[发明专利]一种网络流量的分析系统及其方法

说明书

本发明提供一种网络流量的分析系统及其方法，系统包括：网络函数记录模块，采用调测函数挂钩多个网络访问函数，记录调用网络访问函数的进程的进程信息，进程信息包括：进程标识符、socket溯源信息和与该socket相关联的IP地址；进程记录模块，采用调测函数挂钩进程函数，进程函数获取进程树列表；请求处理模块，得到进程号查询请求对应的进程信息；遍历模块，遍历到祖宗进程；追溯模块，于祖宗进程的进程信息对应于外部IP时，将外部IP作为访问IP地址；于祖宗进程的进程信息对应于内部IP时，于进程树列表中查到第四进程信息对应的来源进程，将来源进程的访问IP作为访问IP地址，其中，来源进程调用了网络访问函数。实现了分析攻击者所有进出服务器的流量。

技术领域

本发明涉及通信技术领域，尤其涉及一种网络流量的分析系统及其方法。

背景技术

网络流量监控是一种广泛应用的部署于linux服务器上的安全监测机制。

目前在linux上有多种技术方案可以对网络流量进行监控、分析。最常见是suricata以及tcpdump，以及基于以上两种改造的各种工具。Suricata项目和代码由开放信息安全基金会(OISF)拥有和支持，OISF是一个非盈利基金会，致力于确保Suricata作为一个开源项目的开发和持续成功。tcpdump是一个用于截取网络分组，并输出分组内容的工具。凭借强大的功能和灵活的截取策略，使其成为类UNIX系统下用于网络分析和问题排查的首选工具。

然而上述网络流量监控技术方案都存在一个相同的弊端，即只能从外部观察流入主机的网络访问，以及从内向外发起的网络访问，而两者之间的关联并不知晓。

如图1所示，上述现有技术只能感知到IPa，IPb，IPc访问了操作系统；并且感知到操作系统向外发起了访问，访问了IPd、IPe、IPf，但是无法明确其中的关系，这样就无法感知到攻击者的整个攻击流程。

发明内容

针对现有技术中存在的上述问题，现提供一种网络流量的分析系统及其方法。

具体技术方案如下：

一种网络流量的分析系统，其中，

网络函数记录模块，采用调测函数挂钩多个网络访问函数，调测函数记录每个调用网络访问函数的进程对应的进程信息，并将调用网络访问函数的进程对应的进程信息记为第一进程信息，第一进程信息包括：进程标识符、socket溯源信息和与该socket相关联的IP地址中的至少一个；

进程记录模块，采用调测函数挂钩进程函数，进程函数获取进程树列表，进程树列表包括多个进程树，每个进程树包括多个进程和每个进程的进程信息，将进程树中的进程的进程信息记为第二进程信息，第二进程信息包括进程标识符；

请求处理模块，当获取到进程号查询请求时，对进程号查询请求进行处理，得到进程号查询请求对应的进程信息，并将进程号查询请求对应的进程信息记为第三进程信息，其中，第三进程信息对应的进程调用了网络访问函数；

遍历模块，在进程树列表中遍历到对应于第三进程信息的祖宗进程，将祖宗进程的进程信息记为第四进程信息，其中，祖宗进程调用了网络访问函数；

追溯模块，于第四进程信息对应于外部IP时，将外部IP作为访问者所在设备的IP地址；于第四进程信息对应于内部IP时，于进程树列表中查到第四进程信息对应的来源进程，将来源进程的访问IP作为访问者所在设备的IP地址，其中，来源进程调用了网络访问函数。

优选的，网络流量的分析系统，其中，追溯模块包括判断单元和解析单元，判断单元和解析单元连接：

判断单元，用于判断第四进程信息对应的与该socket相关联的IP地址是否为外部IP地址；

若是，将该socket相关联的IP地址作为访问者所在设备的IP地址；