CN117499129A - 应用于入侵检测系统的规则同步方法、装置和存储介质 - Google Patents
应用于入侵检测系统的规则同步方法、装置和存储介质 Download PDFInfo
- Publication number
- CN117499129A CN117499129A CN202311526024.6A CN202311526024A CN117499129A CN 117499129 A CN117499129 A CN 117499129A CN 202311526024 A CN202311526024 A CN 202311526024A CN 117499129 A CN117499129 A CN 117499129A
- Authority
- CN
- China
- Prior art keywords
- node
- synchronized
- intrusion
- data
- intrusion detection
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Granted
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 226
- 238000000034 method Methods 0.000 title claims abstract description 52
- 230000001360 synchronised effect Effects 0.000 claims abstract description 179
- 238000012549 training Methods 0.000 claims abstract description 21
- 230000009545 invasion Effects 0.000 claims description 18
- 238000004590 computer program Methods 0.000 description 15
- 230000006399 behavior Effects 0.000 description 10
- 238000004891 communication Methods 0.000 description 9
- 238000012545 processing Methods 0.000 description 8
- 230000002159 abnormal effect Effects 0.000 description 6
- 230000008901 benefit Effects 0.000 description 6
- 238000010586 diagram Methods 0.000 description 5
- 230000008569 process Effects 0.000 description 5
- 230000006870 function Effects 0.000 description 3
- 230000003287 optical effect Effects 0.000 description 3
- 230000005540 biological transmission Effects 0.000 description 2
- 238000005516 engineering process Methods 0.000 description 2
- 230000003993 interaction Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000004458 analytical method Methods 0.000 description 1
- 238000003491 array Methods 0.000 description 1
- 238000013473 artificial intelligence Methods 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000001413 cellular effect Effects 0.000 description 1
- 238000006243 chemical reaction Methods 0.000 description 1
- 238000013075 data extraction Methods 0.000 description 1
- 230000007547 defect Effects 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 238000011161 development Methods 0.000 description 1
- 239000011521 glass Substances 0.000 description 1
- 239000004973 liquid crystal related substance Substances 0.000 description 1
- 238000010801 machine learning Methods 0.000 description 1
- 239000003550 marker Substances 0.000 description 1
- 239000013307 optical fiber Substances 0.000 description 1
- 238000005457 optimization Methods 0.000 description 1
- 239000004065 semiconductor Substances 0.000 description 1
- 230000001953 sensory effect Effects 0.000 description 1
- 230000003068 static effect Effects 0.000 description 1
- 238000006467 substitution reaction Methods 0.000 description 1
- 238000012546 transfer Methods 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
