WO2009132552A1 - 一种入侵检测方法、系统和装置 - Google Patents

一种入侵检测方法、系统和装置 Download PDF

Info

Publication number
WO2009132552A1
WO2009132552A1 PCT/CN2009/071289 CN2009071289W WO2009132552A1 WO 2009132552 A1 WO2009132552 A1 WO 2009132552A1 CN 2009071289 W CN2009071289 W CN 2009071289W WO 2009132552 A1 WO2009132552 A1 WO 2009132552A1
Authority
WO
WIPO (PCT)
Prior art keywords
intrusion
rule
abnormal
module
preliminary
Prior art date
Application number
PCT/CN2009/071289
Other languages
English (en)
French (fr)
Inventor
金美娟
张波
王小琼
Original Assignee
华为技术有限公司
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 华为技术有限公司 filed Critical 华为技术有限公司
Publication of WO2009132552A1 publication Critical patent/WO2009132552A1/zh

Links

Classifications

    • H—ELECTRICITY
    • H04—ELECTRIC COMMUNICATION TECHNIQUE
    • H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
    • H04L63/00—Network architectures or network communication protocols for network security
    • H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
    • H04L63/1408—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic by monitoring network traffic
    • H04L63/1416—Event detection, e.g. attack signature detection

Definitions

  • the present invention relates to the field of computer network technologies, and in particular, to an intrusion detection method, system and device. Background technique
  • IDS Intrusion Detection System
  • IDS can be divided into misuse detection systems and anomaly detection systems.
  • the misuse detection system pre-establishes an intrusion feature pattern library for the known system and application software vulnerabilities. When detecting, the received information is matched with the intrusion feature pattern to determine whether an intrusion has occurred.
  • the anomaly detection system pre-establishes a normally active signature file for the system to identify intrusion attempts by counting the number of all system states that are different from the signature file.
  • the intrusion behavior exhibits characteristics of uncertainty, complexity, and diversity, and the intrusion detection system only obtains the corresponding response of the system.
  • the new intrusion rule can detect new intrusion behavior. Therefore, in the case that the corresponding new intrusion rule is not obtained, the new intrusion behavior cannot be discovered, and the client has a long response time for detecting the abnormal intrusion, the intrusion discovery rate is low, and the adaptability to the variant intrusion behavior is poor.
  • the embodiment of the invention provides an intrusion detection method, system and device, which can shorten the detection response time for abnormal intrusion, improve the intrusion discovery rate, and enhance the adaptability to cope with the intrusion behavior.
  • an embodiment of the present invention provides an intrusion detection method, including:
  • an embodiment of the present invention further provides an intrusion detection system, including: at least one intrusion detection subsystem (1);
  • the intrusion detection subsystem is configured to acquire an abnormal behavior feature, extract a preliminary abnormal intrusion rule, and perform matching matching on the subsequently received packet according to the preliminary abnormal intrusion rule, and if it matches, the intrusion behavior is considered to exist.
  • an embodiment of the present invention further provides an intrusion detection subsystem, including: a behavior analysis module, a content tracking module, and a rule extraction module;
  • the behavior analysis module is configured to match the network event acquired by the protocol analysis module with the normal behavior rule in the behavior rule database, and if not, convert the network event into a corresponding abnormal behavior feature, triggering the Content tracking module;
  • the content tracking module is configured to perform content tracking on the abnormal behavior feature found by the behavior analysis module, and receive network traffic of the packet related to the abnormal behavior feature; and a rule extraction module, configured to use the content tracking module
  • the collected network traffic is analyzed, and a preliminary abnormal intrusion rule corresponding to the abnormal behavior feature is extracted.
  • an embodiment of the present invention further provides an intrusion analysis server, including: a rule saving module, a rule refining module, and a rule publishing module;
  • the rule saving module is configured to save a preliminary abnormal intrusion rule and an abnormal behavior feature sent by the intrusion detection subsystem;
  • the rule refinement module is configured to refine the intrinsic intrusion rule according to the preliminary abnormal intrusion rule and the abnormal behavior feature saved by the rule saving module;
  • the rule issuing module is configured to send an intrinsic intrusion rule refined by the rule refinement module to the intrusion detection subsystem.
  • an embodiment of the present invention further provides a computer program, including: a plurality of instructions for performing the intrusion detection method.
  • an embodiment of the present invention further provides a machine readable storage medium, the machine readable storage medium for storing the computer program.
  • an embodiment of the present invention further provides a computer device, including software for executing the intrusion detection method and hardware cooperated with the software.
  • the embodiment of the invention has the following advantages:
  • the intrusion detection subsystem of the embodiment of the present invention can extract the preliminary abnormal intrusion rule. If the corresponding intrinsic intrusion rule is not obtained, the intrusion detection subsystem can detect the subsequent abnormal behavior according to the preliminary abnormal intrusion rule, thereby shortening The detection response time for abnormal intrusion improves the intrusion discovery rate and enhances the adaptability to the variable intrusion behavior.
  • FIG. 1 is a schematic structural diagram of an intrusion detection system according to Embodiment 1 of the present invention
  • FIG. 2 is a block diagram of an intrusion detection method according to Embodiment 2 of the present invention
  • FIG. 3 is a block diagram of an intrusion detection method according to Embodiment 3 of the present invention.
  • FIG. 4 is a block diagram of an intrusion detection method according to Embodiment 4 of the present invention. detailed description
  • FIG. 1 is a schematic structural diagram of an intrusion detection system according to Embodiment 1 of the present invention, including: at least one intrusion detection subsystem 1, an intrusion analysis server 2, and Initial intrusion rule sending device 3, wherein: The intrusion detection subsystem 1 is configured to acquire an abnormal behavior feature, extract a preliminary abnormal intrusion rule, and perform a matching search on the subsequently received packet according to the preliminary abnormal intrusion rule. If the match occurs, the intrusion behavior is considered to exist.
  • the intrusion analysis server 2 is configured to refine the intrinsic intrusion rule according to the preliminary abnormal intrusion rule and the abnormal behavior feature sent by the intrusion detection subsystem 1, and send the intrinsic intrusion rule to the intrusion detection subsystem 1 by the intrusion detection subsystem 1
  • the preliminary anomaly intrusion rule is replaced with the intrinsic intrusion rule.
  • the initial intrusion rule sending device 3 is configured to send the preliminary abnormal intrusion rule to the other intrusion detection subsystem after the intrusion detection subsystem 1 extracts the preliminary abnormal intrusion rule, as one of the intrusion matching conditions.
  • the functions of the above-described intrusion analysis server 2 and the preliminary intrusion rule transmitting means 3 can also be realized by the intrusion detection subsystem 1, and the intrusion analysis server 2 and the preliminary intrusion rule transmitting means 3 are not essential for the embodiment of the present invention.
  • the intrusion detection subsystem 1 includes: a behavior analysis module 101, a content tracking module 102, a rule extraction module 103, a data transmission module 104, an intrusion rule database 105, a behavior rule database 106, a packet collection module 107, a pattern matching module 108, The intrusion prompt module 109 and the protocol analysis module 110, wherein:
  • the behavior analysis module 101 is configured to match the network event acquired by the protocol analysis module 110 with the normal behavior rule in the behavior rule database 106. If not, the network event is converted into a corresponding abnormal behavior feature, and the content tracking is triggered. Module 102, otherwise, identifies the network event as a normal network event.
  • the content tracking module 102 is configured to perform content tracking on the abnormal behavior feature found by the behavior analysis module 101, and receive network traffic of the packet related to the abnormal behavior feature.
  • the rule extraction module 103 is configured to analyze the network traffic collected by the content tracking module 102, extract a preliminary abnormal intrusion rule corresponding to the abnormal behavior feature, and save the preliminary abnormal intrusion rule to the intrusion rule database 105.
  • the data transmission module 104 is configured to send the preliminary abnormal intrusion rule extracted by the rule extraction module 103 and the abnormal behavior feature acquired by the behavior analysis module 101 to the intrusion analysis server 2, receive the intrinsic intrusion rule sent by the intrusion analysis server 2, and use the essence The intrusion rule replaces the preliminary anomaly intrusion rule in the intrusion rule database 105.
