一种基于流量规则特征的策略分析优化方法及系统与流程

技术特征：
1.一种基于流量规则特征的策略分析优化方法，其特征在于，包括：流量监测：在指定时间段内以旁路方式对镜像网络流量进行采集，获取网络流量的特征信息；特征匹配：基于攻击和恶意代码特征库以及规则特征库展开检测，对网络流量数据进行特征行为匹配，标记异常流量数据，并生成异常流量报警信息；策略生成：基于异常流量报警信息生成网络访问控制策略，用于发现异常流量并进行阻断；策略优化：基于预设规则和异常流量报警信息对访问控制策略进行分析和调整，筛选出包括不合规和空闲在内的问题策略；根据一段时间内流量峰值情况，调整访问控制策略的执行顺序以提高执行效率。2.根据权利要求1所述的基于流量规则特征的策略分析优化方法，其特征在于，所述流量监测中，对镜像网络流量进行采集的方法包括全流量采集、时间抽样采集、按比例抽样采集、五元组抽样采集和混合采集策略，所述全流量采集是对引接到的所有网络流量进行采集，所述时间抽样采集是对设定时间段内的网络流量进行抽样采集，所述按比例抽样采集是按照百分比对网络流量进行抽样采集，所述五元组抽样采集是对引接到的所有网络流量按照源ip、源端口、目的ip、目的端口和协议类型进行抽样采集，所述混合采集策略是按照时间抽样采集、按比例抽样采集、五元组抽样采集的多种抽样方式进行组合来完成抽样采集。3.根据权利要求1所述的基于流量规则特征的策略分析优化方法，其特征在于，所述流量监测中，获取的网络流量的特征信息包括ip五元组、流量阈值、上下行总流量、持续时间、访问频次、会话数量、会话报文数量、协议和敏感行为识别。4.根据权利要求1所述的基于流量规则特征的策略分析优化方法，其特征在于，所述特征匹配的方法包括协议参数特征匹配、固定位置特征码匹配、范围特征码匹配和复合特征码匹配，所述协议参数特征匹配是对各种协议的参数进行特征匹配，所述固定位置特征码匹配是在报文的特定位置进行特征码匹配，所述范围特征码匹配是对起始位置和结束位置之间的数据进行特征码匹配，所述复合特征码匹配是按照协议参数特征匹配、固定位置特征码匹配和范围特征码匹配的多种方式进行组合来完成特征匹配。5.根据权利要求4所述的基于流量规则特征的策略分析优化方法，其特征在于，所述特征匹配的方法还包括特定网络流量特征扫描、全流量的特定网络流量特征扫描和基于预置策略的特征扫描。6.一种基于流量规则特征的策略分析优化系统，基于权利要求1-5任一项所述的策略分析优化方法，其特征在于，包括：数据采集层，用于采用流量分析引擎进行数据包捕获，将符合采集规则配置的网络原始流量保存至本地和外置存储平台；数据分析层，用于对流量数据包进行特征解析，提取出特征信息；业务处理层，用于实现业务相关功能，提供自身管理和外部交互的功能；界面呈现层，用于提供可视化操作界面，基于业务处理层提供的安全服务能力为多种使用场景提供支撑。7.根据权利要求6所述的基于流量规则特征的策略分析优化系统，其特征在于，所述数
据采集层中，进行数据包捕获的方法包括网卡镜像流量抓取和pcap包抓取。8.根据权利要求6所述的基于流量规则特征的策略分析优化系统，其特征在于，所述数据分析层中，所述特征解析包括流量重组、数据预处理、会话还原、协议解析和文件还原。9.根据权利要求6所述的基于流量规则特征的策略分析优化系统，其特征在于，所述业务处理层中，所述自身管理和外部交互的功能包括特征规则库、策略分析规则、策略生成、策略优化、状态监控和分析报表。10.根据权利要求6所述的基于流量规则特征的策略分析优化系统，其特征在于，所述界面呈现层中，所述可视化操作界面展示的内容包括首页、告警管理、流量管理、规则管理、策略生成、策略分析优化和系统管理。

技术总结
本发明公开了一种基于流量规则特征的策略分析优化方法及系统，其中方法包括流量监测：在指定时间段内以旁路方式对镜像网络流量进行采集，获取网络流量的特征信息；特征匹配：基于攻击和恶意代码特征库以及规则特征库展开检测，对网络流量数据进行特征行为匹配，标记异常流量数据，并生成异常流量报警信息；策略生成：基于异常流量报警信息生成网络访问控制策略，用于发现异常流量并进行阻断；策略优化：基于预设规则和异常流量报警信息对访问控制策略进行分析和调整，筛选出包括不合规和空闲在内的问题策略。本发明可实现安全防护策略的智能配置、快速响应和持续优化，协助运维人员尽早发现威胁并快速配置防护策略，及时高效的应对各种网络安全威胁。的应对各种网络安全威胁。的应对各种网络安全威胁。


技术研发人员：陈飞 廖建华 冯中华 黄河 罗林 黄兴 苏怀方 汪文晓
受保护的技术使用者：中国电子科技集团公司第三十研究所
技术研发日：2022.07.15
技术公布日：2022/11/22