[發明專利]用于待入侵檢測處理的數據包進行抽樣的方法與設備

在審

• 申請號: 201310269205.5
• 申請日: 2013-06-28
• 公開（公告）號: CN103368952A
• 公開（公告）日: 2013-10-23
• 發明（設計）人: 劉賀
• 申請（專利權）人: 百度在線網絡技術（北京）有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京漢昊知識產權代理事務所(普通合伙) 11370
• 代理人: 羅朋;周建華

技術領域

本發明涉及網絡安全技術領域，尤其涉及一種用于待入侵檢測處理的數據包進行抽樣的技術。

背景技術

互聯網在方便人們獲取信息的同時，與其并存的網絡安全問題也日益影響著人們的生活，如時常發生病毒分布式拒絕服務攻擊(DDoS)、蠕蟲(Worms)、端口掃描(Port?Scan)等病毒侵襲網絡，而現有技術中，為應對網絡安全問題出現的入侵檢測(Intrusion?Detection)技術通常采用一定流量抽樣方法如面向惡意攻擊熱點流量的流量抽樣擇方法FSH(Flow?Sampling?&Hold)、面向小規模攻擊的基于反饋指導的流長抽樣方法FFS(Feedback?Flow?Length?Sampling)等來選擇嫌疑度高的流量來提供入侵檢測系統(IDS，Intrusion?Detection?Systerm)的檢測效果及檢測精度，然而，FFS算法雖可保證短流被抽中的概率比較大，但FFS算法與FSH算法組合在一起，就會有某種功能上的沖突，如當被FFS算法判定為超長流不再對該數據流進行抽樣時，而若該數據流中的一個數據包卻被FSH算法抽中，則該數據流中的后繼數據包依然將被抽樣。

發明內容

本發明的目的是提供一種用于待入侵檢測處理的數據包進行抽樣的方法與設備。

根據本發明的一個方面，提供了一種用于待入侵檢測處理的數據包進行抽樣的方法，其中，該方法包括以下步驟：

a獲取待進行入侵檢測處理的數據包；

b根據所述數據包的包特征信息，檢測所述數據包所屬的數據流是否待抽樣；

c當所述數據包待抽樣時，根據所述數據流的長度信息，確定所述數據流是否滿足新流抽樣條件；

d當所述數據流滿足新流抽樣條件時，按預定抽樣概率對所述數據流進行抽樣處理；

e當所述數據流被抽中時，將所述數據包用于入侵檢測處理。

根據本發明的另一個方面，還提供了一種用于待入侵檢測處理的數據包進行抽樣的抽樣設備，其中，該抽樣設備包括：

獲取裝置，用于獲取待進行入侵檢測處理的數據包；

檢測裝置，用于根據所述數據包的包特征信息，檢測所述數據包所屬的數據流是否待抽樣；

確定裝置，用于當所述數據包待抽樣時，根據所述數據流的長度信息，確定所述數據流是否滿足新流抽樣條件；

抽樣處理裝置，用于當所述數據流滿足新流抽樣條件時，按預定抽樣概率對所述數據流進行抽樣處理；

入侵檢測裝置，用于當所述數據流被抽中時，將所述數據包用于入侵檢測處理。

根據本發明的再一個方面，還提供了一種計算機設備，其中，該計算機設備包括如前述根據本發明另一個方面的用于待入侵檢測處理的數據包進行抽樣的抽樣設備。

與現有技術相比，本發明通過根據所述數據包的包特征信息，檢測所述數據包所屬的數據流是否待抽樣，當所述數據包待抽樣時，根據所述數據流的長度信息，確定所述數據流是否滿足新流抽樣條件，當所述數據流滿足新流抽樣條件時，按預定抽樣概率對所述數據流進行抽樣處理，當所述數據流被抽中時，將所述數據包用于入侵檢測處理，實現了通過結合FSH和FFS兩種算法，既實現了找出多點流和高抽樣短流、低抽樣長流、不抽樣超長流的功能，同時克服了將FSH和FFS算法結合時的缺陷，還提高了可疑數據報的抽樣效果，減少了IDS的處理負擔，相應地，提高了IDS檢測效果和檢測精度。

附圖說明

通過閱讀參照以下附圖所作的對非限制性實施例所作的詳細描述，本發明的其它特征、目的和優點將會變得更明顯：

圖1示出根據本發明一個方面的用于待入侵檢測處理的數據包進行抽樣的設備示意圖；

圖2示出根據本發明另一個方面用于待入侵檢測處理的數據包進行抽樣的方法流程圖。

附圖中相同或相似的附圖標記代表相同或相似的部件。

具體實施方式

下面結合附圖對本發明作進一步詳細描述。