  • the implementation functions of the above-described preliminary intrusion rule transmitting apparatus 3 can also be implemented by the data transmission module 104 of each intrusion detection subsystem 1.
  • the intrusion rule database 105 is configured to save the preliminary abnormal intrusion rule sent by the rule extraction module 103 and the intrinsic intrusion rule sent by the data transmission module 104.
  • the behavior rules database 106 is used to save normal behavior rules.
  • the data packet collection module 107 is configured to receive a packet flowing through the network.
  • the pattern matching module 108 is configured to match the packets collected by the data packet collection module 107 according to the intrusion rules in the intrusion rule database 105. If yes, the intrusion prompt module 109 is triggered. Otherwise, the protocol analysis module 110 is triggered.
  • the intrusion prompting module 109 is configured to collect the packet that is matched by the pattern matching module 108 and that matches the intrusion rule, and prompts the packet to have an intrusion behavior.
  • the protocol analysis module 110 is configured to perform protocol analysis on the packet that is not matched by the intrusion rule output by the pattern matching module 108, and obtain a network event corresponding to the packet.
  • the foregoing intrusion analysis server 2 includes: a rule saving module 201, a rule refining module 202, and a rule issuing module 203, where:
  • the rule saving module 201 is configured to save the preliminary abnormal intrusion rule and the abnormal behavior feature sent by the intrusion detection subsystem 1.
  • the rule refinement module 202 is configured to refine the intrinsic intrusion rule according to the preliminary abnormal intrusion rule and the abnormal behavior feature saved by the rule saving module 201.
  • the rule issuance module 203 is configured to send the intrinsic intrusion rule refined by the rule refinement module 202 to the intrusion detection subsystem 1.
  • the intrusion detection subsystem 1 of the embodiment of the present invention can extract the preliminary abnormal intrusion rule for detecting the abnormal intrusion before receiving the corresponding intrinsic intrusion rule sent by the intrusion analysis server 2, thereby shortening the detection of the abnormal intrusion.
  • Response time increases the rate of intrusion discovery and enhances the ability to adapt to mutated intrusion behavior.
  • modules in the apparatus in the above embodiments may be distributed in the apparatus of the embodiment according to the embodiment, or may be correspondingly changed in one or more apparatuses different from the embodiment.
  • the modules of the above embodiments can be combined into one
  • the module can also be further split into multiple submodules.
  • FIG. 2 it is a block diagram of an intrusion detection method according to Embodiment 2 of the present invention, which specifically includes: a block diagram S201, which acquires an abnormal behavior feature of a packet. Intrusion detection is performed on the packet. When the detected packet is unrecognizable, the behavior of the packet is analyzed to obtain the abnormal behavior feature of the "3 ⁇ 4 text".
  • Block S202 establishing a preliminary abnormal intrusion rule according to the abnormal behavior feature, and updating the intrusion rule database by using the preliminary abnormal intrusion rule.
  • Block S203 performing matching search on the subsequently received message according to the updated intrusion rule database.
  • Block S204 determining whether a match is made. If there is a match, block S205 is executed, no, and the steps S201 and subsequent steps are performed.
  • Block S205 when the subsequently received message matches an intrusion rule in the updated intrusion rule database, the intrusion behavior is considered to exist.
  • the embodiment of the invention realizes that the subsequent abnormal behavior can be detected according to the preliminary abnormal intrusion rule without corresponding essential intrusion rules, thereby shortening the detection response time of the abnormal intrusion, improving the intrusion discovery rate, and enhancing the Adaptability to mutated invasive behavior.
  • FIG. 3 it is a block diagram of an intrusion detection method according to Embodiment 3 of the present invention.
  • the embodiment of the present invention is based on the first embodiment.
  • the internal implementation of some modules may be slightly different due to different requirements, such as detecting DDoS (Distributed Denial of Service) attacks, detecting worm propagation, and various Deception attacks have different behavior rules and decision conditions.
  • the embodiments of the present invention do not limit the behavior rules and the determination conditions.
  • the packet collection module 107 receives all messages flowing through the network device. For example, all messages flowing through the network device are received by sniffing and forwarded to the pattern matching module 108 for processing.
  • the pattern matching module 108 queries the intrusion rule database 105 to pattern match the message.
  • the pattern matching module 108 compares the payload carried by the packet with the intrusion rule in the intrusion rule database 105 read in advance, and the comparison process It can be implemented by algorithms such as Aho Corasick.
  • Block S303 the pattern matching module 108 determines whether the message matches an intrusion rule. If it matches, block S304 is performed, otherwise, block S305 is performed.
  • the intrusion prompt module 109 alarms.
  • the pattern matching module 108 reads the alarm information corresponding to the intrusion rule and transmits it to the intrusion prompting module 109.
  • the intrusion prompt module 109 writes the alarm information into a log file and displays it in the user interface block diagram S305.
  • the protocol analysis module 110 performs protocol analysis on the message that does not generate an alarm.
  • the protocol analysis module 110 analyzes various protocols included in the packet from bottom to top, such as ARP (Address Resolution Protocol), IP (Internet Protocol), and TCP (Transfer Control). Protocol, Transmission Control Protocol, HTTP (Hyper Text Transfer Protocol), etc., and generate specific network events according to the contents of various protocols. For example, for the TCP protocol, it is necessary to analyze SYN (synchronization), ACK (acknowledgement) and other flag bits, and thereby generate network connection attempts, connection establishment, and disconnected network events.
  • ARP Address Resolution Protocol
  • IP Internet Protocol
  • TCP Transfer Control
  • Protocol Transmission Control Protocol
  • HTTP Hyper Text Transfer Protocol
  • the behavior analysis module 101 queries the behavior rules database 106 for behavioral analysis of network events.
  • the behavior analysis module 101 analyzes network behavior according to network events and compares it with normal behavior rules to determine whether the network behavior is abnormal. For example, the number of TCP connection attempts for a host in a certain period of time can be regarded as the scan rate of the host. The number of TCP connection attempts to a port in a certain period of time can be regarded as the scan rate of the port if they exceed the behavior rule.
  • the normal value preset in the database 106 is considered to have an abnormality, and the abnormal behavior characteristics of the abnormal network behavior are summarized.
  • the content tracking module 102 performs content tracking on the abnormal behavior feature.
  • the content tracking module 102 tracks the host or port where the abnormality occurs, and collects all the packets on the host or the port.
  • the rule extraction module 103 extracts a preliminary abnormal intrusion rule.
  • the rule extraction module 103 extracts a preliminary abnormal intrusion rule according to the appearance frequency and address distribution of the tracking result calculation data of the content tracking module 102.
  • the IP address is 32 bits, and the IP address in the network text is mapped to a pre-established 32-bit address. In the array, the portion where 1 appears is set to 1. If there are more than 20 bits, the address is diverged. In this case, the statistical method is used to calculate the frequency of occurrence of the data. In order to improve the efficiency of statistics, corresponding hash values are generated when calculating each piece of data. And obtaining the corresponding abnormal behavior feature from the behavior analysis module 101 according to the unique ID number of the rule, and transmitting the preliminary abnormal intrusion rule and the corresponding abnormal behavior feature to the data transmission module 104.
  • the data transmission module 104 passes the preliminary abnormal intrusion rule and the corresponding abnormal behavior feature to the intrusion analysis server 2, and sends the preliminary abnormal intrusion rule to the intrusion rule database 105 to update the intrusion rule database 105.
  • the pattern matching module 108 may detect the subsequent abnormal behavior according to the intrusion rule database 105 including the preliminary abnormal intrusion rule.
  • the rule saving module 103 saves the preliminary abnormal intrusion rule and the corresponding abnormal behavior feature.
  • the rule saving module 103 saves the preliminary abnormal intrusion rule and the corresponding abnormal behavior feature transmitted by the data transmission module 104 in the local database, and transmits it to the rule refinement module 101.
