[发明专利]基于动态加载机制的告警系统及告警方法

说明书

本公开描述了一种基于动态加载机制的告警系统。在告警系统中，获取模块配置为采集网络流量数据并进行解析以获得协议数据，创建包括协议数据的协议消息并将协议消息发送至消息集群服务器；通过分布式方式部署的消息集群服务器接收并管理协议数据以为第一处理模块提供协议数据；第一处理模块基于监控规则、情报信息、攻击来源、黑名单、白名单对协议数据进行检测以获得包协议数据和检测信息的分析数据、以及分析数据关联的资产信息和地理信息并支持动态加载相应的规则信息；监控模块用于输出分析数据和分析数据关联的资产信息和地理信息、以及识别误报或漏报的情况。由此，能够适应网络情况的变化、降低误报率和漏报率。

技术领域

本公开大体涉及一种基于动态加载机制的告警系统及告警方法。

背景技术

随着计算机技术、网络技术和通信技术的普及，信息化已经成为各组织机构实现稳定发展和提高竞争力的有力保障。在信息化建设中，网络安全尤为重要，若网络受到攻击，有可能对组织机构的资产造成损害，进而造成重大的损失。因此，如何提升对网络攻击的防御能力并能够及时发现网络攻击行为并进行告警已经成为各组织机构的研究方向。

目前，常常利用网络安全工具例如防火墙、漏洞扫描工具或基于网络流量数据的入侵检测系统对网络攻击行为进行识别并产生告警。入侵检测系统可以利用规则对网络流量数据进行检测，以在网络流量数据与规则匹配时产生告警信息，并以可视化的方式呈现给网络安全负责人，以使网络安全负责人能够通过监控网络流量数据以及告警信息及时发现网络攻击行为。然而，上述的网络攻击行为识别的规则一般内置在程序中，往往难以适应网络情况的变化，较容易出现误报和漏报等情况，另外，在出现误报和漏报情况时可能无法识别。

发明内容

本公开是鉴于上述的状况而提出的，其目的在于提供一种能够适应网络情况的变化、降低误报率和漏报率的基于动态加载机制的告警系统及告警方法。

为此，本公开的第一方面提供了基于动态加载机制的告警系统，是基于网络流量数据进行告警的告警系统，包括获取模块、基于消息队列的消息集群服务器、第一处理模块、告警引擎、黑名单引擎、白名单引擎、动态加载机制、监控模块以及资产管理模块；所述获取模块配置为采集所述网络流量数据并进行解析以获得协议数据，创建包括所述协议数据的协议消息并将所述协议消息发送至所述消息集群服务器；所述消息集群服务器配置为通过分布式方式部署，用于接收所述协议消息、存储所述协议消息、以及为所述第一处理模块提供所述协议消息中的协议数据；所述第一处理模块配置为从所述消息集群服务器读取所述协议消息中的协议数据，通过所述告警引擎、所述黑名单引擎和所述白名单引擎对所述协议数据进行检测以获取包括所述协议数据和检测信息的分析数据并将所述分析数据关联资产信息和地理信息，其中，若存在所述检测信息，所述检测信息包括告警信息、黑名单标签和白名单标签中的至少一种；所述告警引擎包括规则引擎、情报引擎、以及攻击来源引擎，所述规则引擎配置为利用监控规则对所述协议数据进行规则匹配以获取第一告警信息，所述情报引擎配置为利用情报信息对所述协议数据进行情报匹配以获取第二告警信息，所述攻击来源引擎配置为将所述协议数据的来源地址与攻击来源进行匹配以获取第三告警信息，其中，所述告警信息包括所述第一告警信息、所述第二告警信息和所述第三告警信息，所述监控规则包括第一监控规则和第二监控规则，所述第一监控规则为启动所述规则引擎前设定好的监控规则，所述第一监控规则在所述规则引擎启动时自动加载，所述第二监控规则为启动所述规则引擎后用户通过可视化界面进行自定义的监控规则，所述第二监控规则通过所述动态加载机制进行加载；所述黑名单引擎配置为基于黑名单对所述协议数据进行标记以获取所述黑名单标签；所述白名单引擎配置为基于白名单对所述协议数据进行标记以获取所述白名单标签；所述动态加载机制配置为监测规则信息的变化，并重新加载规则信息，其中，所述规则信息包括所述监控规则、所述白名单、所述黑名单和所述攻击来源；所述监控模块配置为获取所述分析数据、以及所述分析数据关联的资产信息和地理信息并进行输出，所述监控模块还配置为若所述检测信息中存在所述告警信息和所述白名单标签，则判断存在误报的协议数据并突出该检测信息对应的分析数据以识别被误报的协议数据，若所述检测信息中不存在所述告警信息且存在所述黑名单标签，则判断存在漏报的协议数据并突出该检测信息对应的分析数据以识别被漏报的协议数据；所述资产管理模块配置为管理所述资产信息。在这种情况下，能够适应网络情况的变化，进而降低漏报率，另外，基于消息集群服务器对协议数据进行管理，能够降低耦合性并支持分布式部署，进而提高大数据的处理能力，降低丢包率，另外，基于告警信息、黑名单标签和白名单标签能够识别被误报或漏报的协议数据，能够进一步降低误报率或漏报率。