[发明专利]网络攻击源的识别和封堵方法、系统、装置及介质

说明书

本发明公开了一种网络攻击源的识别和封堵方法、系统、装置及介质，方法包括：接收公网路由出口镜像流量数据；对流量数据进行逐层解码，得到流量数据元；对流量数据元进行安全检测，得到检测结果，并对流量数据元进行恶意文件分析，得到分析结果；利用预先设置的威胁情报信息和基础数据信息对检测结果、分析结果和流量数据元进行大数据分析，对攻击源进行识别，基础数据至少包括网络基础信息、业务基础数据和白名单；对识别出的真实攻击源进行封堵；本发明解决了现有技术中有时会将正常的网络访问判断成造成网络安全问题的攻击源，不能对真实的攻击源进行封堵的技术问题。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种网络攻击源的识别和封堵方法、系统、装置及介质。

背景技术

随着网络技术的被广泛应用，网络安全问题也逐渐被人们重视，人们常用的网络安全的威胁管理解决办法是部署一些网络安全厂商提供的安全设备及软件，通过传统的基于规则的检测技术，检测攻击告警、漏洞利用、病毒木马、网络攻击情况，预警网络安全威胁，并通过防火墙策略方式进行攻击源阻断。

但是，不同的网络安全厂商对网络安全问题的监测及防护手段不相同，有时会将正常的网络访问判断成造成网络安全问题的攻击源，不能对真实的攻击源进行封堵。

发明内容

本发明的主要目的在于提供一种网络攻击源的识别和封堵方法、系统、装置及介质，旨在解决现有技术中有时会将正常的网络访问判断成造成网络安全问题的攻击源，不能对真实的攻击源进行封堵的技术问题。

为实现上述目的，本发明第一方面提供一种网络攻击源的识别和封堵方法，包括：接收公网路由出口镜像流量数据；对所述流量数据进行逐层解码，得到流量数据元；对所述流量数据元进行安全检测，得到检测结果，并对所述流量数据元进行恶意文件分析，得到分析结果；利用预先设置的威胁情报信息和基础数据信息对所述检测结果、所述分析结果和所述流量数据元进行大数据分析；对识别出的真实攻击源进行封堵。

其中，所述对攻击源进行识别的方法包括：输出攻击告警，并呈现实时高危攻击源、长期渗透攻击源、攻击成功事件，并对攻击成功事件进行分析，得到攻击成功事件的完成供给链，根据所述完成供给链且向互联网出口路由器发送黑洞路由；将互联网出口路由器回复给真实攻击源的数据包进行丢弃，以实现真实攻击源的识别和封堵。

其中，所述方法还包括：所述对所述流量数据元进行安全检测时，将所述流量数据存储至本地硬盘。

其中，所述对所述流量数据元进行恶意文件分析，得到分析结果包括：使用沙箱检测引擎对文件进行分析检测，得到分析结果，并通过动态虚拟执行将所述检测结果传输至大数据平台，以进行所述大数据分析。

其中，所述大数据分析的方法包括：判断所述检测结果或所述分析结果是否在白名单内，若否，则所述流量数据元是真实攻击源；通过所述检测结果或所述分析结果对攻击源进行扫描探测、攻击有效载荷、攻击成功后习惯操作，生成真实攻击源规则，通过所述真实攻击源规则判断所述流量数据元是否为真实攻击源。

其中，所述白名单的生成方法包括：分析业务流量载荷，以明确业务的业务特征；根据所述业务特征判断所述业务是否为正常业务，若是，则将所述业务设定为白名单，以进行大数据分析。

其中，对所述真实攻击源进行封堵的方法包括：根据所述真实攻击源规则，并根据所述白名单对攻击源进行匹配，以识别攻击源；当识别出攻击源使用带有明显商业或开源类扫描软件进行网络或漏洞探测时，封禁攻击源第一时长；当识别出攻击源尝试漏洞利用类攻击时，封禁攻击源第二时长；当识别出攻击源成功利用漏洞时，永久封禁攻击源的IP并同时封禁被攻击的目的IP，在所述目的IP完成漏扫修复后解封所述目的IP。