  • Rule Refining Module 101 refines the intrinsic intrusion rules. The preliminary
  • the rule issuance module 102 delivers the intrinsic intrusion rule refined by the rule refinement module 101 to each intrusion detection subsystem 1, otherwise, the intrusion analysis server 2 ends the process flow.
  • the data transmission module 104 replaces the preliminary anomaly intrusion rules in the intrusion rule database 105 with the intrinsic intrusion rules sent by the intrusion analysis server 2.
  • the data transmission module 104 receives the essential intrusion rules extracted by the intrusion analysis server 2 according to the preliminary abnormal intrusion rules and abnormal behavior characteristics, and replaces the preliminary abnormal intrusion rules in the intrusion rule database 105 with the intrinsic intrusion rules.
  • the intrusion detection subsystem 1 of the embodiment of the present invention can be deployed on network devices such as hosts, switches, and routers for intrusion detection, and is respectively connected to the intrusion analysis server 2.
  • the intrusion analysis server 2 may exist independently of each intrusion detection subsystem 1, or may be connected to other network devices as needed.
  • the intrusion detection subsystem 1 deployed on the network device generates two preliminary abnormal intrusion rules and abnormal behavior characteristics with ID numbers 1 and 2 in Table 1 through the behavior analysis module 101 and the rule extraction module 103.
  • the intrusion analysis server 2 finds that both intrusions occur on the same port and the scan rate of the host is relatively close. In this case, the intrusion analysis server
  • the intrusion detection subsystem 1 and the intrusion analysis server 2 of the embodiment of the present invention directly transmit intrusion rules and behavior characteristics, thereby greatly reducing the amount of data that needs to be transmitted inside the system.
  • each intrusion detection subsystem 1 can perform intrusion detection according to the preliminary abnormal intrusion rule, thereby reducing the response time required for intrusion detection.
  • the intrinsic intrusion rule generated by the rule refinement module 202 extracts only the inherent features of the intrusion compared with the initial intrusion rule, and thus can detect the intrusion behavior after the mutation.
  • the intrinsic intrusion rule with the identifier 3 in this embodiment can detect The content of the message is the invasion of aaZZZZ.
  • the refined intrinsic intrusion rules are more clean, this not only improves the efficiency of pattern matching, but also reduces the memory occupied by the system during operation.
  • FIG. 4 it is a block diagram of an intrusion detection method according to Embodiment 4 of the present invention, which specifically includes: a block diagram S401, where the intrusion detection subsystem 1 receives a message.
  • the intrusion detection subsystem can receive packets flowing through the network aggregation device by sniffing.
  • Block S402 the intrusion detection subsystem 1 performs pattern matching on the packet according to the intrusion rule in the intrusion rule database 105, and compares the payload carried by the packet with the intrusion rule in the intrusion rule database 105 read in advance.
  • the comparison process can be implemented by algorithms such as Aho Corasick.
  • Block S403 the intrusion detection subsystem 1 determines whether the message matches the intrusion rule. If the message matches the intrusion rule, block S404 is performed, otherwise, block S405 and subsequent steps are performed.
  • Block S404 the intrusion detection subsystem 1 generates an alarm for a message matching the intrusion rule.
  • Block S405 the intrusion detection subsystem 1 performs protocol analysis on the packet that does not match the intrusion rule, and obtains a network event corresponding to the packet.
  • Typical network events include connection attempts, connection establishment, connection completion, FTP (File Transfer Protocol) requests, FTP responses, and more.
  • the intrusion detection subsystem 1 performs behavior analysis on the network event to obtain corresponding behavior characteristics.
  • the intrusion detection subsystem 1 performs behavior analysis on the network event, and obtains a network activity behavior corresponding to the network event according to the behavior analysis of the network event.
  • Typical behavioral characteristics include host scans, port scan rates, and packet fragmentation rates.
  • the intrusion detection subsystem 1 matches the normal behavior rules of the behavior rules database 106 with the acquired behavior characteristics.
  • Block S407 the intrusion detection subsystem 1 determines whether the behavioral characteristics of the network event match the normal behavior rule. If it matches, block S408 is performed, otherwise, block S409 is performed.
  • Block S408 the intrusion detection subsystem 1 determines that the network event is a normal network event.
  • Intrusion Detection Subsystem 1 performs content tracking on abnormal behavior characteristics.
  • the intrusion detection subsystem 1 determines that the network event is an abnormal network event, performs content tracking on the abnormal behavior feature, and receives network traffic of a message related to the abnormal behavior feature.
  • the intrusion detection subsystem 1 extracts a preliminary abnormal intrusion rule.
  • Intrusion detection The measuring subsystem 1 analyzes the network traffic, calculates the frequency of occurrence and address distribution of some data in the message, and extracts a preliminary abnormal intrusion rule corresponding to the abnormal behavior feature.
  • Block S411 the intrusion detection subsystem 1 sends the initial abnormal intrusion rule and the corresponding abnormal behavior feature to the intrusion analysis server 2, and sends the preliminary abnormal intrusion rule to the intrusion rule database 105 to update the intrusion rule database 105.
  • Block S412 detecting subsequent abnormal behavior according to the updated intrusion rule database 105.
  • the intrusion detection subsystem 1 may detect the subsequent abnormal behavior according to the preliminary abnormal intrusion rule.
  • Block S413 the intrusion analysis server 2 saves the abnormal behavior characteristics from the intrusion detection subsystem 1 and the corresponding preliminary abnormal intrusion rules.
  • Block S414 the intrusion analysis server 2 performs similarity analysis and correlation analysis on the preliminary abnormal intrusion rules and the corresponding abnormal behavior characteristics.
  • the intrusion analysis server 2 performs the similarity analysis on the preliminary abnormal intrusion rule and the corresponding abnormal behavior feature to obtain the similar behavior feature, and associates the preliminary abnormal intrusion rule corresponding to the similar behavior feature into a block diagram S415, and the intrusion analysis server 2
  • the results of the analysis determine whether to refine the intrinsic intrusion rules. If the analysis indicates that the preliminary anomaly intrusion rules have no common features, then block S416 is performed, otherwise, block S417 is performed.
  • Intrusion Analysis Server 2 refines the corresponding intrinsic intrusion rules.
  • All intrusion detection subsystems 1 update the intrusion rules database 105.
  • the intrusion detection subsystem 1 searches in the intrusion rule database 105 according to the information contained in the received intrinsic intrusion rule, finds the corresponding item (that is, the previously saved preliminary abnormal intrusion rule), and updates it (that is, uses the essential intrusion) The rule replaces the preliminary abnormal intrusion rule).
  • the intrusion detection subsystem 1 in the embodiment of the present invention does not need to wait for the intrinsic intrusion rule issued by the intrusion analysis server 2 to perform intrusion detection by using its extracted preliminary abnormal intrusion rule, thereby effectively reducing the need for detecting abnormal intrusion.
  • the response time increases the intrusion discovery rate and enhances the adaptability to the mutated intrusion behavior.
  • the embodiment of the present invention transmits intrusion rules and behavior characteristics throughout the entire intrusion detection system, which greatly reduces the amount of data that needs to be transmitted, and ensures that the intrusion analysis server 2 does not cause an abnormality due to overload.
  • the embodiment of the present invention also introduces a behavior analysis method. By sharing behavior characteristics among multiple intrusion detection subsystems 1, the intrusion analysis server 2 can extract reflection features from multiple intrusion rules based on the similarity of behavior characteristics. Data, and generate more intrinsic intrinsic intrusion rules, which can effectively reduce the number of intrusion rules in the intrusion rule database 105, improve the speed of pattern matching, and on the other hand, improve the discovery rate of the intrusion detection subsystem 1. Enhance the system's ability to adapt to mutated intrusion behavior.
  • the present invention can be implemented by hardware or by software plus a necessary general hardware platform.
  • the technical solution of the present invention may be embodied in the form of a software product, which may be stored in a non-volatile storage medium (which may be a CD-ROM, a USB flash drive, a mobile hard disk, etc.), including several The instructions are for causing a computer device (which may be a personal computer, server, or network device, etc.) to perform the methods described in various embodiments of the present invention.

