[發明專利]一種網絡入侵檢測的方法和系統

在審

• 申請號: 202310595584.0
• 申請日: 2023-05-25
• 公開（公告）號: CN116319114A
• 公開（公告）日: 2023-06-23
• 發明（設計）人: 招嘉煥;黃章良
• 申請（專利權）人: 廣州魯邦通物聯網科技股份有限公司
• 主分類號: H04L9/40
• 分類號: H04L9/40;G06F18/2431;G06F18/23;G06N20/00;G16Y40/50
• 代理公司: 廣州市科豐知識產權代理事務所(普通合伙) 44467
• 代理人: 羅嘯秋

1.一種邊緣網關通過機器學習算法進行網絡入侵檢測的方法，其特征在于，包括如下步驟：

步驟1：在邊緣網關上部署模型，所述模型采用隨機森林算法對多個數據包的特征進行訓練得到；所述特征通過抓取邊緣網收到的數據包并采用argus?client程序對數據包的特征進行提取得到；

步驟2：邊緣網關對收到的數據包采用argus?client程序進行特征提取并采用模型對提取得到的特征采用二分類推理的方式進行推理，得到針對該數據包的推理結果。

2.根據權利要求1所述的邊緣網關通過機器學習算法進行網絡入侵檢測的方法，其特征在于，所述推理結果為：正常數據包或異常數據包；

如果推理結果是異常數據包，則邊緣網關禁止該異常數據包所對應的IP地址的其他任何數據包的傳輸。

3.根據權利要求2所述的邊緣網關通過機器學習算法進行網絡入侵檢測的方法，其特征在于，還包括步驟3：將異常數據包發送到云平臺，通過云平臺對異常數據包采用多分類算法進行分析，得到異常數據包所代表的攻擊類型，并根據攻擊類型生成防護策略反饋給邊緣網關，所述邊緣網關根據防護策略進行對應的操作。

4.根據權利要求1所述的邊緣網關通過機器學習算法進行網絡入侵檢測的方法，其特征在于，所述步驟1中的特征為：tcprtt、dur、smeansz、dmeansz、synack、dttl、sttl、dbytes、sbytes、dwin、swin、dload、sload、dloss、sloss、dpkts、spkts中的一種或多種。

5.根據權利要求1所述的邊緣網關通過機器學習算法進行網絡入侵檢測的方法，其特征在于，所述數據包的抓取方式為通過TcpDump程序或argus?server程序抓取原始報文。

6.根據權利要求1所述的邊緣網關通過機器學習算法進行網絡入侵檢測的方法，其特征在于，所述邊緣網關使用Docker環境進行部署，所述模型由云平臺進行訓練并將訓練后的模型更新到Docker容器中，包含模型的Docker容器定期發送給各邊緣網關。

7.一種網絡入侵檢索系統，其特征在于，包括云平臺、若干邊緣網關；

所述邊緣網關包括如下模塊：

數據包抓取模塊：用于抓取邊緣網關收到的數據包；

特征提取模塊：用于采用argus?client程序對數據包抓取模塊提供的數據包進行特征提取，得到特征；

推理模塊：用于采用模型對特征提取模塊提供的特征進行推理，得到推理結果，所述推理結果包括正常數據包和異常數據包；所述推理模塊用于采用二分類推理的方式進行推理；

通信模塊：用于將異常數據包對應的推理結果、與推理結果對應的異常數據包發送給云平臺，并接收來自于云平臺的數據；

執行模塊：用于根據推理結果執行針對該數據包對應的IP地址的數據包的操作。

8.根據權利要求7所述的網絡入侵檢索系統，其特征在于，所述云平臺用于根據接收到的異常數據包采用多分類算法進行分析，得到異常數據包所代表的攻擊類型，并根據攻擊類型生成防護策略反饋給通信模塊，所述邊緣網關根據防護策略進行對應的操作。

9.根據權利要求7所述的網絡入侵檢索系統，其特征在于，所述邊緣網關使用Docker環境進行部署，所述模型由云平臺進行訓練并將訓練后的模型更新到Docker容器中，包含模型的Docker容器定期發送給各邊緣網關。

10.根據權利要求7所述的網絡入侵檢索系統，其特征在于，所述數據包的抓取方式為通過TcpDump程序或argus?server程序抓取原始報文；

所述特征為：tcprtt、dur、smeansz、dmeansz、synack、dttl、sttl、dbytes、sbytes、dwin、swin、dload、sload、dloss、sloss、dpkts、spkts中的一種或多種。