[發(fā)明專利]一種網(wǎng)絡入侵檢測系統(tǒng)及方法

在審

• 申請?zhí)枺?/td>: 201711471816.2
• 申請日: 2017-12-29
• 公開（公告）號: CN108199875A
• 公開（公告）日: 2018-06-22
• 發(fā)明（設計）人: 葛阿雷;汪宣成
• 申請（專利權）人: 上海上訊信息技術股份有限公司
• 主分類號: H04L12/24
• 分類號: H04L12/24;H04L29/06
• 代理公司: 上海京滬專利代理事務所(普通合伙) 31235
• 代理人: 楊金淑

1.一種網(wǎng)絡入侵檢測系統(tǒng)，其特征在于，包括：

數(shù)據(jù)采集模塊，用于獲取網(wǎng)絡統(tǒng)計數(shù)據(jù)；

數(shù)據(jù)預處理模塊，將數(shù)據(jù)轉換為便于數(shù)據(jù)分析處理的格式；

數(shù)據(jù)差異性分析模塊和規(guī)則庫，所述數(shù)據(jù)差異性分析模塊將數(shù)據(jù)與規(guī)則庫中的數(shù)據(jù)對比，區(qū)分具有入侵行為的數(shù)據(jù)和正常行為的數(shù)據(jù)，將與規(guī)則庫中的數(shù)據(jù)不匹配的數(shù)據(jù)根據(jù)PSO-based K-means算法進行挖掘，提取新的規(guī)則，加入規(guī)則庫中；

規(guī)則評估模塊，所述規(guī)則評估模塊用于存儲數(shù)據(jù)采集模塊產(chǎn)生的異常模式和正常行為的輪廓，并對規(guī)則、算法的閾值或參數(shù)進行修訂；

響應模塊，根據(jù)數(shù)據(jù)差異性分析的結果，當檢測到符合入侵行為規(guī)則的數(shù)據(jù)，發(fā)出報警信息。

2.如權利要求1所述的一種網(wǎng)絡入侵檢測系統(tǒng)，其特征在于：所述數(shù)據(jù)采集模塊包括探測器、數(shù)據(jù)接收器和SNMP網(wǎng)絡管理系統(tǒng)，所述探測器截獲并讀取位于OSI協(xié)議模型中各個協(xié)議層上的數(shù)據(jù)包，所述數(shù)據(jù)接收器獲取及接收目的IP地址不是本地主機的數(shù)據(jù)包，所述SNMP網(wǎng)絡管理系統(tǒng)通過輪詢的方式獲取網(wǎng)絡數(shù)據(jù)。

3.如權利要求1所述的一種網(wǎng)絡入侵檢測系統(tǒng)，其特征在于：所述規(guī)則庫包括入侵行為規(guī)則庫和正常行為規(guī)則庫。

4.如權利要求1所述的一種網(wǎng)絡入侵檢測系統(tǒng)，其特征在于：所述規(guī)則評估模塊包括特征規(guī)則庫和知識庫，所述特征規(guī)則庫用于存放由PSO-based K-means算法進行數(shù)據(jù)挖掘提取出的正常模式和異常模式的輪廓，所述知識庫用于存放用于與數(shù)據(jù)進行匹配的正常模式和異常模式的輪廓。

5.一種網(wǎng)絡入侵檢測的方法，其特征在于，包括以下步驟：

截獲并閱讀位于OSI協(xié)議模型中各個協(xié)議層上的數(shù)據(jù)包，接收并篩選目的IP地址不是本地主機的數(shù)據(jù)包，獲取網(wǎng)絡統(tǒng)計數(shù)據(jù)；

對數(shù)據(jù)進行預處理，將數(shù)據(jù)轉化成適合PSO-based K-means算法運算的格式；

將數(shù)據(jù)與規(guī)則庫中的數(shù)據(jù)對比，區(qū)分具有入侵行為的數(shù)據(jù)和正常行為的數(shù)據(jù)，將與規(guī)則庫數(shù)據(jù)匹配不成功的數(shù)據(jù)保留下來加入到待挖掘數(shù)據(jù)集中；再利用PSO-based K-means算法對待挖掘數(shù)據(jù)集中的數(shù)據(jù)進行挖掘分析，從中提取新的規(guī)則并加入到規(guī)則庫中，檢測結果提交響應模塊并存入知識庫；

對規(guī)則、算法的閾值或參數(shù)進行修訂；

當檢測到符合入侵行為規(guī)則的數(shù)據(jù)，發(fā)出報警信息。

6.如權利要求5所述的一種網(wǎng)絡入侵檢測的方法，其特征在于：進行預處理的數(shù)據(jù)是通過SNMP網(wǎng)絡管理系統(tǒng)獲取的初始的MIB信息。