Landscapes

  • Engineering & Computer Science (AREA)
  • Computer Security & Cryptography (AREA)
  • Computer Hardware Design (AREA)
  • Computing Systems (AREA)
  • General Engineering & Computer Science (AREA)
  • Computer Networks & Wireless Communication (AREA)
  • Signal Processing (AREA)
  • Data Exchanges In Wide-Area Networks (AREA)

Description

一种入侵检测方法、 系统和装置 本申请要求于 2008 年 4 月 30 日提交中国专利局， 申请号为 200810093831.2, 发明名称为 "一种入侵检测方法、 系统和装置" 的 中国专利申请的优先权， 其全部内容通过引用结合在本申请中。 技术领域
本发明涉及计算机网络技术领域， 特别涉及一种入侵检测方法、 系统和装置。 背景技术
随着计算机及网络系统中存储的重要信息越来越多， 系统的安全 问题日益突出， 需要找到更好的措施来保护系统免受入侵者的攻击。 IDS ( Intrusion Detection System, 入侵检测系统）是继 "防火墙" 和 "数据加密"等传统安全保护措施之后又一项非常重要的安全保障技 术。
IDS可分为误用检测系统和异常检测系统。误用检测系统预先为 已知系统和应用软件的漏洞建立入侵特征模式库，检测时将接收到的 信息与入侵特征进行模式匹配来判断是否发生了入侵。异常检测系统 预先为系统建立一个正常活动的特征文件，通过统计那些不同于特征 文件的所有系统状态的数量来识别入侵企图。
在实现本发明的过程中， 发明人发现现有技术中存在以下缺点： 现有技术中，入侵行为表现出不确定性、复杂性及多样性等特点， 而入侵检测系统只有获取到系统发送对应的新入侵规则后才能检测 出新出现的入侵行为。 因此， 在没有获取到对应的新入侵规则的情况 下， 新的入侵行为无法被发现， 进而导致客户端对异常入侵的检测响 应时间长， 入侵发现率低， 对变异入侵行为的适应能力差。 发明内容
本发明实施例提供一种入侵检测方法、 系统和装置， 以缩短对异 常入侵的检测响应时间， 提高入侵发现率， 增强应对变异入侵行为的 适应能力。
为达到上述目的， 本发明实施例一方面提供一种入侵检测方法， 包括：
获取（ 201 )报文的异常行为特征；
根据所述异常行为特征提取 ( 202 )初步异常入侵规则； 根据所述初步异常入侵规则对后续接收的报文进行匹配查找 ( 203 ), 如果匹配， 则视为 （205 )存在入侵行为。
另一方面， 本发明实施例还提供一种入侵检测系统， 包括： 至少 一个入侵检测子系统（1 );
所述入侵检测子系统， 用于获取异常行为特征， 提取初步异常入 侵规则，并根据所述初步异常入侵规则对后续接收的报文进行匹配查 找， 如果匹配， 则视为存在入侵行为。
再一方面， 本发明实施例还提供一种入侵检测子系统， 包括： 行 为分析模块、 内容跟踪模块和规则提取模块；
所述行为分析模块，用于将协议分析模块获取的网络事件与行为 规则数据库中的正常行为规则进行匹配， 当不匹配时， 则将所述网络 事件转化为对应的异常行为特征， 触发所述内容跟踪模块；
所述内容跟踪模块，用于对所述行为分析模块发现的异常行为特 征进行内容跟踪， 接收与所述异常行为特征相关的报文的网络流量； 规则提取模块，用于将所述内容跟踪模块收集的网络流量进行分 析， 提取与所述异常行为特征对应的初步异常入侵规则。
再一方面， 本发明实施例还提供一种入侵分析服务器， 包括： 规 则保存模块、 规则提炼模块和规则发布模块；
所述规则保存模块，用于保存入侵检测子系统发送的初步异常入 侵规则和异常行为特征； 所述规则提炼模块，用于根据所述规则保存模块保存的初步异常 入侵规则和异常行为特征提炼本质入侵规则；
所述规则发布模块，用于将所述规则提炼模块提炼的本质入侵规 则发送给所述入侵检测子系统。
再一方面， 本发明实施例还提供一种计算机程序， 包括： 若干指 令， 用以执行所述入侵检测方法。
再一方面， 本发明实施例还提供一种机器可读存储介质， 所述机 器可读存储介质用于存储所述计算机程序。
再一方面， 本发明实施例还提供一种计算机设备， 包括用以执行 所述入侵检测方法的软件及与软件配合的硬件。
与现有技术相比， 本发明实施例具有以下优点：
本发明实施例的入侵检测子系统自身能够提取初步异常入侵规 则， 在没有获得对应的本质入侵规则的情况下， 入侵检测子系统可根 据该初步异常入侵规则对后续的异常行为进行检测，从而缩短了对异 常入侵的检测响应时间， 提高了入侵发现率， 增强了对变异入侵行为 的适应能力。 附图说明
图 1为本发明实施例一的入侵检测系统的结构示意图； 图 2为本发明实施例二的入侵检测方法框图；
图 3为本发明实施例三的入侵检测方法框图；
图 4为本发明实施例四的入侵检测方法框图。 具体实施方式
下面结合附图对本发明实施例的实施方式进行详细描述： 如图 1所示， 为本发明实施例一的入侵检测系统的结构示意图， 包括： 至少一个入侵检测子系统 1、 入侵分析服务器 2和初步入侵规 则发送装置 3 , 其中： 入侵检测子系统 1 , 用于获取异常行为特征， 提取初步异常入侵 规则， 并根据所述初步异常入侵规则对后续接收的报文进行匹配查 找， 如果匹配， 则视为存在入侵行为。
入侵分析服务器 2, 用于根据入侵检测子系统 1发送的初步异常 入侵规则和异常行为特征提炼本质入侵规则， 并向入侵检测子系统 1 发送所述本质入侵规则，由所述入侵检测子系统 1用所述本质入侵规 则替换所述初步异常入侵规则。
初步入侵规则发送装置 3, 用于在入侵检测子系统 1提取初步异 常入侵规则后， 将所述初步异常入侵规则发送给其他入侵检测子系 统， 作为入侵匹配条件之一。
另外，上述入侵分析服务器 2和初步入侵规则发送装置 3的功能 也可以由入侵检测子系统 1来实现，入侵分析服务器 2和初步入侵规 则发送装置 3并非是本发明实施例所必需的。
上述入侵检测子系统 1 , 包括： 行为分析模块 101、 内容跟踪模 块 102、规则提取模块 103、数据传输模块 104、入侵规则数据库 105、 行为规则数据库 106、 数据包收集模块 107、 模式匹配模块 108、 入 侵提示模块 109和协议分析模块 110, 其中：
行为分析模块 101 , 用于将协议分析模块 110获取的网络事件与 行为规则数据库 106中的正常行为规则进行匹配， 如果不匹配， 则将 所述网络事件转化为对应的异常行为特征， 触发内容跟踪模块 102, 否则， 认定所述网络事件为正常网络事件。
内容跟踪模块 102, 用于对行为分析模块 101发现的异常行为特 征进行内容跟踪， 接收与所述异常行为特征相关的报文的网络流量。
规则提取模块 103, 用于将内容跟踪模块 102收集的网络流量进 行分析， 提取与所述异常行为特征对应的初步异常入侵规则， 并将所 述初步异常入侵规则保存到入侵规则数据库 105。
数据传输模块 104, 用于将规则提取模块 103提取的初步异常入 侵规则和行为分析模块 101 获取的异常行为特征发送给入侵分析服 务器 2, 接收入侵分析服务器 2发送的本质入侵规则， 并用所述本质 入侵规则替换入侵规则数据库 105中的初步异常入侵规则。上述初步 入侵规则发送装置 3的实现功能也可以由各个入侵检测子系统 1的数 据传输模块 104来实现。
