CN109413091A - 一种基于物联网终端的网络安全监控方法和装置 - Google Patents

Abstract

本发明公开了一种基于物联网终端的网络安全监控方法和装置，涉及物联网终端安全技术领域，用于对物联网终端进行实时监控，及时发现和处理终端异常和安全威胁情况。该方法包括：获取物联网核心网网元设备接口的流量数据，所述流量数据包括信令数据和用户数据；提取所述流量数据中的特征信息，所述特征信息包括物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值；判断预设的黑名单列表中是否存在与所述特征信息相匹配的列表内容；若存在，则根据预设的处置策略对所述流量数据进行处理并生成处置日志；将所述处置日志上报至管理端。

Description

一种基于物联网终端的网络安全监控方法和装置

技术领域

本发明涉及物联网终端安全技术领域，尤其涉及一种基于物联网终端的网络安全监控方法和装置。

背景技术

随着物联网技术的发展，物联网应用和终端数量飞速增长，然而由于物联网终端与传统移动终端相比，具有数量大、分布广、无人值守、体积小、安全防护能力差等缺点，因此很容易遭受网络安全威胁和攻击。传统的终端安全防护方式是在终端侧安装防病毒软件，但是由于物联网终端的计算能力和存储空间有限，无法通过在终端侧安装防病毒软件达到安全防护的目的，同时由于多数物联网终端无人值守，也无法及时升级和更新安全防护系统，因此传统的安全防护方式对物联网终端并不适用。

发明内容

本发明的实施例提供一种基于物联网终端的网络安全监控方法和装置，用于解决现有技术中传统安全防护方式不适用物联网终端的技术问题。

为达到解决上述技术问题的目的，本发明的实施例采用如下技术方案：

第一方面，本发明的实施例提供了一种基于物联网终端的网络安全监控方法，该方法包括：

获取物联网核心网网元设备接口的流量数据，所述流量数据包括信令数据和用户数据；

提取所述流量数据中的特征信息，所述特征信息包括物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值；

判断预设的黑名单列表中是否存在与所述特征信息相匹配的列表内容；

若存在，则根据预设的处置策略对所述流量数据进行处理并生成处置日志；

将所述处置日志上报至管理端。

第二方面，本发明的实施例提供了一种基于物联网终端的网络安全监控装置，该装置包括：

获取单元，用于获取物联网核心网网元设备接口的流量数据，所述流量数据包括信令数据和用户数据；

提取单元，用于提取所述流量数据中的特征信息，所述特征信息包括物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值；

判断单元，用于判断预设的黑名单列表中是否存在与所述特征信息相匹配的列表内容；

处理单元，用于若存在，则根据预设的处置策略对所述流量数据进行处理并生成处置日志；

上报单元，用于将所述处置日志上报至管理端。

第三方面，提供了一种存储一个或多个程序的计算机可读存储介质，所述一个或多个程序包括指令，所述指令当被计算机执行时使所述计算机执行如第一方面所述的基于物联网终端的网络安全监控方法。

第四方面，提供了一种包含指令的计算机程序产品，当所述指令在计算机上运行时，使得计算机执行如第一方面所述的基于物联网终端的网络安全监控方法。

第五方面，提供一种基于物联网终端的网络安全监控装置，包括：处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行上述第一方面所述的基于物联网终端的网络安全监控方法。

本发明的实施例提供一种基于物联网终端的网络安全监控方法和装置，通过对核心网网元设备的流量数据进行分析判断，得出是否存在恶意威胁的结果，并根据威胁类型进行相应处理。解决了现有技术中存在的无法在物联网终端安装防毒软件的缺点，另外管理端也可以实时掌握数据传输状态，及时下发威胁处理策略。

