[發明專利]一種網絡入侵檢測方法、裝置、系統及存儲介質

在審

• 申請號: 201911334747.X
• 申請日: 2019-12-23
• 公開（公告）號: CN111049849A
• 公開（公告）日: 2020-04-21
• 發明（設計）人: 戚建淮;汪喬;鄭偉范;劉建輝;胡金華;宋晶;彭華
• 申請（專利權）人: 深圳市永達電子信息股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州嘉權專利商標事務所有限公司 44205
• 代理人: 洪銘福

1.一種網絡入侵檢測方法，其特征在于，包括：

初始化分布式計算系統，檢測節點向管控節點上報節點信息；

將特征規則庫分配到對應的檢測組的所述檢測節點，利用流復制技術將同一份業務數據鏡像流量復制到不同分布式的所述檢測組；

根據所述流復制技術復制到所述檢測組的流量大小以控制所述業務數據分流到單個檢測節點或同一所述特征規則庫的所述檢測組的所述檢測節點；

所述檢測節點接收到待檢測報文，根據所述特征規則庫進行匹配檢測并輸出檢測結果至所述管控節點。

2.根據權利要求1所述的一種網絡入侵檢測方法，其特征在于，還包括：

所述管控節點根據所述檢測結果進行告警或者主動反應措施。

3.根據權利要求1所述的網絡入侵檢測方法，其特征在于，所述流復制技術包括：SDN交換機流復制技術、分流負載技術。

4.根據權利要求1所述的網絡入侵檢測方法，其特征在于，根據所述流復制技術復制到所述檢測組的流量大小以控制所述業務數據分流到單個檢測節點或同一所述特征規則庫的所述檢測組的所述檢測節點具體包括：

若所述流復制技術復制到所述檢測組的流量超過單個所述檢測節點的處理能力，根據所述流復制技術將所述業務數據按IP端口或會話進行負載分流到相同所述特征規則庫的所述檢測組；

若所述流復制技術復制到所述檢測組的流量位于單個所述檢測節點的處理能力內，根據所述流復制技術將所述業務數據分流至單個所述檢測節點。

5.根據權利要求1所述的網絡入侵檢測方法，其特征在于，所述檢測節點的檢測過程具體包括：

檢測節點在接收到所述業務數據后，將所述業務數據緩存在收包緩存隊列中；

檢測引擎從所述收包緩存中讀取所述業務數據，所述檢測引擎解析所述業務數據后與所述特征規則庫內的數據匹配；

若數據匹配成功，則結束所述業務數據的檢測并輸出檢測結果至所述管控節點。

6.根據權利要求1所述網絡入侵檢測方法，其特征在于，還包括：所述管控節點根據當前所述業務數據的流量自主增加和刪減所述檢測組內的檢測節點。

7.一種網絡入侵檢測裝置，其特征在于，包括：

初始化模塊，用于初始化分布式計算系統；

分配模塊，用于將特征規則庫分配到對應的檢測組；

復制模塊，用于根據sdn交換機流復制技術將同一份業務數據鏡像流量復制到不同分布式的檢測組；

計算模塊，用于計算所述sdn交換機流復制技術鏡像流量復制的所述業務數據的流量大小；

分流模塊，根據流量大小將所述業務數據分流到單個檢測節點或所述檢測組

檢測模塊，用于根據所述特征規則庫檢測所述業務數據并輸出檢測結果至管控節點。

8.根據權利要求7所述的一種網絡入侵檢測裝置，其特征在于，所述檢測模塊包括：

接收子模塊，用于接收所述業務數據；

緩存子模塊，用于將所述業務數據存儲在緩存隊列中；

讀取子模塊，用于采用檢測從緩存隊列中讀取待檢測的所述業務數據；

解析子模塊，用于將所述業務數據進行解析；

檢測子模塊，用于根據所述特征規則庫檢測解析后的所述業務數據是否匹配；

結果輸出子模塊，用于根據匹配結果輸出對應的檢測結果。

9.一種網絡入侵檢測系統，其特征在于，包括存儲裝置和處理器，所述存儲裝置上存儲有所述處理器運行的計算機程序，所述計算機程序在被所述處理器運行時執行如權利要求1-6中任一項所述的網絡入侵檢測方法。

10.一種存儲介質，其特征在于，所述存儲介質上存儲有計算機程序，所述計算機程序在運行時執行如權利要求1-6中任一項所述的網絡入侵檢測方法。