- 230000000007 visual effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L67/00—Network arrangements or protocols for supporting network services or applications
- H04L67/01—Protocols
- H04L67/10—Protocols in which an application is distributed across nodes in the network
- H04L67/1095—Replication or mirroring of data, e.g. scheduling or transport for data synchronisation between network nodes
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04W—WIRELESS COMMUNICATION NETWORKS
- H04W12/00—Security arrangements; Authentication; Protecting privacy or anonymity
- H04W12/12—Detection or prevention of fraud
- H04W12/121—Wireless intrusion detection systems [WIDS]; Wireless intrusion prevention systems [WIPS]
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Telephonic Communication Services (AREA)
Abstract
本发明公开了一种应用于入侵检测系统的规则同步方法、装置和存储介质。其中，方法包括：基于服务节点的节点数据，确定与服务节点相对应的入侵关联数据，其中，入侵关联数据包括入侵检测结果和与入侵检测结果相对应的节点数据；根据所有入侵关联数据的公共数据，确定待同步节点；基于除待同步节点之外的服务节点相对应的入侵关联数据，对待同步节点进行训练，以更新待同步节点的入侵检测规则。解决了规则同步效率较低的问题，能够自动进行规则同步，提高入侵检测系统的规则同步效率和入侵检测效率。
Description
技术领域
本发明涉及网络安全技术领域，尤其涉及应用于入侵检测系统的规则同步方法、装置和存储介质。
背景技术
随着网络攻击手段的日益复杂多变，一次漏报可能导致整个网络安全遭受重大损失。相关的应用于入侵检测系统的规则同步技术方案中，主要是基于安全团队制定的静态检测规则或特征库来进行入侵检测，当面对新型攻击时，需要人工对规则进行修正。但是，由于人工更新维护检测规则的效率十分有限，无法满足频繁优化的需求，一方面导致漏洞时间窗口增大，一方面导致不同入侵检测系统(intrusion detection system，IDS)的检测规则存在差异，降低入侵检测效率。
发明内容
本发明提供了一种应用于入侵检测系统的规则同步方法、装置和存储介质，以提高入侵检测系统的规则同步效率。
根据本发明的一方面，提供了一种应用于入侵检测系统的规则同步方法，该方法包括：
基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，其中，所述入侵关联数据包括入侵检测结果和与所述入侵检测结果相对应的节点数据；
根据所有所述入侵关联数据的公共数据，确定待同步节点；
基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，以更新所述待同步节点的入侵检测规则。
进一步的，所述根据所有所述入侵关联数据的公共数据，确定待同步节点，包括：
确定所有所述入侵关联数据的公共数据；
确定各服务节点对于所述公共数据的检测结果是否相同；所述检测结果包括存在入侵风险和不存在入侵风险；
若存在至少两个所述服务节点对于所述公共数据的检测结果不同，将所述检测结果为不存在入侵风险的服务节点作为待同步节点。
进一步的，所述根据所有所述入侵关联数据的公共数据，确定待同步节点，还包括：
对所述待同步节点添加标记。
进一步的，所述基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，包括：
基于除所述待同步节点之外的服务节点相对应的入侵检测结果，对所述待同步节点的入侵检测规则进行调整。
进一步的，所述基于除所述待同步节点之外的服务节点相对应的入侵检测结果，对所述待同步节点的入侵检测规则进行调整，包括：
基于除所述待同步节点之外的服务节点到所述待同步节点的最短路径对应的距离，确定目标同步节点；
基于所述目标同步节点的入侵检测规则对所述待同步节点的入侵检测规则进行调整。
进一步的，所述基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，包括：
在满足预设条件时，基于所述服务节点的节点数据和所述入侵检测规则，确定与所述服务节点相对应的入侵关联数据；
其中，所述预设条件包括下述至少一种：
所述节点数据所对应的检测时间满足预设时间周期。
进一步的，所述根据所有所述入侵关联数据的公共数据，确定待同步节点，还包括：
生成提示信息，并将所述提示信息发送至所述待同步节点，
其中，所述提示信息用于确定所述待同步节点的待同步入侵检测规则。
进一步的，所述节点数据包括流量数据。
根据本发明的另一方面，提供了一种应用于入侵检测系统的规则同步装置，该装置包括：
关联数据确定模块，用于基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，其中，所述入侵关联数据包括入侵检测结果和与所述入侵检测结果相对应的节点数据；
节点确定模块，用于根据所有所述入侵关联数据的公共数据，确定待同步节点；
规则更新模块，用于基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，以更新所述待同步节点的入侵检测规则。
根据本发明的另一方面，提供了一种电子设备，该电子设备包括：
至少一个处理器；以及
与至少一个处理器通信连接的存储器；其中，
存储器存储有可被至少一个处理器执行的计算机程序，计算机程序被至少一个处理器执行，以使至少一个处理器能够执行本发明任一实施例的应用于入侵检测系统的规则同步方法。
