CN1829953A - 用于显示网络安全性事故的方法和系统 - Google Patents

用于显示网络安全性事故的方法和系统 Download PDF

Info

Publication number
CN1829953A
CN1829953A CNA200480022035XA CN200480022035A CN1829953A CN 1829953 A CN1829953 A CN 1829953A CN A200480022035X A CNA200480022035X A CN A200480022035XA CN 200480022035 A CN200480022035 A CN 200480022035A CN 1829953 A CN1829953 A CN 1829953A
Authority
CN
China
Prior art keywords
security
bluedrama
group
network
events
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CNA200480022035XA
Other languages
English (en)
Other versions
CN100409148C (zh
Inventor
帕萨·巴塔卡娅
艾敏·T·李
阿吉·约瑟夫
艾利·史蒂文斯
迪瓦卡尔·纳拉马迪
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Cisco Technology Inc
Protego Networks Inc
Original Assignee
Cisco Technology Inc
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Cisco Technology Inc filed Critical Cisco Technology Inc
Publication of CN1829953A publication Critical patent/CN1829953A/zh
Application granted granted Critical
Publication of CN100409148C publication Critical patent/CN100409148C/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Abstract

网络安全性监控系统将多个安全性事件分组到网络会话中，根据预定网络安全性事件相关规则集合使网络会话相互关联，并且针对满足网络安全性事件相关规则之一的网络会话生成安全性事故。然后该系统以直观形式向系统的用户提供网络会话和安全性事故的信息。用户不仅能够获知可能的网络攻击的细节，还能够直观地创建新的安全性事件相关规则，其中包括用于丢弃特定类型的事件的丢弃规则。

