[發明專利]結合數據流量檢測及時序特征提取的入侵檢測方法及設備

在審

• 申請號: 202011332519.1
• 申請日: 2020-04-11
• 公開（公告）號: CN112491866A
• 公開（公告）日: 2021-03-12
• 發明（設計）人: 吳媛媛
• 申請（專利權）人: 吳媛媛
• 主分類號: H04L29/06
• 分類號: H04L29/06
• 代理公司: 暫無信息
• 代理人: 暫無信息

1.一種結合數據流量檢測及時序特征提取的入侵檢測方法，其特征在于，應用于部署于業務服務器前端且與多個業務終端通信的入侵檢測設備，所述方法包括：

在當前時段內檢測到存在業務終端向業務服務器上傳的數據流信息時，攔截所述數據流信息；其中，每個業務終端在當前時段內的任意時段向所述業務服務器上傳數據流信息；

其中：

所述入侵檢測設備的內存資源包括三部分，第一部分內存資源用于接收和發送數據流信息，第二部分內存資源用于開啟并行的多個檢測線程，檢測線程用于對數據流信息進行入侵檢測的分析，第三部分內存資源用于控制對沒有通過入侵檢測的數據流信息進行攔截的攔截機制；

提取每組數據流信息在當前時段內的第一時序特征并從所述業務服務器中獲取每組數據流信息對應的業務終端在上一時段內的歷史數據流信息的第二時序特征；獲取在當前時段內每組數據流信息的數據流量值；

根據每組數據流信息的第一時序特征和第二時序特征對每組數據流信息對應的數據流量值進行入侵檢測，判斷每組數據流信息是否存在入侵行為。

2.根據權利要求1所述的入侵檢測方法，其特征在于，所述方法還包括：

在判斷出所述數據流信息存在入侵行為時，采用預設的攔截機制對所述數據流信息進行攔截。

3.根據權利要求1所述的入侵檢測方法，其特征在于，所述方法還包括：

在判斷出所述數據流信息不存在入侵行為時，將所述數據流信息傳輸至所述業務服務器并使所述業務服務器對所述數據流信息進行特征提取和關聯存儲。

4.根據權利要求2或3所述的入侵檢測方法，其特征在于，在對當前時段內的業務終端向業務服務器上傳的數據流信息進行檢測之前，所述方法包括：

向每個業務終端發送校驗字符；

獲取每個業務終端基于所述校驗字符返回的驗證結果；其中，所述業務終端采用CRC校驗算法對對所述校驗字符進行教研得到所述驗證結果；

將驗證結果與預設結果相一致的業務終端確定為存在有效通信的目標業務終端；

根據所述目標業務終端的數量確定當前時段的時長值。

5.根據權利要求4所述的入侵檢測方法，其特征在于，所述提取每組數據流信息在當前時段內的第一時序特征，包括：

獲取每組數據流信息在當前時段內的每個數據報文幀的報文頭信息，基于所述報文頭信息建立報文統計列表；其中，所述報文統計列表為分段列表，每段列表對應一個報文頭類別，每個報文頭類別下分配有至少一個數據報文幀的報文頭信息，該報文統計列表的各段具有由小到大的報文優先級排序；

讀取每組數據流信息在當前時段內的每個數據報文幀的第一時間參數，從所述報文統計列表中確定出每個第一時間參數對應的報文頭信息對應的報文頭類別以及報文優先級；其中，所述第一時間參數用于表征所述入侵檢測設備接收到每個數據報文幀的時刻；

根據所述第一時間參數對應的報文頭類別以及報文優先級建立所述第一時間參數與所述報文統計列表之間的轉換關系，根據該轉換關系生成特征提取邏輯；

將所述每個第一時間參數對應的數據報文幀的報文頭信息與所述報文統計列表中的除該第一時間參數對應的數據報文幀的報文頭信息之外的其他數據報文幀的報文頭信息進行逐一對比，得到用于表征報文頭信息的連續性的目標系數；按照目標系數的大小順序采用所述特征提取邏輯從每組數據流信息的數據報文幀中提取第一數據特征，并將所述第一數據特征與所述數據報文幀對應的第一時間參數進行整合得到每組數據流信息對應的第一時序特征。