附图说明

图1为本发明的实施例提供的一种基于物联网终端的网络安全监控方法流程示意图一；

图2为本发明的实施例提供的一种基于物联网终端的网络安全监控方法流程示意图二；

图3为本发明的实施例提供的一种基于物联网终端的网络安全监控装置示意图一；

图4为本发明的实施例提供的一种基于物联网终端的网络安全监控装置示意图二。

具体实施方式

下面结合附图，对本发明的实施例进行描述。

本发明的实施例提供一种基于物联网终端的网络安全监控方法和装置，该物联网终端包括窄带物联网(Narrow Band Internet of Things,NB-IoT)终端和增强机器类通信(Enhanced Machine Type of Communication，eMTC)物联网终端。本发明的实施例以NB-IoT终端为例，由于该终端的计算能力和存储空间有限，因此本发明的核心思想为从网络侧切入部署安全防护系统，检测物联网核心网网元设备接口的流量数据判断其中是否存在恶意攻击，检测方法包括通过将采集的数据与预设的黑名单列表进行匹配，从而确定该流量数据中是否包含恶意攻击，若存在，则进行相应处理并上报处理结果。

参考图1所示，本发明的实施例提供了一种基于物联网终端的网络安全监控方法，应用于任意计算机设备，该计算机设备可以是物联网核心网网元设备，也可以是其它计算机设备，该方法包括步骤S101-S105：

S101、获取物联网核心网网元设备接口的流量数据。

物联网的网络层主要用于将获取的感知信息进行传送和处理，从实现的角度来看，网络层由下而上又分为三层，分别为接入网、核心网和业务网，其中核心网用于完成信息的远距离传输。而网元是网络管理中可以监视和管理的最小单位，因此实时获取物联网核心网网元设备接口处的流量数据作为研究对象，该流量数据包括信令数据和用户数据，信令数据是指控制数据，用户数据是指与用户直接相关的数据。获取流量数据的方法包括通过抓包工具获取数据并保存在pcap格式的文件中。

S102、提取该流量数据中的特征信息。

通过步骤S101获取了物联网核心网网元设备接口处的流量数据，将该流量数据通过深度数据包检测(Deep Packet Inspection，DPI)技术进行分析处理，进而提取特征信息，该特征信息包括物联网终端信息、访问目的端IP地址、统一资源定位符(UniformResource Locator，URL)地址、域名、传输文件摘要值。

S103、判断预设的黑名单列表中是否存在与该特征信息相匹配的列表内容。

其中，预设的黑名单列表中保存了大量的含恶意威胁的特征信息列表。

通过步骤S102提取出了包含有物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值的特征信息，遍历该预设的黑名单列表，判断预设的黑名单列表中是否存在与该特征信息相匹配的列表内容。

S104、若存在，则根据预设的处置策略对该流量数据进行处理并生成处置日志。

若预设的黑名单列表中存在与该特征信息相匹配的列表内容，则进一步判断该流量数据所对应的列表内容的威胁类型，最后根据威胁类型对该流量数据执行封堵、重定向或限流操作，同时生成处置日志。例如对于IP黑名单，需实施封堵操作，防止其继续传输；对于URL地址黑名单需要重新定向。

S105、将该处置日志上报至管理端。

该处置日志记录了威胁处理的所有信息，将该处置日志通过管理接口上报至管理端，以便管理端掌握物联网传输状态，进而下发相应的策略或新的故障处理方案。该管理端是指具有显示功能的计算机操作终端，可以远程接收物联网终端通过核心网传输的数据。

可选的，参考图2，当执行完步骤S103后，若预设的黑名单列表中不存在与该特征信息相匹配的列表内容，则本发明实施例还提供了一种基于物联网终端的网络安全监控方法，包括步骤S201-S204：

S201、判断预设的白名单列表中是否存在与该特征信息相匹配的列表内容。

其中，该预设的白名单列表中保存了不含恶意威胁的特征信息列表。

若通过步骤S103得到预设的黑名单列表中不存在与特征信息相匹配的列表内容，则继续判断预设的白名单列表中是否存在与该特征信息相匹配的列表内容，若该预设的白名单列表中存在与特征信息相匹配的列表内容，则程序结束，否则执行步骤S202。