Description

用于显示网络安全性事故的方法和系统
技术领域
本发明一般地涉及计算机网络安全性领域，尤其涉及用于显示网络安全性事故(incident)的系统和方法。
背景技术
从大型商业交易到个人金融管理，我们日常生活的几乎每个方面都依赖着诸如因特网这样的计算机网络的安全操作。
在过去几十年间，已开发出了不同技术来增强计算机网络面对攻击时的安全性。例如，多个诸如入侵检测传感器(IDS)这样的安全性传感器被部署在因特网或局域网(LAN)上，以检测可疑网络活动。
图1示出具有多个附接到路由器、防火墙、交换机和主机等的安全性传感器的计算机网络。每个安全性传感器被配置成这样：一旦其检测到经过其被附接到的设备的任何可疑网络流量，安全性传感器就向网络安全性监控系统发送安全性事件(event)。网络安全性监控系统负责分析来自不同源的安全性事件以及发现可能的网络攻击。然后，系统以易于理解的形式将结果提供给系统的用户，例如网络管理员。作为响应，用户采取适当的动作以将攻击所引起的损失降低到最小水平。在某些情况下，系统适于自动阻隔检测到的攻击。
一般而言，单个安全性事件中嵌入的信息只揭示大型网络攻击计划中的一小方面。这种有限的信息的精确度也可能受到其他网络设备的损害。例如，网络地址转换(NAI)设备常被用来转换想去往或源自局域网(LAN)内的内部主机和服务器的网络分组的地址和端口，以解决32位地址所提供的有限地址空间的问题。从而，NAT设备常常隐藏IP分组的真实源和目的地地址，这使得分组更难以被分析。
此外，网络攻击是随时间而发展的动态现象。随着网络技术的发展，出现了更复杂的伪装得更好的攻击策略，以突破当前的网络保护措施。作为响应，必须开发新的检测措施来发现和战胜这些新策略。
因此，非常需要有这样一种方法和系统，其不仅能够以实时方式分析安全性事件，还能够以直观形式提供结果，以便用户能够易于理解任何潜在的或者正在发生的攻击的特性。还希望用户能够使用该方法和系统来开发新策略，以便不仅捕获当前的网络攻击，还能够捕获未来的网络攻击。
发明内容
概括来说，一种网络安全性监控系统和方法接收和处理在预定时间段期间到达的多个安全性事件，其中包括将安全性事件分组到网络会话中，每个会话具有识别出的源和目的地，并且根据预定的安全性事件相关规则集合使网络会话相互关联。
然后该系统和方法显示代表网络中的设备的图，所述设备包括安全性设备和非安全性设备。所显示的图包括多个个体设备符号和多个群组设备符号，每个个体设备符号代表该网络的一个安全性设备，每个群组设备符号代表该网络的一个非安全性设备群组。
结合该图，该系统和方法显示安全性事故信息，对于群组设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在与群组设备符号相对应的非安全性设备群组的任何成员处的网络会话的数目。
在一个实施例中，该系统和方法还在用户选择群组设备符号之时，显示代表该群组中的非安全性设备的第二级图。所显示的第二级图还包括多个非安全性设备符号和多个安全性设备符号，每个非安全性设备符号代表一个充当网络会话的源或目的地的非安全性设备，每个安全性设备符号代表位于该非安全性设备附近的一个安全性设备。
在另一个实施例中，该系统和方法响应于一个或多个用户命令，从所显示的数据中选择网络会话，并且定义丢弃规则，该丢弃规则包括与所选择的网络会话相对应的网络条件集合。一旦存在一个或多个满足所述网络条件集合的传入安全性事件，该系统和方法就将其过滤掉：或者将其从安全性事件日志文件中丢弃掉，或者不将其显示给用户但仍将其保存在日志文件中。
附图说明
当结合附图阅读以下对本发明的优选实施例的详细描述时，可更清楚地理解本发明的上述特征和优点及其其他特征和优点。
图1示出强调通过网络安全性监控系统从多个安全性设备收集安全性事件的计算机网络。
图2是网络安全性监控系统的框图。
图3是展示本发明的主要步骤的流程图。
图4A-B分别是根据本发明的一个示例的热点和向量图。
图5A-B分别是根据本发明的另一个示例的第一级和第二级热点图。
图6示出安全性事故表，其列出预定时间段期间发生的安全性事故。
图7示出一个安全性事故的细节，其中包括安全性事件相关规则和网络会话列表。
图8示出网络会话的展开式列表，这些网络会话中包括与一行安全性事件相关规则相关联的两个会话。
图9示出包括网络会话的目的地主机的细节的弹出窗口。
图10示出包括诸如防火墙这样的安全性设备的细节的弹出窗口。
图11A-C分别示出与网络会话676852相关联的安全性事件集合、局部热点图和局部向量图。
图12A-C分别示出与网络会话676853相关联的安全性事件集合、局部热点图和局部向量图。
图13A-C分别示出与网络会话676903相关联的安全性事件集合、局部热点图和局部向量图。
图14A-C分别示出与网络会话676984相关联的安全性事件集合、局部热点图和局部向量图。
图15A-D示出用于定义假阳性(false positive)安全性事件然后构造安全性事件的丢弃规则的过程。
图16A-B分别示出丢弃规则列表以及分别与每个丢弃规则相关联的安全性事故的列表。
图17A-C示出用于构造相对于网络安全性监控系统接收到的安全性事件集合的查询然后将该查询保存为新相关规则的过程。
具体实施方式
本发明针对一种系统和方法，其分析由多个网络安全性设备发送到网络安全性监控系统的安全性事件流，以直观形式向系统的用户提供分析结果，并且帮助用户开发新的网络攻击检测策略。这种方法和系统的一个示例在2003年5月21日递交的题为“Network Security Monitoring System”的美国专利申请序列号10/443,946和2003年6月23日递交的题为“AMethod and System For Determining Intra-Session Event Correlation AcrossNetwork Address Translation Devices”的美国专利申请律师案卷号11353-004-999中公开，此处通过引用将这两个申请包含进来。
图2示出用于处理由部署在计算机网络上的多个安全性传感器所报告的安全性事件流的网络安全性监控系统200。网络安全性监控系统200通常包括一个或多个中央处理单元(CPU)202、网络或其他通信接口210、存储器214和用于互连监控系统200的各种组件的一个或多个通信总线。网络安全性监控系统200还包括用户接口204，例如包括显示器206和键盘208。存储器214包括高速随机访问存储器，还可包括非易失性存储器，例如一个或多个磁盘存储设备(未示出)。存储器214还可包括位于(多个)中央处理单元202远程的大容量存储装置。存储器214优选地存储：
·操作系统216，其包括用于处理各种基本系统服务和用于执行依赖于硬件的任务的过程；
·网络通信模块218，其用于经由一个或多个通信网络(有线或无线)将监控系统200连接到各种安全性设备或客户端计算机(未示出)，并且可能连接到其他服务器或计算机，所述通信网络例如是因特网、其他广域网、局域网、城域网等等；
·系统初始化模块220，其初始化监控系统200的适当操作所需的存储在存储器214中的其他模块和数据结构；
·会话内安全性事件相关引擎222，其用于将多个传入安全性事件分组成不同的网络会话；
·安全性事件相关规则评估引擎224，其用于根据预定的安全性事件相关规则集合来处理网络会话；
·针对不同网络攻击场景设计的多个安全性事件相关规则226；以及
·安全性事件日志228，其用于存储监控系统200接收到的安全性事件。
图3是示出根据本发明的一个实施例的网络安全性监控系统200的主要操作步骤的流程图。在步骤302处，监控系统进行必要的系统初始化，包括将两个引擎222和224以及安全性相关规则226加载到系统存储器中。
在步骤304中，监控系统接收到来自部署在网络上的安全性传感器的多个安全性事件，然后在步骤306处利用会话内安全性事件相关引擎222将它们分组成不同的网络会话。
在步骤308处，监控系统利用安全性事件相关规则评估引擎224来检查网络会话是否满足任何预定的安全性事件相关规则。如果是的话，则监控系统在步骤310处响应于该规则创建网络安全性事故，并且在步骤314处采取一定的动作来保护网络免受攻击，所述操作例如是通知网络管理员。如果不是的话，则监控系统检查与安全性事件相关规则相关联的预定时间段是否已期满。如果时间已期满，则系统返回步骤304，等待更多的传入安全性事件。如果时间已期满，则在步骤316处系统将安全性事件和网络会话从其存储器中转储到安全性事件日志文件228中。
以下讨论针对系统的用户交互特征，更具体地说，针对网络攻击如何被提供给用户以及用户如何调整系统以捕捉新开发的网络攻击策略。
在第一步骤处，用户(例如网络管理员)通过诸如Internet Explorer(Microsoft公司的商标)这样的网络浏览器登录到网络安全性监控系统中，并且访问系统的主页，如图4A所示。该主页包括热点图400。热点图向用户提供网络的概览，具体而言，是从图形上示出各种网络设备的概览。
热点图400中所示的设备可被分成两类，安全性设备和非安全性设备。安全性设备包括防火墙、路由器和网络交换机。安全性传感器，例如入侵检测传感器，常被附接到安全性设备，以用于监控经过设备的网络活动。非安全性设备是指没有被附接安全性传感器的那些设备。例如，未配备有安全性传感器的常规桌上型计算机通常是非安全性设备。通常，网络上的非安全性设备的数目高于安全性设备的数目。
