[发明专利]一种基于流量还原的网络攻击事件取证方法与装置

权利要求书

1.一种基于流量还原的网络攻击事件取证方法，其特征在于，包括：

S1协议解析：对原始流量包进行分割后，进行tshark解析以生成格式化数据组，将所述格式化数据组置于数据清洗线程池中进行数据清洗，所述数据清洗线程池中包含一个或多个数据清洗线程，所述多个数据清洗线程同时对多个格式化数据进行清洗；提取清洗后的有效字段并将所述有效字段存入数据库；所述有效字段包括：五元组、包字节长度、传输时间、流信息、包序号和协议类型；其中流信息、包序号用于S3中的切割步骤；

S2事件告警：定义suricata的攻击告警规则，通过所述suricata对所述原始流量包进行所述攻击告警规则匹配，当匹配成功则进行攻击告警，同时将所述攻击告警事件存入所述数据库；

S3攻击取证：根据所述攻击告警事件所对应的所述原始流量包的包序号和文件名从所述数据库中查询所述攻击告警事件的流，并从所述攻击告警事件的流中切割出所述攻击告警对应的流量片段进行攻击分析取证。

2.根据权利要求1所述的基于流量还原的网络攻击事件取证方法，其特征在于，所述数据库为elasticsearch数据库；所述有效字段是通过消息队列rabbitmq用logstash输入所述elasticsearch数据库。

3.根据权利要求1所述的基于流量还原的网络攻击事件取证方法，其特征在于，所述协议类型包括TCP、HTTP、DNS、全流量协议；所述格式化数据组存入数据库时按照所述协议类型建立不同的索引。

4.根据权利要求3所述的基于流量还原的网络攻击事件取证方法，其特征在于，根据所述协议类型搜索所述数据库以获取相关数据库表，再根据所述原始流量包的包序号和文件名搜索所述相关数据库表以获取所述攻击告警事件的流。

5.一种基于流量还原的网络攻击事件取证装置，其特征在于，包括：

协议解析模块：对原始流量包进行分割后，进行tshark解析以生成格式化数据组，将所述格式化数据组置于数据清洗线程池中进行数据清洗，所述数据清洗线程池中包含一个或多个数据清洗线程，所述多个数据清洗线程同时对多个格式化数据进行清洗；提取清洗后的有效字段并将所述有效字段存入数据库；所述有效字段包括：五元组、包字节长度、传输时间、流信息、包序号和协议类型；其中流信息、包序号用于攻击取证模块中的切割步骤；

事件告警模块：定义suricata的攻击告警规则，通过所述suricata对所述原始流量包进行所述攻击告警规则匹配，当匹配成功则进行攻击告警，同时将所述攻击告警事件存入所述数据库；

攻击取证模块：根据所述攻击告警事件所对应的所述原始流量包的包序号和文件名从所述数据库中查询所述攻击告警事件的流，并从所述攻击告警事件的流中切割出所述攻击告警对应的流量片段进行攻击分析取证。

6.根据权利要求5所述的基于流量还原的网络攻击事件取证装置，其特征在于，所述数据库为elasticsearch数据库；所述有效字段是通过消息队列rabbitmq用logstash输入所述elasticsearch数据库。

7.根据权利要求5所述的基于流量还原的网络攻击事件取证装置，其特征在于，所述协议类型包括TCP、HTTP、DNS、全流量协议；所述格式化数据组存入数据库时按照所述协议类型建立不同的索引；根据所述协议类型搜索所述数据库以获取相关数据库表，再根据所述原始流量包的包序号和文件名搜索所述相关数据库表以获取所述攻击告警事件的流。