开云优惠体育网页版入口

专利名称：基于计算机硬件指征和行为分析的网络安全监控系统

专利类型：发明专利

专利申请号：CN202110914607.0

专利申请（专利权）人：岭南师范学院
权利人地址：广东省湛江市赤坎区寸金路29号

专利发明（设计）人：：Ｌ,陈波,陈世峰,雷海波

专利摘要：本发明提出了一种基于计算机硬件指征和行为分析的网络安全监控系统，包括若干个监控客户端和监控服务器；监控客户端安装于每台被监控的主机上，用于定期搜集主机上各个应用程序占用的CPU使用率、内存使用率和网卡收发包速率并发送到监控服务器；监控服务器分别对CPU使用率、内存使用率和网卡收发包速率进行基线建模，根据基线建模结果对被监控主机行为进行比对，若比对正常，则继续运行；若比对异常，则向对应的监控客户端反馈告警信息。本系统基于对计算机的硬件指征和行为进行持续的监控和分析，以判定计算机是否存在受到病毒感染的情况，做到主动发现、主动防御从而实现对攻击的提前阻拦，提升防范的及时性。

主权利要求：
1.基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，包括若干个监控客户端和监控服务器；其中：所述监控客户端安装于每台被监控的主机上，用于定期搜集主机上各个应用程序占用的CPU使用率、内存使用率和网卡收发包速率，然后按照通信协议格式将搜集的数据打包成报文并发送到所述监控服务器；
所述监控服务器依照通信协议对报文进行解析后，分别对CPU使用率、内存使用率和网卡收发包速率进行基线建模，根据基线建模结果对被监控主机行为进行比对，若比对正常，则继续运行；若比对异常，则向对应的监控客户端反馈告警信息；
所述监控服务器基于所述监控客户端上传的数据进行基线建模，获取合适的统计周期，避免统计周期过短加大被监控客户端的资源消耗或统计周期过长导致建模不精确的问题出现；
所述基线建模的过程就是对各个被监控主机启动的共有操作系统进程核共有的程序的资源使用率进行记录、监控过程，把每一台被监控主机的每一个进程的资源使用率都写入监控服务器中，为后续数据比对奠定数据基。痪咛宀僮魑：选定被监控的主机中某个操作系统里的共有进程作为参照点，动态调整统计周期，当所有被监控的主机的共有进程趋近于相同值或范围时，作为基线周期；
所述监控客户端根据基线周期将搜集的数据打包成报文并发送到所述监控服务器；
在所述监控客户端对数据搜集过程中，同时对在数据搜集过程中对系统资源使用率造成的扰动进行记录、跟踪，找到扰动最大值和最小值，从而确定方差值；以基线周期为基础做线性回归，在方差范围内结合自动规避算法计算周期值，获取对系统资源造成最小扰动的周期作为统计周期。
2.根据权利要求1所述的基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，所述通信协议采用TLV格式设计；所述TLV格式包括命令字、类型、长度和值；所述命令字用于标记数据的发送或者接收情况；所述类型用于标记数据的类型；所述长度用于定义数值的长度；所述值用于表示实际的数值。
3.根据权利要求2所述的基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，所述类型包括CPU使用率、内存使用率和网卡收发包速率三种数据类型；其中，
0x0000为CPU使用率；0x0100为内存使用率；0x0200为网卡发包速率；0x0201为网卡收包速率。
4.根据权利要求1所述的基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，所述监控客户端对被监控主机的资源使用情况实时获取并上传至所述监控服务器。