根据本发明的另一方面，提供了一种计算机可读存储介质，该计算机可读存储介质存储有计算机指令，计算机指令用于使处理器执行时实现本发明任一实施例的应用于入侵检测系统的规则同步方法。
本发明实施例的技术方案，基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，其中，所述入侵关联数据包括入侵检测结果和与所述入侵检测结果相对应的节点数据；根据所有所述入侵关联数据的公共数据，确定待同步节点；基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，以更新所述待同步节点的入侵检测规则。解决了规则同步效率较低的问题，能够自动进行规则同步，提高入侵检测系统的规则同步效率和入侵检测效率。
应当理解，本部分所描述的内容并非旨在标识本发明的实施例的关键或重要特征，也不用于限制本发明的范围。本发明的其它特征将通过以下的说明书而变得容易理解。
附图说明
为了更清楚地说明本发明实施例中的技术方案，下面将对实施例描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。
图1是根据本发明实施例提供的一种应用于入侵检测系统的规则同步方法的流程图；
图2是根据本发明实施例提供的另一种应用于入侵检测系统的规则同步方法的流程图；
图3是根据本发明实施例提供的一种具体的应用于入侵检测系统的规则同步方法的流程图；
图4是根据本发明实施例提供的一种应用于入侵检测系统的规则同步装置的结构框图；
图5是根据本发明实施例提供的一种电子设备的结构框图。
具体实施方式
为了使本技术领域的人员更好地理解本发明方案，下面将结合本发明实施例中的附图，对本发明实施例中的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分的实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有做出创造性劳动前提下所获得的所有其他实施例，都应当属于本发明保护的范围。
需要说明的是，本发明的说明书和权利要求书及上述附图中的术语“目标”和“原始”等是用于区别类似的对象，而不必用于描述特定的顺序或先后次序。应该理解这样使用的数据在适当情况下可以互换，以便这里描述的本发明的实施例能够以除了在这里图示或描述的那些以外的顺序实施。此外，术语“包括”和“具有”以及他们的任何变形，意图在于覆盖不排他的包含，例如，包含了一系列步骤或单元的过程、方法、系统、产品或设备不必限于清楚地列出的那些步骤或单元，而是可包括没有清楚地列出的或对于这些过程、方法、产品或设备固有的其它步骤或单元。
图1是根据本发明实施例提供的一种应用于入侵检测系统的规则同步方法的流程图，可应用于入侵检测系统的规则同步，部署于分布式系统中，分布式系统包括多个服务节点，由应用于入侵检测系统的规则同步装置来执行，该应用于入侵检测系统的规则同步装置可以采用硬件和/或软件的形式实现，并配置于电子设备的处理器中。
如图1所示，应用于入侵检测系统的规则同步方法包括以下步骤：
S110、基于服务节点的节点数据，确定与服务节点相对应的入侵关联数据。
其中，入侵检测系统是一种对网络传输进行即时监视，是一种积极主动的安全防护技术，能够在发现可疑传输时发出警报或者采取主动反应措施的网络安全设备。入侵检测系统根据入侵检测的行为分为两种模式：异常检测和误用检测。其中，异常检测需要建立一个系统访问正常行为的模型，凡是不符合这个模型的行为将被断定为入侵；误用检测需要将所有可能发生的不可接受的行为归纳建立一个模型，凡是符合这个模型的行为将被断定为入侵行为。示例性的，对于服务节点的流量数据，根据流量数据的数据特征进行入侵检测，并基于授权的正常访问行为和非授权的异常访问确定入侵行为。
入侵关联数据包括入侵检测结果和与入侵检测结果相对应的节点数据。
可以理解的是，节点数据包括很多类型的数据，为了进行入侵检测，需要确定节点数据中与入侵检测相关的数据。具体的，服务节点对节点数据进行数据提取，得到与分布式系统相关的运行数据或记录，以确定运行数据或记录相对应的入侵检测结果。
本实施例中，节点数据包括流量数据，相对应的，基于服务节点的节点数据，确定与服务节点相对应的入侵关联数据包括：预先设置了异常流量数据的数据特征；对于服务节点的流量数据的各数据，确定当前数据的数据特征，若存在当前数据的数据特征符合异常流量数据的数据特征，将当前数据与当前数据相对应的异常流量数据的数据特征作为与服务节点相对应的入侵关联数据。
示例性的，基于每秒处理请求数(TPS)和/或最大并发数，设置了异常流量数据的数据特征；对于服务节点的流量数据中的各数据，确定各数据的每秒处理请求数(TPS)和/或最大并发数，将每秒处理请求数(TPS)超过预设请求数和/或最大并发数超过预设并发数的流量数据作为入侵关联数据。
可选的，基于服务节点的节点数据，确定与服务节点相对应的入侵关联数据，包括：预先设置了与入侵行为对应的节点数据；对于服务节点的节点数据中的各数据，确定当前数据与入侵行为对应的节点数据是否相同，若相同，则当前数据作为入侵关联数据。
本实施例中，基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，包括：在满足预设条件时，基于所述服务节点的节点数据和所述入侵检测规则，确定与所述服务节点相对应的入侵关联数据；其中，所述预设条件包括：所述节点数据所对应的检测时间满足预设时间周期。
其中，预设条件是评估是否需要进行规则同步的条件，其具体的内容可以是确定了规则同步的预设时间周期，例如，预设时间周期可以是一天。
入侵检测规则包括符合存在入侵风险/不存在入侵风险的节点数据的数据特征。
具体的，当节点数据所对应的检测时间达到预设时间周期，确定满足预设条件；基于入侵检测规则，对服务节点的节点数据进行检测，确定该节点数据的数据特征是否符合存在入侵风险的节点数据的数据特征；若符合，将满足该数据特征的节点数据作为与该服务节点对应的入侵关联数据。
可选的，也可以根据节点数据的数量确定是否进行规则同步的周期，当节点数据的数量到达设定数量，例如，设定数量可以是10GB，当节点数据的数量到达设定数量，确定满足预设条件。
S120、根据所有入侵关联数据的公共数据，确定待同步节点。
待同步节点为需要进行规则同步的服务节点。
具体的，待同步节点可以是预设时间段内，入侵风险次数最少的服务节点。具体的，基于入侵关联数据，确定与服务节点相对应的入侵风险检出次数；基于由于服务节点的入侵风险检出次数，确定入侵风险次数最少的服务节点，将其作为待同步节点。
