[發明專利]一種基于相關性的層次型分布式入侵檢測系統

有效

• 申請號: 202110994634.3
• 申請日: 2021-08-27
• 公開（公告）號: CN113965339B
• 公開（公告）日: 2022-10-04
• 發明（設計）人: 盛郁;白夢瑩;趙文宇;于潼
• 申請（專利權）人: 天津七所精密機電技術有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;H04L67/1001;H04L41/14
• 代理公司: 天津盛理知識產權代理有限公司 12209
• 代理人: 王利文

1.一種基于相關性的層次型分布式入侵檢測系統，其特征在于：包括多個入侵檢測系統，每個入侵檢測系統均由檢測代理子系統、分布式協作子系統及IDXP通信協議模塊組成，檢測代理子系統與分布式協作子系統之間以及各個入侵檢測系統之間均通過IDXP通信協議模塊進行入侵檢測信息的交互；所述分布式協作子系統內置有基于相關性的分布式協作模型；

所述檢測代理子系統包括傳感器模塊和分析者模塊；

傳感器模塊：用于在多種網絡環境下，收集網卡上的網絡數據包，為分析者模塊提供數據來源；

分析者模塊：用于分析傳感器模塊發送過來的網絡數據包，生成檢測信息，并將檢測信息發送給分布式協作子系統；

所述傳感器模塊還響應負載均衡模塊的請求，幫助其他比較繁忙的入侵檢測系統檢測網絡數據包，或轉發一部分網絡數據包給其他較空閑的入侵檢測系統進行協同檢測；

所述分布式協作子系統包括分布式協作模塊、負載均衡模塊及數據融合模塊；

分布式協作模塊：用于根據實際場景初始化模型的各個參數，計算相關性矩陣，然后構建一個基于相關性的分布式協作模型，同時處理成員的變更和信息的同步機制；

負載均衡模塊：用于獲取、更新當前系統的負載情況，并且實現根據當前檢測代理和整個系統負載信息，實施負載均衡；

數據融合模塊：用于對各個檢測代理子系統的檢測結果進行二次檢測、分析，并生成最終的檢測結果；

所述分布式協作模塊采用如下兩種方式進行信息交互：一個是內圈中完全分布式的信息交互，另一個是內圈間中心節點間的信息交互；

所述基于相關性的分布式協作模型的構建方法為：計算相關性矩陣、以每個代理為中心構建內圈、計算內圈間的相關性、按照內圈間相關性構建模型；

所述內圈用于表示系統中一些檢測代理的集合，集合中任意兩個代理間的相關性都高于閾值。

2.根據權利要求1所述的一種基于相關性的層次型分布式入侵檢測系統，其特征在于：所述分布式協作模塊采用觀察者模式消息同步機制進行協作處理：當內圈中成員發生變化的時候，中心節點會首先通知當前內圈中的所有代理、相鄰內圈的中心節點，依此循環往復，直到系統中所有檢測代理子系統都得到通知。

3.根據權利要求1所述的一種基于相關性的層次型分布式入侵檢測系統，其特征在于：負載均衡模塊采用動態性能分配模式,通過獲取當前時刻每個節點的性能數據,來進行負載均衡。

4.根據權利要求1所述的一種基于相關性的層次型分布式入侵檢測系統，其特征在于：所述數據融合模塊采用基于規則的數據融合模型實現。

5.根據權利要求1至4任一項所述的一種基于相關性的層次型分布式入侵檢測系統，其特征在于：所述IDXP通信協議模塊用于實現IDXP通信協議，包括IDXP消息的發送和接收以及消息內容的解析、封裝。