CN102684944A - 入侵检测方法和装置 - Google Patents

Abstract

本发明提供了一种入侵检测方法和装置，涉及信息管理领域；解决了误用检测型IDS无法检测未知类型的攻击行为和无法追溯漏报攻击行为的问题。该方法包括：加载特征库，所述特征库中包含多个入侵行为特征；获取待分析数据流；根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。本发明提供的技术方案适用于IDS检测过程，实现了全面可靠的入侵检测。

Description

入侵检测方法和装置

技术领域

本发明涉及信息管理领域，尤其涉及一种攻击检测方法和装置。

背景技术

为了缓解日益严重的信息安全问题，越来越多的企业和机构部署了入侵检测装置(Intrusion Detection Systems，IDS)，进行恶意攻击行为的检测和处置。

IDS从实现原理上可分为两类：异常检测型和误用检测型。异常检测型IDS会首先建立所监控网络的正常轮廓模型，如网络流量、TCP/IP连接等，然后根据所检测时刻的实测值与正常模型的偏差判断是否存在入侵行为。这种方法能够检测已知和未知的入侵行为，但具有较高的漏报率和误报率。误用检测型IDS会首先提取入侵行为的特征，如某个木马程序在连接远程控制端所发出的数据包会具有怎样的特征，然后根据所检测时刻实时获取的数据包进行特征匹配，从而检测数据流中是否存在入侵行为。这种方法具有较高的准确率，但无法检测未知的入侵行为。目前商业化的IDS产品大都采用的是误用检测方式。

当前的误用检测型IDS存在以下不足：

1、无法检测未知类型的攻击行为；

2、无法追溯漏报的攻击行为。

发明内容

本发明提供了一种入侵检测方法和装置，解决了误用检测型IDS无法检测未知类型的攻击行为和无法追溯漏报攻击行为的问题。

一种入侵检测方法，包括：

加载特征库，所述特征库中包含多个入侵行为特征；

获取待分析数据流；

根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

优选的，所述获取待分析数据流具体为：

获取当前实时传输的数据流作为待分析数据流。

优选的，上述入侵检测方法还包括：

存储历史数据流。

优选的，所述获取待分析数据流具体为：

根据任务参数，确定需提取的历史数据流范围，所述任务参数至少包括下列参数的一项或多项：

源地址、目的地址、源端口、目的端口、协议类型、开始时间、结束时间；

提取符合所述历史数据流范围的历史数据流作为待分析数据流。

优选的，上述入侵检测方法还包括：

更新所述特征库。

优选的，所述根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为的步骤之后，还包括：

在检测到入侵行为时，产生报警事件，发出报警。

本发明还提供了一种入侵检测装置，包括：

加载模块，用于加载特征库，所述特征库中包含多个入侵行为特征；

数据流提取模块，用于获取待分析数据流；

入侵检测模块，用于根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

优选的，上述入侵检测装置还包括：

流存储模块，用于存储历史数据流。

优选的，所述数据流提取模块包括：

实时提取单元，用于获取当前实时传输的数据流作为待分析数据流；

历史提取单元，用于根据任务参数，确定需提取的历史数据流范围，从所述流存储模块提取符合所述历史数据流范围的历史数据流作为待分析数据流。

优选的，上述入侵检测装置还包括：

特征库管理模块，用于更新所述特征库。

本发明提供了一种入侵检测方法和装置，首先加载特征库，所述特征库中包含多个入侵行为特征，然后获取待分析数据流，最后根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为，根据特征库完成对数据流的检测，不限制数据流的时效性，即可对当前的数据流进行实时检测，也可以对历史数据流进行追溯，解决了误用检测型IDS无法检测未知类型的攻击行为和无法追溯漏报攻击行为的问题。

