CN102761539A - 用于在检测网络攻击期间减少误报的系统及方法 - Google Patents

Abstract

本发明公开了一种用于在检测对受保护计算机的网络攻击期间减少误报的系统、方法及计算机程序产品。在一个示例中，该系统包括：代理设备，被配置为对指向受保护计算机的通信量进行重定向和镜像；通信量传感器，被配置为收集关于被镜像的通信量的统计信息；数据收集器，被配置为汇总由通信量传感器收集的信息并基于所汇总的统计信息生成通信量过滤规则；过滤中心，被配置为与收集统计信息并行地，基于由数据收集器提供的通信量过滤规则来过滤被重定向的通信量；和控制模块，被配置为收集并存储关于已知网络攻击的统计信息，并且修正过滤中心所使用的通信量过滤规则，以便在检测对受保护计算机的网络攻击期间减少误报。

Description

用于在检测网络攻击期间减少误报的系统及方法

技术领域

本发明总体上涉及网络安全领域，且更具体而言，涉及用于在检测对受保护计算机的网络攻击期间减少误报（false positive）的系统、方法及计算机程序产品。

背景技术

对连接至互联网的计算机现存有大量威胁。这类威胁的一个示例是拒绝服务（DoS）攻击。DoS攻击是计算机系统上意图令其崩溃的攻击，即，创造条件以使合法的（正当的）系统用户无法获得对该系统所提供的资源（服务器）的访问或者使该访问困难。这些攻击的动机可以是多样化的——其可以是以下因素：竞争性斗争、欺骗或报复手段、表示不满、展示能力或者试图引起注意，其最常被解释为网络恐怖主义。在大量的计算机上同时实施的攻击称为分布式拒绝服务（DDoS）攻击。有两种DDoS攻击：带宽攻击和应用程序攻击。

带宽攻击的特点在于，用大量数据包进行网络通信信道泛洪（flood）。由于网络路由器、服务器和防火墙的处理资源有限，所以其会在DDoS带宽攻击期间变得不可访问以处理合法的业务或者由于超载而崩溃，在DDoS带宽攻击时大量TCP、UDP或ICMP数据包被发送至特定网络设备或者服务。

应用程序攻击的特点在于，利用TCP、HTTP和其他协议的特点以及服务和应用程序的行为，来占据该攻击的目标正在上面工作的计算机的计算资源，从而阻碍后者处理合法的业务和请求。应用程序攻击的示例是对半开HTTP连接的攻击以及利用错误HTTP连接的攻击。

用于检测和防止DDoS攻击的一种流行的技术是识别做出攻击的计算机并阻塞来自这些计算机的所有通信量（traffic）。该技术的一个缺点是对这类计算机的不正确识别（即，误报）可能会导致阻塞来自合法计算机的通信量。例如，误报可通过阻止常规访问者下订单而中断在线商铺的运营。据此，需要一种能够在检测对受保护计算机系统的DoS攻击及其他攻击期间减少误报的网络安全系统。

发明内容

本申请中所公开的是用于在检测对受保护计算机的网络攻击期间减少误报的系统、方法及计算机程序产品。在一个示例性实施例中，该系统包括：代理设备（proxy device），被配置为对指向所述受保护计算机的通信量进行重定向和镜像；通信量传感器，被配置为收集关于所述被镜像的通信量的统计信息；数据收集器，被配置为汇总由所述通信量传感器所收集的信息并基于所汇总的统计信息生成通信量过滤规则；过滤中心，被配置为与收集统计信息并行地，基于由所述数据收集器提供的所述通信量过滤规则来过滤被重定向的通信量；和控制模块，被配置为收集并存储关于已知网络攻击的统计信息，并且修正通信量过滤规则，以便在检测对所述受保护计算机的网络攻击期间减少误报。

