CN112417434A - 一种结合ueba机制的程序白名单防护方法 - Google Patents

一种结合ueba机制的程序白名单防护方法 Download PDF

Info

Publication number
CN112417434A
CN112417434A CN202011105378.XA CN202011105378A CN112417434A CN 112417434 A CN112417434 A CN 112417434A CN 202011105378 A CN202011105378 A CN 202011105378A CN 112417434 A CN112417434 A CN 112417434A
Authority
CN
China
Prior art keywords
layer
data
white list
ueba
processing
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Pending
Application number
CN202011105378.XA
Other languages
English (en)
Inventor
阮安邦
陈凯
魏明
陈旭明
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Beijing Octa Innovations Information Technology Co Ltd
Original Assignee
Beijing Octa Innovations Information Technology Co Ltd
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Beijing Octa Innovations Information Technology Co Ltd filed Critical Beijing Octa Innovations Information Technology Co Ltd
Priority to CN202011105378.XA priority Critical patent/CN112417434A/zh
Publication of CN112417434A publication Critical patent/CN112417434A/zh
Pending legal-status Critical Current

Links

Images

Classifications

    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/51Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems at application loading time, e.g. accepting, rejecting, starting or inhibiting executable software based on integrity or source reliability
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55Detecting local intrusion or implementing counter-measures
    • G06F21/56Computer malware detection or handling, e.g. anti-virus arrangements
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06FELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/60Protecting data
    • G06F21/62Protecting access to data via a platform, e.g. using keys or access control rules
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06NCOMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00Computing arrangements based on biological models
    • G06N3/02Neural networks
    • G06N3/04Architecture, e.g. interconnection topology
    • G06N3/045Combinations of networks
    • GPHYSICS
    • G06COMPUTING; CALCULATING OR COUNTING
    • G06NCOMPUTING ARRANGEMENTS BASED ON SPECIFIC COMPUTATIONAL MODELS
    • G06N3/00Computing arrangements based on biological models
    • G06N3/02Neural networks
    • G06N3/08Learning methods

Landscapes

  • Engineering & Computer Science (AREA)
  • Theoretical Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Physics & Mathematics (AREA)
  • Software Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • General Health & Medical Sciences (AREA)
  • Health & Medical Sciences (AREA)
  • Computer Hardware Design (AREA)
  • Biomedical Technology (AREA)
  • Molecular Biology (AREA)
  • Computing Systems (AREA)
  • Evolutionary Computation (AREA)
  • Data Mining & Analysis (AREA)
  • Mathematical Physics (AREA)
  • Computational Linguistics (AREA)
  • Biophysics (AREA)
  • Artificial Intelligence (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Bioethics (AREA)
  • Virology (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种结合UEBA机制的程序白名单防护方法,其特征在于,具体步骤如下:建立多层神经网络层,所述神经网络层包括数据获取层、数据初步处理层、数据深度处理层、安全层、学习层和保护层;获取数据:通过数据获取层获取是数据信息;预处理数据:通过数据处理层对数据进行分类处理;深度处理数据:将分类好的数据进入到队列中按照相关优先级的顺序送入深度处理层处理,深度处理层处理后,形成相关的白名单基线对应关系;数据解码:通过安全层中的协议解码引擎对协议进行深度解码处理;白名单建模:学习层采用自学习模块学习,形成安全白名单;危险处理:通过保护层切断网络连接,同时进行告警。本发明可以基于白名单进行安全防护。

