CN115987692A - 一种基于流量回溯分析的安全防护***及方法 - Google Patents

Abstract

本发明公开了一种基于流量回溯分析的安全防护***及方法，属于网络安全技术领域，包括回溯分析模块和安全分析模块；所述回溯分析模块用于对异常数据进行回溯分析，识别异常数据对应的异常特征，根据获得的异常特征动态选择对应的回溯方案，通过获得的回溯方案对异常数据进行回溯分析，获得对应的分析结果，将获得的分析结果和对应的异常特征整合为安全分析数据；所述安全分析模块用于对安全分析数据进行分析，设置若干个标准问题，将安全分析数据按照各标准问题对应的异常特征范围进行分类，获得各标准问题对应的分析结果数据集，对获得的分析结果数据集进行分析，获得对应的安全严重值，根据当前时间、安全严重值和分析结果数量生成坐标点。

Description

一种基于流量回溯分析的安全防护***及方法

技术领域

本发明属于网络安全技术领域，具体是一种基于流量回溯分析的安全防护***及方法。

背景技术

随着网络社会发展程度的不断提高，网络应用的日益普及，网络给人们带来便利的同时，也带来不可忽视的安全风险。异常的网络流量信息会给数据中心网络流量成本核算、网络故障排查造成技术困难及重大的经济损失。在当前的机房网络运维场景下，技术人员对突发的异常网络流量造成的流量成本核算、流量异常分析等情况无法进行有效的处理和解决；该问题是当前一个亟需解决的问题，因此，本发明提供了一种基于流量回溯分析的安全防护***及方法。

发明内容

为了解决上述方案存在的问题，本发明提供了一种基于流量回溯分析的安全防护***及方法。

本发明的目的可以通过以下技术方案实现：

一种基于流量回溯分析的安全防护***，包括回溯分析模块和安全分析模块；

所述回溯分析模块用于对异常数据进行回溯分析，识别异常数据对应的异常特征，根据获得的异常特征动态选择对应的回溯方案，通过获得的回溯方案对异常数据进行回溯分析，获得对应的分析结果，将获得的分析结果和对应的异常特征整合为安全分析数据。

进一步地，识别异常数据的异常特征的方法为：设置异常数据的异常特征模板，根据设置的异常特征模板对异常数据进行分析，获得对应的异常特征。

进一步地，根据异常特征选择回溯方案的方法包括：

建立素材方案库，根据异常特征计算各回溯方案对应的筛选值，选择筛选值最高的回溯方案进行应用。

进一步地，所述素材方案库中包括各回溯方案对应的储存节点，每个储存节点中储存有对应的素材，所述素材包括异常特征、回溯分析效果和效果值。

进一步地，计算筛选值的方法包括：

将获得的异常特征输入到各个储存节点中进行相似度匹配，识别相似度最高的素材对应的效果值，根据计算的相似度设置对应的折扣系数；评估各回溯方案在当前应用环境下的实施值，将获得的效果值、相似度、折扣系数和实施值输入到筛选值公式中进行计算，获得对应的筛选值。

进一步地，筛选值公式为：SIE=b1×q×SIM×EFF+b2×PUT，其中SIE、EFF、SIM、q和PUT分别为筛选值、效果值、相似度、折扣系数和实施值，b1、b2均为比例系数，取值范围为0<b1≤1，0<b2≤1。

所述安全分析模块用于对安全分析数据进行分析，设置若干个标准问题，将安全分析数据按照各标准问题对应的异常特征范围进行分类，获得各标准问题对应的分析结果数据集，对获得的分析结果数据集进行分析，获得对应的安全严重值，根据当前时间、安全严重值和分析结果数量生成坐标点，根据获得的坐标点建立各标准问题对应的单一安全态势图。

进一步地，将各标准问题对应的安全严重值进行综合评估，获得对应的综合严重值，将获得的综合严重值结合对应的时间生成对应的综合评估图。

进一步地，将各标准问题对应的安全严重值进行综合评估的方法包括：

将标准问题标记为i，其中，i=1、2、……、n，n为正整数；设置各标准问题对应的权重系数ci，将各标准问题对应的安全严重值标记为AQi，根据公式计算对应的综合严重值，其中ZP为综合严重值。

