CN117879978A - 一种用于网关路由器的入侵检测系统 - Google Patents

Abstract

本发明属于网络入侵检测领域，涉及数据分析技术，用于解决现有技术中的网关路由器的入侵检测系统无法对数据传输进程进行安全评估分析的问题，具体是一种用于网关路由器的入侵检测系统，包括入侵检测平台，入侵检测平台通信连接有接入检测模块、进程监控模块、评估更新模块以及存储模块；接入检测模块用于在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网络路由器的预警特征库进行比对；本发明可以在新网络接入网关路由器时进行接入安全性检测分析，将新网络的接入参数与预警特征库进行比对，然后根据比对结果对新网络是否通过接入预警检测进行评估。

Description

一种用于网关路由器的入侵检测系统

技术领域

本发明属于网络入侵检测领域，涉及数据分析技术，具体是一种用于网关路由器的入侵检测系统。

背景技术

网关在网络层以上实现网络互连，是复杂的网络互连设备，仅用于两个高层协议不同的网络互连，网关既可以用于广域网互连，也可以用于局域网互连，网关是一种充当转换重任的计算机系统或设备。

现有技术中的网关路由器的入侵检测系统仅能够在网关路由器接入新设备时进行安全检测，而无法对数据传输进程进行安全评估分析，同时无法结合全流程的接入传输过程对网关路由器的接入检测数据库进行更新，导致网关路由器的安全管理效率低下。

针对上述技术问题，本申请提出一种解决方案。

发明内容

本发明的目的在于提供一种用于网关路由器的入侵检测系统，用于解决现有技术中的网关路由器的入侵检测系统无法对数据传输进程进行安全评估分析的问题；

本发明需要解决的技术问题为：如何提供一种可以对数据传输进程进行安全评估分析的用于网关路由器的入侵检测系统。

本发明的目的可以通过以下技术方案实现：

一种用于网关路由器的入侵检测系统，包括入侵检测平台，所述入侵检测平台通信连接有接入检测模块、进程监控模块、评估更新模块以及存储模块；

所述接入检测模块用于在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网络路由器的预警特征库进行比对；

所述进程监控模块用于对检测对象接入网关路由器之后的数据传输进程进行监控分析：在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY并进行数值计算得到检测时段的进程系数JC，通过进程系数JC对检测时段内的数据传输进程安全性是否满足要求进行判定；

所述评估更新模块用于对入侵检测平台的接入传输安全性进行周期性的评估分析：生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象在评估周期内的接入数据JR、预警数据YJ以及间隔数据JG并进行数值计算得到评估系数PG；通过评估系数PG将评估对象标记为正常对象或更新对象；将评估周期内更新对象的数量与评估对象的数量的比值标记为评估周期的安全系数，通过安全系数对评估周期内的网关路由器接入传输安全性是否满足要求进行判定。

作为本发明的一种优选实施方式，将接入参数与网络路由器的预警特征库进行比对的具体过程包括：接入参数包括检测对象的网关设备编号以及检测对象的IP地址范围，通过存储模块获取网关路由器的预警特征库，将网关设备编号与检测对象的IP地址范围与预警特征库中的所有元素进行比对，若预警特征库中不存在与网关设备编号或检测对象的IP地址范围相同的元素，则判定检测对象通过接入预警检测；否则，判定检测对象不通过接入预警检测，生成预警信号并将预警信号发送至检测对象管理人员的手机终端。

作为本发明的一种优选实施方式，流量数据LL为检测时段内进行数据包传输的流量值，格式数据GS为检测时段内传输数据包的协议格式数量，调用数据DY为检测时段内检测对象从网关路由器的主机存储器中调取的数据内存值。

作为本发明的一种优选实施方式，对检测时段内的数据传输进程安全性是否满足要求进行判定的具体过程包括：通过存储模块获取到网关路由器的进程阈值JCmax，将进程系数JC与进程阈值JCmax进行比较：若进程系数JC小于进程阈值JCmax，则判定检测时段内的数据传输进程安全性满足要求；若进程系数JC大于等于进程阈值JCmax，则检测时段内的数据传输进程安全性不满足要求，结束当前数据传输进程，并将对应的检测对象标记为网关路由器的预警对象，将预警对象的网关设备编号以及IP地址范围标记为预警参数，将预警参数加入到预警特征库中进行存储。

