[发明专利]网络攻击源的识别和封堵方法、系统、装置及介质

权利要求书

1.一种网络攻击源的识别和封堵方法，其特征在于，包括：

接收公网路由出口镜像流量数据；

对所述流量数据进行逐层解码，得到流量数据元；

对所述流量数据元进行安全检测，得到检测结果，并对所述流量数据元进行恶意文件分析，得到分析结果；

利用预先设置的威胁情报信息和基础数据信息对所述检测结果、所述分析结果和所述流量数据元进行大数据分析，对攻击源进行识别，所述基础数据至少包括网络基础信息、业务基础数据和白名单；

对识别出的真实攻击源进行封堵；

所述大数据分析的方法包括：

判断所述检测结果或所述分析结果是否在白名单内，若否，则所述流量数据元是真实攻击源；

通过所述检测结果或所述分析结果对攻击源进行扫描探测、攻击有效载荷、攻击成功后习惯操作，生成真实攻击源规则，通过所述真实攻击源规则判断所述流量数据元是否为真实攻击源。

2.根据权利要求1所述的网络攻击源的识别和封堵方法，其特征在于，

所述对攻击源进行识别的方法包括：

输出攻击告警，并呈现实时高危攻击源、长期渗透攻击源、攻击成功事件，并对攻击成功事件进行分析，得到攻击成功事件的完成供给链，根据所述完成供给链且向互联网出口路由器发送黑洞路由；

将互联网出口路由器回复给真实攻击源的数据包进行丢弃，以实现真实攻击源的识别和封堵。

3.根据权利要求1所述的网络攻击源的识别和封堵方法，其特征在于，

所述方法还包括：

所述对所述流量数据元进行安全检测时，将所述流量数据存储至本地硬盘。

4.根据权利要求1所述的网络攻击源的识别和封堵方法，其特征在于，

所述对所述流量数据元进行恶意文件分析，得到分析结果包括：

使用沙箱检测引擎对文件进行分析检测，得到分析结果，并通过动态虚拟执行将所述检测结果传输至大数据平台，以进行所述大数据分析。

5.根据权利要求1所述的网络攻击源的识别和封堵方法，其特征在于，

所述白名单的生成方法包括：

分析业务流量载荷，以明确业务的业务特征；

根据所述业务特征判断所述业务是否为正常业务，若是，则将所述业务设定为白名单，以进行大数据分析。

6.根据权利要求1所述的网络攻击源的识别和封堵方法，其特征在于，

对所述真实攻击源进行封堵的方法包括：

根据所述真实攻击源规则，并根据所述白名单对攻击源进行匹配，以识别攻击源；

当识别出攻击源使用带有明显商业或开源类扫描软件进行网络或漏洞探测时，封禁攻击源第一时长；当识别出攻击源尝试漏洞利用类攻击时，封禁攻击源第二时长；当识别出攻击源成功利用漏洞时，永久封禁攻击源的IP并同时封禁被攻击的目的IP，在所述目的IP完成漏扫修复后解封所述目的IP。

7.一种网络攻击源的识别和封堵系统，其特征在于，包括：

流量接收模块，用于接收公网路由出口镜像流量数据；

流量解码模块，用于对所述流量数据进行逐层解码，得到流量数据元；

流量处理模块，用于对所述流量数据元进行安全检测，得到检测结果，并对所述流量数据元进行恶意文件分析，得到分析结果；

结果分析模块，用于利用预先设置的威胁情报信息和基础数据信息对所述检测结果、所述分析结果和所述流量数据元进行大数据分析；

封堵模块，用于对识别出的真实攻击源进行封堵；

结果分析模块包括：白名单确定单元和真实攻击源规则生成单元；白名单确定单元用于判断检测结果或分析结果是否在白名单内，若否，则流量数据元是真实攻击源；真实攻击源规则生成单元用于通过检测结果或分析结果对攻击源进行扫描探测、攻击有效载荷、攻击成功后习惯操作，生成真实攻击源规则，通过真实攻击源规则判断流量数据元是否为真实攻击源。