斷網旁路自動檢測預警系統及方法

2023-10-06 01:41:39 7

斷網旁路自動檢測預警系統及方法
【專利摘要】本發明涉及一種斷網旁路自動檢測預警系統，其中包括專用審計設備、審計設備管理中心、數個伺服器以及數個客戶端；所述的專用審計設備包括功能模塊以及通信模塊；所述的數個客戶端通過第二交換機組與所述的通信模塊通信，所述的審計設備管理中心通過第三交換機組與所述的通信模塊通信，所述的通信模塊與所述的功能模塊相連接，所述的第一交換機組、第二交換機組以及第三交換機組分別包括數個交換機；本發明還涉及一種實現斷網旁路自動檢測預警的方法。採用本發明的斷網旁路自動檢測預警系統及方法，能夠自檢網絡環境，根據網絡環境實時的控制網絡延伸範圍，解決專用審計設備的信息安全隱患，結構簡單，應用範圍廣泛。
【專利說明】斷網旁路自動檢測預警系統及方法

【技術領域】
[0001]本發明涉及通信【技術領域】，尤其涉及網絡狀態，具體是指一種斷網旁路自動檢測預警系統及方法。

【背景技術】
[0002]網絡安全審計系統針對網際網路行為提供有效的行為審計、內容審計、行為報警、行為控制及相關審計功能。從管理層面提供網際網路的有效監督，預防、制止數據洩密。滿足用戶對網際網路行為審計備案及安全保護措施的要求，提供完整的上網記錄，便於信息追蹤、系統安全管理和風險防範。
[0003]現有作業系統均已支持ping traceroute等命令功能,依託專有網絡環境中的地址不同，合理組合使用命令可實現網絡狀態的局部檢測；網絡旁路是指不改變現有網絡拓撲結構的基礎上，通過鏡像迴避已有線路，使用新線路實現通信的方式。


【發明內容】

[0004]本發明的目的是克服了上述現有技術的缺點，提供了一種能夠自檢網絡環境、根據網絡環境實時的控制網絡延伸範圍、解決專用審計設備的信息安全隱患的斷網旁路自動檢測預警系統及方法。
[0005]為了實現上述目的，本發明的斷網旁路自動檢測預警系統及方法具有如下構成:
[0006]該斷網旁路自動檢測預警系統，其主要特點是，所述的系統包括專用審計設備、審計設備管理中心、數個伺服器以及數個客戶端；所述的專用審計設備包括功能模塊以及通信模塊；所述的數個伺服器通過第一交換機組與所述的通信模塊通信，所述的第一交換機組通過第六條通信線路與所述的通信模塊相連接，所述的數個客戶端通過第二交換機組與所述的通信模塊通信，所述的客戶端通過第二條通信線路以及第三條通信線路與所述的第二交換機組相連接，所述的審計設備管理中心通過第三交換機組與所述的通信模塊通信，所述的審計設備管理中心通過第五條通信線路與所述的第三交換機組相連接，所述的通信模塊通過第四條通信線路與所述的第三交換機組相連接，所述的通信模塊與所述的功能模塊相連接，所述的通信模塊通過第一條通信線路與所述的功能模塊相連接，所述的第一交換機組、第二交換機組以及第三交換機組分別包括數個交換機。
[0007]進一步地，所述的功能模塊包括抓包服務單元、上報接口單元以及數據對比單元，所述的抓包服務單元以及上報接口單元分別與所述的通信模塊相連接，所述的數據對比單元分別與所述的抓包服務單元以及上報接口單元相連接，所述的數據對比單元與報警器相連接。
[0008]進一步地，所述的通信模塊包括鏡像單元。
[0009]進一步地,所述的系統還包括智慧卡,所述的功能模塊還包括斷網自動修復單元，所述的智慧卡與所述的斷網自動修復單元相連接，所述的斷網自動修復單元與所述的通信模塊相連接。
[0010]本發明還涉及一種實現斷網旁路自動檢測預警的方法，其主要特點是，所述的功能模塊包括抓包服務單元、上報接口單元以及數據對比單元，所述的通信模塊包括鏡像單元，所述的方法包括以下步驟:
