基于指令关联的固网流量筛选与多维监测方法、系统与流程

本发明涉及网络安全筛选监测，尤其适用于基于指令关联的固网流量筛选与多维监测方法、系统。

背景技术：

1、网络攻击手段日益复杂化和隐蔽化，特别是加密流量攻击、dns隧道攻击、fastflux等新型威胁的涌现，使得传统固网安全监测模式已无法满足实战需求。而依据国家级建设要求，须在省网/城域网已有固网覆盖基础上，面向重点省市实现对现有采集节点的流量全覆盖。须提升针对ip地址、域名、攻击特征等对象的流量动态筛选能力，使筛选输出的流量占比不少于省网/城域网总带宽的20%，并对筛选输出的流量开展精细化监测分析，支持按需将pcap文件回传至部侧。

2、现有技术方案中，如基于dpi的全流量分光采集与分析方案，通过在网络关键节点部署分光器，复制全部流量至旁路分析集群，虽能获取完整数据包，但设备投资巨大，计算和存储资源消耗严重，分析效率低下，无法根据安全需求实时、动态、精准地引导和筛选特定目标的流量，缺乏灵活性与资源高效利用能力。

3、基于netflow/ipfix的流量抽样统计分析方案利用网络设备采样生成的流元数据进行监控，虽部署简单、负载低，但抽样比过低导致流量覆盖严重不足，攻击极易被漏检，且数据信息过少，无法进行有效的深度攻击研判和取证溯源。

4、面向重点对象的高位流量动态牵引与采集技术通过bgp flowspec协议实现对重点对象的高位流量动态牵引，并借助硬件加速完成复杂规则的线速匹配，但其在精细化监测、协同机制及多场景适配方面存在显著不足。如缺乏精细化监测指令，筛选与监测之间无关联机制；仅支持基础流量报文特征匹配，缺乏对加密流量及dns流量的专项监测能力；pcap仅支持实时采集，无回溯功能；未明确支持大规模并发指令；筛选流量直接输出，无法适配多用户场景下的差异化需求。

技术实现思路

1、本发明目的在于提供一种基于指令关联的固网流量筛选与多维监测方法、系统，用于解决当前固网流量安全监测中流量筛选与监测机制割裂、加密流量和dns流量专项监测能力缺失、pcap文件无法按需回溯等导致的整体监测维度单一的问题。

2、为实现上述目的，本发明所述的基于指令关联的固网流量精细化筛选与多维监测方法，包括以下步骤：

3、s1，通过筛选指令id和用户id关联筛选指令和监测指令；

4、s2，根据监测指令，确定对应的筛选指令id和用户id；将满足对应筛选指令id的筛选流量通过用户id的输出通道实时分发至流量监测引擎；

5、s3，将筛选流量保存为pcap文件，并同步提取筛选流量的元数据构建索引；所述元数据包括筛选指令id、用户id、五元组、时间戳；

6、s4，根据pcap查询指令快速检索索引，提取对应的pcap文件通过sftp上报。

7、进一步地，所述流量监测引擎包括netflow子监测引擎、协议元数据子监测引擎、恶意报文子监测引擎、恶意资源子监测引擎、恶意文件子监测引擎、加密流量子监测引擎、dns子监测引擎。

8、进一步地，所述监测指令包含监测类型字段，用于确定执行监测指令的子监测引擎。

9、进一步地，所述监测类型字段支持并列多项，同时触发多个子监测引擎执行监测指令。

10、进一步地，所述加密流量子监测引擎提取加密流量特征，包括ja3、ja3s、ja4或ja4s指纹，所述加密流量特征与监测指令比对命中后生成加密流量安全监测报送信息。

11、进一步地，所述加密流量子监测引擎还包括解析加密协议x.509证书计算证书md5，提取证书主题、签发者、有效期。

12、进一步地，所述加密流量子监测引擎还包括对ssh流量通过提取服务端公钥并计算md5。

13、进一步地，所述dns子监测引擎支持dns隧道、fast flux、域名前置的dns攻击的检测；包括解析dns查询报文，提取查询域名；解析dns响应报文，提取解析结果ip；识别dns隧道特征；识别fast flux特征。

14、本发明所述的一种基于指令关联的固网流量精细化筛选与多维监测系统，包括指令平台、接口服务器、流量筛选与监测模块、pcap索引回溯模块和pcap存储服务器；

15、所述指令平台用于筛选指令、监测指令、pcap查询指令以及执行结果的人机交互与可视化；

16、所述接口服务器用于解析筛选指令、监测指令、pcap查询指令，根据预设的指令关联规则建立指令间的关联映射；提供pcap文件查询与索引管理功能；并对反馈结果进行标准化封装与按需上报；

17、所述流量筛选与监测模块包括bgp路由模块、流量筛选模块和流量监测引擎，通过bgp路由模块实现固网流量的动态牵引，由流量筛选模块对牵引后的流量镜像复制，基于筛选指令的筛选规则完成线速匹配；将命中筛选规则的流量依据用户id分配至对应的输出通道，实时分发至流量监测引擎，完成监测与分析；

18、所述pcap索引回溯模块实现按照预设规则命名pcap文件，建立pcap文件索引、响应pcap查询指令并提取对应的pcap文件。

19、本发明优点在于通过筛选指令id和用户id关联筛选指令和监测指令，将筛选出的流量通过关联的用户id输出通道直接送入流量监测引擎，解决了筛选与监测割裂的问题；本发明流量监测引擎整合了netflow子监测引擎、协议元数据子监测引擎、恶意报文子监测引擎、恶意资源子监测引擎、恶意文件子监测引擎、加密流量子监测引擎、dns子监测引擎，实现了通过一个指令平台进行全场景的监测。与现有技术相比，本发明解决了加密流量、dns专项监测能力，还支持pcap索引和按需查询回溯，能够为高级威胁分析、攻击溯源和应急处置提供高质量、可回溯的流量数据做支撑。

1.一种基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于，包括以下步骤：

2.根据权利要求1所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述流量监测引擎包括netflow子监测引擎、协议元数据子监测引擎、恶意报文子监测引擎、恶意资源子监测引擎、恶意文件子监测引擎、加密流量子监测引擎、dns子监测引擎。

3.根据权利要求2所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述监测指令包含监测类型字段，用于确定执行监测指令的子监测引擎。

4.根据权利要求3所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述监测类型字段支持并列多项，同时触发多个子监测引擎执行监测指令。

5.根据权利要求2所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述加密流量子监测引擎提取加密流量特征，包括ja3、ja3s、ja4或ja4s指纹，所述加密流量特征与监测指令比对命中后生成加密流量安全监测报送信息。

6.根据权利要求5所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述加密流量子监测引擎还包括解析加密协议x.509证书计算证书md5，提取证书主题、签发者、有效期。

7.根据权利要求5所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述加密流量子监测引擎还包括对ssh流量通过提取服务端公钥并计算md5。

8.根据权利要求5所述的基于指令关联的固网流量精细化筛选与多维监测方法，其特征在于：所述dns子监测引擎支持dns隧道、fast flux、域名前置的dns攻击的检测；包括解析dns查询报文，提取查询域名；解析dns响应报文，提取解析结果ip；识别dns隧道特征；识别fast flux特征。

9.一种基于指令关联的固网流量精细化筛选与多维监测系统，其特征在于：包括指令平台、接口服务器、流量筛选与监测模块、pcap索引回溯模块和pcap存储服务器；