在一个实施例中，每个安全性设备，例如防火墙“BR-FW-1”或网络交换机“BR-SW-1”是由热点图400上的唯一图形符号来表示的，这使得易于理解网络拓扑以及跟踪到各种攻击的源和目的地的位置。相反，非安全性设备通常不是由唯一符号来表示的，这是因为网络上有太多的非安全性设备了。作为替代，基于网络上的非安全性设备在网络上的物理位置将其组织成了群组。每个群组被给予了唯一名称，并且由热点图上的云团符号表示。例如，“Cloud-3”表示非安全性设备群组，并且被连接到三个围绕在周围的安全性设备，防火墙“BR-FW-1”、网络路由器“BR-Head-End-Router”和网络交换机“BR-SW-1”。
安全性传感器被配置为用于监控经过其所附接到的安全性设备的网络流量，并将安全性事件提交给网络安全性监控系统。安全性事件包含由安全性传感器响应于发生在安全性传感器所附接到的网络设备上的某个网络活动而生成的信息。例如，传播经过防火墙BR-FW-1的TCP/IP分组流可触发附接到防火墙的安全性传感器，以向监控系统提交一个或多个安全性事件。在一个实施例中，安全性事件包括事件参数集合，其包括但不限于源地址、目的地地址、报告设备ID、事件ID、事件类型和时间戳。
每个个体的安全性事件虽然有用，但却只提供了特定安全性设备处的网络活动的快照。这种信息通常不足以描述涉及多个源、目的地和网络路由的复杂网络攻击。作为替代，监控系统被用来根据预定的相关条件将由不同安全性传感器提交的多个安全性事件的事件参数相互关联起来，所述预定相关条件也被称为安全性事件相关规则，其代表网络攻击的可能场景。
但是，由于部署在网络上的网络地址转换(NAT)设备，因此安全性事件所报告的源和目的地地址可能不是触发安全性事件的网络活动的真实源和目的地地址。因此，在安全性事件相关的步骤之前，监控系统需要“撤销(undo)”NAT设备进行的地址转换，并且发现事件的真实源和目的地(如果可能的话)。然后，系统将安全性事件分组成不同网络会话。网络会话是共享相同的会话修饰符集合的安全性事件的群组，所述会话修饰符包括但不限于源地址、目的地地址和网络协议。因此，安全性事件相关实际上是在“会话化”的安全性事件之间发生的。
对于满足安全性事件相关规则的“会话化”的安全性事件的每个集合，网络安全性监控系统生成包括该“会话化”的安全性事件集合的安全性事故。换言之，安全性事故被定义为与值得网络员特别注意的多个可能协同的网络活动相关联的安全性事件的集合。安全性事故至少涉及两方：源和目的地。更复杂的事故可能涉及更多方。每一方可以是一个安全性设备或者是一个非安全性设备。
在一个实施例中，监控系统通过将黑点附加到代表包括已被涉及到安全性事故中的非安全性设备的群组的云团符号，从而来突出该设备。附加到(或关联到)设备符号或云团符号的黑点的数目充当关于特定安全性设备或非安全性设备群组的事故容量指示符。图4A示出两个黑点，一个附加到云团Perimeter-19，另一个附加到Perimeter 14，从而指示来自每个群组的一个成员已被涉及到安全性事故中，这将在下文中更详细讨论。
图4B示出向量图410，该向量图提供了由监控系统所检测到的安全性事故的不同视图。如上所述，热点图指示安全性事故中涉及哪一个非安全性设备或安全性设备群组，而不识别与特定事故相关的网络流量方向，例如，作为事故一部分的网络会话的源和目的地。相反，向量图410跳过了那些不充当事故的任何网络会话的源或目的地的安全性或非安全性设备。向量图410示出事故的任何一对源和目的地之间的网络会话的数目。例如，在源主机40.40.1.23和目的地主机192.168.1.10之间的总共有三个网络会话。根据这三个会话各自在安全性事件相关规则中的顺序，它们被分割成两个群组，具有一个会话的一个群组“E-115925”和具有两个会话的另一个群组“E-15527”。以下给出关于这些网络会话的更多讨论。
图5A示出了由系统在在预定时间段期间检测到几个安全性事故之后生成的更复杂的热点图。这些事故中至少涉及来自四个群组Perimeter-1、Cloud-3、Perimeter-14和Perimeter-19的非安全性设备，并且各种数目的黑点被与代表上述群组的云团相关联，以指示每个群组的涉及程度。例如，云团Perimeter-19指示有七个非安全性被涉及到了事故中，充当各种网络活动的源或目的地。在一个实施例中，监控系统设置给定时间段内热点图上的黑点的数目的上限，例如一小时期间三百个黑点。一旦达到此限制，则系统不再在图上生成新的黑点，直到时间段期满，这是因为具有太多黑点的热点图可能不那么直观，并且阻挠其将系统用户的注意力引向“热点”的原本目的。在另一个实施例中，不同的颜色被分配给云团符号，以代表群组中有多少个非安全性设备被涉及到了安全性事故中。
从热点图中，用户不仅能够获得对预定时段期间发生在网络上的可疑网络活动的概览，还能够对特定群组“放大”，从而取回关于该群组中已被涉及到这些网络活动中的非安全性设备的更多细节。例如，如果用户有兴趣获知关于由云团Cloud-3所表示的群组中的三个非安全性设备的更多细节，则他可以点击图5A中的云团Cloud-3，然后包含更多细节的新窗口弹出，如图5B所示。弹出窗口示出每个非安全性设备的名称和它们与彼此以及周围的其他安全性设备如何连接。
为了简单起见，以下讨论集中于图4A所示的示例。在此示例中，安全性事故至少涉及两个非安全性设备(一个在由云团Perimeter-9所表示的群组内，另一个在由云团Peremiter-14所表示的群组内)以及某个未知数目的安全性设备。但是，热点图不表明每个设备在安全性事故中扮演什么角色(例如源或目的地)、流量路由是什么以及攻击中是否涉及任何其他设备。收集此信息的一种方式是访问安全性事故表。
图6示出列出预定时间段期间发生的安全性事故的安全性事故表。在一个实施例中，安全性事故表包括六列。事故ID列601存储系统检测到的每个事故的唯一号码，字符“I”被放在该号码之前以指示它是事故ID。事件类型列602包括与构成事故的安全性事件集合相关联的一个或多个事件类型，每个类型包括一个表达式，该表达式描述哪种网络活动触发这种安全性事件。匹配规则列603标识与安全性事故相关联的安全性事件相关规则。动作列604表明响应于安全性事故采取了哪种动作。时间列605存储一个时间段，在该时间段期间安全性事件集合被不同安全性传感器所报告。最后，路径列606具有两个图标，这两个图标都与描述事故的流量路由的图相关联，这将在下文中讨论。为了获知关于事故的更多细节，用户可点击列601中的事故ID“685029”。作为响应，系统生成包含该事故的更多细节的新的网页。
图7示出包含事故685029的信息的网页，其包括安全性事件相关规则701以及多个网络会话702、703和704。安全性事件相关规则701被表达为一个表，该表的列的含意完全可以根据其名称不言而喻。表的每行在偏量列中具有唯一的数字，该数字指定与此行相关联的事件和与此行之前或之后的行相关联的事件之间的相关顺序。
正如动作/操作列中的操作符所指示的，相关顺序可以是逻辑顺序或时间顺序。例如，第一行的操作符是逻辑OR，这意味着如果存在与前两行中的任一行相关联的安全性事件，则相关可以移到第三行上。类似地，第二行的操作符是时间上的FOLLOWED-BY，这意味着属于前两行的事件必须在属于第三行的事件之前。在默认情况下，相关开始于第一行，并且结束在表的最后一行处。但是，如果必要的话可以用前括号和后括号来调整此顺序(见规则的Open和Close列，如图7所示)。
规则的每一行包括“Counts”列或字段，它指定在该行被视为满足之前必须满足该行的约束的安全性事件的数目。当Counts等于1时，只需要一个符合行约束的安全性事件。当Counts等于2或更多时，需要指定数目的这种事件。
除了相关顺序外，安全性事件相关规则的另一个重要方面是将不同安全性事件的源和目的地相互关联起来，以发现构成网络攻击的一系列协同的网络活动。例如，网络攻击可以是这样的一系列网络活动：这些网络活动是由黑客从一个或多个设备发起的，用于攻击某些目标设备以便破坏存储在目标设备中的数据或者将数据从目标设备非法传输到黑客指定的设备。
每个安全性事件包括特定网络活动的源和目的地的信息。根据网络流量的方向，网络活动的源可以是发起攻击的设备或受到攻击的设备。从而，规则的一行或多行的源IP和目的地IP列可以被填充以变量。在某些实施例中，变量由以美元符号“$”开始的文本串表示，例如$TARGET01，以用于表示主机地址。这种表达方式的优点是相同的变量可被重新用于不同行中，以根据预定顺序将它们链接在一起。例如，前三行中的代表相应安全性事件的目的地的变量$TARGET01变成了最后一行中的安全性事件的源，从而指示：仅当满足规则的第4行的分组源与满足规则的第1至第3行的分组目标相同时，规则才被满足。
最后，可能有由时间范围列指定的对相关安全性事件的时间约束。在图7所示的示例中，安全性相关规则701的时间范围列只有最后一行中的一个条目0hh:5mm:0ss，其意思是要想满足相关规则，那么第一安全性事件和最末安全性事件之间的满足此相关规则的时间差距应当不大于5分钟。
在图7的下半部分中是与安全性事件685029相关联的已满足了图7的上半部分中所示的安全性事件相关规则的网络会话的表。两个表共享类似的结构。列出了四个网络会话，每个网络会话具有唯一的ID，并且与规则的一个偏量相关联。例如，网络会话676903与偏量3相关联，网络会话676984与偏量4相关联。注意与偏量1相关联的会话已经被压缩成了一行，并且在表达式“Total：2”旁边的行中有加号按钮，以指示还有另外两个网络会话与偏量1相关联，用户可以通过点击加号来展开该表。