作为本发明的一种优选实施方式，接入数据JR为评估对象在评估周期内与所有分析对象进行接入的总次数；预警数据YJ为评估对象在评估周期内被标记为预警对象的次数；间隔数据JG的获取过程包括：将评估对象在评估周期内与分析对象完成接入的时间点标记为接入时间点，将评估周期分割为若干个评估时段，将所有评估时段内包含接入时间点的数量的最大值标记为间隔数据JG。

作为本发明的一种优选实施方式，将评估对象标记为正常对象或更新对象的具体过程包括：通过存储模块获取到评估阈值PGmax，将评估对象的评估系数PG与评估阈值PGmax进行比较：若评估系数PG小于评估阈值PGmax，则将对应的评估对象标记为正常对象；若评估系数PG大于等于评估阈值PGmax，则将对应的评估对象标记为更新对象，将更新对象的网关设备编号与IP地址范围标记为更新参数，将更新参数加入到所有分析对象的预警特征库当中。

作为本发明的一种优选实施方式，对评估周期内的网关路由器接入传输安全性是否满足要求进行判定的具体过程包括：通过存储模块获取到安全阈值，将评估周期的安全系数与安全阈值进行比较：若安全系数小于安全阈值，则判定评估周期内的网关路由器接入传输安全性满足要求；若安全系数大于等于安全阈值，则判定评估周期内的网关路由器接入传输安全性不满足要求，生成安全预警信号并将安全预警信号发送至入侵检测平台，入侵检测平台接收到安全预警信号后将安全预警信号发送至管理人员的手机终端。

作为本发明的一种优选实施方式，该用于网关路由器的入侵检测系统的工作方法，包括以下步骤：

步骤一：在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网关路由器的预警特征库进行比对，并通过比对结果对接入预警检测是否通过进行判定；

步骤二：对检测对象接入网关路由器之后的数据传输进程进行监控分析：在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY并进行数值计算得到进程系数JC，通过进程系数JC对检测时段内的数据传输进程安全性是否满足要求进行判定；

步骤三：对入侵检测平台的接入传输安全性进行周期性的评估分析：生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象的评估系数PG，通过评估系数PG将评估对象标记为正常对象或更新对象。

本发明具备下述有益效果：

通过接入监测模块可以在新网络接入网关路由器时进行接入安全性检测分析，将新网络的接入参数与预警特征库进行比对，然后根据比对结果对新网络是否通过接入预警检测进行评估，提高网关路由器的接入安全性；

通过进程监控模块可以对检测对象接入网关路由器之后的数据传输进程进行监控分析，在检测时段内获取多项传输进程的异常参数并进行综合分析与计算得到进程系数，通过进程系数对检测时段内的数据传输进程安全性进行评估，从而实现网关路由器的接入传输全流程监控；

通过评估更新模块可以对入侵检测平台的接入传输安全性进行周期性的评估分析，通过评估周期所有评估对象的评估系数将评估对象标记为正常对象或更新对象，从而将更新对象的接入参数加入到所有分析对象的预警特征库当中，提高后续网关路由器的安全管理效率。

附图说明

为了更清楚地说明本发明实施例或现有技术中的技术方案，下面将对实施例或现有技术描述中所需要使用的附图作简单地介绍，显而易见地，下面描述中的附图仅仅是本发明的一些实施例，对于本领域普通技术人员来讲，在不付出创造性劳动的前提下，还可以根据这些附图获得其他的附图。

图1为本发明实施例一的系统框图；

图2为本发明实施例二的方法流程图。

具体实施方式

下面将结合实施例对本发明的技术方案进行清楚、完整地描述，显然，所描述的实施例仅仅是本发明一部分实施例，而不是全部的实施例。基于本发明中的实施例，本领域普通技术人员在没有作出创造性劳动前提下所获得的所有其它实施例，都属于本发明保护的范围。

