[發明專利]一種用于實時入侵檢測系統的過濾方法

有效

• 申請號: 202011304350.9
• 申請日: 2020-11-19
• 公開（公告）號: CN112532598B
• 公開（公告）日: 2021-10-26
• 發明（設計）人: 鄭嘉琦;戴海鵬;陳貴海;謝榕彪;李猛
• 申請（專利權）人: 南京大學
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 南京鐘山專利代理有限公司 32252
• 代理人: 陳月菊

1.一種用于實時入侵檢測系統的過濾方法，其特征在于，所述過濾方法包括以下步驟：

S1，白名單與黑名單構建：收集檢測系統對應的允許進入系統和禁止進入系統的用戶名單，分別定義成白名單用戶和黑名單用戶；

S2，風險損失評估：評估黑名單用戶未被攔截時可能對系統造成的危害程度；

S3，過濾器構建和部署：

S31，為白名單用戶分配用于插入布隆過濾器的初始散列函數集；

S32，結合黑名單用戶和其所對應的危害程度，自適應調整白名單用戶的散列函數集，使得危害程度高的黑名單用戶具有更高的被攔截概率；

S33，將調整過的散列函數集存入預設的散列表達器中，所述散列表達器是一個由多個元組構成的哈希表，每個元組包括標識和散列索引，都被初始化為0；

S34，將白名單用戶利用它的散列函數集插入到布隆過濾器中，結合散列表達器得到哈希自適應布隆過濾器，再將哈希自適應布隆過濾器部署到檢測系統；

步驟S31中，所述為白名單用戶分配用于插入布隆過濾器的初始散列函數集的過程包括以下步驟：

構建布隆過濾器，所述布隆過濾器為一個一維哈希表，由m個比特位組成，每個比特位由0或者1組成；

對每個插入的白名單用戶，通過使用k個散列函數得到k個位，將這k個位設置為1，完成對布隆過濾器的初始化；

步驟S32中，所述結合黑名單用戶和其所對應的危害程度，自適應調整白名單用戶的散列函數集，使得危害程度高的黑名單用戶具有更高的被攔截概率的過程包括以下步驟：

S321，使用初始化的布隆過濾器構建黑名單用戶中被誤認為是白名單用戶的碰撞隊列，并按照評估得到的危害程度進行降序排列；

S322，定義散列分布為存儲映射在布隆過濾器每個比特位上的用戶的索引結構，由多個桶組成，每個桶對應于相同位置的比特位，用于存儲散列到該比特位的用戶標識符；初始化兩個散列分布，一個是白名單用戶的散列分布，一個是未碰撞的黑名單用戶散列分布；

S323，對于黑名單碰撞隊列的每個用戶e_ck，使用初始的散列函數集合映射到白名單散列分布，取其中一個桶中的白名單用戶e_s，e_s映射到該桶的散列函數為h_i；將用戶e_s根據候選散列函數集合映射到未碰撞的黑名單散列分布中，對于每個桶，進行碰撞檢測，即使用映射到該桶的候選散列函數替換h_i是否會造成未碰撞的黑名單用戶發生碰撞，造成攔截失敗；如果有一個桶不發生碰撞，即h_i被替換成功；

S324，將e_s調整后的散列函數集存儲到預先定義的散列表達器中；當插入e_s和它的散列函數集時，e_s首先使用一個統一的入口散列函數映射到第一個元組，任選一個散列函數插入，并使用插入的散列函數跳轉至下一個元組繼續插入，之后再跳轉，當e_s的散列函數集合都被插入后，將最后一個元組標識置為1，標志著e_s插入成功；

S325，當碰撞隊列中用戶被優化成功后，將其插入未碰撞黑名單散列分布，并根據調整過的白名單用戶的散列函數集合更新白名單用戶散列分布和布隆過濾器；

S326，將優化后的布隆過濾器和散列表達器保存后進行部署。

2.根據權利要求1所述的用于實時入侵檢測系統的過濾方法，其特征在于，步驟S1中，所述黑名單用戶由管理員設定和/或通過日志記錄收集得到。

3.根據權利要求1所述的用于實時入侵檢測系統的過濾方法，其特征在于，步驟S2中，所述評估黑名單用戶未被攔截時可能對系統造成的危害程度是指：

結合黑名單用戶和系統運行狀態進行綜合評估，得到每個黑名單用戶的危害程度。