在另一个示例性实施例中，提供一种用于在检测对受保护计算机的网络攻击期间减少误报的由计算机实施的方法，所述方法包括：将以所述受保护计算机为目的地的网络通信量重定向至过滤中心，并且将所述网络通信量镜像至与所述过滤中心并行操作的通信量传感器；由所述过滤中心使用预定义的过滤规则来过滤所述被重定向的通信量；与通信量过滤并行地，由所述通信量传感器分析所述被镜像的网络通信量，并且收集关于所述被镜像的网络通信量的统计信息；基于由所述通信量传感器所收集的所述统计信息来更新通信量过滤规则；以及基于关于已知网络攻击的统计信息来修正所述被更新的过滤规则，以便在检测对所述受保护计算机的网络攻击期间减少误报。

在另一个示例性实施例中，提供一种内嵌于非暂时性计算机可读存储介质中的计算机程序产品，所述计算机可读存储介质包括用于在检测对受保护计算机的网络攻击期间减少误报的计算机可执行指令，该介质包括指令用于：将以所述受保护计算机为目的地的网络通信量重定向至过滤中心，并且将所述网络通信量镜像至与所述过滤中心并行操作的通信量传感器；由所述过滤中心使用预定义的过滤规则来过滤所述被重定向的通信量；与通信量过滤并行地，由所述通信量传感器分析所述被镜像的网络通信量，并且收集关于所述被镜像的网络通信量的统计信息；基于由所述通信量传感器所收集的所述统计信息来更新通信量过滤规则；以及基于关于已知网络攻击的统计信息来修正所述被更新的过滤规则，以便在检测对所述受保护计算机的网络攻击期间减少误报。

以上对本发明示例性实施例的简要概括用于提供对这类实施例的基本理解。此概括并不是本发明设想的所有方面的宽泛概述，并且既不意图确定所有实施例的关键或决定性要素也不意图限制任何或所有实施例的范围。其唯一目的在于简要地提出一个或多个方面的一些构思，作为下面更为详细的描述的前序。为了实现前述的以及相关的目的，一个或多个实施例包括将在下面充分描述且在权利要求书中特别指出的特征。下面的描述和附图详细地阐述了一个或多个实施例的某些示例性特征。不过，这些特征仅通过可以采用各方面原理的各种方式中的一些来加以说明，但此描述意图包括所有这样的方面及其等同物。

附图说明

附图包含于说明书中并构成说明书的一部分，示出了本发明的一个或多个示例性实施例，与详细描述一起用于解释本发明实施例的原理和实施方式。

附图中：

图1示出了对计算机系统的DDoS攻击的示意图；

图2示出了根据一个示例性实施例的网络安全系统的简化示意图；

图3示出了根据一个示例性实施例的网络安全系统的详细示意图；

图4示出了根据一个示例性实施例的用于过滤网络通信量的算法；

图5示出了根据一个示例性实施例的网络安全系统的操作的算法；

图6示出了根据一个示例性实施例的由网络安全系统执行的各种级别的数据汇总的示意图；以及

图7示出了根据一个示例性实施例的用于实施网络安全系统的计算机系统的示意图。

具体实施方式

在本申请中，围绕用于在检测对受保护计算机的诸如DDoS攻击这类网络攻击期间减少误报的系统、方法及计算机程序产品，来描述本发明的示例性实施例。本领域普通技术人员应认识到，下面的描述仅仅是示例性的而并非意图以任何方式进行限定。受益于此公开内容的本领域技术人员将容易获得其他实施例的启示。现在，将更为详细地描述如图所示的本发明示例性实施例的实施方式。贯穿全部附图以及下列描述，相同的附图标记将尽可能用于表示相同或相似的对象。