入侵规则数据库 105 , 用于保存规则提取模块 103发送的初步异 常入侵规则和数据传输模块 104发送的本质入侵规则。
行为规则数据库 106, 用于保存正常行为规则。
数据包收集模块 107 , 用于接收流经网络的报文。
模式匹配模块 108, 用于根据入侵规则数据库 105中的入侵规则 对数据包收集模块 107收集的报文进行匹配， 如果匹配， 则触发入侵 提示模块 109, 否则， 触发协议分析模块 110。
入侵提示模块 109, 用于收集模式匹配模块 108输出的与所述入 侵规则匹配的报文， 并提示所述报文存在入侵行为。
协议分析模块 110, 用于将模式匹配模块 108输出的与所述入侵 规则不匹配的报文进行协议分析， 获取所述报文对应的网络事件。
上述入侵分析服务器 2, 包括： 规则保存模块 201、 规则提炼模 块 202和规则发布模块 203 , 其中：
规则保存模块 201 , 用于保存入侵检测子系统 1发送的初步异常 入侵规则和异常行为特征。
规则提炼模块 202, 用于根据规则保存模块 201保存的初步异常 入侵规则和异常行为特征提炼本质入侵规则。
规则发布模块 203 , 用于将规则提炼模块 202提炼的本质入侵规 则发送给入侵检测子系统 1。
本发明实施例的入侵检测子系统 1 自身能够提取初步异常入侵 规则， 以用于在收到入侵分析服务器 2发送的对应的本质入侵规则前 对异常入侵进行检测， 从而缩短了对异常入侵的检测响应时间， 提高 了入侵发现率， 增强了对变异入侵行为的适应能力。
本领域技术人员可以理解，上述实施例中的装置中的模块可以按 照实施例描述分布于实施例的装置中，也可以进行相应变化位于不同 于本实施例的一个或多个装置中。上述实施例的模块可以合并为一个 模块， 也可以进一步拆分成多个子模块。
如图 2所示，为本发明实施例二的入侵检测方法框图，具体包括： 框图 S201 , 获取报文的异常行为特征。 对报文进行入侵检测， 当发现被检测的报文不可识别时， 对所述报文进行行为分析， 获取所 述"¾文的异常行为特征。
框图 S202, 根据所述异常行为特征建立初步异常入侵规则， 并 用所述初步异常入侵规则更新入侵规则数据库。
框图 S203 , 根据所述更新后的入侵规则数据库对后续接收的报 文进行匹配查找。
框图 S204, 判断是否匹配。 如果匹配， 则执行框图 S205, 否贝' J , 执行框图 S201及其以后的步骤。
框图 S205 , 当后续接收的报文与所述更新后的入侵规则数据库 中的某个入侵规则匹配时， 则视为存在入侵行为。
本发明实施例实现了在没有对应的本质入侵规则的情况下，可根 据初步异常入侵规则对后续的异常行为进行检测，从而缩短了对异常 入侵的检测响应时间， 提高了入侵发现率， 增强了对变异入侵行为的 适应能力。
如图 3所示， 为本发明实施例三的入侵检测方法框图。 本发明实 施例基于实施例一， 在实际应用中， 由于需求不同， 部分模块的内部 实现会略有不同， 例如检测 DDoS ( Distributed Denial of Service, 分 布式拒绝服务）攻击、检测蠕虫传播以及各种欺骗攻击就具有不同的 行为规则和判定条件。 本发明实施例对行为规则和判定条件不作限 定。 下面以检测 DDoS攻击为例来进行说明， 具体包括：
框图 S301 , 数据包收集模块 107接收流经网络设备的所有报文。 例如通过嗅探的方式接收流经网络设备的所有报文，并转交给模式匹 配模块 108进行处理。
框图 S302, 模式匹配模块 108查询入侵规则数据库 105将所述 报文进行模式匹配。模式匹配模块 108将所述报文携带的有效载荷同 预先读入的入侵规则数据库 105中的入侵规则进行比较，比较的过程 可以通过 Aho Corasick等算法实现。
框图 S303, 模式匹配模块 108判断所述报文是否与某个入侵规 则匹配。 如果匹配则执行框图 S304, 否则， 执行框图 S305。
框图 S304, 入侵提示模块 109报警。 模式匹配模块 108读取所 述入侵规则对应的报警信息， 并传递给入侵提示模块 109。 入侵提示 模块 109 将所述报警信息写入日志文件中， 并显示在用户界面内报 框图 S305, 协议分析模块 110将没有产生报警的报文进行协议 分析。协议分析模块 110将没有产生报警的报文自底向上依次分析报 文中包含的各种协议， 如 ARP ( Address Resolution Protocol, 地址解 析协议）、 IP ( Internet Protocol, 因特网协议 )、 TCP ( Transfer Control Protocol, 传输控制协议） 、 HTTP ( Hyper Text Transfer Protocol, 超 文本传输协议）等， 并根据各种协议的内容来生成具体的网络事件。 例如对于 TCP协议， 需要分析 SYN (同步） 、 ACK (确认）等标志 位， 并以此来生成 TCP连接尝试、 连接建立、 连接断开的网络事件。
框图 S306,行为分析模块 101查询行为规则数据库 106, 对网络 事件进行行为分析。 行为分析模块 101 根据网络事件来分析网络行 为， 并与正常行为规则进行比较， 从而判断网络行为是否存在异常。 例如一定时间内针对某个主机的 TCP连接尝试的次数可以看作是主 机的扫描率， 一定时间内对某个端口的 TCP连接尝试的次数可以看 作是端口的扫描率，如果它们超过行为规则数据库 106中预先设定的 正常值， 则认为发生了异常， 并汇总异常网络行为的异常行为特征。
框图 S307, 内容跟踪模块 102对异常行为特征进行内容跟踪。 内容跟踪模块 102对发生异常的主机或者端口进行跟踪，收集该主机 或者该端口上的所有报文。
框图 S308, 规则提取模块 103提取初步异常入侵规则。 规则提 取模块 103根据内容跟踪模块 102的跟踪结果计算数据的出现频率和 地址分布情况提取初步异常入侵规则。 例如目前 IPv4版本中 IP地址 为 32比特， 将网络 文中的 IP地址映射到某个预先建立的 32位的 数组中， 出现 1的部分设置为 1 , 如果有超过 20个比特的位成为 1 , 则认为存在地址发散， 此时采用统计的方法来计算数据的出现频率。 为了提高统计的效率， 在计算每段数据时均生成对应的 hash值。 并 按照本规则的唯一 ID号从行为分析模块 101获取对应的异常行为特 征，将所述初步异常入侵规则及对应的异常行为特征一起传递到数据 传输模块 104。
框图 S309, 数据传输模块 104将所述初步异常入侵规则及对应 的异常行为特征传递给入侵分析服务器 2, 同时将所述初步异常入侵 规则发送给入侵规则数据库 105 , 更新所述入侵规则数据库 105。
框图 S310, 在数据传输模块 104收到规则发布模块 102发送的 本质入侵规则前，模式匹配模块 108可以根据包含所述初步异常入侵 规则的入侵规则数据库 105对后续的异常行为进行检测。
框图 S311 , 规则保存模块 103保存初步异常入侵规则及对应的 异常行为特征。规则保存模块 103将数据传输模块 104传递的初步异 常入侵规则及对应的异常行为特征保存在本地数据库中，同时将其传 递给规则提炼模块 101。
框图 S312, 规则提炼模块 101提炼本质入侵规则。 将所述初步
属于同类入侵。如果该异常行为特征的相似程度和对应初步异常入侵 规则的相似程度超过预先设定的阈值，则提炼出多条入侵规则相同的 部分作为该类入侵的筒化规则， 即提炼出本质入侵规则， 然后， 规则 发布模块 102将规则提炼模块 101提炼的本质入侵规则下发到各个入 侵检测子系统 1 , 否则， 入侵分析服务器 2结束处理流程。