S202、若不存在，则通过预设数据分析模型对该流量数据进行流量分析以得到分析结果。

其中，该预设数据分析模型存储有物联网终端恶意软件模型和异常行为模型。该物联网终端恶意软件模型，用于检测例如计算机病毒、计算机蠕虫、特洛伊木马、广告软件、勒索软件和/或意图损坏或至少部分控制计算机系统的其他软件。该异常行为模型用于检测数据传输过程中的异常行为，如接收地址、IP错乱等。

若通过步骤S201判断该预设的白名单列表中不存在与特征信息相匹配的列表内容，则需进一步对该流量数据进行分析，通过预设数据分析模型对该流量数据进行流量分析以得到分析结果，该预设数据分析模型可以是包含虚拟系统程序的沙箱。该分析结果包括两种，一种是流量数据包含恶意威胁，另一种是流量数据不包含恶意威胁。

S203、将该分析结果上报至管理端。

将通过步骤S202得到的分析结果通过管理接口上报至管理端，管理端根据该分析结果下发故障处理策略。可选的，该管理端是指具有显示功能的计算机操作终端，可以远程接收物联网终端通过核心网传输的数据。

S204、根据该分析结果更新该黑名单列表或白名单列表。

若分析结果为该流量数据包含恶意威胁，则将相应的特征信息存储至预设的黑名单列表，若分析结果为该流量数据不包含恶意威胁，则将相应的特征信息存储至预设的白名单列表，从而不断更新该黑名单列表或白名单列表。解决了物联网终端由于无人值守，无法及时更新升级的问题。

本发明的实施例提供一种基于物联网终端的网络安全监控方法和装置，通过对核心网网元设备的流量数据进行分析判断，得出是否存在恶意威胁的结果，并根据威胁类型进行相应处理。解决了现有技术中存在的无法在物联网终端安装防毒软件的缺点，另外管理端也可以实时掌握数据传输状态，及时下发威胁处理策略。

参照图3中所示，本发明实施例提供了一种基于物联网终端的网络安全监控装置，可以应用于如上所示的基于物联网终端的网络安全监控方法。该基于物联网终端的网络安全监控装置100包括：

获取单元101，用于获取物联网核心网网元设备接口的流量数据，该流量数据包括信令数据和用户数据。

提取单元102，用于提取该流量数据中的特征信息，该特征信息包括物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值。

判断单元103，用于判断预设的黑名单列表中是否存在与该特征信息相匹配的列表内容。

处理单元104，用于若存在，则根据预设的处置策略对该流量数据进行处理并生成处置日志。

上报单元105，用于将该处置日志上报至管理端。

可选的，该基于物联网终端的网络安全监控装置100还包括分析单元106，

该判断单元103，还用于判断预设的白名单列表中是否存在与该特征信息相匹配的列表内容。

该分析单元106，用于若不存在，则通过预设数据分析模型对该流量数据进行流量分析以得到分析结果，所述分析结果包括所述流量数据包含恶意威胁或不包含恶意威胁。

该上报单元105，还用于将该分析结果上报至管理端。

可选的，该基于物联网终端的网络安全监控装置100还包括更新单元107，用于根据该分析单元的分析结果更新该黑名单列表或白名单列表。

可选的，该处理单元104具体用于：

判断该流量数据所对应的列表内容的威胁类型；

根据该威胁类型对该流量数据执行封堵、重定向或限流操作，并生成处置日志。

本发明的实施例提供一种存储一个或多个程序的计算机可读存储介质，所述一个或多个程序包括指令，所述指令当被计算机执行时使计算机执行如图1-图2中所述的基于物联网终端的网络安全监控方法。

本发明的实施例提供一种包含指令的计算机程序产品，当指令在计算机上运行时，使得计算机执行如图1-图2中所述的基于物联网终端的网络安全监控方法。

图4示出了上述实施例中所涉及基于物联网终端的网络安全监控装置的又一种可能的结构示意图。该装置包括：处理器202和通信接口203。处理器202用于对装置的动作进行控制管理，例如，执行上述获取单元101、提取单元102、判断单元103以及处理单元104执行的步骤，和/或用于执行本文所描述的技术的其它过程。通信接口203用于支持该装置与其他网络实体的通信，例如，执行上述上报单元105执行的步骤。终端还可以包括存储器201和总线204，存储器201用于存储装置的程序代码和数据。