5.根据权利要求1所述的基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，所述方差值 的具体计算过程为：其中， 表示扰动最大值， 表示扰动最小值。
6.根据权利要求5所述的基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，在方差范围内结合自动规避算法计算周期值的具体计算表达式为：；
其中， 表示周期值； 表示监控进程的资源使用率达到基线时所花费的时间，即监控进程在操作系统启动时的资源使用率稳定时所花费的时间； 表示周期值补偿； 表示已经做的规避次数。
7.根据权利要求6所述的基于计算机硬件指征和行为分析的网络安全监控系统，其特征在于，所述 进一步表示为：其中，参数 表示规避的次数，当 值造成非线性取值时，开始进行规避，第 次在第次的基础上进行规避。 说明书 : 基于计算机硬件指征和行为分析的网络安全监控系统技术领域[0001] 本发明涉及网络安全技术领域，特别是涉及一种基于计算机硬件指征和行为分析的网络安全监控系统。背景技术[0002] 随着近年来网络攻击的频发，同时随着攻击主体由个人转为有组织的转变，网络安全已经成为了当今社会广泛关注的焦点领域。特别是针对商业公司、智能制造工厂和国家关键基础设施的攻击，已经将攻击的受害者从针对个人/组织转变为国家/地区。[0003] 网络安全从来没有像今天变得尤为重要，传统的实施网络安全的方式主要为被动地追赶，以一种“堵”的低效方式进行。比如，某天业界暴出了发现Windows操作系统的某个漏洞，基本都是“打补丁”进行补救；又如安装杀毒软件对病毒进行防范，核心技术就是病毒库，但是病毒库是黑名单的方式，即只能防范已知的病毒攻击，无法应对新的攻击方式。[0004] 公开号为CN103685575A的中国发明专利申请于2018年9月7日公开了一种基于云架构的网站安全监控方法，其便是采用黑白名单的形式实现对病毒攻击的检测应对，客户需要定期更新病毒库才可以应对新的攻击方式，对于新兴的病毒攻击无能为力，只有当被感染/攻击后对病毒进行分析提取特征后，才能对其进行防范，防范效果具有严重的滞后性。发明内容[0005] 本发明为了解决以上至少一种技术缺陷，提供一种基于计算机硬件指征和行为分析的网络安全监控系统，实现对攻击的主动发现和主动防御，提升防范的及时性。[0006] 为解决上述技术问题，本发明的技术方案如下：[0007] 基于计算机硬件指征和行为分析的网络安全监控系统，包括若干个监控客户端和监控服务器；其中：[0008] 所述监控客户端安装于每台被监控的主机上，用于定期搜集主机上各个应用程序占用的CPU使用率、内存使用率和网卡收发包速率，然后按照通信协议格式将搜集的数据打包成报文并发送到所述监控服务器；[0009] 所述监控服务器依照通信协议对报文进行解析后，分别对CPU使用率、内存使用率和网卡收发包速率进行基线建模，根据基线建模结果对被监控主机行为进行比对，若比对正常，则继续运行；若比对异常，则向对应的监控客户端反馈告警信息。[0010] 其中，所述通信协议采用TLV格式设计；所述TLV格式包括命令字、类型、长度和值；所述命令字用于标记数据的发送或者接收情况；所述类型用于标记数据的类型；所述长度用于定义数值的长度；所述值用于表示实际的数值。[0011] 其中，所述类型包括CPU使用率、内存使用率和网卡收发包速率三种数据类型；其中，0x0000为CPU使用率；0x0100为内存使用率；0x0200为网卡发包速率；0x0201为网卡收包速率。[0012] 其中，所述监控客户端对被监控主机的资源使用情况实时获取并上传至所述监控服务器。[0013] 其中，所述监控服务器基于所述监控客户端上传的数据进行基线建模，获取合适的统计周期，避免统计周期过短加大被监控客户端的资源消耗或统计周期过长导致建模不精确的问题出现。