DDoS攻击一般是使用被称为僵尸网络（botnet）的僵尸计算机网络。僵尸网络是受到能够远程控制受感染计算机而不为其用户所知晓的恶意软件感染的计算机网络。能够执行这些动作的程序称为僵尸程序（bot）。图1是典型DDoS攻击的示例图。僵尸网络所有者从计算机100发送信号至受僵尸网络控制的计算机110，其中计算机110中的每一个均追踪其上安装有僵尸程序的大量计算机120。对僵尸网络所控制的计算机110的利用，使得更加难以识别僵尸网络所有者的计算机100，并且使僵尸程序的潜在规模增至数以百万的机器。然后，计算机120上的僵尸程序启动对服务（service）130的DDoS攻击，服务130可以是任何基于网络的服务，例如在线商店或文件服务器。在DDoS攻击期间，服务130被来自计算机120的请求所泛洪，因此，不能处理来自合法的客户的真实请求，甚至会超载并且崩溃。

图2绘出了用于保护服务130免于DDoS攻击和其他攻击的网络安全系统的示例性实施例的简化图。系统200包括用于保护被托管（host）于服务器上的服务130的一个或多个通信量过滤中心210。这些中心过滤通信量——既有来自已安装有僵尸程序的计算机120的也有来自正尝试访问服务130的普通用户的通信量。为了防御带宽攻击，系统200通过过滤中心210将网络通信量重定向至服务130，过滤中心210可以尽可能近地连接至宽带主干网。这样，通过过滤中心210来分析和过滤到服务130的通信量并避免服务130可以连接到的窄带本地接入网络（LAN）超载。一般而言，为了保护服务130免于应用程序攻击，安全系统200可生成到服务130的平均统计通信量的模型，然后，在攻击期间，根据一个示例性实施例而基于该模型来阻塞寄生通信量（parasite traffic）。下文中，寄生通信量是指由计算机120上的僵尸程序所产生的通信量。合法的通信量是来自普通用户220的数据流。

图3绘出了根据本发明一个示例性实施例的网络安全系统的详细图。该系统包括控制模块320、数据收集器310、过滤中心210和通信量传感器330。该系统以如下方式操作：到服务130的通信量A来自其上已安装有僵尸程序的计算机120以及来自普通用户220。该通信量由代理服务器或路由器（未示出）重定向至过滤中心210，并且至少部分通信量（例如，特定端口或类似物上的通信量）通过例如数据包复制而被镜像至通信量传感器330。以这种方式，通信量传感器330收集关于服务130的业务/查询的统计信息。这允许相同的网络通信量由过滤中心210和通信量传感器330所并行处理。然后传感器330将关于所收集的通信量的统计信息发送至收集器310用于进一步处理。如上所述，被重定向的通信量流转至过滤中心210。在一个示例性实施例中，数据过滤中心210包括两个设备——代理服务器210a和过滤路由器210b。代理服务器210a的任务是将过滤后的通信量B发送至服务130。使用过滤路由器210b来做出运送来自特定计算机（其或是带有僵尸程序的计算机120或是普通用户220）的通信量的决定。从收集器310将过滤规则发送至过滤路由器210b。接下来将更加详细地讨论网络安全系统的组件。

控制模块320通过跟踪所有其他模块（主要是收集器310）的使用来监视这些模块的操作性能。控制模块320可以跟踪网络使用统计数据（例如，每天、每周、每月）并且收集关于互联网上的恶意活动的信息，这能够绘制当前攻击的布局并且存储及收集关于已知攻击的统计数据（例如，攻击的数量、攻击的持续期间、攻击期间的网络负载峰值和平均值）。该信息可以用于生成每个攻击的描述性特点，例如：所涉及的僵尸网络的数量、自从攻击启动以来的时间、攻击的布局。模块320基于该信息来调整存储在过滤配置文件（profile）中的供过滤中心210使用的过滤规则。为了实现这一点，控制模块320计算传输至服务130的数据通信量的可允许容量、作为所采用协议的函数的数据包的可允许数量以及其他网络参数。以下在表1中示出了各种类型的网络参数的示例。