[0011](I)所述的客戶端通過所述的第三條通信線路及第六條通信線路訪問所述的伺服器；
[0012](2)所述的伺服器將所述的客戶端訪問所述的伺服器的審計日誌通過所述的第六條通信線路、第三條通信線路以及第二條通信線路發送至所述的上報接口單元，且統計上報條目後，將該上報條目發送至所述的數據對比單元；
[0013](3)所述的鏡像單元將第三條通信線路、第四條通信線路及第五條通信線路的上行數據鏡像至所述的第一條通信線路；
[0014](4)所述的抓包服務單元獲取所述的第一條通信線路上的通信數據，並分析得到請求條目後，將該請求條目發送至所述的數據對比單元；
[0015](5)所述的數據對比單元判斷所述的上報條目與所述的請求條目的大小關係，並根據該大小關係開啟或者關閉報警器。
[0016]進一步地，所述的步驟(2)與步驟(3)之間還包括以下步驟:
[0017](2.1)所述的伺服器定時通過所述的第六條通信線路、第三條通信線路以及第二條通信線路向所述的上報接口單元發送定時心跳；
[0018](2.2)所述的專用審計設備判斷最後一次定時心跳的上報時間與審計設備時間的差是否超過第一預設時間；
[0019](2.3)如果所述的定時心跳的上報時間超過第一預設時間，則報警器發出伺服器斷網的報警信號，否則繼續步驟(3)。
[0020]進一步地，所述的步驟(5)包括以下步驟:
[0021](5.1)所述的數據對比模塊判斷所述的上報條目是否超過所述的請求條目；
[0022](5.2)如果所述的上報條目超過所述的請求條目，則報警器發出旁路狀態的報警信號;
[0023](5.3)如果所述的上報條目低於所述的請求條目，則報警器發出日誌異常的報警信號;
[0024](5.4)如果所述的上報條目等於所述的請求條目，則報警器發出無流量的報警信號;
[0025](5.5)如果所述的上報條目等於所述的請求條目且都不為零則所述的報警器不發出報警信號。
[0026]進一步地,所述的系統還包括智慧卡,所述的功能模塊還包括斷網自動修復單元，所述的智慧卡與所述的斷網自動修復單元相連接，所述的方法在步驟(I)之前還包括以下步驟:
[0027](0.1)所述的功能模塊判斷所述的功能模塊是否工作正常；
[0028](0.2)如果所述的功能模塊工作正常，則繼續步驟(0.3);否則進行步驟(0.6)；
[0029](0.3)所述的功能模塊判斷所述的第一條通信線路是否連通；
[0030](0.4)如果所述的第一條通信線路連通，則所述的功能模塊判斷所述的第四條通信線路、第五條通信線路是否連通；
[0031](0.5)如果所述的第四條通信線路、第五條通信線路連通，則繼續步驟(I);否則繼續步驟(0.6)；
[0032](0.6)所述的通信模塊切斷除第一條通信線路外的其他通信電路；
[0033](0.7)所述的斷網自動修復單元讀取所述的智慧卡中的網絡配置後，恢復所述的通信模塊的網絡配置。
[0034]採用了該發明中的斷網旁路自動檢測預警系統及方法，能夠有效的檢測在特定生產環境中的各個獨立設備的網絡狀態，並提供有效的狀態檢測、預警和主動防禦，應用範圍廣泛。

【專利附圖】

【附圖說明】
[0035]圖1為本發明的斷網旁路自動檢測預警系統的結構示意圖。

【具體實施方式】
[0036]為了能夠更清楚地描述本發明的技術內容，下面結合具體實施例來進行進一步的描述。
[0037]本發明的斷網旁路自動檢測預警系統及方法設計網絡狀態監測技術、網絡入侵檢測技術以及智慧卡讀寫加密技術等。
