CN111935072A - 一种云环境中基于警报关联的分布式入侵检测方法 - Google Patents

一种云环境中基于警报关联的分布式入侵检测方法 Download PDF

Info

Publication number
CN111935072A
CN111935072A CN202010564624.1A CN202010564624A CN111935072A CN 111935072 A CN111935072 A CN 111935072A CN 202010564624 A CN202010564624 A CN 202010564624A CN 111935072 A CN111935072 A CN 111935072A
Authority
CN
China
Prior art keywords
behavior
evidence
host
diagram
template
Prior art date
Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
Granted
Application number
CN202010564624.1A
Other languages
English (en)
Other versions
CN111935072B (zh
Inventor
孙宁
石慧珠
韩光洁
金旋
Current Assignee (The listed assignees may be inaccurate. Google has not performed a legal analysis and makes no representation or warranty as to the accuracy of the list.)
Changzhou Campus of Hohai University
Original Assignee
Changzhou Campus of Hohai University
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by Changzhou Campus of Hohai University filed Critical Changzhou Campus of Hohai University
Priority to CN202010564624.1A priority Critical patent/CN111935072B/zh
Publication of CN111935072A publication Critical patent/CN111935072A/zh
Application granted granted Critical
Publication of CN111935072B publication Critical patent/CN111935072B/zh
Active legal-status Critical Current
Anticipated expiration legal-status Critical

Links

Images

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/22—Matching criteria, e.g. proximity measures
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/23—Clustering techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F18/00—Pattern recognition
    • G06F18/20—Analysing
    • G06F18/24—Classification techniques
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/552—Detecting local intrusion or implementing counter-measures involving long-term monitoring or reporting
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F21/00—Security arrangements for protecting computers, components thereof, programs or data against unauthorised activity
    • G06F21/50—Monitoring users, programs or devices to maintain the integrity of platforms, e.g. of processors, firmware or operating systems
    • G06F21/55—Detecting local intrusion or implementing counter-measures
    • G06F21/56—Computer malware detection or handling, e.g. anti-virus arrangements
    • G06F21/566—Dynamic detection, i.e. detection performed at run-time, e.g. emulation, suspicious activities
    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06V—IMAGE OR VIDEO RECOGNITION OR UNDERSTANDING
    • G06V10/00—Arrangements for image or video recognition or understanding
    • G06V10/40—Extraction of image or video features
    • G06V10/42—Global feature extraction by analysis of the whole pattern, e.g. using frequency domain transformations or autocorrelation
    • G06V10/422—Global feature extraction by analysis of the whole pattern, e.g. using frequency domain transformations or autocorrelation for representing the structure of the pattern or shape of an object therefor
    • G06V10/426—Graphical representations
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L41/00—Arrangements for maintenance, administration or management of data switching networks, e.g. of packet switching networks
    • H04L41/14—Network analysis or design
    • H04L41/142—Network analysis or design using statistical or mathematical methods
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1425—Traffic logging, e.g. anomaly detection
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1441—Countermeasures against malicious traffic
    • H04L63/145—Countermeasures against malicious traffic the attack involving the propagation of malware through the network, e.g. viruses, trojans or worms
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/20—Network architectures or network communication protocols for network security for managing network security; network security policies in general
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L67/00—Network arrangements or protocols for supporting network services or applications
    • H04L67/01—Protocols
    • H04L67/10—Protocols in which an application is distributed across nodes in the network
    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L2463/00—Additional details relating to network architectures or network communication protocols for network security covered by H04L63/00
    • H04L2463/144—Detection or countermeasures against botnets

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Theoretical Computer Science (AREA)
  • General Engineering & Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • Computer Hardware Design (AREA)
  • Data Mining & Analysis (AREA)
  • General Physics & Mathematics (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Computer Vision & Pattern Recognition (AREA)
  • Computing Systems (AREA)
  • Software Systems (AREA)
  • Bioinformatics & Computational Biology (AREA)
  • Evolutionary Biology (AREA)
  • Bioinformatics & Cheminformatics (AREA)
  • Artificial Intelligence (AREA)
  • Evolutionary Computation (AREA)
  • Life Sciences & Earth Sciences (AREA)
  • Virology (AREA)
  • Health & Medical Sciences (AREA)
  • General Health & Medical Sciences (AREA)
  • Mathematical Optimization (AREA)
  • Multimedia (AREA)
  • Pure & Applied Mathematics (AREA)
  • Probability & Statistics with Applications (AREA)
  • Mathematical Physics (AREA)
  • Mathematical Analysis (AREA)
  • Algebra (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Abstract