图8示出用户点击加号后的包括两个与偏量1相关联的会话的展开后的网络会话列表。与这两个网络会话相关联的安全性事件几乎是相同的，只不过它们是由不同设备所报告的。网络会话676852的安全性事件是由安全性传感器HQ-SW-IDSM-1报告的，网络会话676853的安全性事件是由传感器HQ-NIDS1报告的，这两个传感器都可以位于图4A的热点图中。注意，诸如事件、源IP和目的地IP之类的列下面的条目包括信息图标。用户可点击这些图标以取回关于该条目的更多细节。
例如，如果用户点击第一行中的IP地址192.168.1.10旁边的信息图标，则弹出如图9所示的窗口，从而提供关于充当多个网络会话的目的地的设备的更多细节，例如名称、设备类型、地理区域、设备管理员、状态和默认网关。类似地，图10示出了报告网络会话676984的安全性事件的安全性设备HQ-FW-1的更多细节。
除了获知关于每个与网络会话相关的设备的更多信息外，用户还可以更深入地了解属于网络会话之一的每个安全性事件，例如安全性传感器所报告的原始消息以及可疑网络活动的流量路由等等。
图11A示出包括分组在网络会话676852下的安全性事件(在此情况下，只有一个由安全性传感器HQ-SW-IDSM-1报告的事件676852)的弹出窗口。事件676852的原始消息指示事件的源地址是IP 40.40.1.23/0，目的地地址是IP 100.1.4.10/10，事件类型是“ICMP Network Sweepw/Echo”。注意原始消息中的目的地地址与网络会话表中的相应的目的地地址192.168.1.10不同。正如下文中将要说明的，此差异是由NAT设备造成的。
图11B示出了包括与网络会话676852相关联的局部热点图的弹出窗口。根据局部热点图，安全性事件676852是由附接到网络交换机HQ-SW-1的安全性传感器HQ-SW-IDSM-1响应于由从源地址40.40.1.23/0到目的地地址HQ-Web-1或192.168.1.10的一系列箭头所指示的网络流量而报告的。
图11C示出了包括与网络会话676852相关联的局部向量图的另一个弹出窗口。如上所述，局部向量图是抽象表达方式，其用途是使网络会话676852的源地址40.40.1.23与目的地地址192.168.1.10之间的网络会话676852可视化。因此，沿着出现在图11B的局部热点图中的路由的设备未出现在局部向量图中。局部向量图在这里示出了网络会话676852是从源地址40.40.1.23到目的地地址192.168.1.10的偏量为1的两个会话之一。
图12A示出了与网络会话676853相关联的安全性事件(在此情况下只有一个事件676853)。图12B和图12C示出了网络会话676853的局部热点和向量图。由于两个网络会话676852和676853都共享相同的源、目的地和偏量值，因此这两幅图与其关于网络会话676852的对应物相同。
图13A示出了与网络会话676903相关联的安全性事件。网络会话676903包括由多个安全性传感器报告的五个安全性事件。某些传感器，比如像HQ-NIDS1，位于NAT设备的一侧，某些位于另一侧。这就是在安全性事件676900的原始消息中目的地地址是100.1.4.10/80，而在安全性事件676904的原始消息中目的地地址是192.168.1.10/80的原因。即使网络会话676903的局部热点图与另两个相同，其局部向量图这一次也是不同的，因为网络会话676903具有不同的偏量值3。
最后，图14A示出了与网络会话676984相关联的三个安全性事件，这些事件是由附接到防火墙HQ-FW-1的安全性传感器报告的。图14B示出了包括开始于设备HQ-Web-1并且结束于设备30.30.2.24的网络流量路由的局部热点图，图14C示出了设备192.168.1.10或HQ-Web-1与设备30.30.2.24之间的网络会话676984。
如上所述，某些网络会话可能只包括一个安全性事件，例如网络会话676852和676853，而某些可能包括多个事件，例如会话676903和676984。在第一种情况下，网络会话中的唯一的安全性事件必须已满足了安全性事件相关规则的相应行中规定的要求。这种事件也被称为触发事件。在第二种情况下，网络会话内也至少有一个触发事件。但是，网络会话中的某些非触发事件可能不完全满足要求。这样，正如下文中更详细说明的，通过为这些事件中的每一个附上问号图标，从而在网络会话列表中突出了这些事件。
图15A示出了另一个安全性事故685008的网络会话列表和弹出窗口。偏量1处的网络会话675271具有多个安全性事件。其中的两个在末端处包括问号图标，从而建议虽然这些事件不是触发事件，但它们仍然足够可疑到被列在此处。系统的用户可通过进一步的调查来决定是否将这些事件保持在会话中。
图15A中的弹出窗口提供了更多信息，从而解释了为什么与会话675271相关联的两个事件之一具有问号。例如，当事件的目的地满足以下三个要求时，攻击类型“IIS Dot Dot Crash Attack”是有效的：a)操作系统是Windows NT 4.0，b)应用是因特网信息服务器(IIS)2.0，以及c)协议是TCP。在此示例中，事件的目的地实际上正在Windows 2000操作系统上运行Microsoft IIS 5.0。
由于安全性事件的目的地的操作系统不是Windows NT 4.0，因此这个安全性事件可能是假阳性的，并且未来的任何类似此事件的事件可能将不会出现在网络会话列表中。但是，用户可以决定类似此事件的事件是否是假阳性的以及即使它是假阳性的那么应当如何对待它。如果用户认为将这种类型的事件保持在网络会话列表中有用的话，则他点击图15A中的Cancel按钮，从而将来系统将会以相同的方式对待这种类型的安全性事件。否则，用户需要指示系统创建特殊的规则，即丢弃规则，这种规则将清除掉未来的任何这种类型的安全性事件。
图15B示出用户需要向监控系统提供的用于创建与假阳性事件相对应的丢弃规则的指令之一。即使具有一个特定的事件参数集合的安全性事件被定义为假阳性的，用户可能仍希望将其保存在日志文件或数据库中以供将来参考。但是，默认选项是将来一旦安全性事件到达系统就完全丢弃它以便节省计算机资源以供他用。
图15C示出了关于假阳性安全性事件的信息以及为此类型的安全性事件创建的新的丢弃规则表。丢弃规则表与安全性事件相关规则表类似，丢弃规则表的动作是丢弃(即忽略)任何满足表中指定的要求的事件。丢弃规则表可包括丢弃一种类型的安全性事件的一行，或者丢弃多种类型的安全性事件的多行。
在用户确认创建图15C中的新丢弃规则之后，系统关闭弹出窗口，并且网络会话列表中的相应的问号图标被具有字符“F”的新图标所替换，从而指示此事件已被标记为假阳性，如图15D所示。
图16A示出了丢弃规则列表，这些丢弃规则被聚集在与“DropRules”标签相关联的表中，以便将它们与“Inspection Rules”标签下的那些安全性事件相关规则区分开来。在此示例中，有两个丢弃规则，其中每一个用于丢弃一种特定类型的安全性事件。图16B示出了包含已被系统识别的假阳性事件的事故。这些事故已被划分成两组，每一组与各自的丢弃规则相关联。在一个实施例中，如果用户预先知道一种类型的安全性事件应当被视为假阳性的，则在这里他可以通过点击图16A中的添加按钮而不是经过以上联系图15A-D所讨论的过程来直接创建丢弃规则。
如上所述，安全性事件相关规则被创建来用于检测一种或多种网络攻击。由于响应于网络技术的进步新的网络攻击可能会发展变化，所以必须开发新的安全性事件相关规则来对付这些新的攻击。在一个实施例中，系统通过查询已记录的安全性事件数据从而发现新的攻击场景，来生成新的安全性事件相关规则。
图17A示出了用于查询已记录的安全性事件数据的查询表1701。查询表1701包括多列，这些列与图7所示的安全性事件相关规则表的列类似。在此示例中，源IP条目被设置为20.20.1.15，时间范围条目是一小时。如果用户向包含安全性事件数据的数据库提交此查询，则系统定位并显示以20.20.1.15作为其源并且在过去的一小时内到达系统的安全性事件的信息，然后把它们分组在不同事故和不同会话之下。
图17B示出了用户向数据库提交查询之后的查询结果。作为示例，此查询结果包括相同网络会话675271和相同安全性事故685008之下的多个安全性事件。图17C具有新的弹出窗口1702，该窗口提供了关于网络会话675271中的不同事件的更多细节。此弹出窗口的原始消息列下的条目说明哪种网络活动触发这些事件，并且它们是用于发现新的类型的网络攻击的重要源。如果用户认为查询找出的数据可能确实代表对网络安全性的潜在威胁，则他可以通过点击图17A中所示的“Save As Rules”按钮将该查询保存为新的安全性事件相关规则，从而补充现有的安全性事件相关规则。
为了进行说明，前述描述已参考特定实施例进行了描述。但是，以上的说明性的讨论并不是要无遗漏的或者将本发明限制到所公开的确切形式。在考虑到上述教导的情况下，许多修改和变体都是可能的。选择和描述这些实施例是为了最好地解释本发明的原理及其实际应用，从而使得本领域的技术人员能够以适合于所构思的特定用途的各种修改来最好地利用本发明和各种实施例。