一种基于流量回溯分析的安全防护方法，包括：

匹配异常数据对应的回溯方案，根据回溯方案对异常数据进行回溯分析，获得对应的分析结果，设置若干个标准问题，根据各异常特征进行分析结果的分类，获得各标准问题对应的分析结果数据集，对获得的分析结果数据集进行分析，获得对应的安全严重值，根据当前时间、安全严重值和分析结果数量生成坐标点，根据获得的坐标点建立各标准问题对应的单一安全态势图。

与现有技术相比，本发明的有益效果是：

通过回溯分析模块和安全分析模块之间的相互配合，实现对各异常数据的综合分析，并充分利用现有的人工智能技术，实现根据不同的实际情况进行智能化的回溯分析，获得各异常数据的分析结果；再通过对分析结果进行二次分析，将从过去到现在各安全防护态势进行直观的表现出来，便于用户对安全防护情况具有一个直观的了解。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单的介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明原理框图；

图2为本发明筛选值计算流程图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都属于本发明保护的范围。

如图1至图2所示，一种基于流量回溯分析的安全防护***，包括回溯分析模块和安全分析模块；

所述回溯分析模块用于基于对应的回溯数据智能选择对应的回溯方案进行异常数据分析，进而获取对应的异常数据分析结果；因为对于异常数据进行回溯，在当前的现有技术中具有多种方式，进而具有多种能够实现异常数据回溯分析的回溯方案，如基于贝叶斯的异常网络流量回溯、基于马尔可夫链的异常网络流量回溯等，不同的回溯方案在对不同的异常数据进行回溯分析时，会产生不同的效果，所带来的安全防护效果也会具有差异；因此，为了实现最佳的安全防护，根据异常数据的动态分析，智能对接对应的回溯方案进行回溯分析，获得对应的分析结果；其中具体的回溯方案和根据实际情况进行回溯方案切换、对接等均是通过人工的方式进行设置的，即本模块的主要需要公开的部分为如何根据异常数据选择对应的回溯方案进行回溯分析，具体如下：

分析异常数据的哪些特征对回溯方案的选用具有影响，进而设置对应的异常特征模板，可以利用对应专家组的经验常识直接设置对应的异常特征模板；获取大量的各回溯方案对应的历史回溯数据，根据异常特征模板识别各历史回溯数据对应的异常特征，根据历史回溯数据分析各回溯方案对不同异常特征的回溯分析效果以及对应的效果值，回溯分析效果越好，效果值越大，其中，回溯分析效果的设置，是通过基于CNN网络或DNN网络建立对应的效果分析模型进行设置的，利用人工智能来进行大量的、持续性的回溯分析效果和效果值设置，通过人工的方式建立对应的训练集进行训练，通过训练成功后的效果分析模型进行分析，因为神经网络为本领域的现有技术，因此，在本发明中具体的建立和训练过程不进行详细叙述；按照回溯方案进行异常特征和回溯分析效果的归类，进行汇总后建立对应的素材分析库；不同回溯方案对应的素材储存到对应的储存节点中，素材指的是异常特征、回溯分析效果和效果值。

获取需要进行回溯分析的异常数据，根据异常特征模板提取异常数据中的异常特征，利用现有的相似度算法，将获得的异常特征输入到素材分析库中的各个储存节点中进行相似度匹配，获得需要进行回溯分析的异常特征相对于各储存节点中与其相似度最高的素材，识别其效果值和相似度；通过人工的方式模拟设置一个用于相似度折扣的匹配曲线，用于对不同的相似度进行折减，因为在后续进行筛选计算的过程中，使用相似度参与计算并不是成比例变化的，相似度越高，折扣系数越大，折减的就会越小，且并不是成比例变化，将获得的相似度输入到匹配曲线中进行定位匹配，获得对应的折扣系数；进而获得每个回溯方案对应的一组效果值、相似度和折扣系数。