框图 S313, 数据传输模块 104用入侵分析服务器 2发送的本质 入侵规则替换入侵规则数据库 105中的初步异常入侵规则。数据传输 模块 104接收入侵分析服务器 2发送的根据所述初步异常入侵规则和 异常行为特征提炼的本质入侵规则，并用所述本质入侵规则替换入侵 规则数据库 105中的初步异常入侵规则。 本发明实施例的入侵检测子系统 1可以部署在主机、交换机以及 路由器等网络设备上用于入侵检测，并且分别与入侵分析服务器 2连 接。 并且入侵分析服务器 2除了与各个入侵检测子系统 1相连之外， 可以独立存在， 也可以根据需要与其他的网络设备相连。假设部署在 网络设备上的入侵检测子系统 1通过行为分析模块 101和规则提取模 块 103生成了表 1中的 ID号为 1和 2的两条初步异常入侵规则和异 常行为特征。入侵分析服务器 2通过计算发现两个入侵都发生在同一 个端口并且主机的扫描率比较接近， 在这种情况下， 入侵分析服务器
2继续计算内容的相似性， 并提炼出它们的共有部分 ZZZZ, 从而生 成了 ID号为 3的本质入侵规则。 如表 1所示：
表 1
Figure imgf000011_0001
本发明实施例的入侵检测子系统 1与入侵分析服务器 2直接传输 的是入侵规则和行为特征，从而大大减少了系统内部需要传输的数据 量。 在入侵分析服务器 2没有下发提炼后的本质入侵规则之前， 各个 入侵检测子系统 1可以根据初步异常入侵规则进行入侵检测，因此减 少了入侵检测需要的响应时间。而经过规则提炼模块 202生成的本质 入侵规则同初步入侵规则相比只提取了入侵的固有特征，因此能够检 测变异后的入侵行为，例如本实施例中的标识为 3的本质入侵规则可 以检测出报文内容为 aaZZZZ的入侵。 同时， 由于提炼后的本质入侵 规则更加筒洁， 这不仅可以提高模式匹配的效率， 也可以减少系统运 行时占用的内存。
如图 4所示，为本发明实施例四的入侵检测方法框图，具体包括： 框图 S401 , 入侵检测子系统 1接收报文。 例如入侵检测子系统 可以通过嗅探的方式来接收流经网络汇聚设备的报文。 框图 S402, 入侵检测子系统 1根据入侵规则数据库 105中的入 侵规则对所述报文进行模式匹配，将所述报文携带的有效载荷同预先 读入的入侵规则数据库 105中的入侵规则进行比较，比较的过程可以 通过 Aho Corasick等算法实现。
框图 S403, 入侵检测子系统 1判断所述报文与所述入侵规则是 否匹配。 如果所述报文与所述入侵规则匹配， 则执行框图 S404, 否 则， 执行框图 S405及其以后的步骤。
框图 S404, 入侵检测子系统 1对与所述入侵规则匹配的报文产 生报警。
框图 S405, 入侵检测子系统 1对与所述入侵规则不匹配的报文 进行协议分析， 获取所述报文对应的网络事件。 典型的网络事件包括 连接尝试、 连接建立、 连接完成、 FTP ( File Transfer Protocol, 文件 传输协议）请求、 FTP应答等。
框图 S406, 入侵检测子系统 1对所述网络事件进行行为分析， 获取对应的行为特征。入侵检测子系统 1对所述网络事件进行行为分 析，根据对所述网络事件的行为分析获取对应网络事件的网络活动行 为特征。 典型的行为特征包括主机扫描、 端口的扫描率、 报文碎片的 接收率等。入侵检测子系统 1将行为规则数据库 106的正常行为规则 与获取的行为特征进行匹配。
框图 S407, 入侵检测子系统 1判断网络事件的行为特征是否与 所述正常行为规则匹配。 如果匹配， 则执行框图 S408, 否则， 执行 框图 S409。
框图 S408, 入侵检测子系统 1判定所述网络事件为正常网络事 件。
框图 S409, 入侵检测子系统 1对异常行为特征进行内容跟踪。 入侵检测子系统 1判定所述网络事件为异常网络事件，对所述异常行 为特征进行内容跟踪，接收与所述异常行为特征相关的报文的网络流 量。
框图 S410, 入侵检测子系统 1提取初步异常入侵规则。 入侵检 测子系统 1对所述网络流量进行分析，计算报文中部分数据的出现频 率及地址分布情况，提取与所述异常行为特征对应的初步异常入侵规 则。
框图 S411 , 入侵检测子系统 1向入侵分析服务器 2发送所述初 步异常入侵规则及对应的异常行为特征，同时将所述初步异常入侵规 则发送给入侵规则数据库 105 , 更新所述入侵规则数据库 105。
框图 S412, 根据所述更新的入侵规则数据库 105对后续的异常 行为进行检测。在收到入侵分析服务器 2发送的对应的本质入侵规则 前，入侵检测子系统 1可根据所述初步异常入侵规则对后续的异常行 为进行检测。
框图 S413 , 入侵分析服务器 2保存来自入侵检测子系统 1的异 常行为特征及对应的初步异常入侵规则。
框图 S414, 入侵分析服务器 2对初步异常入侵规则及对应的异 常行为特征进行相似性分析和关联分析。入侵分析服务器 2将所述初 步异常入侵规则及对应的异常行为特征进行相似性分析，获取相似行 为特征， 对所述相似行为特征对应的初步异常入侵规则进行关联分 框图 S415 , 入侵分析服务器 2根据分析结果判断是否提炼本质 入侵规则。 如果分析表明初步异常入侵规则没有共同的特征， 则执行 框图 S416, 否则， 执行框图 S417。
框图 S416, 入侵分析服务器 2结束处理。
框图 S417, 入侵分析服务器 2提炼对应的本质入侵规则。
框图 S418, 入侵分析服务器 2向所有入侵检测子系统 1发送所 述本质入侵规则。
框图 S419, 所有入侵检测子系统 1更新入侵规则数据库 105。入 侵检测子系统 1 根据收到的本质入侵规则中包含的信息在入侵规则 数据库 105 中查找， 找到对应的项 （即之前保存的初步异常入侵规 则）， 对其进行更新 （即用所述本质入侵规则替换所述初步异常入侵 规则）。 本发明实施例中的入侵检测子系统 1 并不需要等待入侵分析服 务器 2 下发的本质入侵规则即可利用自身的提取的初步异常入侵规 则进行入侵检测， 从而有效地降低了检测异常入侵所需的响应时间， 提高了入侵发现率， 增强了对变异入侵行为的适应能力。 另外， 本发 明实施例在在整个入侵检测系统内部传输的是入侵规则和行为特征， 这大大减少了需要传输的数据量，保证了入侵分析服务器 2不会因为 过载而发生异常。 并且本发明实施例还引入了行为分析方法， 通过在 多个入侵检测子系统 1之间共享行为特征，入侵分析服务器 2能够基 于行为特征的相似程度从多条入侵规则中提炼出反映入侵特征的数 据， 并生成更加筒洁的本质入侵规则， 这一方面可以有效地减少入侵 规则数据库 105中入侵规则的数量， 提高模式匹配的速度， 另一方面 也可以提高入侵检测子系统 1的发现率，增强系统对变异入侵行为的 适应能力。
本领域技术人员可以理解附图只是一个优选实施例的示意图，附 图中的模块或流程并不一定是实施本发明所必需的。
上述本发明实施例序号仅仅为了描述， 不代表实施例的优劣。 权利要求的内容记载的方案也是本发明实施例的保护范围。
通过以上的实施方式的描述，本领域的技术人员可以清楚地了解 到本发明， 可以通过硬件实现， 也可以借助软件加必要的通用硬件平 台的方式来实现。基于这样的理解， 本发明的技术方案可以以软件产 品的形式体现出来， 该软件产品可以存储在一个非易失性存储介质 (可以是 CD-ROM, U盘， 移动硬盘等） 中， 包括若干指令用以使 得一台计算机设备（可以是个人计算机， 服务器， 或者网络设备等） 执行本发明各个实施例所述的方法。
总之， 以上所述仅为本发明的较佳实施例而已， 并非用于限定本 发明的保护范围。 凡在本发明的精神和原则之内， 所作的任何修改、 等同替换、 改进等， 均应包含在本发明的保护范围之内。