附图说明

图1为本发明的实施例一提供的一种结合流存储的入侵检测系统的结构示意图；

图2为本发明的实施例二提供的一种入侵检测方法的流程图；

图3为本发明的实施例三提供的一种入侵检测方法的流程图；

图4为本发明的实施例四提供的一种入侵检测装置的结构示意图；

图5为图4中数据流提取模块402的内部结构示意图。

具体实施方式

当前的误用检测型IDS存在以下不足：

1、无法检测未知类型的攻击行为。由于误用检测型IDS总是基于已知攻击的特征进行检测，当一种新的攻击方式出现，在还未被IDS厂商所掌握之前，IDS厂商将无法提取该类型攻击的特征并对其IDS产品的特征库进行升级，从而使得IDS产品不具备对这种新型攻击的检测能力，这样即使发现了主机被攻击，却无法检测到攻击来源和攻击类型。

2、无法追溯漏报的攻击行为。由于误用检测型IDS总是基于实时捕获的流量进行攻击检测，那么对于没有实时检测出的攻击行为将无法进行追溯。造成漏报的原因是多方面的，例如有可能是因为实时流量超出了IDS的处理能力，也有可能是当时IDS所加载的特征库不完整，一旦无法实时检测出攻击，IDS将造成漏报，并无法对攻击进行追溯。

综上，目前已有的误用检测型IDS，大都根据已知攻击的特征，如端口、数据包大小、特征字符串等信息，从网络实时数据流中匹配攻击行为。这在攻击特征还未明确，或者实时匹配存在遗漏时，将无法检测攻击。

为了解决上述问题，本发明的实施例提供了一种入侵检测方法和装置。使用本发明的实施例提供的入侵检测方法和装置，在出现新的攻击行为时，可通过IDS特征升级后加载更新后的特征库，对历史流量进行重新检查，匹配其中的攻击行为，从而实现未知攻击类型的攻击检测和漏报攻击检测。下文中将结合附图对本发明的实施例进行详细说明。需要说明的是，在不冲突的情况下，本申请中的实施例及实施例中的特征可以相互任意组合。

首先，对本发明的实施例一进行说明。

图1为本发明实施例提供的结合流存储的入侵检测系统的结构示意图，入侵检测系统101包括入侵检测单元101，任务调度单元102，流存储单元103，以及配置管理单元104。其中入侵检测单元101负责从数据流中匹配攻击行为，数据流可以来自实时数据流104，也可以来自从任务调度单元102中转发的历史流量数据文件；流存储单元104负责获取实时数据流105，并以文件方式进行保存；任务调度单元103负责根据配置管理单元105的请求，从流存储单元中查询指定的历史流量数据，并以文件的方式传送到入侵检测单元102；配置管理单元105负责各单元的参数配置管理，包括但不限于：入侵检测单元102的特征库升级、运行模式配置，任务调度单元103的任务描述参数，流存储单元104的存储服务器IP地址配置、存储空间配置、文件目录配置。