本发明公开了一种云环境中基于警报关联的分布式入侵检测方法，包括如下步骤：入侵证据收集；分布式行为图模板建立；异常检测；行为图模板更新。本发明通过分簇的方式实现云环境中的分布式检测，基于警报关联的思想实现进一步入侵检测判断，有利于降低误报率。通过本方法，可以有效检测云环境中的僵尸机，从而保护云计算资源不被恶意利用。

Description

一种云环境中基于警报关联的分布式入侵检测方法
技术领域
本发明涉及入侵检测领域，具体涉及一种云环境中的分布式入侵检测方法。
背景技术
近几年来，云计算正在成为信息技术产业发展的战略重点，全球的信息技术企业都在纷纷向云计算转型。然而云环境中的主机很容易受到攻击，因为用户会安装易受感染的操作系统或应用程序。此外，恶意用户可以利用云提供的大量计算资源将其感染为僵尸机，在云外执行攻击，这是对云计算资源的一种浪费。因此，云环境中的入侵检测尤为重要。
现有的入侵检测算法可以分为基于主机的入侵检测和基于网络的入侵检测。基于主机的入侵检测需要部署在每一台主机上，容易影响云计算用户的体验，而且不适合大规模的云计算环境；基于网络的入侵检测主要检测网络流量信息，存在误报率较高的缺点。
发明内容
本发明提供了一种云环境中基于警报关联的分布式入侵检测方法，包括：
一种云环境中基于警报关联的分布式入侵检测方法，包括如下步骤：
(1)入侵证据收集，以时间窗为单位，选择僵尸机的阶段性行为进行检测，得到检测结果作为异常检测的依据；
(2)分布式行为图模板建立，首先关联收集到的入侵证据形成证据集合，并以行为图的方式展现，然后根据行为图将云环境中的主机进行聚类，得到分布式行为图模板作为主机的行为规则；
(3)异常检测，计算主机的行为图和所述分布式行为图模板的相似度，并结合AdaBoost算法对主机的行为图进行分类，判断所述行为图是否发生异常；
(4)行为图模板更新，定期对主机的行为图重新聚类，便于适应多变的网络环境。
上述步骤(1)中所述阶段性行为包括：入站扫描、C&C通信和出站扫描，检测结果分别作为入站扫描证据、C&C通信证据和出站扫描证据。
上述C&C通信行为利用BotDet算法进行检测，检测结果用如下公式表示：
AlN＝((ip1,Alert1),(ip1,Alert3),...,(ip2,Alert1)) (1)
其中，ip表示产生警报的主机IP地址，Alert1、Alert2、Alert3 Alert4对应表示BotDet产生的四种C&C通信警报类型。
上述入站扫描行为和出站扫描行为的检测通过端口监听的方式进行，入站扫描行为的检测是基于端口扫描失败的次数设计的，定义入站扫描证据Alin为端口扫描失败次数占总数的比例，公式如下：
Figure BDA0002547217400000021
其中，portf表示时间窗内端口扫描的失败次数，portall表示时间窗内所有端口扫描的次数。上述出站扫描阶段中，主机会同时对大量的IP进行扫描，因此出站扫描的目标IP趋向于均匀分布，针对主机在时间窗内产生的所有扫描，统计所有IP出现情况的平均不确定性，即单个IP不确定性的统计平均值，上述平均值也就是出站扫描证据Alout，公式如下：
Figure BDA0002547217400000022
Figure BDA0002547217400000023
其中pi为第i个IP出现的概率，f(pi)表示单个IP出现的不确定性函数，Alout代表单个IP不确定性的统计平均值。上述步骤(2)分布式行为图模板建立，首先定义检测周期，将检测周期内收集到的入侵证据关联形成证据集合，并以行为图的方式展现，公式如下：
ASi＝{Alin,i,valuei,Alout,i} (5)
IDBGi＝(V,WV) (6)