Claims (31)

1.一种分析安全性事件的方法，包括：
接收和处理安全性事件，其中包括将所述安全性事件分组到网络会话中，每个会话具有识别出的源和目的地；
显示代表网络中的设备的图，所述设备包括安全性设备和非安全性设备，所显示的图包括多个个体设备符号和多个群组设备符号，每个个体设备符号代表所述网络的一个安全性设备，每个群组设备符号代表所述网络的一个非安全性设备群组；以及
结合所述图显示安全性事故信息，对于群组设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在与所述群组设备符号相对应的非安全性设备群组的任何成员处的网络会话的数目。
2.如权利要求1所述的方法，包括：
在用户选择非安全性设备群组的群组设备符号后，显示代表所述群组中的非安全性设备以及与所述群组相关联的安全性设备的第二级图，所显示的第二级图包括多个非安全性设备符号和多个安全性设备符号，每个非安全性设备符号代表所述群组中的一个非安全性设备，每个安全性设备符号代表所述群组中的一个安全性设备；以及
结合所述第二级图显示安全性事故信息，对于非安全性设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在所述非安全性设备处的网络会话的数目。
3.如权利要求1所述的方法，包括
在用户对所显示的图中的用户指定的设备符号发出命令后，显示代表其源或目的地在与所述用户指定的设备符号相对应的设备处的网络会话的数据。
4.如权利要求3所述的方法，包括响应于一个或多个用户命令，从所显示的数据中选择网络会话，并且定义丢弃规则，该丢弃规则包括与所选择的网络会话相对应的网络条件集合；
其中所述对安全性事件的处理包括过滤掉满足所定义的丢弃规则的网络会话。
5.如权利要求3所述的方法，其中所述代表网络会话的数据包括源和目的地标识信息、指示与所述网络会话相对应的事故的一种或多种类型的事件类型信息，以及指示报告与所述网络会话相关联的安全性事件的一个或多个安全性设备的安全性设备信息。
6.如权利要求1所述的方法，其中所述对安全性事件的处理包括识别一起满足预定的安全性事故识别规则群组中的安全性事故识别规则的网络会话的群组，并且将作为任何识别出的网络会话群组的成员的每个网络会话识别为规则触发网络会话；
其中每个事故容量指示符指示其源或目的地在与所述设备符号相对应的设备处的规则触发网络会话的数目。
7.如权利要求6所述的方法，其中所述对安全性事件的处理包括从所述规则触发网络会话中排除满足丢弃规则集合中的任何丢弃规则的任何网络会话，每个丢弃规则定义各自的条件集合。
8.一种定义规则的方法，所述规则识别安全性事故的关于安全性事件的实例，所述方法包括：
提供具有多行的表，每行定义一种类别的安全性事件，并且定义与所述表中的后续行的所述类别的安全性事件的逻辑关系；
使得用户对所述表的编辑能够在所述表的一行或多行中定义一个或多个约束，所述一个或多个约束是基于事件参数群组的，该群组包括源地址、目的地地址和事件类型；以及
使得用户对所述表的编辑能够指定所述表中用户选择的行相对于所述表的后续行的逻辑关系，所指定的逻辑关系是从布尔关系和定时关系的预定集合中选择出来的。
9.如权利要求8所述的方法，其中所述一个或多个约束包括指定一行的所述类别的安全性事件的源地址是所述表中的另一行的所述类别的安全性事件的目的地地址的约束。
10.如权利要求8所述的方法，其中所述一个或多个约束包括指定所述类别的安全性事件的一个或多个事件类型的约束。
11.如权利要求8所述的方法，其中所述一个或多个约束包括指定必须满足由所述表的一行指定的所有其他约束的安全性事件的数目的约束。
12.如权利要求8所述的方法，其中所述一个或多个约束包括针对所述表中要被评估为得到满足的一行指定必须顺序满足由所述行指定的所有其他约束的安全性事件的数目的约束。
13.如权利要求8所述的方法，其中所述定时关系指定一行的所述类别的安全性事件发生在后续行的所述类别的安全性事件之前。
14.一种定义对多个安全性事件的查询以检测用户定义的安全性事件模式的方法，该方法包括：
收集多个安全性事件，每个事件的特征在于包括源地址、目的地地址和事件类型的事件参数集合；
提供具有多行的表，每行具有多列并定义一种类别的安全性事件，一列指定与所述表中的后续行的所述类件的安全性事件的逻辑关系，一列指定所述类别的安全性事件的预定事件计数；
使得用户对所述表的编辑能够在所述表的一行或多行中定义一个或多个约束，所述一个或多个约束中的每一个约束将一行的一列或多列与所述表中的另一行的一列或多列相关联，或者将一行的一列或多列与预定的参数集合相关联；以及
使得用户对所述表的编辑能够指定所述表的用户选择的行相对于所述表的后续行的逻辑关系，所指定的逻辑关系是从布尔关系和定时关系的预定集合中选择出来的。
15.如权利要求14所述的方法，其中所述多行指定网络条件集合，以使得任何未来的处理跳过满足所述条件集合的一个或多个安全性事件。
16.一种分析安全性事件流的方法，包括：
接收和处理安全性事件流，其中包括将所述安全性事件分组到多个网络会话中，每个会话具有识别出的源和目的地并且被分配唯一的会话标识符；
将多个预定的安全性事件相关规则应用到与经处理的安全性事件相关联的所述多个网络会话；
对于所述预定的安全性事件相关规则的子集中的每一个，从与所述经处理的安全性事件相关联的多个网络会话中识别满足所述规则的网络会话；
显示代表网络中的设备的图，所显示的图包括多个个体设备符号和多个群组设备符号，每个个体设备符号代表所述网络的一个安全性设备，每个群组设备符号代表所述网络的一个非安全性设备群组；以及
结合所述图显示与所识别出的网络会话相关联的信息，对于每个群组设备符号，所述信息包括会话容量指示符，该会话容量指示符指示其源或目的地在与所述群组设备符号相对应的非安全性设备群组中的非安全性设备处的识别出的网络会话的数目。
17.一种分析安全性事件流的方法，包括：
接收安全性事件流；
将所述安全性事件分组到多个网络会话中，每个会话具有至少一个安全性事件并且其特征在于识别出的源和目的地；
将多个预定的安全性事件相关规则应用到与所述安全性事件相关联的所述多个网络会话；
对于所述预定的安全性事件相关规则的子集中的每一个，识别满足所述规则的网络会话；
显示代表网络中的设备的图，所显示的图包括多个个体设备符号和多个群组设备符号，每个个体设备符号代表所述网络的一个安全性设备，每个群组设备符号代表所述网络的一个非安全性设备群组；以及
结合所述图显示与识别出的网络会话相关联的信息，对于每个群组设备符号，所述信息包括会话容量指示符，该会话容量指示符指示其源或目的地在与所述群组设备符号相对应的非安全性设备群组中的非安全性设备处的识别出的网络会话的数目。
18.一种网络安全性事件分析系统，包括：
一个或多个用于执行程序的中央处理单元；
用于接收安全性事件的接口；以及
可以由所述一个或多个中央处理单元执行的网络安全性事件相关引擎，该引擎包括：
用于接收和处理安全性事件的指令，其中包括将所述安全性事件分组到网络会话中，每个会话具有识别出的源和目的地；
用于显示代表网络中的设备的图的指令，所述设备包括安全性设备和非安全性设备，所显示的图包括多个个体设备符号和多个群组设备符号，每个个体设备符号代表所述网络的一个安全性设备，每个群组设备符号代表所述网络的一个非安全性设备群组；以及
用于结合所述图显示安全性事故信息的指令，对于群组设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在与所述群组设备符号相对应的非安全性设备群组的一个成员处的网络会话的数目。
19.如权利要求18所述的系统，包括
用于响应于用户对非安全性设备群组的群组设备符号的选择，显示代表所述群组中的非安全性设备以及与所述群组相关联的安全性设备的第二级图的指令，所显示的第二级图包括多个非安全性设备符号和多个安全性设备符号，每个非安全性设备符号代表所述群组中的一个非安全性设备，每个安全性设备符号代表所述群组中的一个安全性设备；以及
用于结合所述第二级图显示安全性事故信息的指令，对于非安全性设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在所述非安全性设备处的网络会话的数目。
20.如权利要求18所述的系统，包括
用于响应于用户对所显示的图中的用户指定的设备符号的命令，显示代表其源或目的地在与所述用户指定的设备符号相对应的设备处的网络会话的数据的指令。
21.如权利要求20所述的系统，包括用于响应于一个或多个用户命令从所显示的数据中选择网络会话并且定义丢弃规则的指令，所述丢弃规则包括与所选择的网络会话相对应的网络条件集合；其中所述对安全性事件的处理包括过滤掉满足所定义的丢弃规则的网络会话。
22.如权利要求20所述的系统，其中所述代表网络会话的数据包括源和目的地标识信息、指示与所述网络会话相对应的事故的一种或多种类型的事件类型信息，以及指示报告与所述网络会话相关联的安全性事件的一个或多个安全性设备的安全性设备信息。
23.如权利要求18所述的系统，其中所述对安全性事件的处理包括识别一起满足预定的安全性事故识别规则群组中的安全性事故识别规则的网络会话的群组，并且将作为任何识别出的网络会话群组的成员的每个网络会话识别为规则触发网络会话；其中每个事故容量指示符指示其源或目的地在与所述设备符号相对应的设备处的规则触发网络会话的数目。
24.如权利要求23所述的系统，其中所述对安全性事件的处理包括从所述规则触发网络会话中排除满足丢弃规则集合中的任何丢弃规则的任何网络会话，每个丢弃规则定义各自的条件集合。
25.一种用于结合计算机系统使用的计算机程序产品，该计算机程序产品包括计算机可读存储介质和嵌入在其中的计算机程序机制，该计算机程序机制包括：
用于接收和处理安全性事件的指令，其中包括将所述安全性事件分组到网络会话中，每个会话具有识别出的源和目的地；
用于显示代表网络中的设备的图的指令，所述设备包括安全性设备和非安全性设备，所显示的图包括多个个体设备符号和多个群组设备符号，每个个体设备符号代表所述网络的一个安全性设备，每个群组设备符号代表所述网络的一个非安全性设备群组；以及
用于结合所述图显示安全性事故信息的指令，对于群组设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在与所述群组设备符号相对应的非安全性设备群组的一个成员处的网络会话的数目。
26.如权利要求25所述的计算机程序产品，包括
用于响应于用户对非安全性设备群组的群组设备符号的选择，显示代表所述群组中的非安全性设备以及与所述群组相关联的安全性设备的第二级图的指令，所显示的第二级图包括多个非安全性设备符号和多个安全性设备符号，每个非安全性设备符号代表所述群组中的一个非安全性设备，每个安全性设备符号代表所述群组中的一个安全性设备；以及
用于结合所述第二级图显示安全性事故信息的指令，对于非安全性设备符号，所述信息包括事故容量指示符，该事故容量指示符指示其源或目的地在所述非安全性设备处的网络会话的数目。
27.如权利要求25所述的计算机程序产品，包括
用于响应于用户对所显示的图中的用户指定的设备符号的命令，显示代表其源或目的地在与所述用户指定的设备符号相对应的设备处的网络会话的数据的指令。
28.如权利要求27所述的计算机程序产品，包括用于响应于一个或多个用户命令从所显示的数据中选择网络会话并且定义丢弃规则的指令，所述丢弃规则包括与所选择的网络会话相对应的网络条件集合；其中所述对安全性事件的处理包括过滤掉满足所定义的丢弃规则的网络会话。
29.如权利要求27所述的计算机程序产品，其中所述代表网络会话的数据包括源和目的地标识信息、指示与所述网络会话相对应的事故的一种或多种类型的事件类型信息，以及指示报告与所述网络会话相关联的安全性事件的一个或多个安全性设备的安全性设备信息。
30.如权利要求25所述的计算机程序产品，其中所述对安全性事件的处理包括识别一起满足预定的安全性事故识别规则群组中的安全性事故识别规则的网络会话的群组，并且将作为任何识别出的网络会话群组的成员的每个网络会话识别为规则触发网络会话；其中每个事故容量指示符指示其源或目的地在与所述设备符号相对应的设备处的规则触发网络会话的数目。
31.如权利要求30所述的计算机程序产品，其中所述对安全性事件的处理包括从所述规则触发网络会话中排除满足丢弃规则集合中的任何丢弃规则的任何网络会话，每个丢弃规则定义各自的条件集合。
CNB200480022035XA 2003-09-12 2004-09-03 用于显示网络安全性事故的方法和系统 Active CN100409148C (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
US10/661,224 US7644365B2 (en) 2003-09-12 2003-09-12 Method and system for displaying network security incidents
US10/661,224 2003-09-12

