[發明專利]一種基于軟件定義安全架構的入侵檢測系統

在審

• 申請號: 201910391719.5
• 申請日: 2019-07-17
• 公開（公告）號: CN110224990A
• 公開（公告）日: 2019-09-10
• 發明（設計）人: 張莎莎;李榮鵬;趙志峰;張宏綱
• 申請（專利權）人: 浙江大學
• 主分類號: H04L29/06
• 分類號: H04L29/06;G06F21/55;G06K9/62;G06N20/00
• 代理公司: 杭州求是專利事務所有限公司 33200
• 代理人: 邱啟旺

1.一種基于軟件定義安全架構的入侵檢測系統，其特征在于，所述入侵檢測系統包括SDN控制器、客戶端模塊以及云端模塊；所述客戶端模塊包括客戶端代理、通信傳輸模塊以及數據包嗅探模塊；所述云端模塊包括云端代理、通信傳輸模塊、入侵檢測引擎；所述數據包嗅探模塊采集網絡數據并交付給客戶端代理，所述客戶端代理將數據封裝并根據通信傳輸模塊實現和云端代理通信，所述通信傳輸模塊將采用云端代理與客戶端自定義的通信協議。所述云端代理接收來自客戶端模塊發送的流量數據，并將流量數據送入所述入侵檢測引擎檢測，再將入侵檢測的結果返回給客戶端代理，通過所述SDN控制器實現快速響應和主動防御；所述入侵檢測引擎采用基于Snort的特征檢測技術和基于機器學習的異常檢測技術。

2.根據權利要求1所述的一種基于軟件定義安全架構的入侵檢測系統，其特征在于，所述云端模塊還包括專家規則庫、機器學習庫以及日志數據庫，所述入侵檢測引擎是通過專家規則庫區分已知攻擊和未知攻擊。基于Snort的特征檢測技術用于已知攻擊的實時檢測；未知攻擊被送入機器學習庫中訓練學習，構建新規則實時補充專家規則庫，并將數據包和檢測結果記錄到日志數據庫中。

3.根據權利要求1所述的一種基于軟件定義安全架構的入侵檢測系統，其特征在于，所述異常檢測技術利用增量式學習方法，根據順序到達的數據流量，進行實時檢測的增量式訓練，保存到分類器模型，后續到達的新流量樣本可通過已有模型自動識別分類，區分是否為惡意流量。

4.根據權利要求3所述的基于機器學習的異常檢測技術，其特征在于，所述增量式學習方法包括離線部分和在線部分，主要步驟分別為離線訓練模型，離線驗證模型，在線增量學習，所述離線部分使用云端日志數據庫歷史數據，所述在線部分是基于實時新數據樣本。