[0038]請參閱圖1所示，為本發明的斷網旁路自動檢測預警系統的結構示意圖。其中IDl為第一條通信線路，ID2為第二條通信線路，ID3為第三條通信線路，ID4為第四條通信線路，ID5為第五條通信線路，ID6為第六條通信線路，另外Vl表示為該專用審計設備必備的拓撲結構，V2為業務需求中從客戶端到伺服器的通信線路，其中V2中可以包括多條通信線路，以實現數個客戶端與數個伺服器相通信。
[0039]本發明的斷網旁路自動檢測預警系統包括專用審計設備、審計設備管理中心、數個伺服器以及數個客戶端；所述的專用審計設備包括功能模塊以及通信模塊；所述的數個伺服器通過第一交換機組與所述的通信模塊通信，所述的第一交換機組通過第六條通信線路與所述的通信模塊相連接，所述的數個客戶端通過第二交換機組與所述的通信模塊通信，所述的客戶端通過第二條通信線路以及第三條通信線路與所述的第二交換機組相連接，所述的審計設備管理中心通過第三交換機組與所述的通信模塊通信，所述的審計設備管理中心通過第五條通信線路與所述的第三交換機組相連接，所述的通信模塊通過第四條通信線路與所述的第三交換機組相連接，所述的通信模塊與所述的功能模塊相連接，所述的通信模塊通過第一條通信線路與所述的功能模塊相連接，所述的第一交換機組、第二交換機組以及第三交換機組分別包括數個交換機。
[0040]所述的功能模塊包括抓包服務單元、上報接口單元以及數據對比單元，所述的抓包服務單元以及上報接口單元分別與所述的通信模塊相連接，所述的數據對比單元分別與所述的抓包服務單元以及上報接口單元相連接，所述的數據對比單元與報警器相連接。
[0041]所述的通信模塊包括鏡像單元。
[0042]所述的系統還包括智慧卡,所述的功能模塊還包括斷網自動修復單元,所述的智慧卡與所述的斷網自動修復單元相連接，所述的斷網自動修復單元與所述的通信模塊相連接。
[0043]本發明的實現斷網旁路自動檢測預警的方法，具體包括以下步驟:
[0044](I)所述的客戶端通過所述的第三條通信線路及第六條通信線路訪問所述的伺服器；
[0045](2)所述的伺服器將所述的客戶端訪問所述的伺服器的審計日誌通過所述的第六條通信線路、第三條通信線路以及第二條通信線路發送至所述的上報接口單元；
[0046](3)所述的鏡像單元將第三條通信線路、第四條通信線路及第五條通信線路的上行數據鏡像至所述的第一條通信線路；
[0047](4)所述的抓包服務單元獲取所述的第一條通信線路上的通信數據，並分析得到上報條目以及請求條目後，將該上報條目以及請求條目發送至所述的數據對比模塊；
[0048](5)所述的數據對比模塊判斷所述的上報條目與所述的請求條目的大小關係，並根據該大小關係開啟或者關閉報警器。
[0049]通信模塊的虛擬區域網(VLAN)狀態抓取:telnet交換板地址vlan show。
[0050]其中鏡像單向網絡抓包數據與上報數據比對，具體為:
[0051]客戶端操作伺服器時，伺服器將主動上報一條操作日誌和內容；客戶端通過ID3，ID6訪問伺服器的數據包將被截獲並比對。
[0052]所述的步驟⑵與步驟(3)之間還包括以下步驟:
[0053](2.1)所述的伺服器定時通過所述的第六條通信線路、第三條通信線路以及第二條通信線路向所述的上報接口單元發送定時心跳；
[0054](2.2)所述的專用審計設備判斷最後一次定時心跳的上報時間與審計設備時間的差是否超過第一預設時間；審計設備時間為當前時間；
[0055](2.3)如果所述的定時心跳的上報時間超過第一預設時間，則報警器發出伺服器斷網的報警信號，否則繼續步驟(3)。
