[發明專利]一種入侵檢測方法及入侵檢測檢測裝置

有效

• 申請號: 201810363956.6
• 申請日: 2018-04-22
• 公開（公告）號: CN108875365B
• 公開（公告）日: 2023-04-07
• 發明（設計）人: 王子芹
• 申請（專利權）人: 湖南省金盾信息安全等級保護評估中心有限公司
• 主分類號: G06F21/55
• 分類號: G06F21/55;G06F18/214;G06F18/2411;G06F18/2321
• 代理公司: 長沙軒榮專利代理有限公司 43235
• 代理人: 叢詩洋

1.一種入侵檢測方法，包括：

獲取網絡中的數據流；

從所獲取的數據流中獲得網絡連接行為；

提取網絡連接行為的特征信息；

將所提取的特征信息進行數據預處理，并生成訓練數據集和待預測數據集；

基于所述訓練數據集對支持向量機進行訓練，其中，對支持向量機進行訓練包括如下步驟：

對訓練數據集進行聚類分析，得到多個數據類，并且得到所述多個數據類的聚類中心以及成員數據；

基于所述多個數據類的成員數據，分別訓練對應的多個支持向量機；

判斷所述待預測數據集中的第一向量是否屬于所述多個數據類中的一個數據類，如果所述第一向量屬于所述多個數據類中的第一數據類，則執行以下操作：

將所述第一向量發送給對應于所述第一數據類的第一支持向量機；

當第一支持向量機判斷所述第一向量對應的行為是入侵行為時，執行第一安全動作；如果所述第一向量不屬于所述多個數據類中的任何一個數據類，則在不將所述第一向量發送給任何支持向量機的情況下，直接執行第二安全動作；

所述第一安全動作包括斷開網絡連接、報警、限制接收數據分組中的一種或多種動作，并且所述第二安全動作只包括報警動作；

對訓練數據集進行聚類分析進一步包括：

統計所述訓練數據集中的向量個數；

基于所述向量個數生成第一數據類個數；

所述第一數據類個數基于以下公式生成：

其中，所述N為第一數據類個數，所述n是所述訓練數據集中的向量個數；

將所述訓練數據集按照所述第一數據類個數進行聚類；

計算所述訓練數據集中的每一個向量到所述每一個向量所屬的數據類的聚類中心的距離；

對所述距離求和，得到距離和；以及

基于所述距離和，確定所述第一數據類個數是否正確，具體而言，基于距離和，確定第一數據類個數是否正確是：判斷距離和是否大于設定門限值，該門限值由經驗獲得，如果距離和大于該門限值，則確定數據類個數不正確；

如果確定第一數據類個數不正確，則生成第二數據類個數，第二數據類個數是第一數據類個數加1，或者減1，或者加2，或者減2；

隨后，將訓練數據集按照第二數據類個數進行聚類；計算訓練數據集中的每一個向量到每一個向量所屬的數據類的聚類中心的距離；對距離求和，得到距離和；以及基于距離和，再次確定第二數據類個數是否正確，如果距離和大于所述設定門限值，則確定數據類個數不正確；如果確定第二數據類個數不正確，則生成第三數據類個數，第三數據類個數是第二數據類個數加1，或者減1，或者加2，或者減2；

隨后，將訓練數據集按照第三數據類個數進行聚類；計算訓練數據集中的每一個向量到每一個向量所屬的數據類的聚類中心的距離；對距離求和，得到距離和；以及基于距離和，再次確定數據類個數是否正確，如果距離和大于所述設定門限值，則確定數據類個數不正確，此時，不再自動調整數據類個數，而是將數據類個數不正確消息發送給用戶，用戶進行入侵檢測策略的手動設置，根據用戶手動設置的入侵檢測策略來確定對應的數據類個數，入侵檢測策略與數據類個數的對應關系是預先生成的，在根據用戶手動設置的入侵檢測策略來確定對應的數據類個數之后，不再進行數據類個數是否正確的判斷。

2.一種執行權利要求1所述入侵檢測方法的入侵檢測裝置，包括：

數據流獲取單元，其用于獲取網絡中的數據流；

網絡連接行為獲取單元，其用于從所獲取的數據流中獲得網絡連接行為；

特征提取單元，其用于提取網絡連接行為的特征信息；

數據預處理單元，其用于將所提取的特征信息進行數據預處理，并生成訓練數據集和待預測數據集；

向量機訓練單元，其用于基于所述訓練數據集對支持向量機進行訓練，其中，所述向量機訓練單元還包括：

聚類分析單元，其用于對訓練數據集進行聚類分析，得到多個數據類，并且得到所述多個數據類的聚類中心以及成員數據；

向量機訓練子單元，其用于基于所述多個數據類的成員數據，分別訓練對應的多個支持向量機；

判斷單元，其用于判斷所述待預測數據集中的第一向量是否屬于所述多個數據類中的一個數據類；

第一動作單元，其用于在所述第一向量屬于所述多個數據類中的第一數據類的情況下，執行以下操作：

將所述第一向量發送給對應于所述第一數據類的第一支持向量機；

當第一支持向量機判斷所述第一向量對應的行為是入侵行為時，執行第一安全動作，

所述裝置還包括第二動作單元：其用于當所述第一向量不屬于所述多個數據類中的任何一個數據類時，在不將所述第一向量發送給任何支持向量機的情況下，直接執行第二安全動作，

所述第一安全動作包括斷開網絡連接、報警、限制接收數據分組中的一種或多種動作，并且所述第二安全動作只包括報警動作，

所述聚類分析單元進一步包括：

統計單元，其用于統計所述訓練數據集中的向量個數；

生成單元，其用于基于所述向量個數生成第一數據類個數；

分析單元，其用于將所述訓練數據集按照所述第一數據類個數進行聚類；

距離計算單元，其用于計算所述訓練數據集中的每一個向量到所述每一個向量所屬的數據類的聚類中心的距離，并對所述距離求和，得到距離和；以及

第二判斷單元，其用于基于所述距離和，確定所述數據類個數是否正確。