入侵检测单元101、任务调度单元102、流存储单元103、配置管理单元104可以部署在一台计算机或服务器上，也可以部署在不同主机上，以提升整体性能。

下面，对本发明的实施例二进行说明。

本发明实施例提供了一种入侵检测方法，使用该方法对实时流量及历史流量中包含的攻击行为进行检测的流程如图2所示，包括：

步骤200：接收任务指令，选择相应的工作模式；

本步骤中，接收任务指令，在任务指令内指示启动入侵检测，根据任务指令的内容，启动实时模式或非实时模式。

步骤201：加载特征库；

本发明实施例中，建立一个特征库，并在后续对该特征库进行维护和更新的操作。该特征库中包含了大量入侵行为特征，可随时向该特征库中更新入新的入侵行为特征。

步骤202：获取待分析数据流；

本步骤具体分为两种情况：

1、获取当前实时传输的数据流作为待分析数据流，此时需要接收网络上传输的实时数据流；

2、根据任务参数，确定需提取的历史数据流范围，提取符合所述历史数据流范围的历史数据流作为待分析数据流；该任务参数至少包括下列参数的一项或多项：

源地址、目的地址、源端口、目的端口、协议类型、开始时间、结束时间。

上述任务参数可由用户通过客户终端下发，任务参数指定了需要对哪些历史数据进行入侵检测分析。

将提取出来的历史数据流组合成一个流量数据文件，即得到了所谓待分析数据流。

步骤203、根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为；

本步骤中，根据步骤201中加载的入侵行为特征，从数据流中匹配入侵行为。

步骤204、在检测到入侵行为时，产生报警事件，发出报警；

本步骤，根据步骤203的匹配结果，对匹配成功的攻击行为产生报警事件。

下面结合附图，对本发明的实施例三进行说明。

本发明实施例提供了一种入侵检测方法，结合本发明的实施例一所提供的入侵检测系统，使用该方法对实时流量及历史流量中包含的攻击行为进行检测的流程如图3所示，包括：

步骤301：加载特征库。该特征库中包含了当前所有的入侵行为特征。

步骤302：判断入侵检测单元的工作模式，如果工作在实时检测模式，转步骤304；否则转步骤303；

步骤303：接收任务调度单元传送的历史数据流；

步骤304：接收网络上传输的实时数据流；

步骤305：根据步骤301中加载的入侵行为特征，从数据流中匹配入侵行为；

步骤306：根据步骤305的匹配结果，对匹配成功的攻击行为产生报警事件。

下面结合附图，对本发明的实施例四进行说明。

本发明实施例提供了一种入侵检测装置，其结构如图4所示，包括：

加载模块401，用于加载特征库，所述特征库中包含多个入侵行为特征；

数据流提取模块402，用于获取待分析数据流；

入侵检测模块403，用于根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

优选的，该装置还包括：

流存储模块404，用于存储历史数据流。

优选的，所述数据流提取模块402的结构如图5所示，包括：

实时提取单元4021，用于获取当前实时传输的数据流作为待分析数据流；

历史提取单元4022，用于根据任务参数，确定需提取的历史数据流范围，从所述流存储模块提取符合所述历史数据流范围的历史数据流作为待分析数据流。

优选的，该装置还包括：

特征库管理模块405，用于更新所述特征库。

本发明的实施例所提供的入侵检测装置以旁路的方式部署在攻击者和被攻击目标之间的网络上。

入侵检测模块403根据加载模块401加载的当前已知的攻击特征库，能够识别攻击者利用已知的攻击手法发起的攻击行为；流存储模块404能够存储攻击者与被攻击目标之间发生的网络数据流；数据流提取模块402可以向入侵检测模块403提供待分析数据流。

假设攻击者对被攻击目标发起了一次攻击，所采用的攻击方式是某个当前已知的攻击方法。例如，利用了被攻击目标上某个已知的漏洞，进行了远程的缓冲区溢出，以获取远程访问权限。由于利用的是当前已知的攻击行为，攻击特征库中具备该攻击的特征行为，则入侵检测模块403可以从实时流量中匹配该攻击行为，产生一条报警事件进行预警。

假设攻击者对被攻击目标发起了一次攻击，所采用的攻击方式是某种当前未知的攻击方法。例如，利用了被攻击目标上某个0day漏洞(即由攻击者掌握，但尚未被软件供应商公布和修补的漏洞)，由于当前的特征库中不具备该攻击方式的特征，入侵检测装置将暂时无法识别该攻击。但一段时间后，该0day漏洞已被软件供应商掌握并公布，则入侵检测设备供应商可依据软件供应商公布的漏洞信息，识别利用该漏洞进行攻击的特征，并通过配置管理模块，升级入侵检测模块的特征库，此时入侵检测装置将具备对此类攻击的检测能力。

