[发明专利]用于入侵检测的数据检测方法和装置

权利要求书

1.一种用于入侵检测的数据检测方法，其特征在于，包括：

获取待检测数据，所述待检测数据为被检测的数据；

将所述待检测数据与正常模型进行比较，得到比较结果，其中，所述正常模型为预先建立的正常行为对应的数据模型；以及

根据所述比较结果确定所述待检测数据是否为异常数据；

其中，在将所述待检测数据与正常模型进行比较之前，所述数据检测方法还包括：确定所述正常模型的数据维度，其中，所述数据维度包括以下至少之一：来源信息、执行命令、目录、参数、执行时间；以及基于所述数据维度建立所述正常模型。

2.根据权利要求1所述的数据检测方法，其特征在于，根据所述比较结果确定所述待检测数据是否为异常数据包括：

由所述比较结果计算所述待检测数据与所述正常模型的相似度；

判断所述相似度是否超出异常阈值；

如果判断出所述相似度超出所述异常阈值，则确定所述待检测数据为异常数据；以及

如果判断出所述相似度未超出所述异常阈值，则确定所述待检测数据不是异常数据。

3.根据权利要求2所述的数据检测方法，其特征在于，在确定所述待检测数据不是异常数据之后，所述数据检测方法还包括：

利用所述待检测数据对所述正常模型进行修正，得到第一正常模型，

其中，当再次获取到所述待检测数据时，将所述待检测数据与所述第一正常模型进行比较。

4.根据权利要求2所述的数据检测方法，其特征在于，在确定所述待检测数据为异常数据之后，所述数据检测方法还包括：

判断所述待检测数据是否为入侵行为的数据；

如果判断出所述待检测数据不是入侵行为的数据，则利用所述待检测数据对所述正常模型进行修正，得到第二正常模型，

其中，当再次获取到所述待检测数据时，将所述待检测数据与所述第二正常模型进行比较。

5.根据权利要求1所述的数据检测方法，其特征在于，在获取待检测数据之后，所述数据检测方法还包括：

对所述待检测数据进行解析，得到所述检测数据对应的来源信息；

查找与所述来源信息相匹配的正常模型，

其中，将所述待检测数据与正常模型进行比较包括：将与所述来源信息相匹配的正常模型与所述待检测数据进行比较，得到所述比较结果。

6.一种用于入侵检测的数据检测装置，其特征在于，包括：

获取单元，用于获取待检测数据，所述待检测数据为被检测的数据；

比较单元，用于将所述待检测数据与正常模型进行比较，得到比较结果，其中，所述正常模型为预先建立的正常行为对应的数据模型；以及

第一确定单元，用于根据所述比较结果确定所述待检测数据是否为异常数据；

其中，所述数据检测装置还包括：第二确定单元，用于在将所述待检测数据与正常模型进行比较之前，确定所述正常模型的数据维度，其中，所述数据维度包括以下至少之一：来源信息、执行命令、目录、参数、执行时间；以及建立单元，用于基于所述数据维度建立所述正常模型。

7.根据权利要求6所述的数据检测装置，其特征在于，所述第一确定单元包括：

计算模块，用于由所述比较结果计算所述待检测数据与所述正常模型的相似度；

判断模块，用于判断所述相似度是否超出异常阈值；

第一确定模块，用于当判断出所述相似度超出所述异常阈值时，确定所述待检测数据为异常数据；以及

第二确定模块，用于当判断出所述相似度未超出所述异常阈值时，确定所述待检测数据不是异常数据。

8.根据权利要求7所述的数据检测装置，其特征在于，所述数据检测装置还包括：

第一修正单元，用于在确定所述待检测数据不是异常数据之后，利用所述待检测数据对所述正常模型进行修正，得到第一正常模型，

其中，所述比较单元还用于当再次获取到所述待检测数据时，将所述待检测数据与所述第一正常模型进行比较。