[发明专利]流量数据监控方法、装置、电子设备及计算机可读介质

说明书

本公开涉及一种异常流量数据监控方法、装置、电子设备及计算机可读介质。该方法包括：将流量数据中的数据包进行重组以生成多种类型的组包；由多种类型的组包中提取第一类型组包；由所述第一类型组包中提取证书及服务器名称指示信息；以及通过所述证书及所述服务器名称指示信息确定所述流量数据是否为异常流量数据。本公开涉及的异常流量数据监控方法、装置、电子设备及计算机可读介质，能够对流量数据中的高级持续性威胁进行检测。

技术领域

本公开涉及计算机信息处理领域，具体而言，涉及一种异常流量数据监控方法、装置、电子设备及计算机可读介质。

背景技术

网络信息系统所面临而对威胁来自很多方面，而且会随着时间的变化而变化。其中，人为攻击是对网络信息系统的人为攻击，黑客通过寻找网络系统的弱点，以非授权方式达到破坏、欺骗和窃取数据信息等目的。对网络的人为攻击手段有很多种，其中，APT攻击(Advanced Persistent Threat，高级持续性威胁)是指利用先进的攻击手段对特定目标进行长期持续性网络攻击的攻击形式，APT攻击的原理相对于其他攻击形式更为高级和先进，其高级性主要体现在APT在发动攻击之前需要对攻击对象的业务流程和目标系统进行精确的收集。在此收集的过程中，此攻击会主动挖掘被攻击对象受信系统和应用程序的漏洞，利用这些漏洞组建攻击者所需的网络，并针对还没有补丁的漏洞进行攻击。

因此，需要一种新的异常流量数据监控方法、装置、电子设备及计算机可读介质。

在所述背景技术部分公开的上述信息仅用于加强对本公开的背景的理解，因此它可以包括不构成对本领域普通技术人员已知的现有技术的信息。

发明内容

有鉴于此，本公开提供一种异常流量数据监控方法、装置、电子设备及计算机可读介质，能够对流量数据中的高级持续性威胁进行检测。

本公开的其他特性和优点将通过下面的详细描述变得显然，或部分地通过本公开的实践而习得。

根据本公开的一方面，提出一种异常流量数据监控方法，该方法包括：将流量数据中的数据包进行重组以生成多种类型的组包；由多种类型的组包中提取第一类型组包；由所述第一类型组包中提取证书及服务器名称指示信息；以及通过所述证书及所述服务器名称指示信息确定所述流量数据是否为异常流量数据。

在本公开的一种示例性实施例中，还包括：通过镜像分光的方式由网关中获取所述流量数据。

在本公开的一种示例性实施例中，将流量数据中的数据包进行重组以生成多种类型的组包包括：将所述流量数据中的传输控制协议数据包进行重组以生成多种类型的组包。

在本公开的一种示例性实施例中，由多种类型的组包中提取第一类型组包包括：由多种类型的组包中提取安全传输层协议会话组包。

在本公开的一种示例性实施例中，由多种类型的组包中提取安全传输层协议会话组包包括：提取多种类型的组包的包头信息；以及根据包头信息提取安全传输层协议会话组包。

在本公开的一种示例性实施例中，由所述第一类型组包中提取证书及服务器名称指示信息包括：通过预定文档确定第一类型组包中的客户问候消息；以及在所述客户问候消息中提取服务器名称指示信息。

在本公开的一种示例性实施例中，由所述第一类型的组包中提取证书及服务器名称指示信息还包括：获取与所述客户问候消息关联的服务器问候消息；以及在所述服务器问候消息中提取所述证书。

在本公开的一种示例性实施例中，通过所述证书及所述服务器名称指示信息确定所述流量数据是否为异常流量数据包括以下情况至少一者：在所述证书及所述服务器名称指示信息为无效字段时，确定所述流量数据为异常流量数据；在所述证书的证书链验证失败时，确定所述流量数据为异常流量数据；以及在所述服务器名称指示信息中的域名未包含在预定位置时，确定所述流量数据为异常流量数据。