本实施例中，根据所有入侵关联数据的公共数据，确定待同步节点，包括：确定所有入侵关联数据的公共数据；确定各服务节点对于公共数据的检测结果是否相同；检测结果包括存在入侵风险和不存在入侵风险；若存在至少两个服务节点对于公共数据的检测结果不同，将检测结果为不存在入侵风险的服务节点作为待同步节点。
可以理解的是，同一入侵类型相对应的服务节点数据的数据特征相同，但是由于不同服务节点的具体设置可能不同，导致不同服务节点对于同一入侵类型相对应的服务节点数据的检测结果可能不同。
具体的，对于所有入侵关联数据，确定与入侵关联数据相对应的入侵类型；对于各入侵类型，将当前入侵类型对应的入侵关联数据作为当前公共数据；确定各服务节点对于当前公共数据的检测结果，如果所有服务节点对于当前公共数据的检测结果相同，则确定所有服务节点对于当前公共数据/当前入侵类型的检测规则相同，确定服务节点之间的规则是同步的；如果存在待同步节点；如果存在至少两个服务节点对于当前公共数据的测结果不同，则表示检测结果为不存在入侵风险的服务节点漏检，即漏检的服务节点与其他服务节点的检测规则不同，将其作为待同步节点。
可选的，根据所有入侵关联数据的公共数据，确定待同步节点，还包括：对待同步节点添加标记。
具体的，可以为待同步节点或者待同步节点的节点数据添加标记，这样做的好处是，通过标记可以快速、有效地确定待同步节点。
示例性的，可以将服务节点在分布式系统中的通信标识符作为待同步节点的标记；或者，将分布式系统中与服务节点所对应的设备的国际移动设备识别码(International Mobile Equipment Identity，IMEI)作为待同步节点的标记。
S130、基于除待同步节点之外的服务节点相对应的入侵关联数据，对待同步节点进行训练，以更新待同步节点的入侵检测规则。
可以理解的是，对于除待同步节点之外的服务节点，均将公共数据作为入侵风险数据，因此，可以基于除待同步节点之外的服务节点相对应的入侵关联数据，对待同步节点的入侵检测规则进行训练，以对待同步节点的入侵检测规则进行调整，以使待同步节点也将公共数据作为入侵风险数据。
具体的，将除待同步节点之外的服务节点相对应的入侵关联数据都发送至待同步节点；以该入侵关联数据中的节点数据作为样本，与节点数据相对应的入侵检测结果作为标签对待同步节点进行训练；在训练过程中，基于待同步节点的输出结果与对应的标签对待同步节点的入侵检测规则进行调整，在正确率超过预设正确率或训练轮次达到最大训练轮次时，停止训练，得到更新后的待同步节点的入侵检测规则。
本实施例的技术方案，对各服务节点的节点数据进行对比分析，确定待同步节点，并为待同步节点添加标记，在各服务节点之间进行协同学习，以对服务节点的检测规则进行优化，使得各服务节点的规则趋于一致，实现自动化规则同步，可以快速、有效地确定待同步节点，进一步加快规则同步速度，提高入侵检测系统的规则同步效率和入侵检测效率。
图2是根据本发明实施例提供的另一种应用于入侵检测系统的规则同步方法的流程图，本实施例可适用于对入侵检测系统进行规则同步的场景，本实施例与上述实施例中的应用于入侵检测系统的规则同步方法属于同一个发明构思，在上述实施例的基础上，进一步描述了基于除待同步节点之外的服务节点相对应的入侵关联数据，对待同步节点进行训练，以更新待同步节点的入侵检测规则的过程。
如图2所示，该应用于入侵检测系统的规则同步方法包括：
S210、基于服务节点的节点数据，确定与服务节点相对应的入侵关联数据。
S220、根据所有入侵关联数据的公共数据，确定待同步节点。
本实施例中，根据所有入侵关联数据的公共数据，确定待同步节点，还包括：生成提示信息，并将提示信息发送至待同步节点，其中，提示信息用于确定待同步节点的待同步入侵检测规则。
其中，待同步入侵检测规则为待同步节点中与公共数据相对应的入侵检测规则。
具体的，所有服务节点均配置了与服务节点相对应的入侵检测规则库，入侵检测规则库包括至少一个入侵检测规则，对入侵检测规则库中的所有入侵检测规则设置了对应的编号；提示信息可以是用于确定待同步节点中待同步入侵检测规则的规则编号。这样做的好处是，可以快速确定待同步节点的入侵检测规则库中的需要进行调整的入侵检测规则。
可选的，提示信息是用于确定除待同步节点之外的服务节点的入侵检测规则库中，与公共数据相对应的入侵检测规则的规则编号。这样做的好处是，可以快速确定待同步节点的训练数据。
S230、基于除待同步节点之外的服务节点相对应的入侵检测结果，对待同步节点的入侵检测规则进行调整，以更新待同步节点的入侵检测规则。
可以理解的是，对于除待同步节点之外的服务节点，针对公共数据的入侵检测结果均为存在风险，因此，需要对待同步节点的入侵检测规则进行调整，以使待同步节点对于公共数据的入侵检测结果与除所述待同步节点之外的服务节点相对应的入侵检测结果相同。
具体的，基于除所述待同步节点之外的服务节点相对应的入侵检测结果，确定除待同步节点之外的服务节点中与该入侵检测结果相对应的入侵检测规则；基于所有除待同步节点之外的服务节点中该入侵检测规则的参数，对待同步节点的入侵检测规则的参数进行调整，以使待同步节点对于公共数据的入侵检测结果与除待同步节点之外的服务节点相对应的入侵检测结果相同。
本实施例中，基于除待同步节点之外的服务节点相对应的入侵检测结果，对待同步节点的入侵检测规则进行调整，包括：基于除待同步节点之外的服务节点到所述待同步节点的最短路径对应的距离，确定目标同步节点；基于目标同步节点的入侵检测规则对待同步节点的入侵检测规则进行调整。
具体的，对于除待同步节点之外的各服务节点，分别确定每个服务节点到待同步节点的最短路径，得到与所述最短路径对应的距离；确定所有距离的最小值，将该最小值对应的服务节点作为目标同步节点；控制目标同步节点将其入侵检测规则发送至待同步节点，基于目标同步节点的入侵检测规则的参数对待同步节点的入侵检测规则的参数进行调整。
示例性的，基于除待同步节点之外的服务节点到待同步节点的最短路径，确定除待同步节点之外的服务节点到待同步节点的网络距离，得到最小网络距离；将最小网络距离对应的服务节点作为目标同步节点；控制目标同步节点将其入侵检测规则发送至待同步节点，基于目标同步节点的入侵检测规则的参数对待同步节点的入侵检测规则的参数进行调整。这样做的好处是，可以加快数据传输速度，以加快规则同步速度。
本实施例的技术方案，生成关于待同步节点的待同步入侵检测规则的提示信息，并基于最短路径确定目标同步节点，以基于目标同步节点的入侵检测规则对待同步节点的入侵检测规则进行调整，可以快速确定待同步节点，并加快规则同步速度。
图3是根据本发明实施例提供的一种具体的应用于入侵检测系统的规则同步方法的流程图，可应用于入侵检测系统的规则同步，如图3所示，该应用于入侵检测系统的规则同步方法包括：
