[发明专利]一种基于场景的混合入侵检测方法及系统

权利要求书

1. 一种基于场景的混合入侵检测方法，其特征在于，包括以下步骤：

S1，入侵检测系统根据访问控制策略及相关应用场景信息，提取采集的审计数据的特征；

S2，根据审计数据的特征，应用组合的预报方法预报可疑入侵事件； 

S3，结合可疑入侵事件和告警关联信息，确定入侵事件；

S4，如果有入侵事件发生，入侵检测系统生成报警信息，并发送给安全管理平台进行可视化显示。

2. 根据权利要求1所述的一种基于场景的混合入侵检测方法，其特征在于，所述相关应用场景信息是对系统当前状态和功能的所有信息的描述；所述相关应用场景信息包括：

预定义场景，用于描述赋予访问请求的操作所要满足的条件；

请求结果场景，用于激活访问请求的是接受或拒绝的行为；

中间场景，用于定义访问请求的操作在执行过程中必须满足的条件；

事后场景，用于定义访问请求的操作执行后所要满足的条件，并激活事后要执行的动作。

3. 根据权利要求1所述的一种基于场景的混合入侵检测方法，其特征在于：所述访问控制策略是对受保护目标的访问请求的管理，该策略执行过程分为4个连续阶段，每一个阶段仅定义策略库中特定的子集，每一个阶段都有一个标示结果的状态标志（即授权状态），该标志包括授权（T:True）、未授权（F:False）和不确定（U:Uncertain）。

4. 根据权利要求2或3所述的一种基于场景的混合入侵检测方法，其特征在于，所述策略执行过程包括：

访问控制阶段，开始于一个三元组的访问请求命令，即访问目标、访问请求的操作和场景信息，执行系统通过系统调用来获得与目标相联系的安全策略，如果没有发现相应的安全策略，则授权状态被设置为F，访问请求被拒绝；

授权核对阶段，通过函数调用评估预定义场景和请求结果场景，得到相应的授权状态；如果没有发现预定义场景或中间场景，则授权状态设为T；

执行控制阶段，包括访问请求操作的执行过程及执行控制过程状态的判定，产生的结果存储在执行状态变量中；

事后响应阶段，执行状态被传递给事后响应函数，评估事后场景信息，评估结果存储在相应的状态变量中，如果未发现事后场景信息，其状态变量直接被设置为T。

5. 根据权利要求1所述的一种基于场景的混合入侵检测方法，其特征在于：审计数据即入侵检测系统的输入数据，其格式由入侵检测系统所处网络中的位置决定，包括RTU控制器、DCS/SCADA软件、历史数据库、应用日志和IP数据包输出数据。

6. 根据权利要求1所述的一种基于场景的混合入侵检测方法，其特征在于：如果步骤S3不能完全确定可疑入侵事件为入侵事件，就将可疑入侵事件作为辅助度量请求，来激活动态可信度量模块，验证是否有入侵事件发生。

7. 根据权利要求1所述的一种基于场景的混合入侵检测方法，其特征在于：安全管理平台接收到报警信息后，确定报警级别，识别安全设备水平，对攻击源进行跟踪，将报警和审计记录保存到日志文件中，并根据安全事件结果对安全数据库、安全规则/策略进行更新。

8. 实现权利要求 1～7所述方法的一种基于场景的混合入侵检测系统，其特征在于，包括入侵检测系统和安全管理平台；入侵检测系统包括：

数据采集模块，用于访问请求操作开始时，采集审计数据；

入侵检测模块，用于分析采集的审计数据，检测其是否是入侵事件；

通讯接口，用于入侵检测模块与数据采集模块进行双向通讯；

报警响应模块，用于入侵事件发生时，入侵检测系统生成报警信息，并发送给安全管理平台进行可视化显示；

和安全管理模块，用于对预报方法进行组合调度，将访问控制策略、预报方法、告警关联信息发送给入侵检测模块，并将响应策略发送给报警响应模块，接收报警相应模块发送的安全更新信息；

安全管理平台包括安全数据库、通讯接口、数据调度及分析引擎和人机界面。