[发明专利]恶意行为实时检测方法及装置

说明书

本发明提供了一种恶意行为实时检测方法及装置，应用于SDN网络系统中，涉及云计算技术领域。所述恶意行为实时检测方法包括：基于包含云平台上的可能攻击方案的恶意行为攻击模型，建立云计算环境下的恶意行为攻击特征库；基于所述恶意行为攻击特征库，实时检测网络中的当前数据流中是否有恶意行为；在为是时，表征当前存在网络攻击，对所述当前数据流进行拦截。本发明针对目前的恶意行为检测模型无法有效应对大规模网络流量带来的处理效率瓶颈以及网路拓扑复杂带来的流量控制困难的问题，利用灵活的SDN架构结合大数据的处理框架，设计基于SDN的恶意行为实时检测模型来解决目前研究存在的由于处理瓶颈和网络流量控制问题导致的检测效率低的问题。

技术领域

本发明涉及云计算技术领域，具体而言，涉及一种恶意行为实时检测方法及装置。

背景技术

随着各种网络技术的发展成熟，基于互联网的云计算全新服务模式得到了空前的发展，在最具权威的IT研究顾问咨询公司Gartner发布的“IT行业十大战略技术”报告中，“云计算”连续几年被评为前沿技术，同时也是2017年技术报告中人工智能等新技术的重要基础。

在云计算模式下，超强的计算能力、极其低廉的成本等优势吸引大量数据朝着云平台中聚集，一方面带来了应用便利，另一方面也大大提高了云平台被攻击的风险。因此，如何有效检测云平台下恶意行为并进行有效防护，进而确保云平台下机密数据的安全，是目前云计算安全领域亟待解决的关键问题。

国内外针对云平台安全展开了大量的理论研究，研究包含适应于云环境的入侵检测模型、分布式入侵检测系统(Distributed intrusion detection systems，DIDS)、基于虚拟化的监控技术、基于数据挖掘的未知攻击检测算法等几个方面。以Snort为代表的入侵检测(Intrusion Detection System，IDS)模型通过对抓取到的数据包进行分析、按配置的规则进行检测并做出响应从而保证云平台的安全。为了提升对云平台攻击的实时检测效率，国内外研究人员开始着力研究分布式入侵检测系统，分布式入侵检测系统是一种通过将检测点分布在不同的位置，在核心层融合多IDS节点的警报信息进行分析的入侵检测系统。基于虚拟化的监控技术为云环境下的恶意行为分析提供必要的支撑，根据监控系统的部署位置，基于虚拟化的监控系统分为两类：一类是系统内部监控，另一类是系统外部监控。内部监控是指监控系统驻留在目标虚拟机内部，通过虚拟机监控器的高级特权保护监控系统的完整性，典型的内部监控系统有SIM和Lares。基于虚拟化的外部监控是将监控系统部署于被监控虚拟机外部，通过虚拟机监控器的高控制权来完成对虚拟机内部内核数据结构的监控，典型监控系统有VMDriver。利用数据挖掘技术实现对未知攻击的检测是云平台安全的重要保障，常见的应用于入侵检测的数据挖掘算法有关联规则、序列分析等。

以Snort为代表的传统入侵检测系统虽然在一定程度上保证了云平台的安全，但这种模式存在网络规则配置不灵活等一系列的问题，此外由于云平台规模的急剧扩展使得网络拓扑结构复杂化、网络流量迅猛增长，而在传统的入侵检测系统中过滤设备和路由设备完全分离，从而很难实现统一快速的防护。云平台下网络流量的迅猛增长对现有的入侵检测系统带来了巨大的挑战，因此，亟需构建能够有效应对大规模网络流量的入侵检测系统。

发明内容

本发明的目的在于提供一种恶意行为实时检测方法及装置，其能够有效改善上述问题。

本发明的实施例是这样实现的：

第一方面，本发明实施例提供了一种恶意行为实时检测方法，应用于SDN网络系统中，所述方法包括：基于包含云平台上的可能攻击方案的恶意行为攻击模型，建立云计算环境下的恶意行为攻击特征库；基于所述恶意行为攻击特征库，实时检测网络中的当前数据流中是否有恶意行为；在为是时，表征当前存在网络攻击，对所述当前数据流进行拦截。