在一个示例性实施例中，控制模块320也存储黑地址列表和白地址列表（或者简称为黑名单和白名单），以识别，其通信量是源自于已知的僵尸程序120而被自动阻塞还是源自已知的合法用户220而被自动转发至服务130的网络设备。白名单和黑名单可以由系统管理员手动生成，或者基于由控制模块320收集的统计和行为标准而自动生成。例如，在共同所有的第7,640,589号美国专利中讨论了这些列表的生成和修订的示例，该美国专利通过援引加入的方式全部并入本申请中。行为标准可能包括例如对来自一个IP地址的查询和会话的数量、来自一个IP地址的未经确认的查询的数量、来自一个IP地址的对同类型数据的查询的数量和无需继续交换信息的连接的数量的分析以及其他标准。

图4示出了在用于使用黑名单和白名单对到服务130的网络通信量进行过滤的过滤中心210中实施的算法的一个示例性实施例。在步骤410，过滤中心210接收来自源计算机120或220的数据通信量。在步骤420，过滤中心210检查源计算机的地址是否出现在由控制模块320提供的黑名单中。如果该源地址被列入黑名单，则在步骤430自动阻塞来自该地址的数据通信量。如果该源地址没有被列入黑名单，则在步骤440，过滤中心210检查该源地址是否出现在白名单中。如果该地址被列入白名单，则在步骤450，过滤中心210将来自该地址的数据通信量自动转发（无需任何附加的过滤）至服务130。然而，如果源地址既没有在黑名单中也没有在白名单中，则在步骤460，过滤中心210应用过滤规则来确定受保护的服务130是否遭到攻击。

在一个示例性实施例中，网络安全系统进一步包括其位置与服务130直接相邻的通信量传感器330。通信量传感器330接收被镜像的通信量（在图3中以箭头A的形式示出）并且对接收的数据执行统计处理，以便汇总（aggregate）通信量信息并将其传送至收集器310。收集器310可以对与指向服务130的通信量有关的汇总信息执行附加的统计处理。除此之外，在一个示例性实施例中，收集器310还将合法通信量的统计数据（既来自过滤中心210也来自传感器330）归纳概括成一个或多个可以被组织到过滤配置文件中的过滤规则，如果发生攻击，则过滤中心210基于所述配置文件决定过滤寄生通信量。更具体而言，收集器330可以生成指向服务130的平均统计通信量的模型，并使用该模型来为过滤中心210创建各种过滤规则。

在一个示例性实施例中，可以针对来自服务130所提供的资源或服务的特定用户或者用户组的通信量来构建过滤规则。过滤规则评估该通信量的参数与正常参数的一致性，例如表1中所列出的。应予以注意的是，表1中相同的数据集（dataset）可按不同方式来加以诠释，以构建不同的过滤规则。例如，过滤规则可以将各种参数的值与指定的阈值相比较（在不同的变形例中，从简单的“如果参数X超过预置值，则阻塞通信量”到更加复杂的不等）。参数的示例包括但不限于：

-从同一个IP地址建立的请求/会话的数量；

-来自同一个IP地址的未经确认的请求“200 OK”的数量；

-来自同一个IP地址的对同类型数据的请求的数量；

-无需继续交换信息的连接的数量，等等。

在一个示例性实施例中，过滤中心210是尽可能近距离地连接至例如广域网（WAN）等的宽带主干网的单独的服务器。在一个示例性实施例中，过滤中心210包括代理服务器210a和过滤路由器210b。此功能划分使过滤中心210达到较高效率。代理服务器210a将通信量重定向至服务130。过滤路由器210b基于来自收集器310的数据确定是否允许特定的通信量（即，除去由僵尸程序所产生的寄生通信量）。这样，中心210过滤通信量A，在被重定向的通信量B中只留下来自普通用户220的合法查询。