Description

一种结合UEBA机制的程序白名单防护方法
技术领域
本发明涉及网络信息安全技术领域,具体为一种结合UEBA机制的程序白名单防护方法。
背景技术
随着社会的发展和科技的进步,人们对信息化和工业化的建设进程加速,越来越多的计算机和网络技术应用于各种不同的***,使得***与网络高度连接,网络在推动工业自动化和信息化快速发展的同时也带来了诸如木马、病毒、网络攻击等安全问题,所谓的白名单是一种以基于多个协议作为主要传输协议的集合,以减少网络攻击作为其目标;
所谓白名单,其概念与黑名单相对,如果设立了白名单,则在白名单中的用户(或IP地址、IP包、邮件等)会优先通过,不会被当成垃圾邮件拒收,安全性和快捷性都大大提高。将其含义扩展一步,那么凡有黑名单功能的应用,就会有白名单功能与其对应,为白名单可以提高用户工作效率,并保持***以最佳性能运作,白名单是设置能通过的用户,白名单以外的用户都不能通过,白名单比黑名单限制的用户要更多一些,例如,帮助台支持人员可能会收到用户对***运行缓慢或不可预知行为的投诉,在经过调查后,工作人员会发现间谍软件已经悄悄进入端点,正在吞噬内存和处理器功耗。这是使用白名单检测未经授权程序并警告工作人员另一个用例,而不是在默认情况下完全阻止,对于正在运行的应用、工具和进程方面,白名单可以提供对***的全面可视性,如果相同的未经授权的程序试图在多个端点运行,该数据可用于追踪攻击者的路径,白名单可以帮助抵御高级内存注入攻击;该技术提供了功能来验证内存中运行的所有经批准的进程,并确保这些进程在运行时没有被修改,从而抵御高级内存漏洞利用,高级攻击通常涉及操纵合法应用。当这种高级攻击涉及内存违规、可疑进程行为、配置更改或操作***篡改时,白名单产品可以识别并发出警报,基于白名单分析进行安全防控如今已经被越来越多人们作为提高***安全的一种方式应用在各种***中。
在实际生产环境中,对安全攻击缺乏前期设计和有效抵御方法,***长期运行后会积累大量的安全漏洞;这些缺陷使工控***面对网络安全攻击时无法有效防止,仅仅依靠杀毒软件进行防护,防护的效果差,且属于被动防护,杀毒软件更新的速度通常滞后于新病毒的产生速度,使得损失造成后才能发现,容易造成无法弥补的损失。
发明内容
本发明的目的在于提供一种结合UEBA机制的程序白名单防护方法,以解决上述背景技术中提出的问题。
为实现上述目的,本发明提供如下技术方案:一种结合UEBA机制的程序白名单防护方法,具体步骤如下:
(1)建立多层神经网络层,所述神经网络层包括数据获取层、数据初步处理层、数据深度处理层、安全层、学习层和保护层。
(2)获取数据:通过数据获取层获取是数据信息;
(3)预处理数据:通过数据处理层对数据进行分类处理;
(4)深度处理数据:将步骤(3)中分类好的数据进入到队列中按照相关优先级的顺序送入数据深度处理层处理,深度处理层处理后,形成相关的基线对应关系;
(5)数据解码:数据处理后送入到安全层,通过安全层中的协议解码引擎对协议进行深度解码处理;
(6)白名单建模:解码后的数据送入到学习层,学习层采用自学习模块学习,后续的解码的数据与自学习模块的基线进行比对分析,形成安全白名单;
(7)危险处理:如果步骤(6)发现其中是否存在不安全的通信行为,通过保护层对切断网络连接,同时对异常进行告警。
优选的,所述步骤(4)中的深度处理是基于对多种协议的通信报文进行深度解析,处理分析网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒的传播并实时报警;
优选的,所述的协议包括Modbus、TCP、COTP、OPC、Siemens、S7、DNP3、IEC60870-5-104、IEC、61850-MMS、61850-SV。
优选的,所述步骤(2)中通过采用被动检测的方式从网络中采集数据,并进行数据包的解析,智能地与***内置的协议特征、通过对协议分布和流量信息的匹配,形成白名单行为基线。
优选的,通过白名单行为基线自学习梳理形成拓扑结构,建立白名单模型,对基线外异行为告警,实现对现场安全事件的告警与响应,保障***的安全稳定运行。
优选的,对***的配置文件进行解析,将功能代码与具体业务操作进行关联,实现业务安全审计。
优选的,所述步骤(7)中对协议报文进行检测和告警。
优选的,对操作人员下发的协议报文产生的非法操作进行检测和告警。
优选的,对资产新增、路径异常、未知协议、越权操作、关键控制行为进行检测和告警。
优选的,所述步骤(3)的数据处理层包括数据采集模块和协议解码模块。
