СИСТЕМА И СПОСОБ УМЕНЬШЕНИЯ ЛОЖНЫХ СРАБАТЫВАНИЙ ПРИ ОПРЕДЕЛЕНИИ СЕТЕВОЙ АТАКИ

1. Система фильтрации сетевого трафика, содержащая:
а) управляющий модуль связан с коллекторами, центрами очистки и сенсорами и предназначен для хранения статистики предыдущих сетевых атак для корректировки правил фильтрации для центров очистки;
б) упомянутые коллекторы связаны с центрами очистки и сенсорами и предназначены для составления правил фильтрации на основании информации о трафике от центров очистки и сенсоров;
в) упомянутые центры очистки предназначены для фильтрации трафика на основании правил фильтрации;
г) упомянутые сенсоры предназначены для агрегирования информации о трафике для дальнейшей передачи на коллекторы.
2. Система по п.1, в которой сервисом является веб-сервис, предоставляющий пользователям определенные услуги или ресурсы.
3. Система по п.1, в которой статистика предыдущих сетевых атак включает:
а) статистику средней и пиковой загрузки канала во время сетевой атаки,
б) информацию о вредоносной активности в сети интернет,
в) количество участвующих в сетевой атаке бот сетей,
г) время с момента старта сетевой атаки,
д) продолжительность сетевой атаки,
е) географию сетевой атаки.
4. Система по п.1, в которой управляющий модуль использует белые и черные списки IP-адресов для корректировки правил фильтрации.
5. Система по п.4, в которой белые и черные списки IP-адресов задаются на основе поведенческих критериев, которые включают анализ:
а) количества запросов и сессий, устанавливаемых с одного IP-адреса,
б) количества запросов без подтверждения с одного IP-адреса,
в) количества запросов однотипных данных с одного IP-адреса,
г) количества соединений без продолжения информационного обмена.
6. Система по п.1, в которой центры очистки подключены к магистральным каналам связи по каналам с высокой пропускной способностью.
7. Система по п.1, в которой каждый центр очистки состоит из по крайней мере проксирующего сервера для перенаправления трафика и фильтрующего маршрутизатора для фильтрации трафика.
8. Система по п.1, в которой сенсоры находятся в непосредственной близости от сервиса.
9. Способ фильтрации сетевого трафика, содержащий этапы на которых:
(i). перенаправляют трафик к сервису на сенсоры и центры очистки;
(ii). обрабатывают на сенсорах все запросы к сервису с дальнейшим агрегированием полученной информации;
(iii). обновляют правила фильтрации на коллекторах, используя полученную от сенсоров информацию;
(iv). корректируют обновленные правила фильтрации с помощью управляющего модуля на основании статистики предыдущих сетевых атак;
(v). фильтруют трафик на центрах очистки, используя заданные правила фильтрации.
10. Способ по п.9, в котором сервисом является веб-сервис, предоставляющий пользователям определенные услуги или ресурсы.
11. Способ по п.9, в котором статистика предыдущих сетевых атак включает:
ж) статистику средней и пиковой загрузки канала во время сетевой атаки,
з) информацию о вредоносной активности в сети интернет,
и) количество участвующих в сетевой атаке бот сетей,
к) время с момента старта сетевой атаки,
л) продолжительность сетевой атаки,
м) географию сетевой атаки.
12. Способ по п.9, в котором управляющий модуль использует белые и черные списки IP-адресов для корректировки правил фильтрации.
13. Способ по п.12, в котором белые и черные списки IP-адресов задаются на основе поведенческих критериев, которые включают анализ:
д) количества запросов и сессий, устанавливаемых с одного IP-адреса,
е) количества запросов без подтверждения с одного IP-адреса,
ж) количества запросов однотипных данных с одного IP-адреса,
з) количества соединений без продолжения информационного обмена.
14. Способ по п.9, в котором центры очистки подключены к магистральным каналам связи по каналам с высокой пропускной способностью.
15. Способ по п.9, в котором каждый центр очистки состоит из по крайней мере проксирующего сервера для перенаправления трафика и фильтрующего маршрутизатора для фильтрации трафика.
16. Способ по п.9, в котором сенсоры находятся в непосредственной близости от сервиса.