图5示出了用于操作本发明的网络安全系统的算法的一个示例性实施例。在任何攻击之前，该系统都将通信量从服务130重定向至过滤被重定向的通信量并将其传送至服务130的通信量过滤器210。在步骤510，与过滤处理并行地，该系统将网络通信量镜像至从被重定向的通信量采集统计信息并跟踪网络异常的通信量传感器330。在步骤520，使用所收集的统计信息来创建/更新过滤中心210所使用的一个或多个过滤规则（或配置文件）。如果在步骤530检测到通信量明显偏离配置文件，系统则基于当前的过滤配置文件在步骤540-550确定已经检测到对服务130的例如DDoS攻击的网络攻击并且开始过滤通信量。在步骤560，系统确定当前的过滤配置文件是否仍然准确（例如，寄生通信量是否被成功过滤掉而没有误报）。如果当前的过滤配置文件不再准确，则在步骤570，基于由通信量传感器330提供的新的统计信息、由控制模块320提供的关于已知安全攻击的信息、以及由控制模块320基于关于已知的安全威胁和新的安全威胁的信息而更新的黑名单和白名单，对其进行更新。当在步骤580安全攻击已经结束时，算法返回到步骤510。

在一个示例性实施例中，不同的过滤规则可具有不同的数据汇总级别，以能够以不同的粒度级别来分析/过滤输入的网络通信量。图6示出了不同汇总级别（在本示例中，汇总级别为3至5）的使用，使得能够跟踪来自所选客户端的以及到特定服务的通信量。例如，一个汇总级别不仅可以跟踪关于客户端1的统计数据，而且还可以跟踪关于其HTTP服务之一例如Web站点1的统计数据。

表1

在另一个示例性实施例中，可以使用异常检测配置文件来检测表现为明显偏离预定义的过滤配置文件的异常。可以针对指向服务130的通信量来构建该异常配置文件。该异常配置文件评估与指向受保护的服务130的通信量有关的统计信息（例如，表1中的参数）与所建立的阈值的一致性。异常检测配置文件可以表现为关于特定值S的一组阈值，该特定值S描述一个汇总级别（例如，客户端或服务）的正常通信量。可以为一天中的每个小时以及一周中的特定日分配阈值，以消除可能出现的误报。S可以是任何固定值，例如，输入的数据包的总数或者唯一用户IP地址的数量。例如，如果过滤规则指示下午2点到下午4点之间受保护系统接收大约200,000个来自位于北美的计算机的业务请求，并且请求的数量突然翻倍，则异常检测配置文件将会检测出该异常并启用适当的过滤规则以阻塞到服务130的过量的和/或反常的通信量。

图7绘出了适于实施本发明的网络安全系统的诸如网络服务器的计算机系统5以及可以利用该安全系统的服务的其他计算设备的一个示例性实施例，包括但不限于运行安全应用程序的个人计算机和服务器、移动通信设备、网络服务器和其他设备。如图7所示，计算机系统5可以包括通过系统总线10连接的一个或多个处理器15、存储器20、一个或多个硬盘驱动器30、光盘驱动器35、串行端口40、图形卡45、声卡50和网卡55。系统总线10可以是若干种总线结构中的任何一种，包括使用各种已知总线架构中的任何一种的内存总线或内存控制器、外设总线和本地总线。处理器15可包括一个或多个

Core 2 Quad 2.33GHz处理器或其他类型的微处理器。

系统内存20可包括只读存储器（ROM）21和随机存取存储器（RAM）23。存储器20可被实现为DRAM（动态RAM）、EPROM、EEPROM、闪存或其他类型的存储器架构。ROM21存储基本输入/输出系统22（BIOS），包含帮助在计算机系统5的组件之间传递信息的基本例程，例如启动过程。RAM23存储有操作系统24（OS），例如

或者其他类型的OS，其负责计算机系统5中进程的管理和协调以及硬件资源的分配和共享。系统存储器20还存储当前运行于计算机5上的应用程序和程序25，例如安全应用程序。系统存储器20还存储程序25所使用的各种运行时间数据26。

