CN105376251A - 一种基于云计算的入侵检测方法与系统 - Google Patents

Abstract

本发明涉及一种基于云计算的入侵检测方法，与基于云计算的入侵检测方法系统，将入侵检测分析功能从传统的主机端分离至云端，在云端以服务的形式提供。简化了主机端部署入侵检测系统的复杂性及降低了成本，同时将核心的入侵检测分析服务置于云端，由云服务提供商通过更加专业的网络安全团队对入侵检测服务进行更新维护将更加高效。本发明在保证时延很小的前提下实现高效准确的入侵检测分析，具有很高的实用价值。至此，基于云计算的入侵检测方法通过在云服务器上部署入侵检测服务，提供给用户一种高可靠性、稳定性、易于使用的网络安全云服务，极大的提高了网站的安全性，降低了其维护成本。

Description

一种基于云计算的入侵检测方法与系统

技术领域

本发明涉及云计算、互联网安全、软件云服务开发及入侵检测的综合领域，更具体地说，涉及一种基于云计算的入侵检测方法，与基于云计算的入侵检测方法系统。

背景技术

“互联网+”的概念提出，意味着互联网技术应用将迈向更加深远的一步，特别是网络应用、服务等，这对网络安全也提出了更高的要求。网站服务器往往成为攻击者恶意攻击或劫持的首要目标，且随着高速网络的普及，攻击强度不断增大。通过对主机网络流量、资源状态和行为进行实时监控分析，及时发现恶意入侵攻击对于保证网站服务器正常运行提供服务有着重要意义。目前，针对网站服务器的入侵检测系统的主要方式之一是在主机上安装部署入侵检测系统，依赖主机的计算资源和操作系统的功能来实现，另一种方式是部署相应的入侵检测组件，虽然一定程度上提升了主机的安全防护能力，但同时也存在一定的问题和不足。

随着网络规模、网络应用流量的不断增大，特别是如今的大数据时代，网络流量更是庞大，传统的入侵检测系统结构暴露出越来越多的局限性和缺陷，诸如工作量大、响应速度慢、处理能力不足等问题，增加了主机负担，另外，部署入侵检测系统比较复杂，更新维护比较困难，往往需要专业的人员进行维护，增加网站运维成本。

发明内容

本发明的目的在于克服现有技术的不足，提供一种通过将入侵检测作为一种软件服务部署在云服务器上，提供高效准确的入侵检测服务，解决当前入侵检测系统部署应用模式的高复杂度、高成本、难维护更新、主机资源消耗大等不足的基于云计算的入侵检测方法，及基于云计算的入侵检测系统。

本发明的技术方案如下：

一种基于云计算的入侵检测方法，基于云服务器与客户端架构，客户端对本地数据进行监测，并将监测数据发送至云服务器进行分析，云服务器对接收的客户端的监测数据进行入侵检测，包括误用检测与异常检测，并将检测结果反馈至客户端。

作为优选，云服务器基于入侵规则对客户端的监测数据通过误用检测算法进行匹配分析，完成入侵检测中的误用检测。

作为优选，如果误用检测未发现异常，则调用异常检测算法检测未知攻击，完成入侵检测中的异常检测。

作为优选，云服务器的处理流程包括如下步骤：

10)启动服务，等待客户端发起请求；

11)接收来自客户端的监测数据；

12)对接收到的监测数据进行误用检测，若发现攻击，则跳到步骤14)，否则转到步骤13)；

13)调用异常检测算法进行入侵检测分析；

14)将检测结果反馈至客户端，并记录本次事件。

作为优选，云服务器根据每次入侵检测的结果，生成新的入侵规则。

作为优选，当未使用云服务器进行入侵检测时，则在客户端进行本地入侵检测。

作为优选，客户端的处理流程包括如下步骤：

20)客户端进行数据包捕获及行为监控，实时捕获网站访问流量及主机行为；

21)判断当前客户端是否使用云服务器进行入侵检测，如果是，则跳到22)，否则跳到步骤25)；

22)将客户端捕获到的网络流量数据包及主机行为发送给云服务器进行入侵检测；

23)等待云服务器发回检测结果；

24)接收云服务器的检测结果，跳到步骤26；

25)在客户端本地进行入侵检测；

26)根据得到的检测结果做出相应的响应。

作为优选，每个客户端的接入及入侵检测，利用云计算技术分配到云服务器中的不同计算节点进行入侵检测。

作为优选，计算节点根据预设条件，分配计算节点的线程池中的匹配条件的线程进行入侵检测，线程池中的每个线程独立进行入侵检测。

一种基于云计算的入侵检测系统，包括云服务器、客户端，运行所述的入侵检测方法；

云服务器包括若干计算节点，客户端上设置有事件监控保护模块及入侵检测程序，事件监控保护模块用于监测本地数据，入侵检测程序在云服务器不进行入侵检测的情况下，在客户端本地对监测数据进行入侵检测；