实施例一：如图1所示，一种用于网关路由器的入侵检测系统，包括入侵检测平台，入侵检测平台通信连接有接入检测模块、进程监控模块、评估更新模块以及存储模块。

接入检测模块用于在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，接入参数包括检测对象的网关设备编号以及检测对象的IP地址范围，通过存储模块获取网关路由器的预警特征库，将网关设备编号与检测对象的IP地址范围与预警特征库中的所有元素进行比对，若预警特征库中不存在与网关设备编号或检测对象的IP地址范围相同的元素，则判定检测对象通过接入预警检测；否则，判定检测对象不通过接入预警检测，生成预警信号并将预警信号发送至检测对象管理人员的手机终端；在新网络接入网关路由器时进行接入安全性检测分析，将新网络的接入参数与预警特征库进行比对，然后根据比对结果对新网络是否通过接入预警检测进行评估，提高网关路由器的接入安全性。

进程监控模块用于对检测对象接入网关路由器之后的数据传输进程进行监控分析：在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY，流量数据LL为检测时段内进行数据包传输的流量值，格式数据GS为检测时段内传输数据包的协议格式数量，调用数据DY为检测时段内检测对象从网关路由器的主机存储器中调取的数据内存值；通过公式JC=α1*LL+α2*GS+α3*DY得到检测时段的进程系数JC，其中α1、α2以及α3均为比例系数，且α3＞α2＞α1＞1；通过存储模块获取到网关路由器的进程阈值JCmax，将进程系数JC与进程阈值JCmax进行比较：若进程系数JC小于进程阈值JCmax，则判定检测时段内的数据传输进程安全性满足要求；若进程系数JC大于等于进程阈值JCmax，则检测时段内的数据传输进程安全性不满足要求，结束当前数据传输进程，并将对应的检测对象标记为网关路由器的预警对象，将预警对象的网关设备编号以及IP地址范围标记为预警参数，将预警参数加入到预警特征库中进行存储；对检测对象接入网关路由器之后的数据传输进程进行监控分析，在检测时段内获取多项传输进程的异常参数并进行综合分析与计算得到进程系数，通过进程系数对检测时段内的数据传输进程安全性进行评估，从而实现网关路由器的接入传输全流程监控。

评估更新模块用于对入侵检测平台的接入传输安全性进行周期性的评估分析：生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象在评估周期内的接入数据JR、预警数据YJ以及间隔数据JG，接入数据JR为评估对象在评估周期内与所有分析对象进行接入的总次数；预警数据YJ为评估对象在评估周期内被标记为预警对象的次数；间隔数据JG的获取过程包括：将评估对象在评估周期内与分析对象完成接入的时间点标记为接入时间点，将评估周期分割为若干个评估时段，将所有评估时段内包含接入时间点的数量的最大值标记为间隔数据JG；通过公式PG=β1*JR+β2*YJ+β3*JG得到评估对象的评估系数PG，其中β1、β2以及β3均为比例系数，且β1＞β2＞β3＞1；通过存储模块获取到评估阈值PGmax，将评估对象的评估系数PG与评估阈值PGmax进行比较：若评估系数PG小于评估阈值PGmax，则将对应的评估对象标记为正常对象；若评估系数PG大于等于评估阈值PGmax，则将对应的评估对象标记为更新对象，将更新对象的网关设备编号与IP地址范围标记为更新参数，将更新参数加入到所有分析对象的预警特征库当中；将评估周期内更新对象的数量与评估对象的数量的比值标记为评估周期的安全系数，通过存储模块获取到安全阈值，将评估周期的安全系数与安全阈值进行比较：若安全系数小于安全阈值，则判定评估周期内的网关路由器接入传输安全性满足要求；若安全系数大于等于安全阈值，则判定评估周期内的网关路由器接入传输安全性不满足要求，生成安全预警信号并将安全预警信号发送至入侵检测平台，入侵检测平台接收到安全预警信号后将安全预警信号发送至管理人员的手机终端；对入侵检测平台的接入传输安全性进行周期性的评估分析，通过评估周期所有评估对象的评估系数将评估对象标记为正常对象或更新对象，从而将更新对象的接入参数加入到所有分析对象的预警特征库当中，提高后续网关路由器的安全管理效率。

实施例二：如图2所示， 一种用于网关路由器的入侵检测方法，包括以下步骤：

步骤一：在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网关路由器的预警特征库进行比对，并通过比对结果对接入预警检测是否通过进行判定；