[0056]其中伺服器將每次審計日誌通過ID6，ID3，ID2發回專用審計設備的上報接口 ；同時伺服器也需要定時發送心跳上報，如果最後一次心跳上報時間與審計設備時間相差24小時，則說明伺服器為斷線狀態。
[0057]出現多種異常需要使用告警(功能模塊)時，優先級1>優先級2>…〉優先級N，例如出現伺服器斷線狀況及審計設備被旁路狀態時，兩種狀態均入庫，功能模塊將發出伺服器斷線的告警(此處是由於設置伺服器斷線的優先級高於審計設備被旁路狀態的優先級)。涉及到網絡告警，開箱告警，進程異常告警等其餘告警條件時，使用優先級進行判斷具體告警內容。該優先級不能由用戶進行設置，在本申請中各個異常情況的優先級為:功能模塊故障0，內部交換測試I (IDl)，系統斷線(ID6) 2，旁路狀態3，管理中心連接(ID4、ID5)測試4，無流量5，日誌異常3。O代表高優先級，同級使用隊列模式，最後的異常將被告警。基於上述優先級，優先級高的異常會被先告警。
[0058]通過解密，解析鏡像數據，獲得IP報文具有規範格式的內容(格式為具有規範XML，該規範已由專用審計設備與伺服器承建方共同制定)，根據規範對鏡像數據進行分割，得到分割後請求條目A，統計上報條目B，做出判斷:A = B = O時為無流量狀態；B>AX 120%即為旁路狀態；B〈AX 120%即為日誌異常狀態。
[0059]由數據對比單元將異常存入資料庫，並通知功能模塊，發出伺服器系統對應報警。若無則功能模塊顯示正常，無異常警告入庫。
[0060]所述的步驟(5)包括以下步驟:
[0061](5.1)所述的數據對比模塊判斷所述的上報條目是否超過所述的請求條目；
[0062](5.2)如果所述的上報條目超過所述的請求條目，則報警器發出旁路狀態的報警信號;
[0063](5.3)如果所述的上報條目低於所述的請求條目，則報警器發出日誌異常的報警信號;
[0064](5.4)如果所述的上報條目等於所述的請求條目且等於0，則報警器發出無流量的報警信號；
[0065](5.5)如果所述的上報條目等於所述的請求條目且都不為零則所述的報警器不發出報警信號。
[0066]旁路檢測主要包含以下幾個方面的判斷:
[0067]如果審計數據上報條目少於專用審計設備抓取解析的業務操作指令(即請求條目)，說明網偵系統上報業務數據不完全，系統記錄該審計結果，發出預警，可由審計員向相關網偵系統核對相關上報數據是否完整。
[0068]當專用審計設備解析業務操作指令(即請求條目)少於網偵系統上報業務日誌時，說明系統抓取原始信令不完整，可能存在專用審計設備被斷開或旁路的可能，記錄該審計結果，發出預警，由審計員進行網絡連接確認。
[0069]如果上報數據和協議解析指令存在不一致情況，可能網偵系統上報業務日誌不準確，記錄該審計結果，發出預警，由審計員核查。
[0070]所述的方法在步驟(I)之前還包括以下步驟:
[0071](0.1)所述的功能模塊判斷所述的功能模塊是否工作正常；
[0072]該步驟中主要是對所述的功能模塊進行環測試，S卩:ping 127.0.0.1(接口地址)；pingl27.0.0.1來測試本機TCP/IP是否正常，能ping通127.0.0.1說明本機的網卡和IP協議安裝都沒有問題。
[0073](0.2)如果所述的功能模塊工作正常，則繼續步驟(0.3);否則進行步驟(0.6)；
[0074](0.3)所述的功能模塊判斷所述的第一條通信線路是否連通；
[0075]該步驟中是為了檢測功能模塊與通信模塊的聯通性，即ping內部交換板地址。
[0076](0.4)如果所述的第一條通信線路連通，則所述的功能模塊判斷所述的第四條通信線路、第五條通信線路是否連通；
