相應的，所述匹配模塊，還用于確定匹配不成功時生成次要告警信息，并將次要告警信息發(fā)送至顯示模塊顯示；所述策略生成與執(zhí)行模塊，還用于將所述緊急告警信息及相應阻斷策略發(fā)送至顯示模塊顯示；
[0028]所述入侵檢測模塊，用于檢測網絡入侵行為，并生成告警信息發(fā)送至匹配模塊。
[0029]上述方案中，所述匹配模塊將提取的告警信息中的入侵事件信息與所述漏洞-攻擊對應表進行匹配包括:匹配模塊提取告警信息中入侵事件的源IP地址和事件名稱，并將同一源IP地址發(fā)起的入侵事件的名稱，與所述漏洞-攻擊對應表中包含的入侵事件的名稱取交集，結果為空集時，確定匹配不成功；結果為非空集合時，匹配成功。
[0030]上述方案中，所述策略生成與執(zhí)行模塊，還用于將所述阻斷策略和所述緊急告警信息一起以短信方式發(fā)送給安全維護人員確認，在收到確認信息后，再將所述阻斷策略發(fā)送至防火墻，以及將所述阻斷策略發(fā)送至防火墻后，添加所述阻斷策略至本地策略表。
[0031]上述方案中，所述匹配模塊生成緊急告警信息包括:匹配模塊提取所述告警信息中入侵事件的名稱、IP地址和時間信息，統(tǒng)一格式并標識告警級別為緊急告警，生成緊急告
m樣自目 I R ο
[0032]上述方案中，所述策略生成與執(zhí)行模塊根據(jù)所述緊急告警信息生成阻斷策略包括:策略生成與執(zhí)行模塊提取所述緊急告警信息中入侵事件的源IP地址，并結合策略序號自動生成防火墻的阻斷策略。
[0033]本發(fā)明實施例所提供的阻斷高風險網絡入侵的方法，建立漏洞-攻擊對應表，將提取的告警信息中的入侵事件信息與所述漏洞-攻擊對應表進行匹配，確定匹配成功時，生成緊急告警信息；根據(jù)所述緊急告警信息生成阻斷策略，并將所述阻斷策略發(fā)送至防火墻，所述防火墻根據(jù)所述阻斷策略阻斷入侵。如此，能夠快速、準確地從IDS海量告警信息中發(fā)現(xiàn)真正有威脅的高風險網絡入侵行為，大大降低了誤報率及安全維護人員的工作量，提高了高風險網絡入侵的檢測效率和安全維護人員的工作成效。
【附圖說明】
[0034]圖1為本發(fā)明實施例一阻斷高風險網絡入侵的方法流程示意圖；
[0035]圖2為本發(fā)明實施例二阻斷高風險網絡入侵的方法流程示意圖；
[0036]圖3為本發(fā)明實施例阻斷高風險網絡入侵的系統(tǒng)組成結構示意圖。
【具體實施方式】
[0037]在本發(fā)明實施例中，建立漏洞-攻擊對應表，將提取的告警信息中的入侵事件信息與所述漏洞-攻擊對應表進行匹配，確定匹配成功時，生成緊急告警信息；根據(jù)所述緊急告警信息