[发明专利]入侵检测方法和装置

权利要求书

1.一种入侵检测方法，其特征在于，包括：

加载特征库，所述特征库中包含多个入侵行为特征；

获取待分析数据流；

根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

2.根据权利要求1所述的入侵检测方法，其特征在于，所述获取待分析数据流具体为：

获取当前实时传输的数据流作为待分析数据流。

3.根据权利要求1所述的入侵检测方法，其特征在于，该方法还包括：

存储历史数据流。

4.根据权利要求3所述的入侵检测方法，其特征在于，所述获取待分析数据流具体为：

根据任务参数，确定需提取的历史数据流范围，所述任务参数至少包括下列参数的一项或多项：

源地址、目的地址、源端口、目的端口、协议类型、开始时间、结束时间；

提取符合所述历史数据流范围的历史数据流作为待分析数据流。

5.根据权利要求3所述的入侵检测方法，其特征在于，该方法还包括：

更新所述特征库。

6.根据权利要求1所述的入侵检测方法，其特征在于，所述根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为的步骤之后，还包括：

在检测到入侵行为时，产生报警事件，发出报警。

7.一种入侵检测装置，其特征在于，包括：

加载模块，用于加载特征库，所述特征库中包含多个入侵行为特征；

数据流提取模块，用于获取待分析数据流；

入侵检测模块，用于根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

8.根据权利要求7所述的入侵检测装置，其特征在于，该装置还包括：

流存储模块，用于存储历史数据流。

9.根据权利要求8所述的入侵检测装置，其特征在于，所述数据流提取模块包括：

实时提取单元，用于获取当前实时传输的数据流作为待分析数据流；

历史提取单元，用于根据任务参数，确定需提取的历史数据流范围，从所述流存储模块提取符合所述历史数据流范围的历史数据流作为待分析数据流。

10.根据权利要求6所述的入侵检测装置，其特征在于，该装置还包括：

特征库管理模块，用于更新所述特征库。