其中，ASi表示时间窗内的证据集合，i表示时间窗编号；取300s作为一个时间窗进行警报关联。IDBGi表示主机在第i个时间窗内的行为图，V∈{V1,V2,V3}表示图中的证据节点，V1代表入站扫描证据节点，V2代表C&C通信证据节点，V3代表出站扫描证据节点，WV表示节点的值。
上述行为图IDBGi中，V1和V3所表示的证据节点是对主机端口扫描数据进行统计，是对主机正常行为的统计，而V2所表示的证据节点是对检测到的C&C通信警报数量进行统计，是对主机异常行为的统计，因此将主机的行为图分为以下两种类型，(1)主成分图(IDBG(1))，没有V2节点的图，主机在大多数情况下处于该状态，不产生任何类似C&C通信的噪声行为；(2)噪声图(IDBG(2))，出现了V2节点的图，由于网络环境和用户误操作，主机也可能出现该类行为图。
上述步骤(2)中所述分布式行为图模板定义如下：
MIDBGi＝(IDBG1,IDBG2,...,IDBGn) (7)
其中，MIDBGi表示行为图模板，由多个行为图组成。
上述步骤(3)的具体步骤如下：
(3.1)计算行为图和行为图模板之间的相似度分数CovT,M，分数表示行为图和行为图模板之间的相似性，用来衡量是否出现了新的行为图，公式如下：
Figure BDA0002547217400000031
其中，|IDBGT|∈[2,3]表示主机行为图的节点个数，|MIDBGT|∈[2,3]表示行为图模板的平均节点个数；
(3.2)若CovT,M＝1.5，则|IDBGT|＝3，|MIDBGT|＝2，行为图和行为图模板弱相似，主机的行为图模板中从未出现过噪声图，但当前行为图为噪声图，如图3所示，判断主机被感染；
(3.3)若CovT,M＜1.5，则行为图和行为图模板强相似，如图4所示，转步骤(3.4)；
(3.4)使用集成方案AdaBoost算法对主机行为图进行分类，判断主机是否被感染，其中，分类所使用的特征如下：
(PGnoise,WV1,WV2,WV3)(9)
其中，PGnoise表示最近一段检测周期内噪声图的百分比，WV1,WV2,WV3表示节点的值。
上述步骤(4)行为图模板更新，当检测周期结束时，对主机的行为图重新聚类，形成新的行为图模板。
本发明的有益效果是：
本发明通过分簇的方式实现云环境中的分布式检测，基于警报关联的思想实现进一步入侵检测判断，有利于降低误报率。通过本方法，可以有效检测云环境中的僵尸机，从而保护云计算资源不被恶意利用。
附图说明
图1是本发明的算法流程图；
图2是本发明的行为图；
图3是本发明的行为图和行为图模板弱相似的情况；
图4是本发明的行为图和行为图模板强相似的情况。
具体实施方式
如图1所示，一种云环境中基于警报关联的分布式入侵检测方法，包括如下步骤：
(1)入侵证据收集，以时间窗为单位，选择僵尸机的阶段性行为进行检测，得到检测结果作为异常检测的依据；
(2)分布式行为图模板建立，首先关联收集到的入侵证据形成证据集合，并以行为图的方式展现，然后根据行为图将云环境中的主机进行聚类，得到分布式行为图模板作为主机的行为规则；
(3)异常检测，计算主机的行为图和所述分布式行为图模板的相似度，并结合AdaBoost算法对主机的行为图进行分类，判断所述行为图是否发生异常；
(4)行为图模板更新，定期对主机的行为图重新聚类，便于适应多变的网络环境。
上述步骤(1)中所述阶段性行为包括：入站扫描、C&C通信和出站扫描，检测结果分别作为入站扫描证据、C&C通信证据和出站扫描证据。
上述C&C通信行为利用BotDet算法进行检测，检测结果用如下公式表示：
AlN＝((ip1,Alert1),(ip1,Alert3),...,(ip2,Alert1)) (1)