云服务器设置有融合误用检测与异常检测的入侵检测系统，包括入侵检测分析引擎、入侵检测规则库、智能异常检测程序以及入侵规则挖掘程序，用于对接收的监测数据进行入侵检测。

本发明的有益效果如下：

本发明依靠云计算强大的数据处理分析能力，将对运算能力要求较高、存储空间要求较大的入侵检测由云服务器进行，而客户端(如网站服务器)只需监控采集主机行为、网络特征等，并将采集到的数据发送到云服务器，则可从云服务器上获得相应的入侵检测分析结果，客户端并不需要运行入侵检测程序，提升了网站入侵检测分析和响应能力，实现入侵的快速分析、快速发现、快速处理，减轻了负担且有力保证客户机运行的安全，具有很强的使用、推广价值。

本发明将入侵检测分析功能从传统的主机端分离至云端，在云端以服务的形式提供。简化了主机端部署入侵检测系统的复杂性及降低了成本，同时将核心的入侵检测分析服务置于云端，由云服务提供商通过更加专业的网络安全团队对入侵检测服务进行更新维护将更加高效。

附图说明

图1是本发明的系统框架图；

图2是云计算实现系统架构图；

图3是云服务器的工作流程图；

图4是客户端的工作流程图。

具体实施方式

以下结合附图及实施例对本发明进行进一步的详细说明。

本发明为了解决现有技术中的入侵检测系统部署应用模式的高复杂度、高成本、难维护更新、主机资源消耗大等不足，提供一种基于云计算的入侵检测系统，与基于云计算的入侵检测方法。

所述的基于云计算的入侵检测系统，由云服务器和客户端实现，云服务器包括若干计算节点，为通过云计算技术将多台普通计算机、服务器以及存储设备利用网络结合起来，其中普通计算机及服务器作为计算节点。客户端为需要使用入侵检测功能的一些普通网站服务器。

客户端上设置有事件监控保护模块及简单的入侵检测程序(为了不影响客户端的性能，设置相对于云服务器的入侵检测功能更简单的入侵检测程序)。事件监控保护模块负责监控重要文件、注册表、系统审计日志、进程、网络等，并将监控的数据交由本地及云端分析引擎进行分析。所述客户端本地的入侵检测程序基于规则匹配，在未使用云端入侵检测服务的情况下可以在本地进行简单的入侵检测分析。

云服务器上设置有融合误用检测与异常检测的入侵检测系统，包括入侵检测分析引擎、入侵检测规则库、智能异常检测程序。

客户端将监控信息发送到云服务器上进行检测，云服务器将检测结果反馈给客户端；另外，云服务器端还能根据检测结果挖掘出未知攻击的特征生成新的规则。

本实施例中，如图1所示，基于云计算的入侵检测系统的框架中，云服务器是基于Hadoop虚拟云架构的，通过云计算技术将多台标准服务器(统称计算节点)以及存储设备利用网络结合起来组成超级计算机集群。每个客户端的接入及检测分析操作透过网络分配到不同的计算机节点进行处理，结果通过网络回传给客户端。云服务器提供了强大的分析处理能力，进而减少了客户端的处理负担，使得用户终端程序简化为一个单纯的数据采集程序，却依然能够获得较高准确率的结果响应和其他个性化服务。

简化的云服务器系统结构如图2所示，客户端通过用户交互接口与云服务器取得连接，处在云服务器的上层的是管理和配置系统，处在云服务器的下层的是物理机，在物理机上可以虚拟化出多台虚拟机。由于云计算是一种共享基础架构的方法，可以将巨大的系统池连接在一起以提供各种服务。

本发明还提供一种基于云计算的入侵检测方法，在所述的基于云计算的入侵检测系统上实现，基于云服务器与客户端架构，客户端对本地数据进行监测，并将监测数据发送至云服务器进行分析，云服务器对接收的客户端的监测数据进行入侵检测，包括误用检测与异常检测，并将检测结果反馈至客户端。

云服务器基于规则匹配等误用检测方法进行快速检测。云服务器基于入侵规则对客户端的监测数据通过误用检测算法进行匹配分析，完成入侵检测中的误用检测。云服务器还能够利用智能异常检测算法发现未知攻击。如果误用检测未发现异常，则调用异常检测算法检测未知攻击，完成入侵检测中的异常检测。

每个客户端的接入及入侵检测，利用云计算技术分配到云服务器中的不同计算节点进行入侵检测，然后将处理结果通过网络回传给客户端。

计算节点根据预设条件，分配计算节点的线程池中的匹配条件的线程进行入侵检测，线程池中的每个线程独立进行入侵检测。所述云服务器将不同客户端的请求分配到不同的计算节点进行处理，计算节点根据自身的情况将请求转交给本身设置的线程池中的合适线程处理，线程池中的每个线程独立处理一个连接，完成相关的入侵检测操作并将结果返回给对应的客户端。