其中，上述处理器202可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，单元和电路。该处理器可以是中央处理器，通用处理器，数字信号处理器，专用集成电路，现场可编程门阵列或者其他可编程逻辑器件、晶体管逻辑器件、硬件部件或者其任意组合。其可以实现或执行结合本申请公开内容所描述的各种示例性的逻辑方框，单元和电路。所述处理器也可以是实现计算功能的组合，例如包含一个或多个微处理器组合，DSP和微处理器的组合等。

存储器201可以包括易失性存储器，例如随机存取存储器；该存储器也可以包括非易失性存储器，例如只读存储器，快闪存储器，硬盘或固态硬盘；该存储器还可以包括上述种类的存储器的组合。

总线204可以是扩展工业标准结构(Extended Industry StandardArchitecture，EISA)总线等。总线404可以分为地址总线、数据总线、控制总线等。为便于表示，图4中仅用一条粗线表示，但并不表示仅有一根总线或一种类型的总线。

通过以上的实施方式的描述，所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，仅以上述各功能单元的划分进行举例说明，实际应用中，可以根据需要而将上述功能分配由不同的功能单元完成，即将装置的内部结构划分成不同的功能单元，以完成以上描述的全部或者部分功能。上述描述的系统，装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

由于本发明的实施例中的基于物联网终端的网络安全监控装置、计算机可读存储介质、计算机程序产品可以应用于上述方法，因此，其所能获得的技术效果也可参考上述方法实施例，本发明实施例在此不再赘述。

需要说明的是，上述各单元可以为单独设立的处理器，也可以集成在控制器的某一个处理器中实现，此外，也可以以程序代码的形式存储于控制器的存储器中，由控制器的某一个处理器调用并执行以上各单元的功能。这里所述的处理器可以是一个中央处理器(Central Processing Unit，CPU)，或者是特定集成电路(Application SpecificIntegrated Circuit，ASIC)，或者是被配置成实施本发明实施例的一个或多个集成电路。

应理解，在本发明的各种实施例中，上述各过程的序号的大小并不意味着执行顺序的先后，各过程的执行顺序应以其功能和内在逻辑确定，而不应对本发明实施例的实施过程构成任何限定。

本领域普通技术人员可以意识到，结合本文中所公开的实施例描述的各示例的单元及算法步骤，能够以电子硬件、或者计算机软件和电子硬件的结合来实现。这些功能究竟以硬件还是软件方式来执行，取决于技术方案的特定应用和设计约束条件。专业技术人员可以对每个特定的应用来使用不同方法来实现所描述的功能，但是这种实现不应认为超出本发明的范围。

所属领域的技术人员可以清楚地了解到，为描述的方便和简洁，上述描述的系统、装置和单元的具体工作过程，可以参考前述方法实施例中的对应过程，在此不再赘述。

在本发明所提供的几个实施例中，应该理解到，所揭露的系统、设备和方法，可以通过其它的方式实现。例如，以上所描述的设备实施例仅仅是示意性的，例如，所述单元的划分，仅仅为一种逻辑功能划分，实际实现时可以有另外的划分方式，例如多个单元或组件可以结合或者可以集成到另一个系统，或一些特征可以忽略，或不执行。另一点，所显示或讨论的相互之间的耦合或直接耦合或通信连接可以是通过一些接口，设备或单元的间接耦合或通信连接，可以是电性，机械或其它的形式。

所述作为分离部件说明的单元可以是或者也可以不是物理上分开的，作为单元显示的部件可以是或者也可以不是物理单元，即可以位于一个地方，或者也可以分布到多个网络单元上。可以根据实际的需要选择其中的部分或者全部单元来实现本实施例方案的目的。