S310、基于服务节点的节点数据，确定与服务节点相对应的入侵检测报告。
可选的，可以在网络运营商、数据中心等需要部署大规模IDS集群的环境下，或者，在虚拟机和云服务器环境中，或者在不同地域和网络中，部署服务节点，并通过协同训练的方式对各服务节点的入侵检测规则进行优化，这样做的好处是，可以基于协同学习机制打破信息壁垒，进一步减少漏报。
具体的，在需要进行入侵检测的目标信息系统中设置多个IDS层，每个IDS层包括至少一个服务节点，服务节点对目标信息系统进行流量检测，得到目标信息系统流量检测数据，将其作为服务节点的节点数据；基于节点数据，对目标信息系统的网络流量进行分析，确定与服务节点相对应的入侵检测结果，将节点数据与节点数据相对应的入侵检测结果作为与服务节点相对应的入侵检测报告。
S320、对所有入侵检测报告进行对比分析，基于所有入侵检测报告的公共数据，确定是否有服务节点存在漏报？
具体的，对于各服务节点的入侵检测报告进行对比分析，确定所有入侵检测报告中相同的节点数据，确定个服务节点对于该节点数据的入侵检测结果是否相同；若不相同，则确定有服务节点存在漏报，执行S330；若均相同，则确定没有服务节点存在漏报，执行S350。
S330、将存在漏报的服务节点作为待同步节点，生成提示信息，并将提示信息发送至待同步节点。
具体的，将存在漏报的服务节点作为待同步节点；同时，为待同步节点添加标记，并确定待同步节点的入侵检测规则库中的待同步入侵检测规则的编号，将该编号作为提示信息，并将其发送至待同步节点。这样做的好处是，可以快速、有效地确定待同步节点及待同步节点的入侵检测规则库中的待同步入侵检测规则。
S340、基于除待同步节点之外的服务节点相对应的入侵检测报告，对待同步节点的入侵检测规则进行调整，以更新待同步节点的入侵检测规则。
具体的，基于除待同步节点之外的服务节点相对应的入侵检测报告，
待同步节点接收其他服务节点的入侵检测报告，将其作为待同步节点的训练数据；待同步节点基于入侵检测规则确定与训练数据相对应的入侵检测结果；确定该入侵检测结果与其他服务节点的入侵检测报告中与该训练数据相对应的入侵检测结果的差异度，若该差异度小于预设阈值，对待同步节点的入侵检测规则进行调整，以更新待同步节点的入侵检测规则，直到该差异度小于预设阈值，或者，达到最大轮次，停止更新，待同步节点的入侵检测规则库的入侵检测规则完成优化，实现服务节点间的规则同步。
S350、确定节点数据所对应的检测时间是否满足目标时间周期？
若满足目标时间周期，返回S310，继续收集检测报告，进行范畴训练，促使不同服务节点的规则趋于一致；若不满足，则执行S360。这样做的好处是，可以及时反馈新出现的入侵风险类型，触发各服务节点协同快速应对。
S360、结束。
图4是根据本发明实施例提供的一种应用于入侵检测系统的规则同步装置的结构框图，本实施例可适用于对业务系统进行应用于入侵检测系统的规则同步的场景，该装置可以采用硬件和/或软件的形式实现，集成于具有应用开发功能的电子设备的处理器中。
如图4所示，该应用于入侵检测系统的规则同步装置包括：关联数据确定模块401，用于基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，其中，所述入侵关联数据包括入侵检测结果和与所述入侵检测结果相对应的节点数据；节点确定模块402，用于根据所有所述入侵关联数据的公共数据，确定待同步节点；规则更新模块403，用于基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，以更新所述待同步节点的入侵检测规则。解决了规则同步效率较低的问题，能够自动进行规则同步，提高入侵检测系统的规则同步效率和入侵检测效率。
可选的，节点确定模块402具体用于：
确定所有所述入侵关联数据的公共数据；
确定各服务节点对于所述公共数据的检测结果是否相同；所述检测结果包括存在入侵风险和不存在入侵风险；
若存在至少两个所述服务节点对于所述公共数据的检测结果不同，将所述检测结果为不存在入侵风险的服务节点作为待同步节点。
可选的，该节点确定模块402还包括节点标记单元，该节点标记单元具体用于：
对所述待同步节点添加标记。
可选的，规则更新模块403具体用于：
基于除所述待同步节点之外的服务节点相对应的入侵检测结果，对所述待同步节点的入侵检测规则进行调整。
可选的，该规则更新模块403包括规则更新单元，该规则更新单元具体用于：
基于除所述待同步节点之外的服务节点到所述待同步节点的最短路径对应的距离，确定目标同步节点；
网络距离是网络中任意节点对最短路径长度的平均值
基于所述目标同步节点的入侵检测规则对所述待同步节点的入侵检测规则进行调整。
可选的，关联数据确定模块401具体用于：
在满足预设条件时，基于所述服务节点的节点数据和所述入侵检测规则，确定与所述服务节点相对应的入侵关联数据；
其中，所述预设条件包括：所述节点数据所对应的检测时间满足预设时间周期。
可选的，规则更新模块403还包括提示单元，该提示单元具体用于：
生成提示信息，并将所述提示信息发送至所述待同步节点，
其中，所述提示信息用于确定所述待同步节点的待同步入侵检测规则。
可选的，所述节点数据包括流量数据。
本发明实施例所提供的应用于入侵检测系统的规则同步装置可执行本发明任一实施例所提供的应用于入侵检测系统的规则同步方法，具备执行方法相应的功能模块和有益效果。
图5是根据本发明实施例提供的一种电子设备的结构框图。电子设备旨在表示各种形式的数字计算机，诸如，膝上型计算机、台式计算机、工作台、个人数字助理、服务器、刀片式服务器、大型计算机、和其它适合的计算机。电子设备还可以表示各种形式的移动装置，诸如，个人数字处理、蜂窝电话、智能电话、可穿戴设备(如头盔、眼镜、手表等)和其它类似的计算装置。本文所示的部件、它们的连接和关系以及它们的功能仅仅作为示例，并且不意在限制本文中描述的和/或者要求的本发明的实现。
如图5所示，电子设备10包括至少一个处理器11，以及与至少一个处理器11通信连接的存储器，如只读存储器(ROM)12、随机访问存储器(RAM)13等，其中，存储器存储有可被至少一个处理器执行的计算机程序，处理器11可以根据存储在只读存储器(ROM)12中的计算机程序或者从存储单元18加载到随机访问存储器(RAM)13中的计算机程序，来执行各种适当的动作和处理。在RAM 13中，还可存储电子设备10操作所需的各种程序和数据。处理器11、ROM 12以及RAM 13通过总线14彼此相连。输入/输出(I/O)接口15也连接至总线14。
