[发明专利]基于多源信息分析的网络攻击监测系统

权利要求书

1.一种基于多源信息分析的网络攻击监测系统，其特征在于，所述系统包括：规则制定模块、流量采集模块、流量处理模块、恶意代码样本采集模块、流量扫描与分析模块、威胁评估与预警发布模块；

所述规则制定模块用于根据固定与浮动位置关键词、应用协议内容，制定流量抽样的标准，使流量采集模块按照流量比例方式、IP五元组方式或时间方式对流量进行抽样采集；

所述流量采集模块用于按照抽样采集规则，对流量进行数据采集，并将流量数据传递给流量处理模块；

所述流量处理模块用于对采集的流量数据进行去重操作、规范化操作和压缩处理操作，并传递给流量扫描与分析模块；

所述恶意代码样本采集模块用于在恶意代码样本库中获取恶意代码样本，并传递给流量扫描与分析模块；

所述流量扫描与分析模块用于将处理后的流量数据存储成流量文件，同时结合恶意代码样本，对要监测的流量文件进行检测，当在流量文件中识别出与恶意代码样本相匹配的内容时，认为发现网络攻击行为，则生成报警事件数据，传递给威胁评估与预警发布模块；

所述威胁评估与预警发布模块用于接收报警事件数据并实现威胁评估、特征提取与样本库升级、事件报警功能。

2.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述规则制定模块工作过程中，所述按照流量比例方式抽样，指的是按百分比对流量进行抽样采集。

3.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述规则制定模块工作过程中，所述按照IP五元组方式抽样，指的是按源IP、源端口、目的IP、目的端口、协议对流量进行抽样采集。

4.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述规则制定模块工作过程中，所述按照时间方式抽样，指的是按时间段对流量进行抽样采集，时间段可精确到分钟。

5.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述流量处理模块工作过程中，所述去重操作指的是：过滤重复的流量数据。

6.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述流量处理模块工作过程中，所述规范化操作指的是：对原始流量数据进行格式规范化处理，将原始流量处理为pcap格式的数据。

7.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述流量处理模块工作过程中，所述压缩操作指的是：将流量数据进行压缩后再上传。

8.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述威胁评估与预警发布模块工作过程中，所述威胁评估指的是：将报警事件数据与历史记录的威胁事件数据进行分析比对，评估网络攻击的受影响范围和目标威胁情况，并生成评估报告。

9.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述威胁评估与预警发布模块工作过程中，所述特征提取与样本库升级指的是：辅助分析报警事件数据中携带的新型网络攻击和恶意代码的特征信息，并添加更新到统一的恶意代码样本库中，完成恶意代码样本库升级。

10.如权利要求1所述的基于多源信息分析的网络攻击监测系统，其特征在于，所述威胁评估与预警发布模块工作过程中，所述事件报警指的是：显示、查询、统计报警事件数据的信息，并生成报表。