[發(fā)明專利]基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法

有效

• 申請?zhí)枺?/td>: 201110402645.4
• 申請日: 2011-12-07
• 公開（公告）號: CN102427415A
• 公開（公告）日: 2012-04-25
• 發(fā)明（設(shè)計）人: 張清華;秦勇;楊忠明;沈巖;康啟超;高苗粉;申林;黃廣文
• 申請（專利權(quán)）人: 廣東石油化工學(xué)院
• 主分類號: H04L12/26
• 分類號: H04L12/26;H04L29/06
• 代理公司: 廣州粵高專利商標(biāo)代理有限公司 44102
• 代理人: 禹小明;邱奕才

1.一種基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，包括如下步驟：

（1）構(gòu)建自體集，其具體步驟包括：

（11）搜集網(wǎng)絡(luò)數(shù)據(jù)，將網(wǎng)絡(luò)數(shù)據(jù)依次流過N層多叉樹提取網(wǎng)絡(luò)數(shù)據(jù)的N個特征屬性并存儲在N層多叉樹中；

（12）根據(jù)特征屬性將網(wǎng)絡(luò)數(shù)據(jù)內(nèi)容進(jìn)行切分，獲得N個不等長數(shù)據(jù)段作為N個數(shù)據(jù)記錄存儲到文件，提取各個數(shù)據(jù)段對應(yīng)的特征屬性值K_i,j存儲在N層多叉樹結(jié)構(gòu)中，其中，0＜i≤N,?0≤j＜J_i,?J_i為第i層特征屬性的個數(shù)，不等長數(shù)據(jù)段在文件中的地址和特征屬性值在多叉樹結(jié)構(gòu)中的地址進(jìn)行映射，形成系統(tǒng)的自體集；

（2）對網(wǎng)絡(luò)數(shù)據(jù)進(jìn)行入侵免疫檢測，其具體步驟包括：

（21）將網(wǎng)絡(luò)數(shù)據(jù)包按多叉樹的各層特征屬性進(jìn)行分類，提取網(wǎng)絡(luò)數(shù)據(jù)包的特征屬性值；

（22）將網(wǎng)絡(luò)數(shù)據(jù)包的特征屬性值按層依次跟自體集中的特征屬性值匹配，對匹配不成功的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行異常處理，匹配成功的網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)入自體集的文件中與文件中的數(shù)據(jù)記錄進(jìn)行匹配，與自體集文件中的數(shù)據(jù)記錄匹配不成功的網(wǎng)絡(luò)數(shù)據(jù)即為入侵?jǐn)?shù)據(jù)。

2.根據(jù)權(quán)利要求1所述的基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，所述步驟（11）中利用抓包工具搜集網(wǎng)絡(luò)數(shù)據(jù)，通過提取網(wǎng)絡(luò)數(shù)據(jù)的有用字段獲得N個特征屬性。

3.根據(jù)權(quán)利要求1所述的基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，多叉樹中特征屬性和特征屬性值的具體存儲方式為：

將1～N個特征屬性分別對應(yīng)到多叉樹的1～N層，在多叉樹的0層設(shè)定一個根結(jié)點(diǎn)，特征屬性值以指針數(shù)組的形式存儲在多叉樹結(jié)構(gòu)中，設(shè)定第一類特征屬性值K_1,j作為根結(jié)點(diǎn)的子結(jié)點(diǎn)，在K_1,j??中，0≤j＜J_1??；第二類特征屬性值K_2,j又分別作為J₁個K_1,j的子節(jié)點(diǎn)，在K_2,j?中，0≤j＜J_2?；依次類推，第N個特征屬性值K_N,j分別作為J_N-1個K_N-1,j的子節(jié)點(diǎn)，在K_N,j中，0≤j＜J_N?；自體集文件的首個存儲地址映射到多叉樹第N層指針數(shù)組K_N,j。

4.根據(jù)權(quán)利要求1所述的基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，所述方法還對所述步驟（12）中的N個不等長數(shù)據(jù)段進(jìn)行編碼壓縮，具體為：

將N個不等長數(shù)據(jù)段作為一個文本信息進(jìn)行填充；

將填充后的數(shù)據(jù)段進(jìn)行切分獲得N個字符串小組；

對每個字符串小組進(jìn)行不可逆的字符串變換，獲得唯一的具有固定長度的小信息摘要；

將所述小信息摘要代替不等長數(shù)據(jù)段作為自體集數(shù)據(jù)記錄存儲到文件中。

5.根據(jù)權(quán)利要求1所述的基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，所述步驟（2）還包括執(zhí)行基于概率隊列的匹配尋優(yōu)機(jī)制：

當(dāng)網(wǎng)絡(luò)數(shù)據(jù)包內(nèi)容與自體集文件中的數(shù)據(jù)記錄匹配成功后，啟動尋優(yōu)機(jī)制，自動將所述數(shù)據(jù)記錄置入文件的首個存儲地址，位于所述數(shù)據(jù)記錄之前的數(shù)據(jù)記錄依次向后移動一個存儲單元。

6.根據(jù)權(quán)利要求1所述的基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，所述步驟（2）還包括執(zhí)行閾值機(jī)制：

設(shè)定自體集的數(shù)據(jù)不匹配閾值；?

當(dāng)一個網(wǎng)絡(luò)數(shù)據(jù)連續(xù)出現(xiàn)并與自體集文件中的數(shù)據(jù)記錄匹配失敗時，對所述網(wǎng)絡(luò)數(shù)據(jù)累加連續(xù)記錄次數(shù)；

當(dāng)所述網(wǎng)絡(luò)數(shù)據(jù)的連續(xù)記錄次數(shù)達(dá)到數(shù)據(jù)不匹配閾值時，則將所述網(wǎng)絡(luò)數(shù)據(jù)根據(jù)自體集中的特征屬性切分后添加到自體集文件中。

7.根據(jù)權(quán)利要求1至6任一項所述的基于自體集規(guī)模約束的網(wǎng)絡(luò)入侵免疫檢測方法，其特征在于，所述步驟（2）還包括執(zhí)行定時機(jī)制：

在自體集中設(shè)置定時器，對自體集文件中的每條數(shù)據(jù)記錄分別計時；

當(dāng)自體集文件中的數(shù)據(jù)記錄一經(jīng)被匹配，所述數(shù)據(jù)記錄的計時清零并重新計時；

當(dāng)自體集文件中的數(shù)據(jù)記錄的計時達(dá)到定時器設(shè)定的定時時間，則啟動清除命令，將所述數(shù)據(jù)記錄從自體集中清除。