步骤二：对检测对象接入网关路由器之后的数据传输进程进行监控分析：在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY并进行数值计算得到进程系数JC，通过进程系数JC对检测时段内的数据传输进程安全性是否满足要求进行判定；

步骤三：对入侵检测平台的接入传输安全性进行周期性的评估分析：生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象的评估系数PG，通过评估系数PG将评估对象标记为正常对象或更新对象。

一种用于网关路由器的入侵检测系统，工作时，将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网关路由器的预警特征库进行比对，并通过比对结果对接入预警检测是否通过进行判定；在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY并进行数值计算得到进程系数JC，通过进程系数JC对检测时段内的数据传输进程安全性是否满足要求进行判定；生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象的评估系数PG，通过评估系数PG将评估对象标记为正常对象或更新对象。

以上内容仅仅是对本发明结构所作的举例和说明，所属本技术领域的技术人员对所描述的具体实施例做各种各样的修改或补充或采用类似的方式替代，只要不偏离发明的结构或者超越本权利要求书所定义的范围，均应属于本发明的保护范围。

上述公式均是采集大量数据进行软件模拟得出且选取与真实值接近的一个公式，公式中的系数是由本领域技术人员根据实际情况进行设置；如：公式JC=α1*LL+α2*GS+α3*DY；由本领域技术人员采集多组样本数据并对每一组样本数据设定对应的进程系数；将设定的进程系数和采集的样本数据代入公式，任意三个公式构成三元一次方程组，将计算得到的系数进行筛选并取均值，得到α1、α2以及α3的取值分别为3.74、2.97和2.65；

系数的大小是为了将各个参数进行量化得到的一个具体的数值，便于后续比较，关于系数的大小，取决于样本数据的多少及本领域技术人员对每一组样本数据初步设定对应的进程系数；只要不影响参数与量化后数值的比例关系即可，如进程系数与调用数据的数值成正比。

在本说明书的描述中，参考术语“一个实施例”、“示例”、“具体示例”等的描述意指结合该实施例或示例描述的具体特征、结构、材料或者特点包含于本发明的至少一个实施例或示例中。在本说明书中，对上述术语的示意性表述不一定指的是相同的实施例或示例。而且，描述的具体特征、结构、材料或者特点可以在任何的一个或多个实施例或示例中以合适的方式结合。

以上公开的本发明优选实施例只是用于帮助阐述本发明。优选实施例并没有详尽叙述所有的细节，也不限制该发明仅为的具体实施方式。显然，根据本说明书的内容，可作很多的修改和变化。本说明书选取并具体描述这些实施例，是为了更好地解释本发明的原理和实际应用，从而使所属技术领域技术人员能很好地理解和利用本发明。本发明仅受权利要求书及其全部范围和等效物的限制。

Claims (8)

1.一种用于网关路由器的入侵检测系统，其特征在于，包括入侵检测平台，所述入侵检测平台通信连接有接入检测模块、进程监控模块、评估更新模块以及存储模块；

所述接入检测模块用于在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网络路由器的预警特征库进行比对；

所述进程监控模块用于对检测对象接入网关路由器之后的数据传输进程进行监控分析：在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY并进行数值计算得到检测时段的进程系数JC，通过进程系数JC对检测时段内的数据传输进程安全性是否满足要求进行判定；

所述评估更新模块用于对入侵检测平台的接入传输安全性进行周期性的评估分析：生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象在评估周期内的接入数据JR、预警数据YJ以及间隔数据JG并进行数值计算得到评估系数PG；通过评估系数PG将评估对象标记为正常对象或更新对象；将评估周期内更新对象的数量与评估对象的数量的比值标记为评估周期的安全系数，通过安全系数对评估周期内的网关路由器接入传输安全性是否满足要求进行判定。

2.根据权利要求1所述的一种用于网关路由器的入侵检测系统，其特征在于，将接入参数与网络路由器的预警特征库进行比对的具体过程包括：接入参数包括检测对象的网关设备编号以及检测对象的IP地址范围，通过存储模块获取网关路由器的预警特征库，将网关设备编号与检测对象的IP地址范围与预警特征库中的所有元素进行比对，若预警特征库中不存在与网关设备编号或检测对象的IP地址范围相同的元素，则判定检测对象通过接入预警检测；否则，判定检测对象不通过接入预警检测，生成预警信号并将预警信号发送至检测对象管理人员的手机终端。