因为不同的回溯方案在不同的应用环境下所对应的实施性可能并不相同，因此，为了保障回溯分析的流畅性，还需要对当前的运行环境进行分析，获取各回溯方案在当前运行环境下的实施值，具体的根据各回溯方案适合的应用环境和不同应用环境下各回溯方案的实施数据，通过人工的方式建立对应的训练集，基于CNN网络或DNN网络建立对应的环境分析模型，通过建立的训练集进行训练，通过训练成功后的环境分析模型对当前的应用环境进行分析，输出各回溯方案对应的实施值。

将各回溯方案对应的效果值、相似度、折扣系数和实施值分别标记为EFF、SIM、q和PUT，根据筛选值公式SIE=b1×q×SIM×EFF+b2×PUT计算对应的筛选值，其中，b1、b2均为比例系数，取值范围为0<b1≤1，0<b2≤1，选择筛选值最高的回溯方案进行应用。

在一个实施例中，因为进行异常数据回溯分析一般是采用时段分析，即一段时间后分析一次，而这段时间内存有的异常数据可能具有多种不同异常特征的异常数据，因此就具有以下几种方式进行分析：

第一：进行逐一分析，每个异常数据均按照其异常特征进行回溯方案的匹配，这种方式适用于异常特征种类不多或者对分析时间要求不紧密的情况，否则按照大量的回溯方案进行同时运行，将会极大的影响设备的运行。

第二：采用批量分析的方式，统计该批次各异常特征所占的比重，赋予各种类的异常特征所对应的权重比例，进行综合的相似度分析，获得一个综合相似度，再进行后续计算。

第三：结合第一种方式和第二种方式进行。

所述安全分析模块用于对回溯分析模块分析出的安全分析数据进行分析，了解当前的安全防护情况，如此才便于根据安全防护情况进行安全防护***等的升级、维护，提高安全防护能力，具体为：

通过专家组根据安全防护具有的问题和实际情况设置几个标准问题，每个标准问题对应各自的异常特征范围，用于后续进行分析结果的分类，进而分析各关注的标准问题对应的安全情况；将获得的安全分析数据按照标准问题进行对应的分类，获得该次各标准问题的分析结果数据集，对该分析结果数据集进行安全严重性分析，根据各分析结果的安全情况设置一个该次分析结果数据集的总的安全严重值，可以基于CNN网络或DNN网络建立对应的结果分析模型，通过人工的方式建立对应的训练集进行训练，通过训练成功后的结果分析模型对各分析结果数据集进行分析，输出一个安全严重值，或者利用其他现有技术进行评估；根据该次的分析时间、安全严重值和分析结果数据集内分析结果的数量形成一个坐标点，输入到坐标系中，获得单一安全态势图；动态记录每次的分析情况，以图表的形式进行体现，可以直观的了解到对应的安全形势。

在一个实施例中，还可以根据各标准问题的安全严重值进行综合评估，设置各标准问题对应的权重系数ci，其中i表示对应的标准问题，i=1、2、……、n，n为正整数；根据公式计算对应的综合严重值，其中AQi表示各标准问题对应的安全严重值；根据时间和综合严重值生成综合评估图。

利用图表的形式进行安全情况的显示，便于用户直观的了解到从过去到现在的安全态势变化，以及当前安全防护***的防护能力。

一种基于流量回溯分析的安全防护方法，包括：

对异常数据进行回溯分析，识别异常数据对应的异常特征，根据获得的异常特征动态选择对应的回溯方案，通过获得的回溯方案对异常数据进行回溯分析，获得对应的分析结果，设置若干个标准问题，根据各异常特征进行分析结果的分类，获得各标准问题对应的分析结果数据集，对获得的分析结果数据集进行分析，获得对应的安全严重值，根据当前时间、安全严重值和分析结果数量生成坐标点，根据获得的坐标点建立各标准问题对应的单一安全态势图。

在本方法中具体未公开的部分参照对应***内的内容。

上述公式均是去除量纲取其数值计算，公式是由采集大量数据进行软件模拟得到最接近真实情况的一个公式，公式中的预设参数和预设阈值由本领域的技术人员根据实际情况设定或者大量数据模拟获得。