如，被攻击目标的IP地址为192.168.0.10，在特征库升级后，分析人员通过配置管理模块执行了一次入侵检测任务，该任务的内容为：对源IP地址不限，目的IP地址为192.168.0.10的主机之间的历史流量进行一次重新检测。此时设置入侵检测模块为非实时检测模式，不再对网络实时流量进行检测，而是对已存储的历史流量进行检测。由于此时入侵检测模块403进行检测时使用的特征库经过了升级，具备了对所述攻击行为的检测能力，从而能够检测出攻击者对被攻击目标的攻击行为，产生攻击报警事件。

本发明提供了一种入侵检测方法和装置，首先加载特征库，所述特征库中包含多个入侵行为特征，然后获取待分析数据流，最后根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为，根据特征库完成对数据流的检测，不限制数据流的时效性，即可对当前的数据流进行实时检测，也可以对历史数据流进行追溯，解决了误用检测型IDS无法检测未知类型的攻击行为和无法追溯漏报攻击行为的问题。

本领域普通技术人员可以理解上述实施例的全部或部分步骤可以使用计算机程序流程来实现，所述计算机程序可以存储于一计算机可读存储介质中，所述计算机程序在相应的硬件平台上(如系统、设备、装置、器件等)执行，在执行时，包括方法实施例的步骤之一或其组合。

可选地，上述实施例的全部或部分步骤也可以使用集成电路来实现，这些步骤可以被分别制作成一个个集成电路模块，或者将它们中的多个模块或步骤制作成单个集成电路模块来实现。这样，本发明不限制于任何特定的硬件和软件结合。

上述实施例中的各装置/功能模块/功能单元可以采用通用的计算装置来实现，它们可以集中在单个的计算装置上，也可以分布在多个计算装置所组成的网络上。

上述实施例中的各装置/功能模块/功能单元以软件功能模块的形式实现并作为独立的产品销售或使用时，可以存储在一个计算机可读取存储介质中。上述提到的计算机可读取存储介质可以是只读存储器，磁盘或光盘等。

任何熟悉本技术领域的技术人员在本发明揭露的技术范围内，可轻易想到变化或替换，都应涵盖在本发明的保护范围之内。因此，本发明的保护范围应以权利要求所述的保护范围为准。

Claims (10)

1.一种入侵检测方法，其特征在于，包括：

加载特征库，所述特征库中包含多个入侵行为特征；

获取待分析数据流；

根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

2.根据权利要求1所述的入侵检测方法，其特征在于，所述获取待分析数据流具体为：

获取当前实时传输的数据流作为待分析数据流。

3.根据权利要求1所述的入侵检测方法，其特征在于，该方法还包括：

存储历史数据流。

4.根据权利要求3所述的入侵检测方法，其特征在于，所述获取待分析数据流具体为：

根据任务参数，确定需提取的历史数据流范围，所述任务参数至少包括下列参数的一项或多项：

源地址、目的地址、源端口、目的端口、协议类型、开始时间、结束时间；

提取符合所述历史数据流范围的历史数据流作为待分析数据流。

5.根据权利要求3所述的入侵检测方法，其特征在于，该方法还包括：

更新所述特征库。

6.根据权利要求1所述的入侵检测方法，其特征在于，所述根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为的步骤之后，还包括：

在检测到入侵行为时，产生报警事件，发出报警。

7.一种入侵检测装置，其特征在于，包括：

加载模块，用于加载特征库，所述特征库中包含多个入侵行为特征；

数据流提取模块，用于获取待分析数据流；

入侵检测模块，用于根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

8.根据权利要求7所述的入侵检测装置，其特征在于，该装置还包括：

流存储模块，用于存储历史数据流。

9.根据权利要求8所述的入侵检测装置，其特征在于，所述数据流提取模块包括：

实时提取单元，用于获取当前实时传输的数据流作为待分析数据流；

历史提取单元，用于根据任务参数，确定需提取的历史数据流范围，从所述流存储模块提取符合所述历史数据流范围的历史数据流作为待分析数据流。

10.根据权利要求6所述的入侵检测装置，其特征在于，该装置还包括：

特征库管理模块，用于更新所述特征库。

Images