[0014] 其中，所述基线建模的过程就是对各个被监控主机启动的共有操作系统进程核共有的程序的资源使用率进行记录、监控过程，把每一台被监控主机的每一个进程的资源使用率都写入监控服务器中，为后续数据比对奠定数据基。痪咛宀僮魑：[0015] 选定被监控的主机中某个操作系统里的共有进程作为参照点，动态调整统计周期，当所有被监控的主机的共有进程趋近于相同值或范围时，作为基线周期；[0016] 所述监控客户端根据基线周期将搜集的数据打包成报文并发送到所述监控服务器。[0017] 其中，在所述监控客户端对数据搜集过程中，同时对在数据搜集过程中对系统资源使用率造成的扰动进行记录、跟踪，找到扰动最大值和最小值，从而确定方差值；以基线周期为基础做线性回归，在方差范围内结合自动规避算法计算周期值，获取对系统资源造成最小扰动的周期作为统计周期。[0018] 其中，所述方差值b的具体计算过程为：[0019][0020] 其中，b2表示扰动最大值，b1表示扰动最小值。[0021] 其中，所述在方差范围内结合自动规避算法计算周期值的具体计算表达式为：[0022] Tn＝knXn+b；[0023] 其中，Tn表示周期值；Xn表示监控进程的资源使用率达到基线时所花费的时间，即监控进程在操作系统启动时的资源使用率稳定时所花费的时间；b表示周期值补偿；kn表示已经做的规避次数。[0024] 其中，所述kn进一步表示为：[0025] kn＝nlog(n?1)[0026] 其中，参数n表示规避的次数，当kn值造成非线性取值时，开始进行规避，第n次在第n?1次的基础上进行规避。[0027] 与现有技术相比，本发明技术方案的有益效果是：[0028] 本发明提出了一种基于计算机硬件指征和行为分析的网络安全监控系统，基于对计算机的硬件指征和行为进行持续的监控和分析，以判定计算机是否存在受到病毒感染的情况，做到主动发现、主动防御从而实现对攻击的提前阻拦，提升防范的及时性；采用该系统，可以实时获取计算机的资源使用率情况。附图说明[0029] 图1为本发明所述系统整体框架示意图；[0030] 图2为本发明一实施例中系统造成扰动时的数据展示图；[0031] 图3为本发明一实施例中系统线性化后的数据展示图；[0032] 图4为本发明一实施例中系统在没有使用任何应用程序的管理界面图；[0033] 图5为本发明一实施例中系统在没有使用任何应用程序对应的进程界面图；[0034] 图6为本发明一实施例中系统在打开某一应用程序后的管理界面图；[0035] 图7为本发明一实施例中系统在打开某一应用程序后对应的进程界面图。具体实施方式[0036] 附图仅用于示例性说明，不能理解为对本专利的限制；[0037] 为了更好说明本实施例，附图某些部件会有省略、放大或缩。⒉淮硎导什返某叽纾籟0038] 对于本领域技术人员来说，附图中某些公知结构及其说明可能省略是可以理解的。[0039] 下面结合附图和实施例对本发明的技术方案做进一步的说明。[0040] 实施例1[0041] 本实施例列举了两种典型的被攻击场景，通过对这两种场景被攻击的原因和本质进行分析，从而提出一种基于计算机硬件指征和行为分析的网络安全监控系统，以解决现有计算机只能被动防御、不能主动识别攻击，存在滞后性的问题。[0042] 具体的，电脑被中了挖矿病毒，帮助别人挖矿；其表象是CPU使用率快速升高，原因是挖矿这一行为属于CPU密集型，会导致CPU使用率快速升高，其行为本质便是电脑的CPU算力被偷走了，会存在卡顿甚至影响正常使用的情况。[0043] 另外，电脑也可以被别人进行DDoS攻击变成“肉鸡”；其表象是网卡会长时间发送大量报文，原因是帮助黑客去攻击他指定的全球目标，攻击工具和攻击脚本已经被提前下载到电脑中，黑客可以随时操纵电脑去攻击其他人；其行为卑职就是电脑被黑客变成为一把攻击别人的工具。