与现有技术相比,本发明的有益效果是:
本发明本发明建立包括数据获取层、数据初步处理层、数据深度处理层、安全层、学习层和保护层多层神经网络层可以对数据进行不同的处理;通过数据获取层获取是数据信息;通过数据处理层对数据进行分类处理;深度处理层处理,形成相关的基线对应关系,通过安全层中的协议解码引擎对协议进行深度解码处理;学习层采用自学习模块学习,智能地与***内置的协议特征、通过对协议分布和流量信息的匹配,形成白名单行为基线,形成白名单模型;通过保护层实时检测网络攻击、用户违规操作、非法设备接入等非白名单行为进行实时报警,同时详实记录一切网络通信行为,包括指令级的协议通信记录,为***的安全提供基础。
附图说明
图1为本发明一种结合UEBA机制的程序白名单防护方法步骤框图;
具体实施方式
下面将结合本发明实施例中的附图,对本发明实施例中的技术方案进行清楚、完整地描述,显然,所描述的实施例仅仅是本发明一部分实施例,而不是全部的实施例。基于本发明中的实施例,本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例,都属于本发明保护的范围。
请参阅图1,本发明提供一种技术方案:一种结合UEBA机制的程序白名单防护方法,具体步骤如下:
(1)建立多层神经网络层,所述神经网络层包括数据获取层、数据初步处理层、数据深度处理层、安全层、学习层和保护层。
(2)获取数据:通过数据获取层获取是数据信息;
(3)预处理数据:通过数据处理层对数据进行分类处理;
(4)深度处理数据:将步骤(3)中分类好的数据进入到队列中按照相关优先级的顺序送入深度处理层处理,深度处理层处理后,形成相关的基线对应关系;
(5)数据解码:数据处理后送入到安全层,通过安全层中的协议解码引擎对协议进行深度解码处理;
(6)白名单建模:解码后的数据送入到学习层,学习层采用自学习模块学习,后续的解码的数据与自学习模块的基线进行比对分析,形成安全白名单;
(7)危险处理:如果步骤(6)发现其中是否存在不安全的通信行为,通过保护层对切断网络连接,同时对异常进行告警。
所述步骤(4)中的深度处理是基于对多种协议的通信报文进行深度解析,处理分析网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒的传播并实时报警;
所述的协议包括Modbus、TCP、COTP、OPC、Siemens、S7、DNP3、IEC60870-5-104、IEC、61850-MMS、61850-SV。
所述步骤(2)中通过采用被动检测的方式从网络中采集数据,并进行数据包的解析,智能地与***内置的协议特征、通过对协议分布和流量信息的匹配,形成白名单行为基线。
通过白名单行为基线自学习梳理现场资产拓扑,建立白名单模型,对基线外异行为告警,实现对现场安全事件的告警与响应,保障***的安全稳定运行。
对***的配置文件进行解析,将功能代码与具体业务操作进行关联,实现业务安全审计。
所述步骤(7)中对协议报文进行检测和告警。
对操作人员下发的协议报文产生的非法操作进行检测和告警。
对路径异常、未知协议、越权操作、关键控制行为进行检测和告警。
所述步骤(3)的数据处理层包括数据采集模块和协议解码模块。
工作原理:本发明使用时,建立包括数据获取层、数据初步处理层、数据深度处理层、安全层、学习层和保护层多层神经网络层可以对数据进行不同的处理;通过数据获取层获取是数据信息;通过数据处理层对数据进行分类处理;深度处理层处理,形成相关的基线对应关系,通过安全层中的协议解码引擎对协议进行深度解码处理;学习层采用自学习模块学习,智能地与***内置的协议特征、通过对协议分布和流量信息的匹配,形成白名单行为基线,形成白名单模型;通过保护层切断网络连接,同时对异常进行告警,保障***的安全稳定运行,保障***的安全稳定运行。
需要说明的是,在本文中,诸如第一和第二等之类的关系术语仅仅用来将一个实体或者操作与另一个实体或操作区分开来,而不一定要求或者暗示这些实体或操作之间存在任何这种实际的关系或者顺序。而且,术语“包括”、“包含”或者其任何其他变体意在涵盖非排他性的包含,从而使得包括一系列要素的过程、方法、物品或者设备不仅包括那些要素,而且还包括没有明确列出的其他要素,或者是还包括为这种过程、方法、物品或者设备所固有的要素。
尽管已经示出和描述了本发明的实施例,对于本领域的普通技术人员而言,可以理解在不脱离本发明的原理和精神的情况下可以对这些实施例进行多种变化、修改、替换和变型,本发明的范围由所附权利要求及其等同物限定。

