[發明專利]一種入侵檢測方法及系統

在審

• 申請號: 202211253052.0
• 申請日: 2022-10-13
• 公開（公告）號: CN115632848A
• 公開（公告）日: 2023-01-20
• 發明（設計）人: 單純;劉臻;胡昌振;周彥哲;彭哲恒
• 申請（專利權）人: 北京理工大學
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06N3/0455;G06N3/0464;G06N3/08
• 代理公司: 北京正陽理工知識產權代理事務所(普通合伙) 11639
• 代理人: 周蜜

1.一種入侵檢測方法，其特征在于，包括：

分組采集網絡流量數據，獲取網絡流量數據特征；

分別計算獲得每個所述網絡流量數據特征的分布特征曲線；

根據所述每個網絡流量數據特征的分布特征曲線，擬合獲得行為分布特征曲線；

根據所述行為分布特征曲線，檢測判斷對應的攻擊行為的類型。

2.如權利要求1所述的方法，其特征在于，所述分組采集網絡流量數據，包括：

以源IP和目的IP作為標識信息采集所述網絡流量數據，并設置每組所述網絡流量數據的采集下限M和采集上限N，其中，若當前行為的數據量低于所述采集下限M，則認為當前行為是無效行為，若當前行為的數據量高于所述采集上限N，則刪除第一條采集數據，加入新的采集數據，維持數據量等于所述采集上限N，其中，M和N均為整數。

3.如權利要求2所述的方法，其特征在于，所述網絡流量數據特征包括：行為的持續時間、前后兩個方向的包數、前后兩個方向的字節數以及前后兩個方向的響應時間。

4.如權利要求1所述的方法，其特征在于，分別計算獲得每個網絡流量數據特征的分布特征曲線，包括：

計算每個所述網絡流量數據特征的比例分布信息，獲得每個所述網絡流量數據特征的頻域信息，將所述頻域信息帶入傅里葉級數實值公式獲得每個所述網絡流量數據特征的分布特征曲線，其中，所述分布特征曲線用公式表示為：

F_d(t)＝∑x_nsin(p_n*2*π*t)

其中，x_n是網絡流量數據特征的取值，p_n為x_n的比例概率，t為數量參數。

5.如權利要求1所述的方法，其特征在于，根據所述每個網絡流量數據特征的分布特征曲線，擬合獲得行為分布特征曲線，包括：

將所述每個網絡流量數據特征的分布特征曲線的分布特征值輸入至卷積自編碼器，所述卷積自編碼器擬合獲得行為分布特征曲線。

6.如權利要求1所述的方法，其特征在于，所述根據所述行為分布特征曲線，檢測判斷對應的攻擊行為的類型，包括：

利用所述行為分布特征曲線的行為分布特征值進行機器學習訓練，獲得行為檢測神經網絡模型，利用所述行為檢測神經網絡模型檢測判斷對應的攻擊行為的類型。

7.一種入侵檢測系統，其特征在于，包括：

數據采集模塊，用于分組采集網絡流量數據，獲取網絡流量數據特征；

分布特征計算模塊，用于分別計算獲得每個網絡流量數據特征的分布特征曲線；

分布特征擬合模塊，用于根據所述每個網絡流量數據特征的分布特征曲線，擬合獲得行為分布特征曲線；

訓練檢測模塊，用于根據所述行為分布特征曲線，檢測判斷對應的攻擊行為的類型。

8.如權利要求7所述的系統，其特征在于，在所述數據采集模塊中，以源IP和目的IP作為標識信息采集所述網絡流量數據，并設置每組所述網絡流量數據的采集下限M和采集上限N，其中，若當前行為的數據量低于所述采集下限M，則認為當前行為是無效行為，若當前行為的數據量高于所述采集上限N，則刪除第一條采集數據，加入新的采集數據，維持數據量等于所述采集上限N，其中，M和N均為整數。

9.如權利要求7所述的系統，其特征在于，在所述分布特征計算模塊中，計算每個所述網絡流量數據特征的比例分布信息，獲得每個所述網絡流量數據特征的頻域信息，將所述頻域信息帶入傅里葉級數實值公式獲得每個所述網絡流量數據特征的分布特征曲線，其中，所述分布特征曲線用公式表示為：

F_d(t)＝∑x_nsin(p_n*2*π*t)

其中，x_n是網絡流量數據特征的取值，p_n為x_n的比例概率，t為數量參數。

10.如權利要求7所述的系統，其特征在于，在所述分布特征擬合模塊中，將所述每個網絡流量數據特征的分布特征曲線的分布特征值輸入至卷積自編碼器，所述卷積自編碼器擬合獲得行為分布特征曲線。