[發(fā)明專利]一種主機入侵檢測方法和裝置

在審

• 申請?zhí)枺?/td>: 201810796167.1
• 申請日: 2018-07-19
• 公開（公告）號: CN110737891A
• 公開（公告）日: 2020-01-31
• 發(fā)明（設(shè)計）人: 劉明浩;郝益壯;洪艷
• 申請（專利權(quán)）人: 北京京東金融科技控股有限公司
• 主分類號: G06F21/56
• 分類號: G06F21/56;G06K9/62
• 代理公司: 11219 中原信達(dá)知識產(chǎn)權(quán)代理有限責(zé)任公司
• 代理人: 張一軍;張效榮

1.一種主機入侵檢測方法，其特征在于，包括：

采集主機的信號數(shù)據(jù)，所述信號數(shù)據(jù)包括：靜態(tài)信號數(shù)據(jù)n和動態(tài)信號數(shù)據(jù)s；

從預(yù)設(shè)的特征庫中查找與所述靜態(tài)信號數(shù)據(jù)匹配的靜態(tài)檢測規(guī)則ret_s；

根據(jù)所述動態(tài)信號數(shù)據(jù)和SVM模型獲取動態(tài)預(yù)測結(jié)果ret_d；所述SVM模型的訓(xùn)練參數(shù)是采用粒子群優(yōu)化算法得到的；

根據(jù)所述靜態(tài)檢測規(guī)則ret_s和所述動態(tài)預(yù)測結(jié)果ret_d判斷所述主機的當(dāng)前進程是否為攻擊行為。

2.如權(quán)利要求1所述的方法，其特征在于，所述靜態(tài)信號數(shù)據(jù)包括以下至少之一：CPU使用率，內(nèi)存使用率，生成的套接字連接數(shù)，敏感文件變更信息；

所述動態(tài)信號數(shù)據(jù)是根據(jù)所述主機運行當(dāng)前進程時產(chǎn)生的系統(tǒng)調(diào)用序列確定的。

3.如權(quán)利要求1所述的方法，其特征在于，所述預(yù)設(shè)的特征庫包括：預(yù)設(shè)的多條檢測結(jié)果，以及與每條檢測結(jié)果對應(yīng)的檢測規(guī)則；從預(yù)設(shè)特征庫中查找與所述靜態(tài)信號數(shù)據(jù)匹配的靜態(tài)檢測規(guī)則ret_s，包括：

從預(yù)設(shè)的特征庫中查找與所述靜態(tài)信號數(shù)據(jù)匹配的檢測結(jié)果；

以所述檢測結(jié)果對應(yīng)的檢測規(guī)則作為與所述靜態(tài)信號數(shù)據(jù)匹配的靜態(tài)檢測規(guī)則ret_s。

4.如權(quán)利要求1所述的方法，其特征在于，根據(jù)所述動態(tài)信號數(shù)據(jù)和SVM模型獲取動態(tài)預(yù)測結(jié)果ret_d，包括：

步驟A：讀取訓(xùn)練樣本集，并將所述動態(tài)信號數(shù)據(jù)傳遞給SVM模型的訓(xùn)練參數(shù)完成第1次訓(xùn)練，得到初始預(yù)測模型；

步驟B：讀取測試樣本集，并利用初始預(yù)測模型完成測試樣本的態(tài)勢值預(yù)測，得到初始預(yù)測結(jié)果；

步驟C：使用粒子群算法中的適應(yīng)度函數(shù)F計算初始預(yù)測結(jié)果與測試樣本集中真實態(tài)勢值的誤差；

步驟D：若滿足F收斂條件，則初始預(yù)測模型即為最終預(yù)測模型；否則，采用粒子群算法迭代并傳遞第2組訓(xùn)練參數(shù)給SVM模型，然后循環(huán)執(zhí)行步驟A至步驟C，直至得到滿足F收斂條件的最終預(yù)測模型為止；最終預(yù)測模型對應(yīng)的預(yù)測結(jié)果即為所述動態(tài)預(yù)測結(jié)果ret_d。

5.如權(quán)利要求1所述的方法，其特征在于，根據(jù)所述靜態(tài)檢測規(guī)則ret_s和所述動態(tài)預(yù)測結(jié)果ret_d判斷所述主機的當(dāng)前進程是否為攻擊行為，包括：

根據(jù)所述靜態(tài)檢測規(guī)則ret_s和所述動態(tài)預(yù)測結(jié)果ret_d生成當(dāng)前進程的檢測結(jié)果R(ret_s，ret_d)；

當(dāng)當(dāng)前進程的檢測結(jié)果R在預(yù)設(shè)的閾值范圍內(nèi)時，則判定所述主機的當(dāng)前進程是攻擊行為；否則判定所述主機的當(dāng)前進程不是攻擊行為。

6.如權(quán)利要求5所述的方法，其特征在于，判定所述主機的當(dāng)前進程是攻擊行為之后，還包括：

提取所述攻擊行為的攻擊特征碼以形成所述攻擊行為的檢測規(guī)則，并將所述攻擊行為對應(yīng)的檢測結(jié)果和檢測規(guī)則保存所述主機的特征庫。

7.如權(quán)利要求6所述的方法，其特征在于，還包括：將所述主機的特征庫中保存的檢測結(jié)果和檢測規(guī)則更新至其他主機的特征庫。

8.一種主機入侵檢測裝置，其特征在于，包括：

數(shù)據(jù)采集模塊，采集主機的信號數(shù)據(jù)，所述信號數(shù)據(jù)包括：靜態(tài)信號數(shù)據(jù)n和動態(tài)信號數(shù)據(jù)s；

檢測判斷模塊，從預(yù)設(shè)的特征庫中查找與所述靜態(tài)信號數(shù)據(jù)匹配的靜態(tài)檢測規(guī)則ret_s；根據(jù)所述動態(tài)信號數(shù)據(jù)和SVM模型獲取動態(tài)預(yù)測結(jié)果ret_d；所述SVM模型的訓(xùn)練參數(shù)是采用粒子群優(yōu)化算法得到的；根據(jù)所述靜態(tài)檢測規(guī)則ret_s和所述動態(tài)預(yù)測結(jié)果ret_d判斷所述主機的當(dāng)前進程是否為攻擊行為。