Claims (10)

1.一种结合UEBA机制的程序白名单防护方法,其特征在于,具体步骤如下:
(1)建立多层神经网络层,所述神经网络层包括数据获取层、数据初步处理层、数据深度处理层、安全层、学习层和保护层;
(2)获取数据:通过数据获取层获取是数据信息;
(3)预处理数据:通过数据处理层对数据进行分类处理;
(4)深度处理数据:将步骤(3)中分类好的数据进入到队列中按照相关优先级的顺序送入深度处理层处理,深度处理层处理后,形成相关的基线对应关系;
(5)数据解码:数据处理后送入到安全层,通过安全层中的协议解码引擎对协议进行深度解码处理;
(6)白名单建模:解码后的数据送入到学习层,学习层采用自学习模块学习,后续的解码的数据与自学习模块的基线进行比对分析,形成安全白名单;
(7)危险处理:如果步骤(6)发现其中是否存在不安全的通信行为,通过保护层切断网络连接,同时对异常进行告警。
2.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:所述步骤(4)中的深度处理是基于对多种协议的通信报文进行深度解析,处理分析网络攻击、用户误操作、用户违规操作、非法设备接入以及蠕虫、病毒的传播并实时报警。
3.根据权利要求2所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:所述的协议包括Modbus、TCP、COTP、OPC、Siemens、S7、DNP3、IEC60870-5-104、IEC、61850-MMS、61850-SV。
4.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:所述步骤(2)中通过采用被动检测的方式从网络中采集数据,并进行数据包的解析,智能地与***内置的协议特征、通过对协议分布和流量信息的匹配,形成白名单行为基线。
5.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:通过白名单基线自学习梳理数据,建立白名单模型,对基线外异行为告警,实现对非白名单事件的告警与响应,保障***的安全稳定运行。
6.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:对配置文件进行解析,将功能代码与具体业务操作进行关联,实现安全检测。
7.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:对协议报文进行检测和告警。
8.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:对操作人员下发的协议报文产生的非法操作进行检测和告警。
9.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:对路径异常、未知协议、越权操作、关键控制行为进行检测和告警。
10.根据权利要求1所述的一种结合UEBA机制的程序白名单防护方法,其特征在于:所述步骤(3)的数据处理层包括数据采集模块和协议解码模块。
CN202011105378.XA 2020-10-15 2020-10-15 一种结合ueba机制的程序白名单防护方法 Pending CN112417434A (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202011105378.XA CN112417434A (zh) 2020-10-15 2020-10-15 一种结合ueba机制的程序白名单防护方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202011105378.XA CN112417434A (zh) 2020-10-15 2020-10-15 一种结合ueba机制的程序白名单防护方法