Publications (2)

Publication Number Publication Date
CN1829953A true CN1829953A (zh) 2006-09-06
CN100409148C CN100409148C (zh) 2008-08-06

Family

ID=34273828

Family Applications (1)

Application Number Title Priority Date Filing Date
CNB200480022035XA Active CN100409148C (zh) 2003-09-12 2004-09-03 用于显示网络安全性事故的方法和系统

Country Status (4)

Country Link
US (2) US7644365B2 (zh)
EP (1) EP1665011B1 (zh)
CN (1) CN100409148C (zh)
WO (1) WO2005026900A2 (zh)

Cited By (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103875222A (zh) * 2011-09-15 2014-06-18 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN105659245A (zh) * 2013-11-06 2016-06-08 迈克菲公司 上下文感知的网络取证
CN112242991A (zh) * 2019-07-17 2021-01-19 卡巴斯基实验室股份制公司 用于关联事件来检测信息安全事故的系统和方法

Families Citing this family (110)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US7899901B1 (en) 2002-12-02 2011-03-01 Arcsight, Inc. Method and apparatus for exercising and debugging correlations for network security system
US7376969B1 (en) 2002-12-02 2008-05-20 Arcsight, Inc. Real time monitoring and analysis of events from multiple network security devices
US7607169B1 (en) 2002-12-02 2009-10-20 Arcsight, Inc. User interface for network security console
US8176527B1 (en) 2002-12-02 2012-05-08 Hewlett-Packard Development Company, L. P. Correlation engine with support for time-based rules
US7219239B1 (en) 2002-12-02 2007-05-15 Arcsight, Inc. Method for batching events for transmission by software agent
US7788722B1 (en) 2002-12-02 2010-08-31 Arcsight, Inc. Modular agent for network security intrusion detection system
US7260844B1 (en) 2003-09-03 2007-08-21 Arcsight, Inc. Threat detection in a network security system
US8015604B1 (en) * 2003-10-10 2011-09-06 Arcsight Inc Hierarchical architecture in a network security system
US9027120B1 (en) 2003-10-10 2015-05-05 Hewlett-Packard Development Company, L.P. Hierarchical architecture in a network security system
US7565696B1 (en) 2003-12-10 2009-07-21 Arcsight, Inc. Synchronizing network security devices within a network security system
EP1544707A1 (en) * 2003-12-15 2005-06-22 Abb Research Ltd. Network security system
US8041799B1 (en) * 2004-04-30 2011-10-18 Sprint Communications Company L.P. Method and system for managing alarms in a communications network
US7509677B2 (en) * 2004-05-04 2009-03-24 Arcsight, Inc. Pattern discovery in a network security system
WO2006039208A2 (en) * 2004-09-22 2006-04-13 Cyberdefender Corporation Threat protection network
US7730494B1 (en) * 2005-04-20 2010-06-01 At&T Corp. Methods and apparatus for service and network management event correlation
US9100422B1 (en) * 2004-10-27 2015-08-04 Hewlett-Packard Development Company, L.P. Network zone identification in a network security system
US7644438B1 (en) 2004-10-27 2010-01-05 Arcsight, Inc. Security event aggregation at software agent
US7809131B1 (en) 2004-12-23 2010-10-05 Arcsight, Inc. Adjusting sensor time in a network security system
US7647632B1 (en) 2005-01-04 2010-01-12 Arcsight, Inc. Object reference in a system
US8850565B2 (en) 2005-01-10 2014-09-30 Hewlett-Packard Development Company, L.P. System and method for coordinating network incident response activities
US9256740B2 (en) 2005-02-22 2016-02-09 International Business Machines Corporation Method and system for analysis of security events in a managed computer network
US7844999B1 (en) 2005-03-01 2010-11-30 Arcsight, Inc. Message parsing in a network security system
US8806634B2 (en) * 2005-04-05 2014-08-12 Donald N. Cohen System for finding potential origins of spoofed internet protocol attack traffic
US7937344B2 (en) 2005-07-25 2011-05-03 Splunk Inc. Machine data web
US7882262B2 (en) * 2005-08-18 2011-02-01 Cisco Technology, Inc. Method and system for inline top N query computation
CN100429890C (zh) * 2005-09-05 2008-10-29 北京启明星辰信息技术有限公司 网络安全事件的可视化定位方法及系统
JP4459890B2 (ja) * 2005-11-04 2010-04-28 株式会社日立製作所 情報処理装置、インシデント対応装置の制御方法、及びプログラム
US7930746B1 (en) * 2005-12-29 2011-04-19 At&T Intellectual Property Ii, L.P. Method and apparatus for detecting anomalous network activities
US7408458B1 (en) * 2005-12-29 2008-08-05 At&T Corp. Method and apparatus for suppressing duplicate alarms
US20070195776A1 (en) * 2006-02-23 2007-08-23 Zheng Danyang R System and method for channeling network traffic
US7823069B1 (en) * 2006-03-23 2010-10-26 Cisco Technology, Inc. Method and application tool for dynamically navigating a user customizable representation of a network device configuration
US8233388B2 (en) * 2006-05-30 2012-07-31 Cisco Technology, Inc. System and method for controlling and tracking network content flow
US8307444B1 (en) * 2006-06-12 2012-11-06 Redseal Networks, Inc. Methods and apparatus for determining network risk based upon incomplete network configuration data
US9715675B2 (en) * 2006-08-10 2017-07-25 Oracle International Corporation Event-driven customizable automated workflows for incident remediation
US9824107B2 (en) * 2006-10-25 2017-11-21 Entit Software Llc Tracking changing state data to assist in computer network security
IL181428A0 (en) * 2007-02-19 2007-07-04 Deutsche Telekom Ag Deployment of distributed network intrusion detection systems in social networks
US8108924B1 (en) * 2007-05-24 2012-01-31 Sprint Communications Company L.P. Providing a firewall's connection data in a comprehendible format
JP4827972B2 (ja) * 2007-09-28 2011-11-30 日本電信電話株式会社 ネットワーク監視装置、ネットワーク監視方法およびネットワーク監視プログラム
US8412922B2 (en) * 2007-10-24 2013-04-02 Sercomm Corporation On-site configuration of a hardware device module of a security system
US9154379B2 (en) * 2007-10-25 2015-10-06 Sercomm Corporation Remote configuration of a hardware device module of a security system
US20090254970A1 (en) * 2008-04-04 2009-10-08 Avaya Inc. Multi-tier security event correlation and mitigation
US8279768B2 (en) * 2008-05-05 2012-10-02 Eaton Corporation Methods, devices and computer program products for capturing events associated network anomalies
US20100064235A1 (en) * 2008-08-26 2010-03-11 Walls Marshall G Visual Intuitive Interactive Interwoven Multi-Layered Maintenance Support GUI
US8744806B2 (en) * 2008-10-29 2014-06-03 Sevone, Inc. Scalable performance management system
FR2944117B1 (fr) * 2009-04-06 2014-05-09 Airbus France Procedes et dispositifs de gestion d'evenements lies a la securite des systemes informatiques d'aeronefs
WO2011002818A1 (en) * 2009-06-29 2011-01-06 Cyberdefender Corporation Systems and methods for operating an anti-malware network on a cloud computing platform
US8549641B2 (en) * 2009-09-03 2013-10-01 Palo Alto Research Center Incorporated Pattern-based application classification
US8779921B1 (en) * 2010-05-14 2014-07-15 Solio Security, Inc. Adaptive security network, sensor node and method for detecting anomalous events in a security network
US8356096B2 (en) * 2010-05-28 2013-01-15 Verizon Patent And Licensing Inc. Apparatuses, method and system for network performance metric statistics from traffic link data, identifying, violating network elements associated with threshold violation using visual cue
US8239529B2 (en) 2010-11-30 2012-08-07 Google Inc. Event management for hosted applications
US9009185B2 (en) * 2010-12-28 2015-04-14 Sevone, Inc. Scalable performance management system
US9007919B2 (en) * 2011-07-22 2015-04-14 Empirix Inc. Systems and methods for network monitoring and testing using dimension value based KPIs
US8914406B1 (en) 2012-02-01 2014-12-16 Vorstack, Inc. Scalable network security with fast response protocol
US9137258B2 (en) 2012-02-01 2015-09-15 Brightpoint Security, Inc. Techniques for sharing network security event information
US9710644B2 (en) 2012-02-01 2017-07-18 Servicenow, Inc. Techniques for sharing network security event information
US9258195B1 (en) * 2012-08-08 2016-02-09 Shoretel, Inc. Logical topology visualization
US8782784B1 (en) 2012-09-25 2014-07-15 Emc Corporation Framework for implementing security incident and event management in an enterprise
US9485159B1 (en) * 2012-12-17 2016-11-01 Juniper Networks, Inc. Rules-based network service management with on-demand dependency insertion
US9239887B2 (en) 2012-12-18 2016-01-19 Cisco Technology, Inc. Automatic correlation of dynamic system events within computing devices
EP2747365A1 (en) * 2012-12-21 2014-06-25 British Telecommunications public limited company Network security management
FR3009163B1 (fr) * 2013-07-25 2015-09-04 Thales Sa Procede pour l'echange en securite d'une donnee sur un reseau ad-hoc mettant en oeuvre un service de diffusion xcast; noeud associe
US9686581B2 (en) 2013-11-07 2017-06-20 Cisco Technology, Inc. Second-screen TV bridge
US11086897B2 (en) 2014-04-15 2021-08-10 Splunk Inc. Linking event streams across applications of a data intake and query system
US10700950B2 (en) 2014-04-15 2020-06-30 Splunk Inc. Adjusting network data storage based on event stream statistics
US10462004B2 (en) 2014-04-15 2019-10-29 Splunk Inc. Visualizations of statistics associated with captured network data
US9923767B2 (en) * 2014-04-15 2018-03-20 Splunk Inc. Dynamic configuration of remote capture agents for network data capture
US10127273B2 (en) 2014-04-15 2018-11-13 Splunk Inc. Distributed processing of network data using remote capture agents
US10366101B2 (en) 2014-04-15 2019-07-30 Splunk Inc. Bidirectional linking of ephemeral event streams to creators of the ephemeral event streams
US11281643B2 (en) 2014-04-15 2022-03-22 Splunk Inc. Generating event streams including aggregated values from monitored network data
US10693742B2 (en) 2014-04-15 2020-06-23 Splunk Inc. Inline visualizations of metrics related to captured network data
US10360196B2 (en) 2014-04-15 2019-07-23 Splunk Inc. Grouping and managing event streams generated from captured network data
US9762443B2 (en) 2014-04-15 2017-09-12 Splunk Inc. Transformation of network data at remote capture agents
US10523521B2 (en) 2014-04-15 2019-12-31 Splunk Inc. Managing ephemeral event streams generated from captured network data
US10222935B2 (en) 2014-04-23 2019-03-05 Cisco Technology Inc. Treemap-type user interface
US10175855B2 (en) * 2014-06-25 2019-01-08 Oracle International Corporation Interaction in orbit visualization
US9444829B1 (en) * 2014-07-30 2016-09-13 Symantec Corporation Systems and methods for protecting computing resources based on logical data models
US10412117B2 (en) 2014-08-05 2019-09-10 Dflabs S.P.A. Method and system for automated cybersecurity incident and artifact visualization and correlation for security operation centers and computer emergency response teams
US9756062B2 (en) * 2014-08-27 2017-09-05 General Electric Company Collaborative infrastructure supporting cyber-security analytics in industrial networks
US20160253046A1 (en) * 2015-02-27 2016-09-01 Cisco Technology, Inc. Recording system state data and presenting a navigable graphical user interface
US10454950B1 (en) * 2015-06-30 2019-10-22 Fireeye, Inc. Centralized aggregation technique for detecting lateral movement of stealthy cyber-attacks
US9516052B1 (en) 2015-08-01 2016-12-06 Splunk Inc. Timeline displays of network security investigation events
US9363149B1 (en) 2015-08-01 2016-06-07 Splunk Inc. Management console for network security investigations
US10254934B2 (en) 2015-08-01 2019-04-09 Splunk Inc. Network security investigation workflow logging
CN105227358B (zh) * 2015-09-17 2019-07-09 Oppo广东移动通信有限公司 网络类型的设置方法和系统
US9998482B2 (en) 2015-09-18 2018-06-12 International Business Machines Corporation Automated network interface attack response
US9888024B2 (en) 2015-09-30 2018-02-06 Symantec Corporation Detection of security incidents with low confidence security events
CA3007844C (en) 2015-12-11 2021-06-22 Servicenow, Inc. Computer network threat assessment
US10552615B2 (en) 2016-02-18 2020-02-04 Swimlane Llc Threat response systems and methods
US10826933B1 (en) * 2016-03-31 2020-11-03 Fireeye, Inc. Technique for verifying exploit/malware at malware detection appliance through correlation with endpoints
US10893059B1 (en) 2016-03-31 2021-01-12 Fireeye, Inc. Verification and enhancement using detection systems located at the network periphery and endpoint devices
US10103964B2 (en) 2016-06-17 2018-10-16 At&T Intellectual Property I, L.P. Managing large volumes of event data records
US10771492B2 (en) 2016-09-22 2020-09-08 Microsoft Technology Licensing, Llc Enterprise graph method of threat detection
US11210622B2 (en) * 2016-09-26 2021-12-28 Splunk Inc. Generating augmented process models for process analytics
US9781603B1 (en) * 2016-10-20 2017-10-03 Fortress Cyber Security, LLC Combined network and physical security appliance
US10372520B2 (en) 2016-11-22 2019-08-06 Cisco Technology, Inc. Graphical user interface for visualizing a plurality of issues with an infrastructure
US10739943B2 (en) 2016-12-13 2020-08-11 Cisco Technology, Inc. Ordered list user interface
US10652280B2 (en) * 2017-04-24 2020-05-12 Unisys Corporation User interface features for enterprise security management
US10333960B2 (en) 2017-05-03 2019-06-25 Servicenow, Inc. Aggregating network security data for export
US20180322295A1 (en) * 2017-05-04 2018-11-08 International Business Machines Corporation Encoding information using word embedding
US20180324207A1 (en) 2017-05-05 2018-11-08 Servicenow, Inc. Network security threat intelligence sharing
US10862867B2 (en) * 2018-04-01 2020-12-08 Cisco Technology, Inc. Intelligent graphical user interface
US10764149B2 (en) * 2018-09-12 2020-09-01 The Mitre Corporation Cyber-physical system evaluation
US11431734B2 (en) 2019-04-18 2022-08-30 Kyndryl, Inc. Adaptive rule generation for security event correlation
GB2585192A (en) * 2019-06-30 2021-01-06 British Telecomm Impeding location threat propagation in computer networks
RU2739864C1 (ru) 2019-07-17 2020-12-29 Акционерное общество "Лаборатория Касперского" Система и способ корреляции событий для выявления инцидента информационной безопасности
US11245703B2 (en) 2019-09-27 2022-02-08 Bank Of America Corporation Security tool for considering multiple security contexts
US20220019340A1 (en) * 2020-07-15 2022-01-20 yuchen du Social knowledge graph for collective learning
US11601449B2 (en) * 2020-07-21 2023-03-07 Absolute Software Corporation Event evaluation pipeline for alert engine
US11711381B2 (en) 2020-10-29 2023-07-25 International Business Machines Corporation Automatic hotspot identification in network graphs
CN113179267B (zh) * 2021-04-27 2022-12-06 长扬科技(北京)股份有限公司 一种网络安全事件关联分析方法和系统