[0077]該步驟是為了檢測通信模塊與所述的審計設備管理中心的聯通性，即ping管理中心地址；
[0078]其中，審計設備管理中心向專用審計設備發送http請求格式如下:
[0079]{
[0080]「systemid」: 「3100000000000115，，，
[0081]「company，，:，，，，，
[0082]「addresslist」:，，[ 「192.168.0.1:8080」，…]」//管理中心地址
[0083]}
[0084]返回結果示例:
[0085]{
[0086]"status":"fail"
[0087]}
[0088]這樣審計設備管理中心就可以獲得專用審計設備的離線或者在線狀態，其中第三交換機用於連接設計設備管理中心與專用審計設備，這樣便於審計設備管理中心對專用審計設備進行管理。
[0089](0.5)如果所述的第四條通信線路、第五條通信線路連通，則繼續步驟(I);否則繼續步驟(0.6)；
[0090](0.6)所述的通信模塊切斷除第一條通信線路外的其他通信電路；
[0091]通信模塊切斷通信板塊的對外連接，即:telnet交換板地址port set LPx enable=false,此處需要說明的是當抓包服務單元、上報接口單元或者數據對比單元中任意一個出現故障時，則禁止使用通信模塊處IDl外的其餘所有的網口。
[0092](0.7)所述的斷網自動修復單元讀取所述的智慧卡中的網絡配置後，恢復所述的通信模塊的網絡配置。
[0093]斷網自動修復單元讀取所述的智慧卡中的網絡配置，該網絡配置為智慧卡默認的網絡配置，且用戶是可以更改該網絡配置的。
[0094]智慧卡中包含除網絡配置外的其餘服務配置信息
[0095]智慧卡中包含適用於Vl的所有默認網絡配置，該智慧卡的加密和格式僅可由審計設備管理中心配置並寫入，基本加密形式為MD5和CRC校驗，格式基本形式為欄位長度+欄位值。
[0096]採用了該發明中的斷網旁路自動檢測預警系統及方法，能夠有效的檢測在特定生產環境中的各個獨立設備的網絡狀態，並提供有效的狀態檢測、預警和主動防禦，應用範圍廣泛。
[0097]在此說明書中，本發明已參照其特定的實施例作了描述。但是，很顯然仍可以作出各種修改和變換而不背離本發明的精神和範圍。因此，說明書和附圖應被認為是說明性的而非限制性的。
【權利要求】
1.一種斷網旁路自動檢測預警系統，其特徵在於，所述的系統包括專用審計設備、審計設備管理中心、數個伺服器以及數個客戶端；所述的專用審計設備包括功能模塊以及通信模塊；所述的數個伺服器通過第一交換機組與所述的通信模塊通信，所述的第一交換機組通過第六條通信線路與所述的通信模塊相連接，所述的數個客戶端通過第二交換機組與所述的通信模塊通信，所述的客戶端通過第二條通信線路以及第三條通信線路與所述的第二交換機組相連接，所述的審計設備管理中心通過第三交換機組與所述的通信模塊通信，所述的審計設備管理中心通過第五條通信線路與所述的第三交換機組相連接，所述的通信模塊通過第四條通信線路與所述的第三交換機組相連接，所述的通信模塊與所述的功能模塊相連接，所述的通信模塊通過第一條通信線路與所述的功能模塊相連接，所述的第一交換機組、第二交換機組以及第三交換機組分別包括數個交換機。
2.根據權利要求1所述的斷網旁路自動檢測預警系統，其特徵在於，所述的功能模塊包括抓包服務單元、上報接口單元以及數據對比單元，所述的抓包服務單元以及上報接口單元分別與所述的通信模塊相連接，所述的數據對比單元分別與所述的抓包服務單元以及上報接口單元相連接，所述的數據對比單元與報警器相連接。
3.根據權利要求1所述的斷網旁路自動檢測預警系統，其特徵在於，所述的通信模塊包括鏡像單元。
