[發(fā)明專利]一種面向大數(shù)據(jù)應(yīng)用平臺的入侵檢測的實時分析系統(tǒng)

無效

• 申請?zhí)枺?/td>: 201310526461.8
• 申請日: 2013-10-30
• 公開（公告）號: CN103561018A
• 公開（公告）日: 2014-02-05
• 發(fā)明（設(shè)計）人: 柯宗貴;柯宗慶;楊育斌;趙必廈
• 申請（專利權(quán)）人: 藍盾信息安全技術(shù)股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種面向大數(shù)據(jù)應(yīng)用平臺的入侵檢測的實時分析系統(tǒng)，其特征在于，該系統(tǒng)包括信息采集層、運算層、展示層；

信息采集層，包括監(jiān)控模塊及2個相互通信的組件：即部署在大數(shù)據(jù)應(yīng)用平臺節(jié)點上面的Agent與部署在入侵檢測系統(tǒng)的Server；

運算層，包括特征庫模塊、實時分析模塊、趨勢分析模塊；特征庫模塊，包括正則匹配組件與HBase數(shù)據(jù)庫；實時分析模塊，基于Storm實現(xiàn)；趨勢分析模塊，基于RHadoop實現(xiàn)；

展示層，包括告警模塊和統(tǒng)一報表模塊。

2.根據(jù)權(quán)利要求1所述的系統(tǒng)，其特征在于，大數(shù)據(jù)應(yīng)用平臺節(jié)點包括配置管理節(jié)點、元數(shù)據(jù)節(jié)點、數(shù)據(jù)節(jié)點。

3.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，該系統(tǒng)的部署為：在大數(shù)據(jù)應(yīng)用平臺的配置管理節(jié)點、元數(shù)據(jù)節(jié)點、數(shù)據(jù)節(jié)點安裝部署入侵檢測系統(tǒng)的Agent，Agent根據(jù)入侵檢測的策略，打開不同的通信端口，主動發(fā)送信息到入侵檢測系統(tǒng)的監(jiān)控模塊；

在入侵檢測系統(tǒng)服務(wù)器端，實時分析模塊協(xié)同特征庫模塊對監(jiān)控模塊推送過來的信息進行實時分析，發(fā)現(xiàn)威脅，調(diào)用告警模塊對用戶進行告警處理，趨勢分析模塊對歷史記錄進行趨勢分析、挖掘。

4.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，該系統(tǒng)中節(jié)點信息采集的處理流程為：

41）如果收到退出命令，跳轉(zhuǎn)到44），否則，跳轉(zhuǎn)到42）；

42）Agent主動推送信息到監(jiān)控模塊；

43）監(jiān)控模塊接收信息，轉(zhuǎn)發(fā)到消息隊列，并跳轉(zhuǎn)到41）；

44）節(jié)點的信息采集結(jié)束。

5.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，該系統(tǒng)中實時分析的處理流程為：

51）如果收到退出命令，跳轉(zhuǎn)到57），否則，跳轉(zhuǎn)到52）；

52）Storm在消息隊列中取消息；

53）Storm對消息進行模式匹配；

54）如果存在威脅，跳轉(zhuǎn)到54），否則，跳轉(zhuǎn)到51）；

55）Storm通知告警模塊；

56）告警模塊發(fā)送信息，并跳轉(zhuǎn)到51）；

57）節(jié)點的信息采集結(jié)束。

6.根據(jù)權(quán)利要求1或2所述的系統(tǒng)，其特征在于，該系統(tǒng)中趨勢分析的處理流程為：

61）從HBase數(shù)據(jù)庫中讀取歷史記錄；

62）運行RHadoop的趨勢分析算法Storm對消息進行模式匹配；

63）運行結(jié)果保存在HDFS上；

64）趨勢分析結(jié)束。