电子设备10中的多个部件连接至I/O接口15，包括：输入单元16，例如键盘、鼠标等；输出单元17，例如各种类型的显示器、扬声器等；存储单元18，例如磁盘、光盘等；以及通信单元19，例如网卡、调制解调器、无线通信收发机等。通信单元19允许电子设备10通过诸如因特网的计算机网络和/或各种电信网络与其他设备交换信息/数据。
处理器11可以是各种具有处理和计算能力的通用和/或专用处理组件。处理器11的一些示例包括但不限于中央处理单元(CPU)、图形处理单元(GPU)、各种专用的人工智能(AI)计算芯片、各种运行机器学习模型算法的处理器、数字信号处理器(DSP)、以及任何适当的处理器、控制器、微控制器等。处理器11执行上文所描述的各个方法和处理，例如应用于入侵检测系统的规则同步方法。
在一些实施例中，应用于入侵检测系统的规则同步方法可被实现为计算机程序，其被有形地包含于计算机可读存储介质，例如存储单元18。在一些实施例中，计算机程序的部分或者全部可以经由ROM 12和/或通信单元19而被载入和/或安装到电子设备10上。当计算机程序加载到RAM 13并由处理器11执行时，可以执行上文描述的应用于入侵检测系统的规则同步方法的一个或多个步骤。备选地，在其他实施例中，处理器11可以通过其他任何适当的方式(例如，借助于固件)而被配置为执行应用于入侵检测系统的规则同步方法。
本文中以上描述的系统和技术的各种实施方式可以在数字电子电路系统、集成电路系统、场可编程门阵列(FPGA)、专用集成电路(ASIC)、专用标准产品(ASSP)、芯片上系统的系统(SOC)、负载可编程逻辑设备(CPLD)、计算机硬件、固件、软件、和/或它们的组合中实现。这些各种实施方式可以包括：实施在一个或者多个计算机程序中，该一个或者多个计算机程序可在包括至少一个可编程处理器的可编程系统上执行和/或解释，该可编程处理器可以是专用或者通用可编程处理器，可以从存储系统、至少一个输入装置、和至少一个输出装置接收数据和指令，并且将数据和指令传输至该存储系统、该至少一个输入装置、和该至少一个输出装置。
用于实施本发明的方法的计算机程序可以采用一个或多个编程语言的任何组合来编写。这些计算机程序可以提供给通用计算机、专用计算机或其他可编程应用于入侵检测系统的规则同步装置的处理器，使得计算机程序当由处理器执行时使流程图和/或框图中所规定的功能/操作被实施。计算机程序可以完全在机器上执行、部分地在机器上执行，作为独立软件包部分地在机器上执行且部分地在远程机器上执行或完全在远程机器或服务器上执行。
在本发明的上下文中，计算机可读存储介质可以是有形的介质，其可以包含或存储以供指令执行系统、装置或设备使用或与指令执行系统、装置或设备结合地使用的计算机程序。计算机可读存储介质可以包括但不限于电子的、磁性的、光学的、电磁的、红外的、或半导体系统、装置或设备，或者上述内容的任何合适组合。备选地，计算机可读存储介质可以是机器可读信号介质。机器可读存储介质的更具体示例会包括基于一个或多个线的电气连接、便携式计算机盘、硬盘、随机存取存储器(RAM)、只读存储器(ROM)、可擦除可编程只读存储器(EPROM或快闪存储器)、光纤、便捷式紧凑盘只读存储器(CD-ROM)、光学储存设备、磁储存设备、或上述内容的任何合适组合。
为了提供与用户的交互，可以在电子设备上实施此处描述的系统和技术，该电子设备具有：用于向用户显示信息的显示装置(例如，CRT(阴极射线管)或者LCD(液晶显示器)监视器)；以及键盘和指向装置(例如，鼠标或者轨迹球)，用户可以通过该键盘和该指向装置来将输入提供给电子设备。其它种类的装置还可以用于提供与用户的交互；例如，提供给用户的反馈可以是任何形式的传感反馈(例如，视觉反馈、听觉反馈、或者触觉反馈)；并且可以用任何形式(包括声输入、语音输入或者、触觉输入)来接收来自用户的输入。
可以将此处描述的系统和技术实施在包括后台部件的计算系统(例如，作为数据服务器)、或者包括中间件部件的计算系统(例如，应用服务器)、或者包括前端部件的计算系统(例如，具有图形用户界面或者网络浏览器的用户计算机，用户可以通过该图形用户界面或者该网络浏览器来与此处描述的系统和技术的实施方式交互)、或者包括这种后台部件、中间件部件、或者前端部件的任何组合的计算系统中。可以通过任何形式或者介质的数字数据通信(例如，通信网络)来将系统的部件相互连接。通信网络的示例包括：局域网(LAN)、广域网(WAN)、区块链网络和互联网。
计算系统可以包括客户端和服务器。客户端和服务器一般远离彼此并且通常通过通信网络进行交互。通过在相应的计算机上运行并且彼此具有客户端-服务器关系的计算机程序来产生客户端和服务器的关系。服务器可以是云服务器，又称为云计算服务器或云主机，是云计算服务体系中的一项主机产品，以解决了传统物理主机与VPS服务中，存在的管理难度大，业务扩展性弱的缺陷。
应该理解，可以使用上面所示的各种形式的流程，重新排序、增加或删除步骤。例如，本发明中记载的各步骤可以并行地执行也可以顺序地执行也可以不同的次序执行，只要能够实现本发明的技术方案所期望的结果，本文在此不进行限制。
上述具体实施方式，并不构成对本发明保护范围的限制。本领域技术人员应该明白的是，根据设计要求和其他因素，可以进行各种修改、组合、子组合和替代。任何在本发明的精神和原则之内所作的修改、等同替换和改进等，均应包含在本发明保护范围之内。
Claims (10)
1.一种应用于入侵检测系统的规则同步方法，其特征在于，部署于分布式系统中，所述分布式系统包括多个服务节点，所述方法包括：
基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，其中，所述入侵关联数据包括入侵检测结果和与所述入侵检测结果相对应的节点数据；
根据所有所述入侵关联数据的公共数据，确定待同步节点；
基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，以更新所述待同步节点的入侵检测规则。
2.根据权利要求1所述的方法，其特征在于，所述根据所有所述入侵关联数据的公共数据，确定待同步节点，包括：
确定所有所述入侵关联数据的公共数据；
确定各服务节点对于所述公共数据的检测结果是否相同；所述检测结果包括存在入侵风险和不存在入侵风险；
若存在至少两个所述服务节点对于所述公共数据的检测结果不同，将所述检测结果为不存在入侵风险的服务节点作为待同步节点。
3.根据权利要求1或2所述的方法，其特征在于，所述根据所有所述入侵关联数据的公共数据，确定待同步节点，还包括：
对所述待同步节点添加标记。