3.根据权利要求2所述的一种用于网关路由器的入侵检测系统，其特征在于，流量数据LL为检测时段内进行数据包传输的流量值，格式数据GS为检测时段内传输数据包的协议格式数量，调用数据DY为检测时段内检测对象从网关路由器的主机存储器中调取的数据内存值。

4.根据权利要求3所述的一种用于网关路由器的入侵检测系统，其特征在于，对检测时段内的数据传输进程安全性是否满足要求进行判定的具体过程包括：通过存储模块获取到网关路由器的进程阈值JCmax，将进程系数JC与进程阈值JCmax进行比较：若进程系数JC小于进程阈值JCmax，则判定检测时段内的数据传输进程安全性满足要求；若进程系数JC大于等于进程阈值JCmax，则检测时段内的数据传输进程安全性不满足要求，结束当前数据传输进程，并将对应的检测对象标记为网关路由器的预警对象，将预警对象的网关设备编号以及IP地址范围标记为预警参数，将预警参数加入到预警特征库中进行存储。

5.根据权利要求4所述的一种用于网关路由器的入侵检测系统，其特征在于，接入数据JR为评估对象在评估周期内与所有分析对象进行接入的总次数；预警数据YJ为评估对象在评估周期内被标记为预警对象的次数；间隔数据JG的获取过程包括：将评估对象在评估周期内与分析对象完成接入的时间点标记为接入时间点，将评估周期分割为若干个评估时段，将所有评估时段内包含接入时间点的数量的最大值标记为间隔数据JG。

6.根据权利要求5所述的一种用于网关路由器的入侵检测系统，其特征在于，将评估对象标记为正常对象或更新对象的具体过程包括：通过存储模块获取到评估阈值PGmax，将评估对象的评估系数PG与评估阈值PGmax进行比较：若评估系数PG小于评估阈值PGmax，则将对应的评估对象标记为正常对象；若评估系数PG大于等于评估阈值PGmax，则将对应的评估对象标记为更新对象，将更新对象的网关设备编号与IP地址范围标记为更新参数，将更新参数加入到所有分析对象的预警特征库当中。

7.根据权利要求6所述的一种用于网关路由器的入侵检测系统，其特征在于，对评估周期内的网关路由器接入传输安全性是否满足要求进行判定的具体过程包括：通过存储模块获取到安全阈值，将评估周期的安全系数与安全阈值进行比较：若安全系数小于安全阈值，则判定评估周期内的网关路由器接入传输安全性满足要求；若安全系数大于等于安全阈值，则判定评估周期内的网关路由器接入传输安全性不满足要求，生成安全预警信号并将安全预警信号发送至入侵检测平台，入侵检测平台接收到安全预警信号后将安全预警信号发送至管理人员的手机终端。

8.根据权利要求1-7任一项所述的一种用于网关路由器的入侵检测系统，其特征在于，该用于网关路由器的入侵检测系统的工作方法，包括以下步骤：

步骤一：在新网络接入网关路由器时进行接入安全性检测分析：将新网络标记为检测对象，获取检测对象在接入网关路由器时的接入参数，将接入参数与网关路由器的预警特征库进行比对，并通过比对结果对接入预警检测是否通过进行判定；

步骤二：对检测对象接入网关路由器之后的数据传输进程进行监控分析：在检测对象接入网关路由器之后生成连续的检测时段，在每个检测时段的结束时刻获取检测时段的流量数据LL、格式数据GS以及调用数据DY并进行数值计算得到进程系数JC，通过进程系数JC对检测时段内的数据传输进程安全性是否满足要求进行判定；

步骤三：对入侵检测平台的接入传输安全性进行周期性的评估分析：生成评估周期，将入侵检测平台管理的网关路由器标记为分析对象，将分析对象在评估周期内完成接入的网关设备标记为评估对象，获取评估对象的评估系数PG，通过评估系数PG将评估对象标记为正常对象或更新对象。