Family Cites Families (73)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US5566339A (en) 1992-10-23 1996-10-15 Fox Network Systems, Inc. System and method for monitoring computer environment and operation
JP3143539B2 (ja) * 1993-02-03 2001-03-07 キヤノン株式会社 インク残量検知方法およびその装置ならびにインクジェット記録装置
US5611059A (en) * 1994-09-02 1997-03-11 Square D Company Prelinked parameter configuration, automatic graphical linking, and distributed database configuration for devices within an automated monitoring/control system
US20030033402A1 (en) * 1996-07-18 2003-02-13 Reuven Battat Method and apparatus for intuitively administering networked computer systems
US6233575B1 (en) * 1997-06-24 2001-05-15 International Business Machines Corporation Multilevel taxonomy based on features derived from training documents classification using fisher values as discrimination values
US6088804A (en) * 1998-01-12 2000-07-11 Motorola, Inc. Adaptive system and method for responding to computer network security attacks
US6717949B1 (en) * 1998-08-31 2004-04-06 International Business Machines Corporation System and method for IP network address translation using selective masquerade
US6728885B1 (en) 1998-10-09 2004-04-27 Networks Associates Technology, Inc. System and method for network access control using adaptive proxies
US6321338B1 (en) * 1998-11-09 2001-11-20 Sri International Network surveillance
US6550012B1 (en) 1998-12-11 2003-04-15 Network Associates, Inc. Active firewall system and methodology
US6609205B1 (en) * 1999-03-18 2003-08-19 Cisco Technology, Inc. Network intrusion detection signature analysis using decision graphs
US6502133B1 (en) * 1999-03-25 2002-12-31 Lucent Technologies Inc. Real-time event processing system with analysis engine using recovery information
US6563824B1 (en) * 1999-04-20 2003-05-13 3Com Corporation Apparatus and methods for determining the correct workstation within a LAN for a LAN modem to route a packet
US6886102B1 (en) 1999-07-14 2005-04-26 Symantec Corporation System and method for protecting a computer network against denial of service attacks
US7159030B1 (en) * 1999-07-30 2007-01-02 Intel Corporation Associating a packet with a flow
US6505192B1 (en) * 1999-08-12 2003-01-07 International Business Machines Corporation Security rule processing for connectionless protocols
US6826697B1 (en) 1999-08-30 2004-11-30 Symantec Corporation System and method for detecting buffer overflow attacks
US6647400B1 (en) 1999-08-30 2003-11-11 Symantec Corporation System and method for analyzing filesystems to detect intrusions
US7124204B2 (en) * 1999-11-18 2006-10-17 Amdocs (Israel) Ltd. Threshold-based database synchronization system and method
US6779120B1 (en) * 2000-01-07 2004-08-17 Securify, Inc. Declarative language for specifying a security policy
US6871284B2 (en) * 2000-01-07 2005-03-22 Securify, Inc. Credential/condition assertion verification optimization
US6535227B1 (en) * 2000-02-08 2003-03-18 Harris Corporation System and method for assessing the security posture of a network and having a graphical user interface
US6795918B1 (en) 2000-03-07 2004-09-21 Steven T. Trolan Service level computer security
AU2001257400A1 (en) * 2000-04-28 2001-11-12 Internet Security Systems, Inc. System and method for managing security events on a network
US6826564B2 (en) * 2000-07-10 2004-11-30 Fastforward Networks Scalable and programmable query distribution and collection in a network of queryable devices
DE60116877T2 (de) * 2000-08-11 2006-09-14 British Telecommunications P.L.C. System und verfahren zum erfassen von ereignissen
AU2001296925A1 (en) * 2000-09-28 2002-04-08 Vigilos, Inc. Method and process for configuring a premises for monitoring
US9027121B2 (en) * 2000-10-10 2015-05-05 International Business Machines Corporation Method and system for creating a record for one or more computer security incidents
WO2002069194A1 (en) * 2000-10-23 2002-09-06 Xacct Technologies, Ltd. Data collection system and method for reducing latency
US20020152185A1 (en) * 2001-01-03 2002-10-17 Sasken Communication Technologies Limited Method of network modeling and predictive event-correlation in a communication system by the use of contextual fuzzy cognitive maps
JP2002261788A (ja) 2001-02-27 2002-09-13 Mitsubishi Electric Corp ファイアウォール管理装置および方法
US6920453B2 (en) * 2001-12-31 2005-07-19 Nokia Corporation Method and system for finding a query-subset of events within a master-set of events
KR100437169B1 (ko) 2001-05-04 2004-06-25 이재형 네트워크 트래픽 흐름 제어 시스템
US6816455B2 (en) 2001-05-09 2004-11-09 Telecom Italia S.P.A. Dynamic packet filter utilizing session tracking
US6883162B2 (en) 2001-06-06 2005-04-19 Sun Microsystems, Inc. Annotations for transaction tracing
US20020194490A1 (en) 2001-06-18 2002-12-19 Avner Halperin System and method of virus containment in computer networks
US7310666B2 (en) * 2001-06-29 2007-12-18 International Business Machines Corporation Method and system for restricting and enhancing topology displays for multi-customer logical networks within a network management system
US8438241B2 (en) * 2001-08-14 2013-05-07 Cisco Technology, Inc. Detecting and protecting against worm traffic on a network
US7379993B2 (en) * 2001-09-13 2008-05-27 Sri International Prioritizing Bayes network alerts
US7246166B1 (en) * 2001-10-09 2007-07-17 Nortel Networks Limited Establishing a communications path via a multi-homed communications network
US7398389B2 (en) 2001-12-20 2008-07-08 Coretrace Corporation Kernel-based network security infrastructure
US7324990B2 (en) * 2002-02-07 2008-01-29 The Relegence Corporation Real time relevancy determination system and a method for calculating relevancy of real time information
US7171689B2 (en) * 2002-02-25 2007-01-30 Symantec Corporation System and method for tracking and filtering alerts in an enterprise and generating alert indications for analysis
US6985479B2 (en) 2002-03-04 2006-01-10 Qualcomm Incorporated Method and apparatus for processing internet protocol transmissions
US7299504B1 (en) * 2002-03-08 2007-11-20 Lucent Technologies Inc. System and method for implementing security management using a database-modeled security policy
US7296074B2 (en) * 2002-03-20 2007-11-13 Scientific-Atlanta, Inc. Media on demand session re-use
US8205259B2 (en) 2002-03-29 2012-06-19 Global Dataguard Inc. Adaptive behavioral intrusion detection systems and methods
TW588532B (en) 2002-03-29 2004-05-21 Realtek Semiconductor Corp Management device and method of NAT/NAPT session
US20030200192A1 (en) * 2002-04-18 2003-10-23 Bell Brian L. Method of organizing information into topical, temporal, and location associations for organizing, selecting, and distributing information
US7359962B2 (en) * 2002-04-30 2008-04-15 3Com Corporation Network security system integration
WO2003100617A1 (en) * 2002-05-22 2003-12-04 Lucid Security Corporation Adaptive intrusion detection system
US7574652B2 (en) * 2002-06-20 2009-08-11 Canon Kabushiki Kaisha Methods for interactively defining transforms and for generating queries by manipulating existing query data
US20030236995A1 (en) * 2002-06-21 2003-12-25 Fretwell Lyman Jefferson Method and apparatus for facilitating detection of network intrusion
US7177859B2 (en) * 2002-06-26 2007-02-13 Microsoft Corporation Programming model for subscription services
AU2003265811A1 (en) * 2002-08-26 2004-03-11 Guardednet, Inc. Determining threat level associated with network activity
US20040049698A1 (en) * 2002-09-06 2004-03-11 Ott Allen Eugene Computer network security system utilizing dynamic mobile sensor agents
US6952779B1 (en) * 2002-10-01 2005-10-04 Gideon Cohen System and method for risk detection and analysis in a computer network
US7961594B2 (en) * 2002-10-23 2011-06-14 Onaro, Inc. Methods and systems for history analysis for access paths in networks
US7603711B2 (en) 2002-10-31 2009-10-13 Secnap Networks Security, LLC Intrusion detection system
CN1419361A (zh) * 2002-10-31 2003-05-21 上海交通大学 网上图像智能安全监管方法
TWI234969B (en) * 2002-11-26 2005-06-21 Ind Tech Res Inst Dynamic network address translation system and method of transparent private network device
US7941854B2 (en) 2002-12-05 2011-05-10 International Business Machines Corporation Method and system for responding to a computer intrusion
US7483972B2 (en) * 2003-01-08 2009-01-27 Cisco Technology, Inc. Network security monitoring system
US7478151B1 (en) * 2003-01-23 2009-01-13 Gomez, Inc. System and method for monitoring global network performance
US6985920B2 (en) 2003-06-23 2006-01-10 Protego Networks Inc. Method and system for determining intra-session event correlation across network address translation devices
US7596807B2 (en) * 2003-07-03 2009-09-29 Arbor Networks, Inc. Method and system for reducing scope of self-propagating attack code in network
US7295831B2 (en) * 2003-08-12 2007-11-13 3E Technologies International, Inc. Method and system for wireless intrusion detection prevention and security management
US7761918B2 (en) * 2004-04-13 2010-07-20 Tenable Network Security, Inc. System and method for scanning a network
US20060020582A1 (en) * 2004-07-22 2006-01-26 International Business Machines Corporation Method and system for processing abstract derived entities defined in a data abstraction model
US7760653B2 (en) * 2004-10-26 2010-07-20 Riverbed Technology, Inc. Stackable aggregation for connection based anomaly detection
US7424742B1 (en) * 2004-10-27 2008-09-09 Arcsight, Inc. Dynamic security events and event channels in a network security system
US20060242694A1 (en) * 2004-11-08 2006-10-26 Jeffrey Gold Mitigation and mitigation management of attacks in networked systems
US7627544B2 (en) * 2005-05-20 2009-12-01 Microsoft Corporation Recognizing event patterns from event streams