[0044] 以上两个场景在现有技术中，只能被动的发现和进行打补丁进行补救，而使用本方案后，对电脑的CPU、网卡等硬件资源进行整体监控，第一时间发现异常并告警。[0045] 如图1所示，基于计算机硬件指征和行为分析的网络安全监控系统，包括若干个监控客户端和监控服务器；其中：[0046] 所述监控客户端安装于每台被监控的主机上，用于定期搜集主机上各个应用程序占用的CPU使用率、内存使用率和网卡收发包速率，然后按照通信协议格式将搜集的数据打包成报文并发送到所述监控服务器；[0047] 所述监控服务器依照通信协议对报文进行解析后，分别对CPU使用率、内存使用率和网卡收发包速率进行基线建模，根据基线建模结果对被监控主机行为进行比对，若比对正常，则继续运行；若比对异常，则向对应的监控客户端反馈告警信息。[0048] 在具体实施过程中，本系统基于C/S架构对计算机的CPU使用率、内存使用率、网卡发包速率进行实时、集中监控，系统中被监控主机的资源使用率情况一目了然，能够主动发现异常、阻止攻击，而不是被动地在被攻击后打补丁。[0049] 在具体实施过程中，本系统基于对计算机的硬件指征和行为进行持续的监控和分析，以判定计算机是否存在受到病毒感染的情况，做到主动发现、主动防御从而实现对攻击的提前阻拦，提升防范的及时性；采用该系统，可以实时获取计算机的资源使用率情况。[0050] 更具体的，所述通信协议采用TLV格式设计；所述TLV格式包括命令字、类型、长度和值；所述命令字用于标记数据的发送或者接收情况；所述类型用于标记数据的类型；所述长度用于定义数值的长度；所述值用于表示实际的数值。[0051] 更具体的，所述类型包括CPU使用率、内存使用率和网卡收发包速率三种数据类型；其中，0x0000为CPU使用率；0x0100为内存使用率；0x0200为网卡发包速率；0x0201为网卡收包速率。[0052] 更具体的，所述监控客户端对被监控主机的资源使用情况实时获取并上传至所述监控服务器。[0053] 更具体的，所述监控服务器基于所述监控客户端上传的数据进行基线建模，获取合适的统计周期，避免统计周期过短加大被监控客户端的资源消耗或统计周期过长导致建模不精确的问题出现。[0054] 在具体实施过程中，本方案基于时序的资源使用基线建模技术，实现了对被监控主机的资源使用情况实时获取并上报监控服务器；实现了对每台被监控主机的所有进程的资源使用情况实时获取并上报监控服务器；监控服务器基于对获取的数据分析进行基线建模，获取合适的统计周期，避免统计周期过短加大被监控客户端的资源消耗或统计周期过长导致建模不精确的问题出现。[0055] 更具体的，所述基线建模的过程就是对各个被监控主机启动的共有操作系统进程核共有的程序的资源使用率进行记录、监控过程，把每一台被监控主机的每一个进程的资源使用率都写入监控服务器中，为后续数据比对奠定数据基。痪咛宀僮魑：[0056] 选定被监控的主机中某个操作系统里的共有进程作为参照点，动态调整统计周期，当所有被监控的主机的共有进程趋近于相同值或范围时，作为基线周期；[0057] 所述监控客户端根据基线周期将搜集的数据打包成报文并发送到所述监控服务器。[0058] 更具体的，在所述监控客户端对数据搜集过程中，同时对在数据搜集过程中对系统资源使用率造成的扰动进行记录、跟踪，找到扰动最大值和最小值，从而确定方差值；以基线周期为基础做线性回归，在方差范围内结合自动规避算法计算周期值，获取对系统资源造成最小扰动的周期作为统计周期。[0059] 更具体的，所述方差值b的具体计算过程为：[0060][0061] 其中，b2表示扰动最大值，b1表示扰动最小值。[0062] 在具体实施过程中，在数据搜集过程中对系统资源使用率造成的扰动进行记录、跟踪，找到扰动最大值和最小值，从而确定方差值，是为了避免网络扰动和资源占用，通过利用计算机闲余的资源实现本系统的功能。