Claims

权利要求
1、 一种入侵检测方法， 其特征在于， 包括：
获取（ 201 )报文的异常行为特征；
根据所述异常行为特征提取 ( 202 )初步异常入侵规则； 根据所述初步异常入侵规则对后续接收的报文进行匹配查找 ( 203 ), 如果匹配， 则视为 （205 )存在入侵行为。
2、 如权利要求 1所述入侵检测方法， 其特征在于， 在所述提取 初步异常入侵规则之后， 还包括：
用所述初步异常入侵规则更新入侵规则数据库。
3、 如权利要求 2所述入侵检测方法， 其特征在于， 所述对后续 接收的报文进行匹配查找，具体为根据所述更新后的入侵规则数据库 对后续接收的报文进行匹配查找。
4、 如权利要求 2所述入侵检测方法， 其特征在于， 在所述用初 步异常入侵规则更新所述入侵规则数据库之后， 还包括：
向入侵分析服务器发送所述初步异常入侵规则和异常行为特征； 接收所述入侵分析服务器发送的根据所述初步异常入侵规则和 异常行为特征提炼的本质入侵规则，并用所述本质入侵规则替换所述 入侵规则数据库的初步异常入侵规则。
5、 如权利要求 4所述入侵检测方法， 其特征在于， 所述对后续 接收的报文进行匹配查找，具体为根据所述更新后的包括所述本质入 侵规则的入侵规则数据库对后续接收的报文进行匹配查找的。
6、 如权利要求 1所述入侵检测方法， 其特征在于， 所述获取报 文的异常行为特征， 包括：
根据第一入侵规则对所述报文进行匹配查找， 当不匹配时， 对所 述报文进行协议分析， 获取所述报文对应的网络事件；
根据行为规则库对所述网络事件进行匹配查找， 当不匹配时， 将 所述网络事件转化为对应的异常行为特征。
7、 如权利要求 1或 6所述入侵检测方法， 其特征在于， 所述根 据异常行为特征提取初步异常入侵规则， 包括：
根据所述异常行为特征对所述报文进行内容跟踪，收集与所述异 常行为特征相关的报文的网络流量；
根据所述网络流量计算所述异常行为特征出现的频率和地址分 布情况；
根据所述频率和地址分布情况提取与所述异常行为特征对应的 初步异常入侵规则。
8、 如权利要求 4所述入侵检测方法， 其特征在于， 在向入侵分 析服务器发送所述初步异常入侵规则和异常行为特征之后， 还包括： 相似行为特征； 规则进行关联分析， 提炼所述本质入侵规则。
9、 一种入侵检测系统， 其特征在于， 包括： 至少一个入侵检测 子系统 ( 1 )；
所述入侵检测子系统， 用于获取异常行为特征， 提取初步异常入 侵规则，并根据所述初步异常入侵规则对后续接收的报文进行匹配查 找， 如果匹配， 则视为存在入侵行为。
10、 如权利要求 9所述入侵检测系统， 其特征在于， 还包括： 入 侵分析服务器；
所述入侵分析服务器，用于根据所述入侵检测子系统发送的初步 异常入侵规则和异常行为特征提炼本质入侵规则，并向所述入侵检测 子系统发送所述本质入侵规则，由所述入侵检测子系统用所述本质入 侵规则替换所述初步异常入侵规则。
11、 如权利要求 9所述入侵检测系统， 其特征在于， 还包括： 初 步入侵规则发送装置；
所述初步入侵规则发送装置，用于在所述入侵检测子系统提取初 步异常入侵规则后，将所述初步异常入侵规则发送给其他入侵检测子 系统， 作为入侵匹配条件之一。
12、 一种入侵检测子系统， 其特征在于， 包括： 行为分析模块、 内容跟踪模块和规则提取模块；
所述行为分析模块，用于将协议分析模块获取的网络事件与行为 规则数据库中的正常行为规则进行匹配， 当不匹配时， 则将所述网络 事件转化为对应的异常行为特征， 触发所述内容跟踪模块；
所述内容跟踪模块，用于对所述行为分析模块发现的异常行为特 征进行内容跟踪， 接收与所述异常行为特征相关的报文的网络流量； 规则提取模块，用于将所述内容跟踪模块收集的网络流量进行分 析， 提取与所述异常行为特征对应的初步异常入侵规则。
13、 如权利要求 12所述入侵检测子系统， 其特征在于， 还包括： 数据传输模块；
所述数据传输模块，用于将所述规则提取模块提取的初步异常入 侵规则和所述行为分析模块获取的异常行为特征发送给入侵分析服 务器，接收所述入侵分析服务器发送的本质入侵规则， 并用所述本质 入侵规则替换所述入侵规则数据库中的初步异常入侵规则。
14、 如权利要求 13所述入侵检测子系统， 其特征在于， 还包括： 行为规则数据库和入侵规则数据库；
所述行为规则数据库， 用于保存正常行为规则；
所述入侵规则数据库，用于保存所述规则提取模块发送的初步异 常入侵规则和所述数据传输模块发送的本质入侵规则。
15、 如权利要求 12所述入侵检测子系统， 其特征在于， 还包括 数据包收集模块、 模式匹配模块、 协议分析模块和入侵提示模块； 所 述数据包收集模块， 用于接收流经网络的报文；
所述模式匹配模块，用于根据所述入侵规则数据库中的入侵规则 对所述数据包收集模块收集的报文进行匹配， 如果匹配， 则触发所述 入侵提示模块， 否则， 触发所述协议分析模块；
所述协议分析模块，用于将所述模式匹配模块输出的与所述入侵 规则不匹配的报文进行协议分析， 获取所述报文对应的网络事件； 所述入侵提示模块，用于收集所述模式匹配模块输出的与所述入 侵规则匹配的报文， 并提示所述报文存在入侵行为。
16、 一种入侵分析服务器， 其特征在于， 包括： 规则保存模块、 规则提炼模块和规则发布模块；
所述规则保存模块，用于保存入侵检测子系统发送的初步异常入 侵规则和异常行为特征；
所述规则提炼模块，用于根据所述规则保存模块保存的初步异常 入侵规则和异常行为特征提炼本质入侵规则；
所述规则发布模块，用于将所述规则提炼模块提炼的本质入侵规 则发送给所述入侵检测子系统。
17、 一种计算机程序， 其特征在于， 包括： 若干指令， 用以执行 权利要求 1至 6、 8中任意一项所述入侵检测方法。
18、 一种机器可读存储介质， 其特征在于， 所述机器可读存储介 质用于存储权利要求 17所述计算机程序。
19、 一种计算机设备， 其特征在于， 包括用以执行权利要求 1至 6、 8中任意一项所述入侵检测方法的软件及与软件配合的硬件。
PCT/CN2009/071289 2008-04-30 2009-04-16 一种入侵检测方法、系统和装置 WO2009132552A1 (zh)

Applications Claiming Priority (2)

Application Number Priority Date Filing Date Title
CN200810093831.2 2008-04-30
CN 200810093831 CN101572691B (zh) 2008-04-30 2008-04-30 一种入侵检测方法、系统和装置

Publications (1)

Publication Number Publication Date
WO2009132552A1 true WO2009132552A1 (zh) 2009-11-05

Family

ID=41231928

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/CN2009/071289 WO2009132552A1 (zh) 2008-04-30 2009-04-16 一种入侵检测方法、系统和装置

Country Status (2)

Country Link
CN (1) CN101572691B (zh)
WO (1) WO2009132552A1 (zh)

Cited By (7)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108270727A (zh) * 2016-12-30 2018-07-10 北京国双科技有限公司 异常数据分析方法和装置
CN113727348A (zh) * 2020-05-12 2021-11-30 华为技术有限公司 用户设备ue用户数据的检测方法、设备及存储介质
CN113868646A (zh) * 2021-08-06 2021-12-31 华北电力科学研究院有限责任公司 基于主机的入侵检测方法及装置
CN114039776A (zh) * 2021-11-09 2022-02-11 北京天融信网络安全技术有限公司 流量检测规则的生成方法、装置、电子设备及存储介质
CN115277244A (zh) * 2022-08-05 2022-11-01 四川启睿克科技有限公司 一种工业互联网的入侵检测系统及方法
CN115320538A (zh) * 2022-07-20 2022-11-11 国汽智控(北京)科技有限公司 智能网联汽车入侵检测系统及方法
CN116846060A (zh) * 2023-03-08 2023-10-03 国网江苏省电力有限公司淮安供电分公司 Iec61850智能变电站工况安全学习系统