4.根据权利要求1所述的方法，其特征在于，所述基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，包括：
基于除所述待同步节点之外的服务节点相对应的入侵检测结果，对所述待同步节点的入侵检测规则进行调整。
5.根据权利要求4所述的方法，其特征在于，所述基于除所述待同步节点之外的服务节点相对应的入侵检测结果，对所述待同步节点的入侵检测规则进行调整，包括：
基于除所述待同步节点之外的服务节点到所述待同步节点的最短路径对应的距离，确定目标同步节点；
基于所述目标同步节点的入侵检测规则对所述待同步节点的入侵检测规则进行调整。
6.根据权利要求1所述的方法，其特征在于，所述基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，包括：
在满足预设条件时，基于所述服务节点的节点数据和所述入侵检测规则，确定与所述服务节点相对应的入侵关联数据；
其中，所述预设条件包括：所述节点数据所对应的检测时间满足预设时间周期。
7.根据权利要求1-3中任一所述的方法，其特征在于，所述根据所有所述入侵关联数据的公共数据，确定待同步节点，还包括：
生成提示信息，并将所述提示信息发送至所述待同步节点，
其中，所述提示信息用于确定所述待同步节点的待同步入侵检测规则。
8.根据权利要求1或5所述的方法，其特征在于，
所述节点数据包括流量数据。
9.一种应用于入侵检测系统的规则同步装置，其特征在于，部署于分布式系统中，所述分布式系统包括多个服务节点，所述装置包括：
关联数据确定模块，用于基于所述服务节点的节点数据，确定与所述服务节点相对应的入侵关联数据，其中，所述入侵关联数据包括入侵检测结果和与所述入侵检测结果相对应的节点数据；
节点确定模块，用于根据所有所述入侵关联数据的公共数据，确定待同步节点；
规则更新模块，用于基于除所述待同步节点之外的服务节点相对应的入侵关联数据，对所述待同步节点进行训练，以更新所述待同步节点的入侵检测规则。
10.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质存储有计算机指令，所述计算机指令用于使处理器执行时实现权利要求1-8中任一项所述的应用于入侵检测系统的规则同步方法。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311526024.6A CN117499129B (zh) | 2023-11-15 | 2023-11-15 | 应用于入侵检测系统的规则同步方法、装置和存储介质 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN202311526024.6A CN117499129B (zh) | 2023-11-15 | 2023-11-15 | 应用于入侵检测系统的规则同步方法、装置和存储介质 |
Publications (2)
| Publication Number | Publication Date |
|---|---|
| CN117499129A true CN117499129A (zh) | 2024-02-02 |
| CN117499129B CN117499129B (zh) | 2024-05-03 |
Family
ID=89670573
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN202311526024.6A Active CN117499129B (zh) | 2023-11-15 | 2023-11-15 | 应用于入侵检测系统的规则同步方法、装置和存储介质 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN117499129B (zh) |
Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20200311583A1 (en) * | 2019-04-01 | 2020-10-01 | Hewlett Packard Enterprise Development Lp | System and methods for fault tolerance in decentralized model building for machine learning using blockchain |
| CN113596043A (zh) * | 2021-08-03 | 2021-11-02 | 中国电信股份有限公司 | 攻击检测方法、攻击检测装置、存储介质与电子设备 |
| CN114257386A (zh) * | 2020-09-10 | 2022-03-29 | 华为技术有限公司 | 检测模型的训练方法、系统、设备及存储介质 |
| CN114257447A (zh) * | 2021-12-20 | 2022-03-29 | 国汽(北京)智能网联汽车研究院有限公司 | 一种车载网络idps联防联动系统 |
| CN115242559A (zh) * | 2022-09-23 | 2022-10-25 | 北京航空航天大学 | 基于区块链和联邦学习的网络流量入侵检测方法 |
| CN116032659A (zh) * | 2023-02-20 | 2023-04-28 | 中国铁道科学研究院集团有限公司通信信号研究所 | 一种基于区块链的铁路信号入侵检测系统 |
| CN116346418A (zh) * | 2023-02-13 | 2023-06-27 | 北京邮电大学 | 基于联邦学习的DDoS检测方法及装置 |
| CN116527362A (zh) * | 2023-05-06 | 2023-08-01 | 北京邮电大学 | 一种基于LayerCFL入侵检测的数据保护方法 |
| CN116545733A (zh) * | 2023-05-29 | 2023-08-04 | 国网福建省电力有限公司 | 一种电网入侵检测方法及系统 |
| CN116708009A (zh) * | 2023-07-18 | 2023-09-05 | 杭州电子科技大学上虞科学与工程研究院有限公司 | 一种基于联邦学习的网络入侵检测方法 |
-
2023
- 2023-11-15 CN CN202311526024.6A patent/CN117499129B/zh active Active