其中，ip表示产生警报的主机IP地址，Alert1、Alert2、Alert3 Alert4对应表示BotDet产生的四种C&C通信警报类型。
上述入站扫描行为和出站扫描行为的检测通过端口监听的方式进行，入站扫描行为的检测是基于端口扫描失败的次数设计的，定义入站扫描证据Alin为端口扫描失败次数占总数的比例，公式如下：
Figure BDA0002547217400000051
其中，portf表示时间窗内端口扫描的失败次数，portall表示时间窗内所有端口扫描的次数。上述出站扫描阶段中，主机会同时对大量的IP进行扫描，因此出站扫描的目标IP趋向于均匀分布，针对主机在时间窗内产生的所有扫描，统计所有IP出现情况的平均不确定性，即单个IP不确定性的统计平均值，上述平均值也就是出站扫描证据Alout，公式如下：
Figure BDA0002547217400000052
Figure BDA0002547217400000053
其中pi为第i个IP出现的概率，f(pi)表示单个IP出现的不确定性函数，Alout代表单个IP不确定性的统计平均值。上述步骤(2)分布式行为图模板建立，首先定义检测周期，将检测周期内收集到的入侵证据关联形成证据集合，并以行为图的方式展现，公式如下：
ASi＝{Alin,i,valuei,Alout,i} (5)
IDBGi＝(V,WV) (6)
其中，ASi表示时间窗内的证据集合，i表示时间窗编号；取300s作为一个时间窗进行警报关联。IDBGi表示主机在第i个时间窗内的行为图，V∈{V1,V2,V3}表示图中的证据节点，V1代表入站扫描证据节点，V2代表C&C通信证据节点，V3代表出站扫描证据节点，WV表示节点的值。
上述行为图IDBGi中，V1和V3所表示的证据节点是对主机端口扫描数据进行统计，是对主机正常行为的统计，而V2所表示的证据节点是对检测到的C&C通信警报数量进行统计，是对主机异常行为的统计，因此将主机的行为图分为以下两种类型，如图2所示：(1)主成分图(IDBG(1))，没有V2节点的图，主机在大多数情况下处于该状态，不产生任何类似C&C通信的噪声行为；(2)噪声图(IDBG(2))，出现了V2节点的图，由于网络环境和用户误操作，主机也可能出现该类行为图。
上述步骤(2)中所述分布式行为图模板定义如下：
MIDBGi＝(IDBG1,IDBG2,...,IDBGn) (7)
其中，MIDBGi表示行为图模板，由多个行为图组成。
上述步骤(3)的具体步骤如下：
(3.1)计算行为图和行为图模板之间的相似度分数CovT,M，分数表示行为图和行为图模板之间的相似性，用来衡量是否出现了新的行为图，公式如下：
Figure BDA0002547217400000061
其中，|IDBGT|∈[2,3]表示主机行为图的节点个数，|MIDBGT|∈[2,3]表示行为图模板的平均节点个数；
(3.2)若CovT,M＝1.5，则|IDBGT|＝3，|MIDBGT|＝2，行为图和行为图模板弱相似，主机的行为图模板中从未出现过噪声图，但当前行为图为噪声图，如图3所示，判断主机被感染；
(3.3)若CovT,M＜1.5，则行为图和行为图模板强相似，如图4所示，转步骤(3.4)；
(3.4)使用集成方案AdaBoost算法对主机行为图进行分类，判断主机是否被感染，其中，分类所使用的特征如下：
(PGnoise,WV1,WV2,WV3) (9)
其中，PGnoise表示最近一段检测周期内噪声图的百分比，WV1,WV2,WV3表示节点的值。
上述步骤(4)行为图模板更新，当检测周期结束时，对主机的行为图重新聚类，形成新的行为图模板。