云服务器根据每次入侵检测的结果，生成新的入侵规则。云服务器能够根据入侵检测分析结果挖掘出新的入侵检测规则用于更新入侵检测规则库。

如图3所示，云服务器的处理流程包括如下步骤：

步骤10：启动服务，等待客户端发起请求；

步骤11：接收来自客户端的监控信息数据包；

步骤12：调用入侵检测算法对接收到的网络流量及行为特征进行入侵检测规则匹配分析，若发现攻击则跳到步骤14，否则转到步骤13；

步骤13：若规则匹配分析未发现异常，则调用智能异常检测算法进行入侵检测分析；

步骤14：将检测分析得到的结果发送给客户端的应用程序，同时记录本次事件。

如图4所示，客户端的处理流程包括如下步骤：

步骤20：客户端启动数据包捕获及行为监控应用程序；

步骤21：实时捕获网站访问流量及主机行为；

步骤22：判断当前客户端是否使用云端入侵检测服务，如果使用则跳到步骤23，否则跳到步骤26；

步骤23：将客户端捕获到的网络流量数据包及主机行为发送给云服务器进行检测；

步骤24：等待云服务器发回入侵检测结果；

步骤25：接收云服务器的入侵检测分析结果，跳到步骤27；

步骤26：采用本地入侵检测程序进行分析检测，该程序采用基于规则匹配的入侵检测方法；

步骤27：根据得到的检测结果做出相应的响应。

本发明将运算量大、运算复杂的入侵检测分析工作交给云服务器完成，在保证时延很小的前提下实现高效准确的入侵检测分析，具有很高的实用价值。至此，基于云计算的入侵检测方法通过在云服务器上部署入侵检测服务，提供给用户一种高可靠性、稳定性、易于使用的网络安全云服务，极大的提高了网站的安全性，降低了其维护成本。

上述实施例仅是用来说明本发明，而并非用作对本发明的限定。只要是依据本发明的技术实质，对上述实施例进行变化、变型等都将落在本发明的权利要求的范围内。

Claims (10)

1.一种基于云计算的入侵检测方法，其特征在于，基于云服务器与客户端架构，客户端对本地数据进行监测，并将监测数据发送至云服务器进行分析，云服务器对接收的客户端的监测数据进行入侵检测，包括误用检测与异常检测，并将检测结果反馈至客户端。

2.根据权利要求1所述的基于云计算的入侵检测方法，其特征在于，云服务器基于入侵规则对客户端的监测数据通过误用检测算法进行匹配分析，完成入侵检测中的误用检测。

3.根据权利要求2所述的基于云计算的入侵检测方法，其特征在于，如果误用检测未发现异常，则调用异常检测算法检测未知攻击，完成入侵检测中的异常检测。

4.根据权利要求3所述的基于云计算的入侵检测方法，其特征在于，云服务器的处理流程包括如下步骤：

10)启动服务，等待客户端发起请求；

11)接收来自客户端的监测数据；

12)对接收到的监测数据进行误用检测，若发现攻击，则跳到步骤14)，否则转到步骤13)；

13)调用异常检测算法进行入侵检测分析；

14)将检测结果反馈至客户端，并记录本次事件。

5.根据权利要求2所述的基于云计算的入侵检测方法，其特征在于，云服务器根据每次入侵检测的结果，生成新的入侵规则。

6.根据权利要求1所述的基于云计算的入侵检测方法，其特征在于，当未使用云服务器进行入侵检测时，则在客户端进行本地入侵检测。

7.根据权利要求6所述的基于云计算的入侵检测方法，其特征在于，客户端的处理流程包括如下步骤：

20)客户端进行数据包捕获及行为监控，实时捕获网站访问流量及主机行为；

21)判断当前客户端是否使用云服务器进行入侵检测，如果是，则跳到22)，否则跳到步骤25)；

22)将客户端捕获到的网络流量数据包及主机行为发送给云服务器进行入侵检测；

23)等待云服务器发回检测结果；

24)接收云服务器的检测结果，跳到步骤26；

25)在客户端本地进行入侵检测；

26)根据得到的检测结果做出相应的响应。

8.根据权利要求1所述的基于云计算的入侵检测方法，其特征在于，每个客户端的接入及入侵检测，利用云计算技术分配到云服务器中的不同计算节点进行入侵检测。

9.根据权利要求8所述的基于云计算的入侵检测方法，其特征在于，计算节点根据预设条件，分配计算节点的线程池中的匹配条件的线程进行入侵检测，线程池中的每个线程独立进行入侵检测。

10.一种基于云计算的入侵检测系统，其特征在于，包括云服务器、客户端，运行权利要求1到9任一项所述的入侵检测方法；

云服务器包括若干计算节点，客户端上设置有事件监控保护模块及入侵检测程序，事件监控保护模块用于监测本地数据，入侵检测程序在云服务器不进行入侵检测的情况下，在客户端本地对监测数据进行入侵检测；

云服务器设置有融合误用检测与异常检测的入侵检测系统，包括入侵检测分析引擎、入侵检测规则库、智能异常检测程序以及入侵规则挖掘程序，用于对接收的监测数据进行入侵检测。