[發明專利]一種網絡安全流量入侵檢測方法和系統

有效

• 申請號: 202110357614.5
• 申請日: 2021-04-01
• 公開（公告）號: CN112953971B
• 公開（公告）日: 2023-05-16
• 發明（設計）人: 陳盼音
• 申請（專利權）人: 長揚科技（北京）股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L41/0631
• 代理公司: 廈門福貝知識產權代理事務所(普通合伙) 35235
• 代理人: 陳遠洋

1.一種網絡安全流量入侵檢測方法，其特征在于，包括以下步驟：

S1：根據網絡中的正常運行流程，抓取并統計網絡中的目標安全流量的特征編碼，根據統計得到的所述目標安全流量的特征編碼對所述目標安全流量進行儲存得到基礎安全網絡流量行程記錄；

S2：將所述基礎安全網絡流量行程記錄作為原始備份記錄，依據預先設置的Snort規則對接收到的目標流量進行入侵檢測，判斷所述目標流量是否為異常流量，并針對所述異常流量觸發識別報警；所述Snort規則具體包括：對所述目標流量的原始數據包按照規則頭進行規則動作、協議、源信息和目的信息過程檢驗；

S3：依據預先設置的Snort規則判斷所述異常流量是否為誤識別流量，具體包括：判斷所述規則頭所檢測的目標流量內容，并與所述基礎安全網絡流量行程記錄比較源信息并進行目的信息過程檢驗，按照預先設定的用于判斷安全網絡流量的閾值，判斷所述異常流量是否為誤識別流量，若是，則消除所述識別報警并執行S4，若否，執行S5；

S4：建立白名單識別庫，管理員后臺判斷所述目標流量是否屬于安全網絡流量，若是，則將所述目標流量加入所述白名單識別庫中，若否，則執行S5；

S5：將所述異常流量置入自適應入侵響應和入侵防御中，并提取所述異常流量的特征編碼，根據所述特征編碼建立黑名單識別庫,具體包括：

對所有異常流量進行聚類分析分類為若干個聚類條目，將每個聚類條目的特征編碼與所述黑名單識別庫內所保存的特征編碼進行對比；

若對比到相同的特征編碼，將對應的異常流量直接反饋給自適應入侵響應和入侵防御；

若未對比到相同的特征編碼，則判定對應的異常流量為新型入侵流量，根據該異常流量的數據包進行特征提取，將提取到的特征編碼保存至所述黑名單識別庫內，并同步響應自適應入侵響應和入侵防御；

對屬于相同聚類條目的異常流量生成相似的入侵警報，并按照特征編碼將屬于相同聚類條目的異常流量折疊為同一種類型的流量數據。

2.根據權利要求1所述的方法，其特征在于，所述特征編碼包括：時間、流量吞吐量和數據包加密策略。

3.根據權利要求1所述的方法，其特征在于，所述根據統計得到的所述目標安全流量的特征編碼對所述目標安全流量進行儲存得到基礎安全網絡流量行程記錄，具體包括：

針對所述目標安全流量的特征編碼建立時間序列預測模型，按照時間序列對所述目標安全流量進行排列，并儲存為基礎安全網絡流量行程記錄；

將所述基礎安全網絡流量行程記錄和所述時間序列預測模型構建為離線的流量統計數據庫。

4.根據權利要求1所述的方法，其特征在于，所述白名單識別庫的建立按照管理員后臺的接入進行直接設置，且所述白名單識別庫中的流量數據按照時間順序排列。

5.根據權利要求1所述的方法，其特征在于，所述S2具體包括：

根據所述原始備份記錄，按照時間序列建立Snort?IDS模塊；

監聽網絡數據包，對網絡進行分析；

用相應的插件來檢查所述目標流量的原始數據包，判斷所述原始數據包中的包括端口掃描和IP碎片在內的行為；

依據預先設置的Snort規則檢查所述原始數據包，當所述原始數據包中的內容與所述Snort規則中的任意一條相匹配，判斷所述原始數據包為異常流量，并觸發識別報警，將所述識別報警傳送給日志文件。

6.根據權利要求1所述的方法，其特征在于，所述S4具體包括：

設定時間范圍，并根據所述時間范圍進行讀秒，同時提醒管理員處理所述目標流量；

管理員在所述時間范圍內對所述目標流量進行實時在線處理，當管理員將所述目標流量處理為安全網絡流量時，提取所述目標流量的特征編碼，記錄于所述白名單識別庫內；

若后續接收到的目標流量的特征編碼在所述白名單識別庫中已存在，則不再提醒管理員對該目標流量進行處理；

若讀秒完畢后無管理員對所述目標流量進行處理，執行S5。

7.一種計算機可讀存儲介質，其上存儲有計算機程序，其特征在于，該計算機程序被計算機處理器執行時實施權利要求1至6中任一項所述的方法。

8.一種網絡安全流量入侵檢測系統，其特征在于，包括：

基礎安全網絡流量統計模塊：配置用于根據網絡中的正常運行流程，抓取并統計網絡中的目標安全流量的特征編碼，根據統計得到的所述目標安全流量的特征編碼對所述目標安全流量進行儲存得到基礎安全網絡流量行程記錄；

異常流量識別模塊：配置用于將所述基礎安全網絡流量行程記錄作為原始備份記錄，依據預先設置的Snort規則對接收到的目標流量進行入侵檢測，判斷所述目標流量是否為異常流量，并針對所述異常流量觸發識別報警；所述Snort規則具體包括：對所述目標流量的原始數據包按照規則頭進行規則動作、協議、源信息和目的信息過程檢驗；

誤識別檢測模塊：配置用于依據預先設置的Snort規則判斷所述異常流量是否為誤識別流量，具體包括：判斷所述規則頭所檢測的目標流量內容，并與所述基礎安全網絡流量行程記錄比較源信息并進行目的信息過程檢驗，按照預先設定的用于判斷安全網絡流量的閾值，判斷所述異常流量是否為誤識別流量，若是，則消除所述識別報警并執行白名單識別檢測模塊，若否，執行未知入侵流量識別模塊；

白名單識別檢測模塊：配置用于建立白名單識別庫，管理員后臺判斷所述目標流量是否屬于安全網絡流量，若是，則將所述目標流量加入所述白名單識別庫中，若否，則執行未知入侵流量識別模塊；

未知入侵流量識別模塊：配置用于將所述異常流量置入自適應入侵響應和入侵防御中，并提取所述異常流量的特征編碼，根據所述特征編碼建立黑名單識別庫，具體包括：

對所有異常流量進行聚類分析分類為若干個聚類條目，將每個聚類條目的特征編碼與所述黑名單識別庫內所保存的特征編碼進行對比；

若對比到相同的特征編碼，將對應的異常流量直接反饋給自適應入侵響應和入侵防御；

若未對比到相同的特征編碼，則判定對應的異常流量為新型入侵流量，根據該異常流量的數據包進行特征提取，將提取到的特征編碼保存至所述黑名單識別庫內，并同步響應自適應入侵響應和入侵防御；

對屬于相同聚類條目的異常流量生成相似的入侵警報，并按照特征編碼將屬于相同聚類條目的異常流量折疊為同一種類型的流量數據。