[發(fā)明專利]一種多路IDS集成檢測(cè)方法和裝置

有效

• 申請(qǐng)?zhí)枺?/td>: 202210116110.9
• 申請(qǐng)日: 2022-02-07
• 公開（公告）號(hào): CN114157514B
• 公開（公告）日: 2022-05-06
• 發(fā)明（設(shè)計(jì)）人: 曲武;胡文友
• 申請(qǐng)（專利權(quán)）人: 北京金睛云華科技有限公司;金睛云華（沈陽(yáng)）科技有限公司
• 主分類號(hào): H04L9/40
• 分類號(hào): H04L9/40;H04L41/0631;H04L41/142;H04L41/16
• 代理公司: 北京華專卓海知識(shí)產(chǎn)權(quán)代理事務(wù)所(普通合伙) 11664
• 代理人: 李巨智

1.一種多路IDS集成檢測(cè)方法，其特征在于，包括：

獲取并存儲(chǔ)實(shí)時(shí)和離線的可疑流量PCAP包；

對(duì)所述可疑流量PCAP包進(jìn)行流量會(huì)話回放，并利用多路IDS設(shè)備對(duì)流量會(huì)話進(jìn)行威脅檢測(cè)，生成告警數(shù)據(jù)；

對(duì)所述告警數(shù)據(jù)進(jìn)行TP/TN根因分析及FP/FN根因分析，得到潛在的誤報(bào)或漏報(bào)事件集合作為訓(xùn)練數(shù)據(jù)集，并將所述訓(xùn)練數(shù)據(jù)集進(jìn)行IDS多維度評(píng)估，得到IDS集合的可信度評(píng)估向量；

利用多目標(biāo)查詢反篩的MOQN算法，從IDS設(shè)備廠家集合中篩選出IDS弱勢(shì)集合，刪除所述IDS弱勢(shì)集合，得到候選IDS集合；利用多目標(biāo)查詢正篩的MOPN算法，從所述候選IDS集合中篩選出IDS權(quán)威集合；

對(duì)所述候選IDS集合和IDS權(quán)威集合進(jìn)行權(quán)重分配和權(quán)重投票，生成多路IDS設(shè)備集成模型；

對(duì)實(shí)時(shí)流量進(jìn)行多路IDS檢測(cè)，得到多路IDS檢測(cè)結(jié)果，再通過(guò)所述多路IDS設(shè)備集成模型對(duì)多路IDS檢測(cè)結(jié)果進(jìn)行多路IDS集成檢測(cè)，輸出威脅事件。

2.根據(jù)權(quán)利要求1所述的方法，其特征在于，所述利用多目標(biāo)查詢反篩的MOQN算法，從IDS設(shè)備廠家集合中篩選出IDS弱勢(shì)集合，包括：

根據(jù)IDS集合的可信度評(píng)估向量，對(duì)不同廠家的IDS設(shè)備進(jìn)行評(píng)估，生成第一IDS正向評(píng)估數(shù)據(jù)集，再生成IDS負(fù)向評(píng)估數(shù)據(jù)集；

對(duì)所述IDS負(fù)向評(píng)估數(shù)據(jù)集中的IDS負(fù)向評(píng)估元組建立負(fù)向臨時(shí)表，設(shè)置第一消息隊(duì)列，用于存儲(chǔ)相互之間不存在不同廠商IDS之間的控制關(guān)系的IDS負(fù)向評(píng)估元組；

從所述負(fù)向臨時(shí)表中讀取IDS負(fù)向評(píng)估元組，若所述第一消息隊(duì)列為空，則將讀取到的IDS負(fù)向評(píng)估元組插入所述第一消息隊(duì)列中；若所述第一消息隊(duì)列不為空，則將讀取到的IDS負(fù)向評(píng)估元組遍歷所述第一消息隊(duì)列中已有的IDS負(fù)向評(píng)估元組進(jìn)行控制關(guān)系比較，根據(jù)比較結(jié)果進(jìn)行出入隊(duì)；

遍歷所述負(fù)向臨時(shí)表中的全部IDS負(fù)向評(píng)估元組后，將當(dāng)前第一消息隊(duì)列中的IDS負(fù)向評(píng)估元組作為IDS弱勢(shì)集合。

3.根據(jù)權(quán)利要求2所述的方法，其特征在于，所述將讀取到的IDS負(fù)向評(píng)估元組遍歷所述第一消息隊(duì)列中已有的IDS負(fù)向評(píng)估元組進(jìn)行控制關(guān)系比較，根據(jù)比較結(jié)果進(jìn)行出入隊(duì)，包括：

若所述第一消息隊(duì)列中存在IDS負(fù)向評(píng)估元組對(duì)讀取到的IDS負(fù)向評(píng)估元組存在控制弱勢(shì)，則將讀取到的IDS負(fù)向評(píng)估元組刪除；

若讀取到的IDS負(fù)向評(píng)估元組對(duì)所述第一消息隊(duì)列中的IDS負(fù)向評(píng)估元組存在控制弱勢(shì)，則從所述第一消息隊(duì)列中刪除被讀取到的IDS負(fù)向評(píng)估元組控制的IDS負(fù)向評(píng)估元組，將讀取到的IDS負(fù)向評(píng)估元組插入所述第一消息隊(duì)列中；

若所述第一消息隊(duì)列中的IDS負(fù)向評(píng)估元組與讀取到的IDS負(fù)向評(píng)估元組之間不存在控制弱勢(shì)，判斷所述第一消息隊(duì)列是否已滿，若所述第一消息隊(duì)列已滿，則將讀取到的IDS負(fù)向評(píng)估元組寫入另一負(fù)向臨時(shí)表中；若所述第一消息隊(duì)列未滿，則將所述讀取到的IDS負(fù)向評(píng)估元組插入所述第一消息隊(duì)列中；

其中，所述控制弱勢(shì)定義為：

給定的一個(gè)多維空間的多個(gè)IDS負(fù)向評(píng)估元組集合，若存在兩個(gè)IDS負(fù)向評(píng)估元組，分別表示兩個(gè)不同廠商的IDS負(fù)向評(píng)估指標(biāo)值；若第一IDS負(fù)向評(píng)估元組的各個(gè)負(fù)向評(píng)估指標(biāo)值不小于第二IDS負(fù)向評(píng)估元組的負(fù)向評(píng)估指標(biāo)值，且至少存在一個(gè)負(fù)向評(píng)估指標(biāo)值大于第二IDS評(píng)估元組的對(duì)應(yīng)負(fù)向評(píng)估指標(biāo)值，則所述第一IDS負(fù)向評(píng)估元組對(duì)所述第二IDS負(fù)向評(píng)估元組具有控制弱勢(shì)。