以上实施例仅用以说明本发明的技术方法而非限制，尽管参照较佳实施例对本发明进行了详细说明，本领域的普通技术人员应当理解，可以对本发明的技术方法进行修改或等同替换，而不脱离本发明技术方法的精神和范围。

Claims (9)

1.一种基于流量回溯分析的安全防护***，其特征在于，包括回溯分析模块和安全分析模块；

所述回溯分析模块用于对异常数据进行回溯分析，识别异常数据对应的异常特征，根据获得的异常特征动态选择对应的回溯方案，通过获得的回溯方案对异常数据进行回溯分析，获得对应的分析结果，将获得的分析结果和对应的异常特征整合为安全分析数据；

所述安全分析模块用于对安全分析数据进行分析，设置若干个标准问题，将安全分析数据按照各标准问题对应的异常特征范围进行分类，获得各标准问题对应的分析结果数据集，对获得的分析结果数据集进行分析，获得对应的安全严重值，根据当前时间、安全严重值和分析结果数量生成坐标点，根据获得的坐标点建立各标准问题对应的单一安全态势图。

2.根据权利要求1所述的一种基于流量回溯分析的安全防护***，其特征在于，识别异常数据的异常特征的方法为：设置异常数据的异常特征模板，根据设置的异常特征模板对异常数据进行分析，获得对应的异常特征。

3.根据权利要求1所述的一种基于流量回溯分析的安全防护***，其特征在于，根据异常特征选择回溯方案的方法包括：

建立素材方案库，根据异常特征计算各回溯方案对应的筛选值，选择筛选值最高的回溯方案进行应用。

4.根据权利要求3所述的一种基于流量回溯分析的安全防护***，其特征在于，所述素材方案库中包括各回溯方案对应的储存节点，每个储存节点中储存有对应的素材，所述素材包括异常特征、回溯分析效果和效果值。

5.根据权利要求4所述的一种基于流量回溯分析的安全防护***，其特征在于，计算筛选值的方法包括：

将获得的异常特征输入到各个储存节点中进行相似度匹配，识别相似度最高的素材对应的效果值，根据计算的相似度设置对应的折扣系数；评估各回溯方案在当前应用环境下的实施值，将获得的效果值、相似度、折扣系数和实施值输入到筛选值公式中进行计算，获得对应的筛选值。

6.根据权利要求5所述的一种基于流量回溯分析的安全防护***，其特征在于，筛选值公式为：SIE=b1×q×SIM×EFF+b2×PUT，其中SIE、EFF、SIM、q和PUT分别为筛选值、效果值、相似度、折扣系数和实施值，b1、b2均为比例系数，取值范围为0<b1≤1，0<b2≤1。

7.根据权利要求1所述的一种基于流量回溯分析的安全防护***，其特征在于，安全分析模块中将各标准问题对应的安全严重值进行综合评估，获得对应的综合严重值，将获得的综合严重值结合对应的时间生成对应的综合评估图。

8.根据权利要求7所述的一种基于流量回溯分析的安全防护***，其特征在于，将各标准问题对应的安全严重值进行综合评估的方法包括：

将标准问题标记为i，其中，i=1、2、……、n，n为正整数；设置各标准问题对应的权重系数ci，将各标准问题对应的安全严重值标记为AQi，根据公式计算对应的综合严重值，其中ZP为综合严重值。

9.一种基于流量回溯分析的安全防护方法，其特征在于，应用于如权利要求1-8中任意一项所述的一种基于流量回溯分析的安全防护***，方法包括：

匹配异常数据对应的回溯方案，根据回溯方案对异常数据进行回溯分析，获得对应的分析结果，设置若干个标准问题，根据各异常特征进行分析结果的分类，获得各标准问题对应的分析结果数据集，对获得的分析结果数据集进行分析，获得对应的安全严重值，根据当前时间、安全严重值和分析结果数量生成坐标点，根据获得的坐标点建立各标准问题对应的单一安全态势图。

Images