[发明专利]用于入侵检测的数据检测方法和装置

说明书

本发明公开了一种用于入侵检测的数据检测方法和装置。其中，数据检测方法包括：获取待检测数据，所述待检测数据为被检测的数据；将所述待检测数据与正常模型进行比较，得到比较结果，其中，所述正常模型为预先建立的正常行为对应的数据模型；以及根据所述比较结果确定所述待检测数据是否为异常数据。通过本发明，解决了无法准确检测异常数据的问题，达到了提高异常数据检测的准确性的效果。

技术领域

本发明涉及入侵检测领域，具体而言，涉及一种用于入侵检测的数据检测方法和装置。

背景技术

随着互联网的发展，互联网被广泛的应用到各个领域，这样互联网的安全隐患也就逐渐显露出来，例如web类业务，尤其是web框架、公共网关接口(Common GatewayInterface，简称为CGI)的漏洞引起的命令执行、命令注入攻击，给web类业务带来极大的安全隐患。

目前，对于入侵行为的检测通常是基于规则匹配(黑名单)的方式，该方式会收集一些可疑的、黑客渗透的常用命令加入黑名单中，将待检测数据与黑名单进行匹配，确定其是否为入侵行为。然而，对于待检测数据中的一些异常数据，通过黑名单难以有效识别该异常数据是否为入侵行为的数据。例如，通过收集的一些可疑的、黑客渗透的常用命令，web管理员也会在对web运营维护的时候使用这些命令。这样黑名单的检测方式就会在对入侵行为的漏报与误报之间难以平衡。黑名单增多，覆盖管理员操作，会导致误报；黑名单减少，缺乏某些危险命令，会导致漏报。

另外、由于命令执行、注入的方式各种各样，通过编码、混淆等方式很容易绕过基于黑名单的检测方式。由于无法准确检测出通过编码、混淆等方式产生的异常数据，因此无法对这些异常数据作进一步的入侵检测，导致无法准确检测出入侵行为。

针对现有技术中无法准确检测异常数据的问题，目前尚未提出有效的解决方案。

发明内容

本发明实施例提供了一种用于入侵检测的数据检测方法和装置，以解决现有技术中无法准确检测异常数据的问题。

根据本发明实施例的一个方面，提供了一种用于入侵检测的数据检测方法，包括：获取待检测数据，所述待检测数据为被检测的数据；将所述待检测数据与正常模型进行比较，得到比较结果，其中，所述正常模型为预先建立的正常行为对应的数据模型；以及根据所述比较结果确定所述待检测数据是否为异常数据。

根据本发明实施例的另一方面，还提供了一种用于入侵检测的数据检测装置，包括：获取单元，用于获取待检测数据，所述待检测数据为被检测的数据；比较单元，用于将所述待检测数据与正常模型进行比较，得到比较结果，其中，所述正常模型为预先建立的正常行为对应的数据模型；以及第一确定单元，用于根据所述比较结果确定所述待检测数据是否为异常数据。

在本发明实施例中，通过获取待检测数据，将待检测数据与正常模型进行比较，根据比较结果确定待检测数据是否为异常数据，通过采用正常模型来匹配待检测数据，由于计算机或者服务器的正常业务运维、访问命令，通常具有固定性和规律性，也即有固定的数据模型，准确地检测出异常数据，用于进行入侵检测，找出入侵行为，解决了无法准确检测异常数据的问题，达到了提高异常数据检测的准确性的效果。

附图说明

此处所说明的附图用来提供对本发明的进一步理解，构成本申请的一部分，本发明的示意性实施例及其说明用于解释本发明，并不构成对本发明的不当限定。在附图中：

图1是根据本发明实施例的一种计算机的结构框图；

图2是根据本发明实施例的数据检测方法的流程图；

图3是根据本发明实施例一种可选的数据检测方法的流程图；

图4是根据本发明实施例另一种可选的数据检测方法的流程图；

图5是根据本发明实施例的数据检测装置的示意图；