[发明专利]入侵检测方法和装置

说明书

技术领域

本发明涉及信息管理领域，尤其涉及一种攻击检测方法和装置。

背景技术

为了缓解日益严重的信息安全问题，越来越多的企业和机构部署了入侵检测装置(Intrusion Detection Systems，IDS)，进行恶意攻击行为的检测和处置。

IDS从实现原理上可分为两类：异常检测型和误用检测型。异常检测型IDS会首先建立所监控网络的正常轮廓模型，如网络流量、TCP/IP连接等，然后根据所检测时刻的实测值与正常模型的偏差判断是否存在入侵行为。这种方法能够检测已知和未知的入侵行为，但具有较高的漏报率和误报率。误用检测型IDS会首先提取入侵行为的特征，如某个木马程序在连接远程控制端所发出的数据包会具有怎样的特征，然后根据所检测时刻实时获取的数据包进行特征匹配，从而检测数据流中是否存在入侵行为。这种方法具有较高的准确率，但无法检测未知的入侵行为。目前商业化的IDS产品大都采用的是误用检测方式。

当前的误用检测型IDS存在以下不足：

1、无法检测未知类型的攻击行为；

2、无法追溯漏报的攻击行为。

发明内容

本发明提供了一种入侵检测方法和装置，解决了误用检测型IDS无法检测未知类型的攻击行为和无法追溯漏报攻击行为的问题。

一种入侵检测方法，包括：

加载特征库，所述特征库中包含多个入侵行为特征；

获取待分析数据流；

根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

优选的，所述获取待分析数据流具体为：

获取当前实时传输的数据流作为待分析数据流。

优选的，上述入侵检测方法还包括：

存储历史数据流。

优选的，所述获取待分析数据流具体为：

根据任务参数，确定需提取的历史数据流范围，所述任务参数至少包括下列参数的一项或多项：

源地址、目的地址、源端口、目的端口、协议类型、开始时间、结束时间；

提取符合所述历史数据流范围的历史数据流作为待分析数据流。

优选的，上述入侵检测方法还包括：

更新所述特征库。

优选的，所述根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为的步骤之后，还包括：

在检测到入侵行为时，产生报警事件，发出报警。

本发明还提供了一种入侵检测装置，包括：

加载模块，用于加载特征库，所述特征库中包含多个入侵行为特征；

数据流提取模块，用于获取待分析数据流；

入侵检测模块，用于根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为。

优选的，上述入侵检测装置还包括：

流存储模块，用于存储历史数据流。

优选的，所述数据流提取模块包括：

实时提取单元，用于获取当前实时传输的数据流作为待分析数据流；

历史提取单元，用于根据任务参数，确定需提取的历史数据流范围，从所述流存储模块提取符合所述历史数据流范围的历史数据流作为待分析数据流。

优选的，上述入侵检测装置还包括：

特征库管理模块，用于更新所述特征库。

本发明提供了一种入侵检测方法和装置，首先加载特征库，所述特征库中包含多个入侵行为特征，然后获取待分析数据流，最后根据所述特征库分析所述待分析数据流，从所述待分析数据流中匹配符合所述特征库中入侵行为特征的入侵行为，根据特征库完成对数据流的检测，不限制数据流的时效性，即可对当前的数据流进行实时检测，也可以对历史数据流进行追溯，解决了误用检测型IDS无法检测未知类型的攻击行为和无法追溯漏报攻击行为的问题。

附图说明

图1为本发明的实施例一提供的一种结合流存储的入侵检测系统的结构示意图；

图2为本发明的实施例二提供的一种入侵检测方法的流程图；

图3为本发明的实施例三提供的一种入侵检测方法的流程图；

图4为本发明的实施例四提供的一种入侵检测装置的结构示意图；

图5为图4中数据流提取模块402的内部结构示意图。

具体实施方式

当前的误用检测型IDS存在以下不足：