Families Citing this family (24)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN102932320A (zh) * 2011-08-12 2013-02-13 西安秦码软件科技有限公司 一种基于分流的IPv6千兆分布式入侵检测方法
CN102769607B (zh) * 2011-12-30 2015-01-07 北京安天电子设备有限公司 一种基于网络数据包检测恶意代码的方法和系统
CN102684944B (zh) * 2012-04-20 2015-06-24 北京启明星辰信息技术股份有限公司 入侵检测方法和装置
CN103891206B (zh) * 2012-10-12 2017-02-15 华为技术有限公司 网络数据流检测状态的同步方法和设备
CN103384241B (zh) * 2012-12-21 2016-07-13 北京安天电子设备有限公司 一种面向安全事件数据的分布式分析方法及系统
CN103384242B (zh) * 2013-03-15 2016-12-28 中标软件有限公司 基于Nginx代理服务器的入侵检测方法及系统
CN104426836A (zh) * 2013-08-20 2015-03-18 深圳市腾讯计算机系统有限公司 一种入侵检测方法及装置
EP3084672B1 (en) * 2013-12-19 2019-09-18 Intel Corporation Protection system including machine learning snapshot evaluation
CN103747601B (zh) * 2013-12-19 2016-03-02 广西科技大学 一种基于can总线的智能照明监测系统
CN104954335A (zh) * 2014-03-27 2015-09-30 中国移动通信集团安徽有限公司 一种阻断高风险网络入侵的方法及系统
CN105187224B (zh) * 2014-06-17 2018-05-01 腾讯科技（深圳）有限公司 入侵检测方法和装置
CN105812200B (zh) * 2014-12-31 2019-09-13 中国移动通信集团公司 异常行为检测方法及装置
CN104537328B (zh) * 2015-01-28 2017-10-03 北京红马传媒文化发展有限公司 一种基于rfid票据的防入侵检测方法
CN105592044B (zh) * 2015-08-21 2019-05-07 新华三技术有限公司 报文攻击检测方法以及装置
CN106921608B (zh) 2015-12-24 2019-11-22 华为技术有限公司 一种检测终端安全状况方法、装置及系统
CN105959255A (zh) * 2016-01-08 2016-09-21 杭州迪普科技有限公司 入侵报文的分流方法及装置
CN106125680B (zh) * 2016-06-23 2018-09-11 北京东土科技股份有限公司 基于工业互联网的工业过程控制数据安全处理方法及装置
CN109768949B (zh) * 2017-11-09 2021-09-03 阿里巴巴集团控股有限公司 一种端口扫描处理系统、方法及相关装置
CN108540473A (zh) * 2018-04-09 2018-09-14 华北理工大学 一种数据分析方法及数据分析装置
CN109639654A (zh) * 2018-11-30 2019-04-16 成都知道创宇信息技术有限公司 一种基于自适应过滤模型识别tcp异常流量的方法
CN113163369A (zh) * 2020-01-20 2021-07-23 北京新能源汽车股份有限公司 一种车辆入侵防御处理方法、装置及汽车
CN112511523A (zh) * 2020-11-24 2021-03-16 超越科技股份有限公司 一种基于访问控制的网络安全控制方法
CN112532615B (zh) * 2020-11-26 2022-07-26 深圳供电局有限公司 一种智能电网蠕虫检测方法
CN112910895B (zh) * 2021-02-02 2022-11-15 杭州安恒信息技术股份有限公司 网络攻击行为检测方法、装置、计算机设备和系统

Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553293A (zh) * 2003-12-19 2004-12-08 华中科技大学 基于分布式数据挖掘的协同入侵检测系统
CN1738257A (zh) * 2004-12-31 2006-02-22 北京大学 基于应用协议检测引擎的网络入侵检测系统和方法
CN1878082A (zh) * 2005-06-09 2006-12-13 杭州华为三康技术有限公司 网络攻击的防护方法
US20080034433A1 (en) * 2006-08-01 2008-02-07 Electronics And Telecommunications Research Institute Intrusion detection apparatus and method using patterns
JP2008085819A (ja) * 2006-09-28 2008-04-10 Oki Electric Ind Co Ltd ネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラム

Family Cites Families (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1223941C (zh) * 2003-06-18 2005-10-19 北京首信股份有限公司 一种基于相关特征聚类的层次入侵检测系统
CN1333552C (zh) * 2005-03-23 2007-08-22 北京首信科技有限公司 基于机器学习的用户行为异常的检测方法
CN101060444A (zh) * 2007-05-23 2007-10-24 西安交大捷普网络科技有限公司 基于贝叶斯统计模型的网络异常检测方法

Patent Citations (5)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN1553293A (zh) * 2003-12-19 2004-12-08 华中科技大学 基于分布式数据挖掘的协同入侵检测系统
CN1738257A (zh) * 2004-12-31 2006-02-22 北京大学 基于应用协议检测引擎的网络入侵检测系统和方法
CN1878082A (zh) * 2005-06-09 2006-12-13 杭州华为三康技术有限公司 网络攻击的防护方法
US20080034433A1 (en) * 2006-08-01 2008-02-07 Electronics And Telecommunications Research Institute Intrusion detection apparatus and method using patterns
JP2008085819A (ja) * 2006-09-28 2008-04-10 Oki Electric Ind Co Ltd ネットワーク異常検出システム、ネットワーク異常検出方法及びネットワーク異常検出プログラム

Cited By (10)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
CN108270727A (zh) * 2016-12-30 2018-07-10 北京国双科技有限公司 异常数据分析方法和装置
CN113727348A (zh) * 2020-05-12 2021-11-30 华为技术有限公司 用户设备ue用户数据的检测方法、设备及存储介质
CN113868646A (zh) * 2021-08-06 2021-12-31 华北电力科学研究院有限责任公司 基于主机的入侵检测方法及装置
CN113868646B (zh) * 2021-08-06 2024-04-26 华北电力科学研究院有限责任公司 基于主机的入侵检测方法及装置
CN114039776A (zh) * 2021-11-09 2022-02-11 北京天融信网络安全技术有限公司 流量检测规则的生成方法、装置、电子设备及存储介质
CN114039776B (zh) * 2021-11-09 2024-03-15 北京天融信网络安全技术有限公司 流量检测规则的生成方法、装置、电子设备及存储介质
CN115320538A (zh) * 2022-07-20 2022-11-11 国汽智控(北京)科技有限公司 智能网联汽车入侵检测系统及方法
CN115277244A (zh) * 2022-08-05 2022-11-01 四川启睿克科技有限公司 一种工业互联网的入侵检测系统及方法
CN115277244B (zh) * 2022-08-05 2023-07-25 四川启睿克科技有限公司 一种工业互联网的入侵检测系统及方法
CN116846060A (zh) * 2023-03-08 2023-10-03 国网江苏省电力有限公司淮安供电分公司 Iec61850智能变电站工况安全学习系统

Also Published As

Publication number Publication date
CN101572691B (zh) 2013-10-02
CN101572691A (zh) 2009-11-04

Similar Documents

Publication Publication Date Title
WO2009132552A1 (zh) 一种入侵检测方法、系统和装置
US20200344246A1 (en) Apparatus, system and method for identifying and mitigating malicious network threats
Bagui et al. Using machine learning techniques to identify rare cyber‐attacks on the UNSW‐NB15 dataset
US10721244B2 (en) Traffic feature information extraction method, traffic feature information extraction device, and traffic feature information extraction program
JP6001689B2 (ja) ログ分析装置、情報処理方法及びプログラム
US9602525B2 (en) Classification of malware generated domain names
US20140047543A1 (en) Apparatus and method for detecting http botnet based on densities of web transactions
CN108270722B (zh) 一种攻击行为检测方法和装置
CN103297433A (zh) 基于网络数据流的http僵尸网络检测方法及系统
CN102130920A (zh) 一种僵尸网络的发现方法及其系统
CN106302450A (zh) 一种基于ddos攻击中恶意地址的检测方法及装置
Almseidin et al. Generating a benchmark cyber multi-step attacks dataset for intrusion detection
US20220263846A1 (en) METHODS FOR DETECTING A CYBERATTACK ON AN ELECTRONIC DEVICE, METHOD FOR OBTAINING A SUPERVISED RANDOM FOREST MODEL FOR DETECTING A DDoS ATTACK OR A BRUTE FORCE ATTACK, AND ELECTRONIC DEVICE CONFIGURED TO DETECT A CYBERATTACK ON ITSELF
JP6592196B2 (ja) 悪性イベント検出装置、悪性イベント検出方法および悪性イベント検出プログラム
WO2013097600A1 (zh) 签名库的匹配路径生成方法及相关装置
CN110061998B (zh) 一种攻击防御方法及装置
TWI682644B (zh) 網路節點的移動防護方法及網路防護伺服器
Mendes et al. Analysis of iot botnet architectures and recent defense proposals
WO2009018769A1 (fr) Procédé et dispositif réseau de défense contre une attaque par message invalide
JP5385867B2 (ja) データ転送装置及びアクセス解析方法
Nie et al. Intrusion detection using a graphical fingerprint model
Dalvi et al. DDoS Attack Detection using Artificial Neural Network
Lysenko et al. Botnet Detection Approach Based on DNS.
TWI702510B (zh) 找出惡意加密連線指紋的方法及裝置
Rajendran Ensemble Techniques to Enhance Wireless Intrusion Detection System In IoT

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 09737662

Country of ref document: EP

Kind code of ref document: A1

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 09737662

Country of ref document: EP

Kind code of ref document: A1