4.根據權利要求1所述的斷網旁路自動檢測預警系統，其特徵在於，所述的系統還包括智慧卡，所述的功能模塊還包括斷網自動修復單元，所述的智慧卡與所述的斷網自動修復單元相連接，所述的斷網自動修復單元與所述的通信模塊相連接。
5.一種基於權利要求1至4中任意一項所述的系統實現斷網旁路自動檢測預警的方法，其特徵在於，所述的功能模塊包括抓包服務單元、上報接口單元以及數據對比單元，所述的通信模塊包括鏡像單元，所述的方法包括以下步驟: (1)所述的客戶端通過所述的第三條通信線路及第六條通信線路訪問所述的伺服器； (2)所述的伺服器將所述的客戶端訪問所述的伺服器的審計日誌通過所述的第六條通信線路、第三條通信線路以及第二條通信線路發送至所述的上報接口單元，且統計上報條目後，將該上報條目發送至所述的數據對比單元； (3)所述的鏡像單元將第三條通信線路、第四條通信線路及第五條通信線路的上行數據鏡像至所述的第一條通信線路； (4)所述的抓包服務單元獲取所述的第一條通信線路上的通信數據，並分析得到請求條目後，將該請求條目發送至所述的數據對比單元； (5)所述的數據對比單元判斷所述的上報條目與所述的請求條目的大小關係，並根據該大小關係開啟或者關閉報警器。
6.根據權利要求5所述的實現斷網旁路自動檢測預警的方法，其特徵在於，所述的步驟⑵與步驟⑶之間還包括以下步驟: (2.1)所述的伺服器定時通過所述的第六條通信線路、第三條通信線路以及第二條通信線路向所述的上報接口單元發送定時心跳； (2.2)所述的專用審計設備判斷最後一次定時心跳的上報時間與審計設備時間的差是否超過第一預設時間； (2.3)如果所述的定時心跳的上報時間超過第一預設時間，則報警器發出伺服器斷網的報警信號，否則繼續步驟(3)。
7.根據權利要求5所述的實現斷網旁路自動檢測預警的方法，其特徵在於，所述的步驟(5)包括以下步驟: (5.1)所述的數據對比模塊判斷所述的上報條目是否超過所述的請求條目； (5.2)如果所述的上報條目超過所述的請求條目，則報警器發出旁路狀態的報警信號; (5.3)如果所述的上報條目低於所述的請求條目，則報警器發出日誌異常的報警信號; (5.4)如果所述的上報條目等於所述的請求條目且都為零，則報警器發出無流量的報警信號； (5.5)如果所述的上報條目等於所述的請求條目且都不為零則所述的報警器不發出報警信號。
8.根據權利要求5所述的實現斷網旁路自動檢測預警的方法，其特徵在於，所述的系統還包括智慧卡,所述的功能模塊還包括斷網自動修復單元，所述的智慧卡與所述的斷網自動修復單元相連接，所述的方法在步驟(I)之前還包括以下步驟: (0.1)所述的功能模塊判斷所述的功能模塊是否工作正常； (0.2)如果所述的功能模塊工作正常，則繼續步驟(0.3);否則進行步驟(0.6)； (0.3)所述的功能模塊判斷所述的第一條通信線路是否連通； (0.4)如果所述的第一條通信線路連通，則所述的功能模塊判斷所述的第四條通信線路、第五條通信線路是否連通； (0.5)如果所述的第四條通信線路、第五條通信線路連通，則繼續步驟(I);否則繼續步驟(0.6)； (0.6)所述的通信模塊切斷除第一條通信線路外的其他通信電路； (0.7)所述的斷網自動修復單元讀取所述的智慧卡中的網絡配置後，恢復所述的通信模塊的網絡配置。
【文檔編號】H04L12/26GK104394038SQ201410742667
【公開日】2015年3月4日 申請日期:2014年12月8日 優先權日:2014年12月8日
【發明者】吳松洋, 張瑜, 王磐, 陳以山, 李勳, 張勇 申請人:公安部第三研究所