[發明專利]一種分布式實時入侵檢測方法及檢測系統

在審

• 申請號: 201711069206.X
• 申請日: 2017-11-02
• 公開（公告）號: CN107786565A
• 公開（公告）日: 2018-03-09
• 發明（設計）人: 吳夢悅;趙旦譜;臺憲青
• 申請（專利權）人: 江蘇物聯網研究發展中心
• 主分類號: H04L29/06
• 分類號: H04L29/06;H04L29/08
• 代理公司: 無錫市大為專利商標事務所(普通合伙)32104
• 代理人: 殷紅梅

1.一種分布式實時入侵檢測方法，其特征在于，所述分布式實時入侵檢測方法包括：

采集不同類型服務器的日志數據；

將所述日志數據進行緩存；

同步進行對緩存的所述日志數據的存儲以及對緩存的所述日志數據的安全分析，得到日志安全分析結果；

輸出所述日志安全分析結果。

2.根據權利要求1所述的分布式實時入侵檢測方法，其特征在于，所述日志數據包括時間敏感性數據，且帶有時間戳。

3.根據權利要求2所述的分布式實時入侵檢測方法，其特征在于，所述同步進行對緩存的所述日志數據的存儲以及對緩存的所述日志數據的安全分析，得到日志安全分析結果包括：

對緩存的所述日志數據進行時序數據專用操作以及對緩存的所述日志數據進行冗余操作；

對緩存的所述日志數據進行實時預處理得到預處理數據；

對所述預處理數據進行入侵行為分析，得到日志安全分析結果。

4.根據權利要求3所述的分布式實時入侵檢測方法，其特征在于，所述對緩存的所述日志數據進行實時預處理得到預處理數據包括：

對緩存的所述日志數據進行類型匹配；

將類型匹配得到的不完整數據或錯誤數據進行清理；

對經過清理后的日志數據進行日志格式化；

對經過日志格式化的日志數據通過增加標簽的方式進行日志標記。

5.根據權利要求3所述的分布式實時入侵檢測方法，其特征在于，所述對所述預處理數據進行入侵行為分析，得到日志安全分析結果包括：

對所述預處理數據采用誤用檢測的方式判斷所述預處理數據是否為異常訪問日志；

若所述預處理數據與特征庫的特征匹配成功，則判定所述預處理數據為異常訪問日志，并對所述預處理數據進行報警顯示；

若所述預處理數據與特征庫的特征匹配不成功，則對所述預處理數據采用異常檢測的方式判斷所述預處理數據是否為異常訪問日志；

若所述預處理數據的特定特征值與正常訪問模塊的偏離程度達到設定閾值，則判定所述預處理數據為異常訪問日志，否則判定為正常訪問日志。

6.根據權利要求1至5中任意一項所述的分布式實時入侵檢測方法，其特征在于，所述分布式實時入侵檢測方法還包括：

對所述日志安全分析結果和存儲的所述日志數據進行查詢檢索，得到查詢檢索結果；

輸出所述查詢檢索結果。

7.一種分布式實時入侵檢測系統，其特征在于，所述分布式實時入侵檢測系統包括：

日志采集模塊，所述日志采集模塊用于采集不同類型服務器的日志數據；

日志緩存模塊，所述日志緩存模塊用于將所述日志數據進行緩存，并將緩存的所述日志數據同步發送至日志存儲模塊和日志安全分析模塊；

日志存儲模塊，所述日志存儲模塊用于對緩存的所述日志數據的存儲；

日志安全分析模塊，所述日志安全分析模塊用于對緩存的所述日志數據的安全分析，得到日志安全分析結果；

輸出模塊，所述輸出模塊用于輸出所述日志安全分析結果。

8.根據權利要求7所述的分布式實時入侵檢測系統，其特征在于，所述日志存儲模塊包括數據庫和分布式文件系統，

所述數據庫用于對緩存的所述日志數據進行時序數據專用操作；

所述分布式文件系統用于對緩存的所述日志數據進行冗余操作。

9.根據權利要求7所述的分布式實時入侵檢測系統，其特征在于，所述日志安全分析模塊包括日志預處理單元和日志安全分析單元，

所述日志預處理單元用于對緩存的所述日志數據進行實時預處理得到預處理數據；

所述日志安全分析單元用于對所述預處理數據進行入侵行為分析，得到日志安全分析結果。

10.根據權利要求7至9中任意一項所述的分布式實時入侵檢測系統，其特征在于，所述分布式實時入侵檢測系統還包括：

日志查詢檢索模塊，所述日志查詢檢索模塊用于對所述日志安全分析結果和存儲的所述日志數據進行查詢檢索，得到查詢檢索結果。