Publications (1)

Publication Number Publication Date
CN112417434A true CN112417434A (zh) 2021-02-26

Family

ID=74854608

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202011105378.XA Pending CN112417434A (zh) 2020-10-15 2020-10-15 一种结合ueba机制的程序白名单防护方法

Country Status (1)

Country Link
CN (1) CN112417434A (zh)

Cited By (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116318993A (zh) * 2023-03-16 2023-06-23 北京宏志国际科技有限公司 一种物联网产品防御网络有害指令攻击的方法及***

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109474607A (zh) * 2018-12-06 2019-03-15 连云港杰瑞深软科技有限公司 一种工业控制网络安全保护监测***
CN111709034A (zh) * 2020-05-29 2020-09-25 成都金隼智安科技有限公司 基于机器学习的工控环境智能安全检测***与方法
WO2022198580A1 (zh) * 2021-03-25 2022-09-29 西门子股份公司 一种工控网络的异常检测方法及装置

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN109474607A (zh) * 2018-12-06 2019-03-15 连云港杰瑞深软科技有限公司 一种工业控制网络安全保护监测***
CN111709034A (zh) * 2020-05-29 2020-09-25 成都金隼智安科技有限公司 基于机器学习的工控环境智能安全检测***与方法
WO2022198580A1 (zh) * 2021-03-25 2022-09-29 西门子股份公司 一种工控网络的异常检测方法及装置

Cited By (2)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN116318993A (zh) * 2023-03-16 2023-06-23 北京宏志国际科技有限公司 一种物联网产品防御网络有害指令攻击的方法及***
CN116318993B (zh) * 2023-03-16 2023-10-27 北京宏志国际科技有限公司 一种物联网产品防御网络有害指令攻击的方法及***

Similar Documents

Publication Publication Date Title
Li Using genetic algorithm for network intrusion detection
US8621629B2 (en) System, method, and computer software code for detecting a computer network intrusion in an infrastructure element of a high value target
Sandhu et al. A survey of intrusion detection & prevention techniques
CN111935061B (zh) 一种工控主机的网络安全防护实现方法及工控主机
Thapa et al. The role of intrusion detection/prevention systems in modern computer networks: A review
CN214306527U (zh) 一种燃气管网调度监控网络安全***
CN111786986B (zh) 一种数控***网络入侵防范***及方法
Alruwaili Intrusion detection and prevention in Industrial IoT: A technological survey
CN115314286A (zh) 一种安全保障***
Eid et al. IIoT network intrusion detection using machine learning
CN112417434A (zh) 一种结合ueba机制的程序白名单防护方法
Ioniţă et al. An agent-based approach for building an intrusion detection system
Agrawal et al. A SURVEY ON ATTACKS AND APPROACHES OF INTRUSION DETECTION SYSTEMS.
Farhaoui et al. Performance Assessment of Tools of the intrusionDetection/Prevention Systems
Rastogi et al. Network anomalies detection using statistical technique: a chi-square approach
CN114374528A (zh) 一种数据安全检测方法、装置、电子设备及介质
CN111404917B (zh) 一种基于工控仿真设备的威胁情报分析检测方法及***
Ali et al. Intrusion detection and prevention against cyber attacks for an energy management system
Kishore et al. Intrusion Detection System a Need
CN112565246A (zh) 一种基于人工智能的网络防攻击***及其方法
Sandhu et al. A study of the novel approaches used in intrusion detection and prevention systems
Zhou et al. Behavior based anomaly detection model in SCADA system
Yılmaz et al. ICS Cyber attack analysis and a new diagnosis approach
Ali et al. Comparative study of traditional and next generation IPS
Hong et al. Danger theory of immune systems and intrusion detection systems

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
RJ01 Rejection of invention patent application after publication
RJ01 Rejection of invention patent application after publication

Application publication date: 20210226