[發明專利]入侵檢測方法及系統

在審

• 申請號: 201310381615.9
• 申請日: 2013-08-28
• 公開（公告）號: CN103457945A
• 公開（公告）日: 2013-12-18
• 發明（設計）人: 云曉春;郝志宇;丁振全;張永錚;李倫;費海強
• 申請（專利權）人: 中國科學院信息工程研究所
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 北京輕創知識產權代理有限公司 11212
• 代理人: 楊立

1.一種入侵檢測方法，用于檢測虛擬計算環境中的虛擬機節點的安全威脅，其特征在于，包括：

步驟一，為檢測目標遠程部署檢測文件，以及為所述檢測目標遠程創建入侵檢測線程，所述入侵檢測線程至少包含一條安全檢測策略；

步驟二，執行步驟一創建的入侵檢測線程，通過將數據包協議與所述入侵檢測線程中的每一條安全檢測策略的全部協議進行匹配的方式來檢測所述檢測目標中的安全威脅，以及根據檢測結果進行響應，所述數據包協議為從所述檢測目標的數據包中剝離出來的協議；

步驟三，定期查詢安全檢測策略的更新信息，并根據該更新信息更新步驟二所執行的入侵檢測線程中的安全檢測策略。

2.根據權利要求1所述的入侵檢測方法，其特征在于，所述步驟一包括子步驟11：為所述檢測目標遠程創建虛擬機節點動態變化監控線程；則

所述入侵檢測方法還包括

步驟四，執行所述虛擬機節點動態變化監控線程，獲取虛擬機節點動態變化信息并上報；

所述步驟三包括子步驟31：根據步驟四上報的動態變化信息控制入侵檢測線程的更新操作。

3.根據權利要求2所述的入侵檢測方法，其特征在于，所述子步驟31包括：

在動態變化信息為虛擬機節點啟動信息時，為啟動的虛擬機節點創建入侵檢測線程并控制該線程加載默認的安全檢測策略；

在動態變化信息為虛擬機節點遷移信息時，為遷移的虛擬機節點創建入侵檢測線程并控制該線程加載該虛擬機原有的安全檢測策略；

在動態變化信息為虛擬機節點死亡、崩潰或關閉信息時，釋放該虛擬機的入侵檢測資源，并關閉該虛擬機的入侵檢測線程；

在動態變化信息為安全檢測策略更新信息時，控制相應的入侵檢測線程完成安全檢測策略更新操作，使入侵檢測線程利用更新后的安全檢測策略進行檢測。

4.根據權利要求1所述的入侵檢測方法，其特征在于，所述步驟二包括：

步驟21，從虛擬機節點對應的后端網卡捕獲數據包；

步驟22，從捕獲的數據包中逐次剝離出數據包協議，并將剝離出的數據包協議依次與入侵檢測線程中安全檢測策略對應的協議進行匹配；

步驟23，在捕獲的數據包匹配了入侵檢測線程中一條安全檢測策略對應的全部協議時，判定此數據包為異常數據包，否則判定此數據包為正常數據包；

步驟24，根據預設的響應策略和步驟23的判定結果處理捕獲的數據包。

5.根據權利要求1所述的入侵檢測方法，其特征在于，所述步驟一包括：

讀取虛擬計算環境的支撐服務器資源列表，提取服務器信息，所述服務器信息包括服務器IP地址、服務器用戶名以及服務器對應的密碼信息；

根據所述服務器信息，在服務器的對應目錄下遠程建立監控目錄；

遠程向所述監控目錄分發檢測文件；

遠程控制所述監控目錄中的檢測文件執行，創建入侵檢測線程。

6.一種入侵檢測系統，用于檢測虛擬計算環境中的虛擬機節點的安全威脅，其特征在于，包括：

部署模塊，用于為檢測目標遠程部署檢測文件，以及為所述檢測目標遠程創建入侵檢測線程，所述入侵檢測線程至少包含一條安全檢測策略；

檢測模塊，用于執行部署模塊創建的入侵檢測線程，通過將數據包協議與所述入侵檢測線程中的每一條安全檢測策略的全部協議進行匹配的方式來檢測安全威脅，以及根據檢測結果進行響應，所述數據包協議為從所述檢測目標的數據包中剝離出來的協議；

更新模塊，用于定期查詢安全檢測策略的更新信息，并根據該更新信息更新檢測模塊所執行的入侵檢測線程中的安全檢測策略。

7.根據權利要求6所述的入侵檢測系統，其特征在于，所述部署模塊包括監控部署單元，用于為所述檢測目標遠程創建虛擬機節點動態變化監控線程；

則所述入侵檢測系統還包括監控模塊，用于執行監控部署單元創建的虛擬機節點動態變化監控線程，獲取虛擬機節點動態變化信息，并上報給部署模塊；

更新模塊還包括控制單元，用于根據監控模塊上報的動態變化信息控制入侵檢測線程的更新操作。