Patent Citations (10)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| US20200311583A1 (en) * | 2019-04-01 | 2020-10-01 | Hewlett Packard Enterprise Development Lp | System and methods for fault tolerance in decentralized model building for machine learning using blockchain |
| CN114257386A (zh) * | 2020-09-10 | 2022-03-29 | 华为技术有限公司 | 检测模型的训练方法、系统、设备及存储介质 |
| CN113596043A (zh) * | 2021-08-03 | 2021-11-02 | 中国电信股份有限公司 | 攻击检测方法、攻击检测装置、存储介质与电子设备 |
| CN114257447A (zh) * | 2021-12-20 | 2022-03-29 | 国汽(北京)智能网联汽车研究院有限公司 | 一种车载网络idps联防联动系统 |
| CN115242559A (zh) * | 2022-09-23 | 2022-10-25 | 北京航空航天大学 | 基于区块链和联邦学习的网络流量入侵检测方法 |
| CN116346418A (zh) * | 2023-02-13 | 2023-06-27 | 北京邮电大学 | 基于联邦学习的DDoS检测方法及装置 |
| CN116032659A (zh) * | 2023-02-20 | 2023-04-28 | 中国铁道科学研究院集团有限公司通信信号研究所 | 一种基于区块链的铁路信号入侵检测系统 |
| CN116527362A (zh) * | 2023-05-06 | 2023-08-01 | 北京邮电大学 | 一种基于LayerCFL入侵检测的数据保护方法 |
| CN116545733A (zh) * | 2023-05-29 | 2023-08-04 | 国网福建省电力有限公司 | 一种电网入侵检测方法及系统 |
| CN116708009A (zh) * | 2023-07-18 | 2023-09-05 | 杭州电子科技大学上虞科学与工程研究院有限公司 | 一种基于联邦学习的网络入侵检测方法 |
Non-Patent Citations (2)
| Title |
|---|
| 冯国聪，樊凯，叶婉琦: "基于卷积神经网络的网络入侵检测系统设计", 《微型电脑应用》, vol. 39, no. 05, 20 May 2023 (2023-05-20) * |
| 蒋琴: "智融标识网络下基于机器学习的入侵检测系统设计与实现", 《中国优秀硕士学位论文 信息科技辑》, vol. 2023, no. 07, 15 July 2023 (2023-07-15) * |
Also Published As
| Publication number | Publication date |
|---|---|
| CN117499129B (zh) | 2024-05-03 |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN113328872A (zh) | 故障修复方法、装置和存储介质 | |
| US10127385B2 (en) | Automated security vulnerability exploit tracking on social media | |
| CN111885007A (zh) | 信息溯源方法、装置、系统及存储介质 | |
| US20230156034A1 (en) | Real-time threat detection for encrypted communications | |
| CN114328132A (zh) | 外部数据源的状态监控方法、装置、设备和介质 | |
| US11005797B2 (en) | Method, system and server for removing alerts | |
| CN117765701A (zh) | 一种信息检测方法、装置、电子设备及存储介质 | |
| CN117499129B (zh) | 应用于入侵检测系统的规则同步方法、装置和存储介质 | |
| CN117093627A (zh) | 信息挖掘的方法、装置、电子设备和存储介质 | |
| CN107612755A (zh) | 一种云资源的管理方法及其装置 | |
| CN112995018B (zh) | 消息处理方法、装置、设备及存储介质 | |
| CN113676531B (zh) | 电商流量削峰方法、装置、电子设备及可读存储介质 | |
| CN113553074B (zh) | 小程序分发控制方法、装置、电子设备以及存储介质 | |
| CN115543416A (zh) | 一种配置更新方法、装置、电子设备及存储介质 | |
| CN111431764B (zh) | 节点确定方法、设备、系统及介质 | |
| CN115871754B (zh) | 轨道交通控制信号系统、检测方法、装置、设备及介质 | |
| CN114924806B (zh) | 一种配置信息的动态同步方法、装置、设备及介质 | |
| CN117395071B (zh) | 一种异常检测方法、装置、设备及存储介质 | |
| CN115664839B (zh) | 隐私计算进程的安全监控方法、装置、设备、介质 | |
| CN116016265B (zh) | 消息全链路监控方法、装置、系统、设备和存储介质 | |
| CN117792772A (zh) | 一种双lsa攻击防御方法、装置、设备和介质 | |
| CN115774878A (zh) | 请求处理方法、装置、电子设备及存储介质 | |
| CN117729005A (zh) | 一种网络资产测绘方法 | |
| CN118170617A (zh) | 集群异常的检测方法及装置、电子设备和存储介质 | |
| CN115664726A (zh) | 一种恶意beacon通信的检测方法和装置 |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| GR01 | Patent grant | ||
| GR01 | Patent grant |