计算机系统5可进一步包括硬盘驱动器30，例如，1TG SATA硬磁盘驱动器（HDD），以及用于对可移除光盘进行读写的光盘驱动器35，例如，CD-ROM、DVD-ROM或其他光学介质。驱动器30和35及其关联的计算机可读介质为实现本文所公开的算法和方法的计算机可读指令、数据结构、应用程序和程序模块/子例程提供非易失性存储。虽然示例性计算机系统5使用磁盘和光盘，但本领域技术人员应予以了解，在计算机系统的替代实施例中，还可以使用能够对可由计算机系统5存取的数据加以存储的其他类型的计算机可读介质，例如磁带、闪存卡、数字视频光盘、RAM、ROM、EPROM以及其他类型的存储器。

计算机系统5进一步包括多个串行端口40，例如通用串行总线（USB），用于连接诸如键盘、鼠标、触摸板等数据输入设备75。串行端口40还可用于连接诸如打印机、扫描仪等数据输出设备80以及例如外部数据存储设备等其他外围设备85。计算机系统5还可包括图形卡45，例如

GT 240M或其他视频卡，用于与监视器60或其他视频再现设备接口。计算机系统5还可包括声卡50，用于经由内部或外部扬声器65再现声音。此外，计算机系统5可包括网卡55，例如以太网、WiFi、GSM、蓝牙或用于将计算机系统5连接到如因特网的网络70的其他有线、无线或蜂窝网络接口。

在各种实施例中，这里所描述的算法和方法可以实现于硬件、软件、固件或其任一组合中。如果实施于软件中，则功能可以作为非暂时性计算机可读介质上的一个或多个指令或代码来进行存储。计算机可读介质既包括计算机存储介质也包括通信介质，所述通信介质便于将计算机程序从第一个地方传送到另一个地方。存储介质可以是可由计算机存取的任何可获得的介质。作为示例而非限制，这类计算机可读介质可以包括RAM、ROM、EEPROM、CD-ROM或其他光盘存储器、磁盘存储器或其他磁性存储设备、或者可用于承载或存储所需程序代码的任一其他介质，这些程序代码为指令或数据结构的形式且可由计算机存取。此外，可以将任何连接定义为计算机可读介质。例如，如果利用同轴电缆、光纤电缆、双绞线、数字用户线（DSL）或诸如红外、射频和微波这类无线技术从网站、服务器或其他远程信源（source）发送软件，则其都被涵盖在介质的定义内。

为了清楚起见，这里所描述的实施方式的常规特征并未全部示出和描述。应予以认识的是，在任何这类实际的实施方式的开发中，为了达到开发者的特定目标，必须做出大量特定的实施方式决策，以及这些特定目标将根据不同的实施方式和不同的开发者而改变。而且，应予认识到的是，这类开发工作可能是复杂和耗时的，但不论如何，对于受益于本申请的本领域一般技术人员而言，都将是常规的工程任务。

此外，要理解的是，这里所使用的措辞或术语仅为了说明而非限制，这样，本说明书的术语或措辞将由本领域技术人员鉴于这里所给出的教导并结合相关领域的技术人员的知识予以解释。而且，除非如此明确地予以阐述，否则说明书或权利要求书中的任何术语都并非意图表示不常见的或特殊的意思。这里所披露的各种实施例囊括了本申请中用于说明而涉及的已知构成要素的现在和将来的已知等同物。此外，虽然已经示出和描述了这些实施例及应用，但对于受益于本申请的本领域技术人员而言显而易见的是，在不脱离本申请中所披露的发明构思的情况下，比上面提及的更多的修改例都是可能的。

Claims (15)

