[發明專利]一種網絡入侵檢測方法、裝置、系統及存儲介質

在審

• 申請號: 201911334747.X
• 申請日: 2019-12-23
• 公開（公告）號: CN111049849A
• 公開（公告）日: 2020-04-21
• 發明（設計）人: 戚建淮;汪喬;鄭偉范;劉建輝;胡金華;宋晶;彭華
• 申請（專利權）人: 深圳市永達電子信息股份有限公司
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 廣州嘉權專利商標事務所有限公司 44205
• 代理人: 洪銘福

本發明公開了一種網絡入侵檢測方法、裝置、系統及存儲介質，其中方法包括：初始化分布式計算系統，檢測節點向管控節點上報節點信息；將特征規則庫分配到對應的檢測組的檢測節點，利用流復制技術將同一份業務數據鏡像流量復制到不同分布式的檢測組；根據流復制技術復制到檢測組的流量大小以控制業務數據分流到單個檢測節點或同一特征規則庫的檢測組的檢測節點；檢測節點接收到待檢測報文，根據特征規則庫進行匹配檢測并輸出檢測結果至管控節點果。通過一種采用分布式、并行計算架構，利用分布式及sdn交換機流復制將網絡數據流分流到多個檢測節點的技術手段，克服現有技術中大流量數據時檢測效率低的技術問題，實現了系統檢測效率的提升的效果。

技術領域

本發明涉及網絡安全的技術領域，尤其是一種網絡入侵檢測方法、裝置、系統及存儲介質。

背景技術

SDN交換機：一種基于軟件定義網絡思想實現的數據轉發設備。

信息系統安全問題是一個十分復雜的問題，即信息系統有多復雜，信息系統安全問題就有多復雜。同樣，信息安全是一種難以量化的概念，我們可以拿信息系統的“性能”與“安全”作一個比對。針對網絡吞吐量、系統運算速度、數據庫存儲、查詢指標等這類性能問題，用戶可以根據自己實際業務需要，預算等條件考慮取舍。系統性能的提高，用戶雖然無法觸摸或者感知到，但卻是可以實實在在看到。因而，提高信息安全系統產品的性能是至關重要的。

現有技術多為單節點、高配置設備，利用單臺設備的高硬件資源配置，啟用多個檢測引擎進程，即利用多進程的方式去提高單節點的處理能力；或者采用將管理節點與檢測、響應節點分離的分布式ids。管理節點為頂級管理，與檢測節點和響應節點通訊，且在整個分布式系統中存在多個檢測節點和響應節點。現有方案的檢測系統在10M網上檢查所有數據包中幾十或上百種攻擊特征還可以很好的工作，實際上現在很多網絡已經達到50M、100M甚至1000M的網絡，網絡流量速度的發展遠遠超過檢測引擎對數據包模式分析技術的發展。當流量達到50M及以上，現有技術方案入侵檢測效率就會大大降低，同時會促使檢測引擎產生漏報的問題，顯然不能滿足安全檢測的需求。

發明內容

本發明旨在至少在一定程度上解決相關技術中的技術問題之一。為此，本發明的一個目的是提供一種網絡入侵檢測方法，能夠實現在大網絡流量下安全檢測。

為此，本發明的第二個目的是提供一種網絡分段檢測裝置。

為此，本發明的第三個目的是提供一種網絡分段檢測系統，能夠實時快速網絡傳輸。

為此，本發明的第四個目的是提供一種存儲介質，運行存儲介質中存儲的計算機程序能夠使用。

本發明所采用的技術方案是：

第一方面，本發明提供一種網絡入侵檢測方法，包括：

初始化分布式計算系統，檢測節點向管控節點上報節點信息；

將特征規則庫分配到對應的檢測組的所述檢測節點，利用流復制技術將同一份業務數據鏡像流量復制到不同分布式的所述檢測組；

根據所述流復制技術復制到所述檢測組的流量大小以控制所述業務數據分流到單個檢測節點或同一所述特征規則庫的所述檢測組的所述檢測節點；

所述檢測節點接收到待檢測報文，根據所述特征規則庫進行匹配檢測并輸出檢測結果至所述管控節點。

進一步地，還包括：一種網絡入侵檢測方法還包括：所述管控節點根據所述檢測結果進行告警或者主動反應措施。

進一步地，所述流復制技術包括：SDN交換機流復制技術、分流負載技術。

進一步地，根據所述流復制技術復制到所述檢測組的流量大小以控制所述業務數據分流到單個檢測節點或同一所述特征規則庫的所述檢測組的所述檢測節點具體包括：