[發明專利]一種基于總線的入侵檢測方法

有效

• 申請號: 201710856697.6
• 申請日: 2017-09-21
• 公開（公告）號: CN107508831B
• 公開（公告）日: 2020-02-14
• 發明（設計）人: 何道敬;高甲豪;鄭佳佳
• 申請（專利權）人: 華東師范大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 31215 上海藍迪專利商標事務所(普通合伙)
• 代理人: 徐筱梅;張翔

1.一種基于總線的入侵檢測方法，其特征在于，該方法包括以下具體步驟：

步驟1：監聽并收集總線傳輸數據；

步驟2：利用總線的工作原理，在收集的總線數據中提取總線特征；

步驟3：將提取的總線特征提交到總線異常檢測器檢測，若消息合法，則讓消息通過，否則生成入侵事件，將此入侵事件提交到入侵事件過濾器，若入侵檢測過濾器能過濾此入侵事件，則讓消息通過，否則停止總線傳輸此消息，阻止此次入侵；其中：

所述步驟2具體包括：

步驟B1：根據總線協議，提取消息時長，消息長度，方式代碼，消息數據，消息時間間隔，消息頻率；

步驟B2：提取出子系統的總線頻率和總線信譽；

所述步驟3具體包括：

步驟C1：異常檢測器檢測子系統總線頻率，消息頻率，消息長度，消息數據是否在異常檢測器檢測的范圍內，若不在異常檢測器檢測范圍內，則為入侵檢測事件，執行步驟C4；若在異常檢測器檢測范圍內，則執行步驟C2；

步驟C2：預先建立的異常檢測器檢測方式代碼是否在異常檢測器的方式代碼白名單內，若不在異常檢測器的方式代碼白名單內，則為入侵檢測事件，執行步驟C4；若在異常檢測器的方式代碼白名單內，則執行步驟C3；

步驟C3：預先建立的異常檢測器檢測子系統總線信譽是否在異常檢測器的總線信譽閾值內，若不在異常檢測器的總線信譽閾值內，則為入侵檢測事件，執行步驟C4；若在異常檢測器的總線信譽閾值內，則不存在入侵，讓消息成功傳輸；

步驟C4：將入侵檢測事件提交到入侵檢測過濾器，將此次表現為入侵事件的行為以九元組的形式記錄，將此九元組提交到入侵檢測過濾器，如果入侵檢測過濾器能過濾此入侵事件，則讓消息通過，否則停止總線傳輸消息，阻止此次入侵；其中，九元組形式為：子系統、消息時長、消息長度、方式代碼、消息數據、消息時間間隔、消息頻率、子系統總線頻率及子系統總線信譽。

2.根據權利要求1所述的入侵檢測方法，其特征在于，所述步驟1具體包括：

步驟A1：所述監聽并收集總線傳輸數據，實時監聽總線，記錄子系統在總線上傳輸的數據和子系統使用總線的時間。

3.根據權利要求1所述的入侵檢測方法，其特征在于，步驟B2中所述提取出子系統的總線頻率是利用子系統使用總線發送的消息個數和消息的發送時間來計算子系統的總線頻率，所述提取子系統的總線信譽是利用子系統總線頻率，發送消息時使用總線時長計算子系統總線信譽。

4.根據權利要求1所述的入侵檢測方法，其特征在于，步驟C4中入侵檢測過濾器過濾入侵事件具體包括：

步驟D1：將入侵事件九元組特征歸一化；

步驟D2：使用機器學習的算法計算入侵檢測器提交的入侵事件九元組特征；

步驟D3：驗證九元組特征值合法性，若不在機器學習算法接收的范圍內，則為一次入侵事件，拒絕總線傳輸此消息；否則不存在入侵，讓消息成功傳輸。

5.根據權利要求4所述的的入侵檢測方法，其特征在于，步驟D2中所述使用機器學習的算法，其算法為K-近鄰即KNN算法。