1.一种用于在检测对受保护计算机的网络攻击期间减少误报的系统，所述系统包括：

代理设备，被配置为对指向所述受保护计算机的通信量进行重定向和镜像；

通信量传感器，被配置为收集关于所述被镜像的通信量的统计信息；

数据收集器，被配置为汇总由所述通信量传感器所收集的信息并基于所汇总的统计信息生成通信量过滤规则；

过滤中心，被配置为与所述通信量传感器从所述被镜像的通信量收集所述统计信息并行地，基于由所述数据收集器提供的所述通信量过滤规则来过滤所述被重定向的通信量；和

控制模块，被配置为收集并存储关于已知网络攻击的统计信息，并且修正所述过滤中心所使用的通信量过滤规则，以便在检测对所述受保护计算机的网络攻击期间减少误报。

2.根据权利要求1所述的系统，其中，所述数据收集器基于所汇总的信息生成指向所述受保护计算机的平均统计通信量的模型，并且基于所生成的统计模型生成通信量过滤规则。

3.根据权利要求1所述的系统，其中，所述关于已知网络攻击的统计信息包括：

攻击期间的平均网络负载和峰值网络负载的统计信息；

关于互联网中僵尸网络的恶意活动的信息；

参与网络攻击的僵尸网络的数量；

网络攻击启动的时间；

网络攻击的持续时间；和

网络攻击的布局。

4.根据权利要求1所述的系统，其中，所述控制模块使用IP地址的白名单和黑名单来更新通信量过滤规则。

5.根据权利要求4所述的系统，其中，所述IP地址的白名单和黑名单是基于行为标准而创建的，包括：

来自一个IP地址的查询和会话的数量；

来自一个IP地址的未经确认的查询的数量；

来自一个IP地址的对同类型数据的查询的数量；以及

无需继续交换信息的连接的数量。

6.根据权利要求1所述的系统，其中，所述数据收集器被配置为以不同的粒度级别来汇总关于网络通信量的统计信息，并且生成不同的过滤规则，用于以不同的粒度级别来过滤网络通信量。

7.根据权利要求1所述的系统，其中，过滤中心位于与所述受保护计算机相关联的宽带主干网附近，并且通信量传感器位于所述受保护计算机附近。

8.一种用于在检测对受保护计算机的网络攻击期间减少误报的由计算机实施的方法，所述方法包括：

将以所述受保护计算机为目的地的网络通信量重定向至过滤中心，并且将所述网络通信量镜像至通信量传感器；

由所述过滤中心使用预定义的过滤规则来过滤所述被重定向的通信量；

与通信量过滤并行地，由所述通信量传感器分析所述被镜像的网络通信量，并且收集关于所述被镜像的网络通信量的统计信息；

基于由所述通信量传感器所收集的所述统计信息来更新所述过滤中心中的通信量过滤规则；以及

由控制模块基于关于已知网络攻击的统计信息来修正所述被更新的过滤规则，以便在检测对所述受保护计算机的网络攻击期间减少误报。

9.根据权利要求8所述的方法，其中，收集关于所述被镜像的网络通信量的统计信息进一步包括：

基于所收集的统计信息而生成指向所述受保护计算机的平均统计通信量的模型；以及

基于所生成的统计模型而生成通信量过滤规则。

10.根据权利要求8所述的方法，其中，所述关于已知网络攻击的统计信息包括：

攻击期间的平均网络负载和峰值网络负载的统计信息；

关于互联网中僵尸网络的恶意活动的信息；

参与网络攻击的僵尸网络的数量；

网络攻击启动的时间；

网络攻击的持续时间；和

网络攻击的布局。

11.根据权利要求8所述的方法，其中，所述由控制模块修正过滤规则进一步包括：使用IP地址的白名单和黑名单来修正通信量过滤规则。

12.根据权利要求11所述的方法，进一步包括基于行为标准生成IP地址的白名单和黑名单，包括：

来自一个IP地址的查询和会话的数量；

来自一个IP地址的未经确认的查询的数量；

来自一个IP地址的对同类型数据的查询的数量；以及

无需继续交换信息的连接的数量。

13.根据权利要求8所述的方法，其中，收集统计信息进一步包括：

以不同的粒度级别来收集关于通信量的统计信息；以及

生成不同的过滤规则，用于以不同的粒度级别来过滤通信量。

14.根据权利要求8所述的方法，进一步包括将过滤中心安置在与所述受保护计算机相关联的宽带主干网附近。

15.根据权利要求8所述的方法，进一步包括将通信量传感器安置在所述受保护计算机附近。

Images