[0063] 更具体的，所述在方差范围内结合自动规避算法计算周期值的具体计算表达式为：[0064] Tn＝knXn+b；[0065] 其中，Tn表示周期值；Xn表示监控进程的资源使用率达到基线时所花费的时间，即监控进程在操作系统启动时的资源使用率稳定时所花费的时间；b表示周期值补偿；kn表示已经做的规避次数。[0066] 更具体的，所述kn进一步表示为：kn＝nlog(n?1)[0067] 其中，参数n表示规避的次数，当kn值造成非线性取值时，开始进行规避，第n次在第n?1次的基础上进行规避。[0068] 在具体实施过程中，最终以对系统资源造成最小扰动的周期作为统计周期，其可以如实地反映出系统的资源使用率为最佳，造成扰动时的数据展示如图2所示，进行线性处理后的数据展示图如图3所示，实现了从大幅度的系统资源使用率扰动到系统微小的线性变化过程。[0069] 实施例3[0070] 更具体的，本系统中被监控主机在启动后，用户没有使用任何应用程序的时候，操作系统会先启动它自己的进程，如图4?图5所示，以微软Windows7操作系统为例。这些进程是正常使用Windows操作系统的基。哂凶罡哂畔绕舳ㄏ，只要计算机启动它们就会被启动。从图中可以看到进程的名字、CPU使用率、内存使用率。[0071] 更具体的，通过启动一个应用程序，看一下对其它Windows系统进程的内存使用率的影响，如图6?图7所示，从上面图片的对比可以看到，进程csrss.exe的内存使用率由1292K增长到1628K，增长了336K，增长率为26％；进程explorer.exe的内存使用率由9544K增长到10820K,增长了1276K，增长率为13.37；其它进程的内存使用率也有不同程度的增长。[0072] 同时，整个操作系统的内存使用率也由原来的32％上升到40％，升高了8％；Windows7系统进程内存使用率前后对比图具体如下表所示；[0073] dwm.exe 528K 532K 4Kwnlogon.exe 648K 752k 104Kcsrss.exe 1292K 1628K 336Ktaskhost.exe 1472K 1492K 20Ktaskmgr.exe 2976K 3224K 228Kexplorer.exe 9544K 10820K 1276K[0074] 由此可以看出，一个应用程序的启动(仅仅是启动，还没有进行任何使用和网络通信)就会对操作系统的进程资源使用率造成影响。而木马病毒等威胁程序在启动后还要跟远端(公网)的控制端进行通信，对进程的影响会更明显。[0075] 因此，在具体实施过程中，基线建模的过程就是对各台计算机启动的共有操作系统进程和共有的应用程序(一个公司/组织内部使用的应用程序会有共性)的资源使用率进行记录、监控的过程，把每一台计算机的每一个进程的资源使用率都写入数据库，为后续做分析处理奠定基础。[0076] 在建模过程中可以看出，任何一个应用程序的启动和通信都会对基线模型中的进程资源使用率造成影响，为了平衡对进程及操作系统资源使用率的影响和统计精度，需要动态地调整每台计算机的通信频率，具体为核心公式中计算出的时间规避算法。[0077] 显然，本发明的上述实施例仅仅是为清楚地说明本发明所作的举例，而并非是对本发明的实施方式的限定。对于所属领域的普通技术人员来说，在上述说明的基础上还可以做出其它不同形式的变化或变动。这里无需也无法对所有的实施方式予以穷举。凡在本发明的精神和原则之内所作的任何修改、等同替换和改进等，均应包含在本发明权利要求的保护范围之内。

专利地区：广东

专利申请日期：2021-08-10

专利公开日期：2024-11-29

专利公告号：CN113672912B