Claims (8)

1.一种云环境中基于警报关联的分布式入侵检测方法，其特征在于包括如下步骤：
(1)入侵证据收集，以时间窗为单位，选择僵尸机的阶段性行为进行检测，得到检测结果作为异常检测的依据；
(2)分布式行为图模板建立，首先关联收集到的入侵证据形成证据集合，并以行为图的方式展现，然后根据行为图将云环境中的主机进行聚类，得到分布式行为图模板作为主机的行为规则；
(3)异常检测，计算主机的行为图和所述分布式行为图模板的相似度，并结合AdaBoost算法对主机的行为图进行分类，判断所述行为图是否发生异常；
(4)行为图模板更新，定期对主机的行为图重新聚类，便于适应多变的网络环境。
2.根据权利要求1所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述步骤(1)中所述阶段性行为包括：入站扫描、C&C通信和出站扫描，检测结果分别作为入站扫描证据、C&C通信证据和出站扫描证据。
3.根据权利要求2所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述C&C通信行为利用BotDet算法进行检测，检测结果用如下公式表示：
AlN＝((ip1,Alert1),(ip1,Alert3),...,(ip2,Alert1)) (1)
其中，ip表示产生警报的主机IP地址，Alert1、Alert2、Alert3Alert4对应表示BotDet的产生的四种C&C通信警报类型。
4.根据权利要求2所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述入站扫描行为和出站扫描行为的检测通过端口监听的方式进行，入站扫描证据Alin为端口扫描失败次数占总数的比例，出站扫描证据Alout是主机出站扫描的IP的信息熵，用如下公式表示：
Figure FDA0002547217390000011
Figure FDA0002547217390000012
Figure FDA0002547217390000021
其中，portf表示时间窗内端口扫描的失败次数，portall表示时间窗内所有端口扫描的次数，pi为第i个IP出现的概率，f(pi)表示单个IP出现的不确定性函数，Alout代表单个IP不确定性的统计平均值。
5.根据权利要求1所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述步骤(2)分布式行为图模板建立的步骤如下：
首先定义检测周期，将检测周期内收集到的入侵证据关联形成证据集合，并以行为图的方式展现，公式如下：
ASi＝{Alin,i,valuei,Alout,i} (5)
IDBGi＝(V,WV) (6)
其中，ASi表示时间窗内的证据集合，i表示时间窗编号；IDBGi表示主机在第i个时间窗内的行为图，V∈{V1,V2,V3}表示图中的证据节点，V1代表入站扫描证据节点，V2代表C&C通信证据节点，V3代表出站扫描证据节点，WV表示节点的值。
6.根据权利要求5所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述行为图IDBGi中，V1和V3所表示的证据节点是对主机端口扫描数据进行统计，是对主机正常行为的统计，而V2所表示的证据节点是对检测到的C&C通信警报数量进行统计，是对主机异常行为的统计，因此将主机的行为图分为以下两种类型：(1)主成分图(IDBG(1))，没有V2节点的图；(2)噪声图(IDBG(2))，出现了V2节点的图。
7.根据权利要求1所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述步骤(2)中，所述分布式行为图模板定义如下：
MIDBGi＝(IDBG1,IDBG2,...,IDBGn) (7)
其中，MIDBGi表示行为图模板，由多个行为图组成。
8.根据权利要求1所述的一种云环境中基于警报关联的分布式入侵检测方法，其特征在于，所述步骤(3)的具体步骤如下：
(3.1)计算行为图和行为图模板之间的相似度分数CovT,M，分数表示行为图和行为图模板之间的相似性，用来衡量是否出现了新的行为图，公式如下：
Figure FDA0002547217390000031
其中|IDBGT|∈[2,3]表示主机行为图的节点个数，|MIDBGT|∈[2,3]表示行为图模板的平均节点个数；
(3.2)若CovT,M＝1.5，则行为图和行为图模板弱相似，主机的行为图模板中从未出现过噪声图，但当前行为图为噪声图，判断主机被感染；
(3.3)若CovT,M＜1.5，则行为图和行为图模板强相似，转步骤(3.4)；
(3.4)使用集成方案AdaBoost算法对主机行为图进行分类，判断主机是否被感染，其中，分类所使用的特征如下：
(PGnoise,WV1,WV2,WV3) (9)
其中，PGnoise表示最近一段检测周期内噪声图的百分比，WV1,WV2,WV3表示节点的值。
CN202010564624.1A 2020-06-19 2020-06-19 一种云环境中基于警报关联的分布式入侵检测方法 Active CN111935072B (zh)

Priority Applications (1)

Application Number Priority Date Filing Date Title
CN202010564624.1A CN111935072B (zh) 2020-06-19 2020-06-19 一种云环境中基于警报关联的分布式入侵检测方法

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
CN202010564624.1A CN111935072B (zh) 2020-06-19 2020-06-19 一种云环境中基于警报关联的分布式入侵检测方法

Publications (2)

Publication Number Publication Date
CN111935072A true CN111935072A (zh) 2020-11-13
CN111935072B CN111935072B (zh) 2023-11-07

Family

ID=73316641

Family Applications (1)

Application Number Title Priority Date Filing Date
CN202010564624.1A Active CN111935072B (zh) 2020-06-19 2020-06-19 一种云环境中基于警报关联的分布式入侵检测方法

Country Status (1)

Country Link
CN (1) CN111935072B (zh)

Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3915284A (en) * 1973-11-23 1975-10-28 Bendix Corp Automatic object routing system
CN101908065A (zh) * 2010-07-27 2010-12-08 浙江大学 一种支持动态更新的在线属性异常点检测方法
CN102045708A (zh) * 2011-01-25 2011-05-04 河海大学常州校区 基于能量预测的无线传感器网络入侵检测方法
CN105468995A (zh) * 2015-12-15 2016-04-06 吉林大学 以Oracle为核心的基于数据挖掘入侵检测系统
WO2018116303A1 (en) * 2016-12-22 2018-06-28 Attenti Electronic Monitoring Ltd. Location detection of a body-worn tracking device using historical cellular tower data
US10459827B1 (en) * 2016-03-22 2019-10-29 Electronic Arts Inc. Machine-learning based anomaly detection for heterogenous data sources
US20190379677A1 (en) * 2018-06-12 2019-12-12 International Business Machines Corporation Intrusion detection system
CN110837872A (zh) * 2019-11-14 2020-02-25 北京理工大学 一种工控网络入侵检测方法及系统