另外，在本发明各个实施例中的各功能单元可以集成在一个处理单元中，也可以是各个单元单独物理存在，也可以两个或两个以上单元集成在一个单元中。

Claims (11)

1.一种基于物联网终端的网络安全监控方法，其特征在于，包括：

获取物联网核心网网元设备接口的流量数据，所述流量数据包括信令数据和用户数据；

提取所述流量数据中的特征信息，所述特征信息包括物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值；

判断预设的黑名单列表中是否存在与所述特征信息相匹配的列表内容；

若存在，则根据预设的处置策略对所述流量数据进行处理并生成处置日志；

将所述处置日志上报至管理端。

2.根据权利要求1所述的基于物联网终端的网络安全监控方法，其特征在于，所述判断预设的黑名单列表中是否存在与所述特征信息相匹配的列表内容后，若不存在，则所述方法包括：

判断预设的白名单列表中是否存在与所述特征信息相匹配的列表内容；

若不存在，则通过预设数据分析模型对所述流量数据进行流量分析以得到分析结果，所述分析结果包括所述流量数据包含恶意威胁或不包含恶意威胁；

将所述分析结果上报至管理端。

3.根据权利要求2所述的基于物联网终端的网络安全监控方法，其特征在于，所述将所述分析结果上报至管理端后还包括：

根据所述分析结果更新所述黑名单列表或白名单列表。

4.根据权利要求1所述的基于物联网终端的网络安全监控方法，其特征在于，所述根据预设的处置策略对所述流量数据进行处理并生成处置日志包括：

判断所述流量数据所对应的列表内容的威胁类型；

根据所述威胁类型对所述流量数据执行封堵、重定向或限流操作，并生成处置日志。

5.一种基于物联网终端的网络安全监控装置，其特征在于，包括：

获取单元，用于获取物联网核心网网元设备接口的流量数据，所述流量数据包括信令数据和用户数据；

提取单元，用于提取所述流量数据中的特征信息，所述特征信息包括物联网终端信息、访问目的端IP地址、URL地址、域名、传输文件摘要值；

判断单元，用于判断预设的黑名单列表中是否存在与所述特征信息相匹配的列表内容；

处理单元，用于若存在，则根据预设的处置策略对所述流量数据进行处理并生成处置日志；

上报单元，用于将所述处置日志上报至管理端。

6.根据权利要求5所述的基于物联网终端的网络安全监控装置，其特征在于，所述装置还包括分析单元，

所述判断单元，还用于判断预设的白名单列表中是否存在与所述特征信息相匹配的列表内容；

所述分析单元，用于若不存在，则通过预设数据分析模型对所述流量数据进行流量分析以得到分析结果，所述分析结果包括所述流量数据包含恶意威胁或不包含恶意威胁；

所述上报单元，还用于将所述分析结果通过管理接口上报至管理端。

7.根据权利要求6所述的基于物联网终端的网络安全监控装置，其特征在于，所述装置还包括更新单元，

用于根据所述分析单元的分析结果更新所述黑名单列表或白名单列表。

8.根据权利要求5所述的基于物联网终端的网络安全监控装置，其特征在于，所述处理单元具体用于：

判断所述流量数据所对应的列表内容的威胁类型；

根据所述威胁类型对所述流量数据执行封堵、重定向或限流操作，并生成处置日志。

9.一种存储一个或多个程序的计算机可读存储介质，其特征在于，所述一个或多个程序包括指令，所述指令当被计算机执行时使所述计算机执行如权利要求1-4任一项所述的基于物联网终端的网络安全监控方法。

10.一种包含指令的计算机程序产品，其特征在于，当所述指令在计算机上运行时，使得所述计算机执行如权利要求1-4任一项所述的基于物联网终端的网络安全监控方法。

11.一种基于物联网终端的网络安全监控装置，其特征在于，包括：处理器和存储器，存储器用于存储程序，处理器调用存储器存储的程序，以执行如权利要求1-4任一项所述的基于物联网终端的网络安全监控方法。