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN103875222A (zh) * 2011-09-15 2014-06-18 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN105491035A (zh) * 2011-09-15 2016-04-13 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN103875222B (zh) * 2011-09-15 2018-05-15 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN105491035B (zh) * 2011-09-15 2019-01-04 迈可菲公司 用于实时定制的威胁防护的系统和方法
CN105659245A (zh) * 2013-11-06 2016-06-08 迈克菲公司 上下文感知的网络取证
CN112242991A (zh) * 2019-07-17 2021-01-19 卡巴斯基实验室股份制公司 用于关联事件来检测信息安全事故的系统和方法
CN112242991B (zh) * 2019-07-17 2023-08-25 卡巴斯基实验室股份制公司 用于关联事件来检测信息安全事故的系统和方法

Also Published As

Publication number Publication date
US20050060562A1 (en) 2005-03-17
US7644365B2 (en) 2010-01-05
US8423894B2 (en) 2013-04-16
EP1665011A4 (en) 2014-05-21
US20100058165A1 (en) 2010-03-04
EP1665011B1 (en) 2017-01-25
WO2005026900A3 (en) 2006-03-30
WO2005026900A2 (en) 2005-03-24
EP1665011A2 (en) 2006-06-07
CN100409148C (zh) 2008-08-06

Similar Documents

Publication Publication Date Title
CN1829953A (zh) 用于显示网络安全性事故的方法和系统
US11457030B2 (en) Artificial intelligence researcher assistant for cybersecurity analysis
Garcia-Teodoro et al. Anomaly-based network intrusion detection: Techniques, systems and challenges
AU2013272211B2 (en) Path scanning for the detection of anomalous subgraphs, anomaly/change detection and network situational awareness
US9848004B2 (en) Methods and systems for internet protocol (IP) packet header collection and storage
US7903566B2 (en) Methods and systems for anomaly detection using internet protocol (IP) traffic conversation data
US7197762B2 (en) Method, computer readable medium, and node for a three-layered intrusion prevention system for detecting network exploits
US20100050262A1 (en) Methods and systems for automated detection and tracking of network attacks
US20030084328A1 (en) Method and computer-readable medium for integrating a decode engine with an intrusion detection system
CN114679338A (zh) 一种基于网络安全态势感知的网络风险评估方法
Mansmann et al. Visual support for analyzing network traffic and intrusion detection events using TreeMap and graph representations
JP5066544B2 (ja) インシデント監視装置，方法，プログラム
US20100050084A1 (en) Methods and systems for collection, tracking, and display of near real time multicast data
CN109922048B (zh) 一种串行分散隐藏式威胁入侵攻击检测方法和系统
CN106302450A (zh) 一种基于ddos攻击中恶意地址的检测方法及装置
US7836503B2 (en) Node, method and computer readable medium for optimizing performance of signature rule matching in a network
Tran et al. One-class support vector machine for anomaly network traffic detection
Chyssler et al. Alarm reduction and correlation in intrusion detection systems
Sharma et al. An overview of flow-based anomaly detection
Elshoush An innovative framework for collaborative intrusion alert correlation
Ban 3-3 Data Mining Applied to Darknet Traffic Analysis
Ban et al. Practical darknet traffic analysis: Methods and case studies
Jakalan Network security situational awareness
Baras et al. On-line detection of distributed attacks from space-time network flow patterns
Wu et al. An adaptive control mechanism for mitigating DDoS attacks

Legal Events

Date Code Title Description
C06 Publication
PB01 Publication
C10 Entry into substantive examination
SE01 Entry into force of request for substantive examination
C14 Grant of patent or utility model
GR01 Patent grant