[發明專利]一種基于信幀的網絡入侵行為分析檢測方法

在審

• 申請號: 201910074164.1
• 申請日: 2019-01-25
• 公開（公告）號: CN109802966A
• 公開（公告）日: 2019-05-24
• 發明（設計）人: 王詩勇
• 申請（專利權）人: 深圳市眾泰兄弟科技發展有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 深圳市漢唐知識產權代理有限公司 44399
• 代理人: 劉海軍

1.一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：包括以下步驟：

S1、采集信息：獲取外網主機與內網主機之間的所有網絡流會話信幀數據；

S2、提取信息：過濾并選取內網主機主動發送至外網主機的單向信幀數據；

S3、分析特征：分析單向信幀數據的時間間隔特征和流量大小特征；

S4、評分預判：對單向信幀數據的時間間隔特征和流量大小特征進行評分，當評分值大于預設的特征標準閾值時，則預判存在網絡入侵行為并進行網絡入侵報警。

2.如權利要求1所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：步驟S4中，依公式一對單向信幀數據的特征進行評分，當特征評分值大于預設的特征標準閾值時，則預判存在網絡入侵行為并進行網絡入侵報警；其中，公式一為：

3.如權利要求2所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：步驟S3中，所述時間間隔特征為在一特定周期內數據的時間偏離度特征、時間離差度特征和持續時間特征；所述公式一中，時間間隔特征評分值為時間偏離度評分值、時間離差度評分值和持續時間評分值之和。

4.如權利要求3所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：在特定周期內，獲取同一內網主機與外網主機進行網絡連接的連接時間間隔數組，然后從小到大排序以形成時間間隔排序位置數組；

分別取得位于時間間隔排序位置數組中75％位置、50％位置和25％位置的時間值；最后依公式二計算時間偏離度評分值；其中，公式二為：

5.如權利要求3所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：在特定周期內，獲取同一內網主機與外網主機進行網絡連接的連接時間間隔數組，然后從小到大排序以形成時間間隔排序位置數組；

取位于時間間隔排序位置數組中50％位置的時間值作為一次時間間隔中間值；對時間間隔排序位置數組中的所有位置的時間值與一次時間間隔中間值之差的絕對值進行從小到大排序以形成二次時間排序位置數組，取位于二次時間排序位置數組中50％位置的時間值作為二次時間間隔中間值；最后依公式三計算時間離差度評分值；其中，公式三為：

6.如權利要求3所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：在特定周期內，獲取同一內網主機與外網主機進行網絡連接的起始時間和結束時間以分別作為通訊開始時間值和通訊結束時間值，依公式四計算持續時間評分值；其中，公式四為：

7.如權利要求2-6中任一項所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：步驟S3中，所述流量大小特征為在一特定周期內數據的大小偏離度特征、大小離差度特征和數據頻次特征；所述公式一中，流量大小特征評分值依公式五計算；其中，公式五為：

8.如權利要求7所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：在特定周期內，獲取同一內網主機主動發送至外網主機的單向信幀數據的數據包大小數組，然后從小到大排序以形成數據大小排序位置數組；

分別取得位于數據大小排序位置數組中75％位置、50％位置和25％位置的時間值；最后依公式六計算大小偏離度評分值；其中，公式六為：

9.如權利要求7所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：在特定周期內，獲取同一內網主機主動發送至外網主機的單向信幀數據的數據包大小數組，然后從小到大排序以形成數據大小排序位置數組；

取位于數據大小排序位置數組中50％位置的數據大小值作為一次數據包中間值；對數據大小排序位置數組中的所有位置的數據大小值與一次數據包中間值之差的絕對值進行從小到大排序以形成二次大小排序位置數組，取位于二次大小排序位置數組中50％位置的時間值作為二次數據包中間值；最后依公式七計算大小離差度評分值；其中，公式七為：

10.如權利要求7所述的一種基于信幀的網絡入侵行為分析檢測方法，其特征在于：在特定周期內，獲取同一內網主機主動發送外網主機的單向信幀數據時所產生的數據包，對數據包按容量大小進行分組并進行次數統計；取單一分組中出現的最大次數作為數據包頻次數值，依公式八計算數據頻次評分值；其中，公式八為：