Patent Citations (8)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US3915284A (en) * 1973-11-23 1975-10-28 Bendix Corp Automatic object routing system
CN101908065A (zh) * 2010-07-27 2010-12-08 浙江大学 一种支持动态更新的在线属性异常点检测方法
CN102045708A (zh) * 2011-01-25 2011-05-04 河海大学常州校区 基于能量预测的无线传感器网络入侵检测方法
CN105468995A (zh) * 2015-12-15 2016-04-06 吉林大学 以Oracle为核心的基于数据挖掘入侵检测系统
US10459827B1 (en) * 2016-03-22 2019-10-29 Electronic Arts Inc. Machine-learning based anomaly detection for heterogenous data sources
WO2018116303A1 (en) * 2016-12-22 2018-06-28 Attenti Electronic Monitoring Ltd. Location detection of a body-worn tracking device using historical cellular tower data
US20190379677A1 (en) * 2018-06-12 2019-12-12 International Business Machines Corporation Intrusion detection system
CN110837872A (zh) * 2019-11-14 2020-02-25 北京理工大学 一种工控网络入侵检测方法及系统

Non-Patent Citations (1)

* Cited by examiner, † Cited by third party
Title
田英明， 李建华: "《基于图形的入侵检测系统(GrIDS)》", pages 49 - 51 *

Also Published As

Publication number Publication date
CN111935072B (zh) 2023-11-07

Similar Documents

Publication Publication Date Title
Maglaras et al. Combining ensemble methods and social network metrics for improving accuracy of OCSVM on intrusion detection in SCADA systems
CN109962891B (zh) 监测云安全的方法、装置、设备和计算机存储介质
CN111935170B (zh) 一种网络异常流量检测方法、装置及设备
CN109104438B (zh) 窄带物联网中的僵尸网络预警方法、装置及可读存储介质
KR101375813B1 (ko) 디지털 변전소의 실시간 보안감사 및 이상징후 탐지를 위한 능동형 보안 센싱 장치 및 방법
JP6442051B2 (ja) コンピュータネットワークへの攻撃を検出する方法
Zhe et al. DoS attack detection model of smart grid based on machine learning method
KR20070095718A (ko) 유형별 트래픽 특성 분류를 통한 인터넷 웜 트래픽 탐지시스템 및 방법
CN109660518B (zh) 网络的通信数据检测方法、装置以及机器可读存储介质
CN109150859B (zh) 一种基于网络流量流向相似性的僵尸网络检测方法
Fries A fuzzy-genetic approach to network intrusion detection
CN111726342B (zh) 一种提升蜜罐系统告警输出精准性的方法及系统
US10931706B2 (en) System and method for detecting and identifying a cyber-attack on a network
CN112671767B (zh) 一种基于告警数据分析的安全事件预警方法及装置
Landress A hybrid approach to reducing the false positive rate in unsupervised machine learning intrusion detection
WO2021018440A1 (en) METHODS FOR DETECTING A CYBERATTACK ON AN ELECTRONIC DEVICE, METHOD FOR OBTAINING A SUPERVISED RANDOM FOREST MODEL FOR DETECTING A DDoS ATTACK OR A BRUTE FORCE ATTACK, AND ELECTRONIC DEVICE CONFIGURED TO DETECT A CYBERATTACK ON ITSELF
CN118018229A (zh) 基于大数据的网络威胁检测方法
CN115277178B (zh) 基于企业网网络流量的异常监测方法、装置及存储介质
CN102111302B (zh) 一种蠕虫检测方法
CN111935072B (zh) 一种云环境中基于警报关联的分布式入侵检测方法
CN112583763A (zh) 入侵侦测装置以及入侵侦测方法
KR102609592B1 (ko) IoT 시스템의 비정상행위 탐지 방법 및 그 장치
Fries Evolutionary optimization of a fuzzy rule-based network intrusion detection system
Su et al. An online response system for anomaly traffic by incremental mining with genetic optimization
CN117749477B (zh) 一种基于生成对抗网络的网络流量异常检测方法

Legal Events

Date Code Title Description
PB01 Publication
PB01 Publication
SE01 Entry into force of request for substantive examination
SE01 Entry into force of request for substantive examination
GR01 Patent grant
GR01 Patent grant