[发明专利]一种IPS误报的检测方法和装置

权利要求书

1.一种IPS误报的检测方法，其特征在于，包括：

在接收到预设周期内的各个数据包之后，获取所述各个数据包对应的命中特征，并确定匹配所述命中特征的数据包为非法数据包，所述命中特征为IPS特征库中被所述非法数据包命中的攻击特征；

获取历史周期的历史IPS日志，所述历史IPS日志包括：历史命中特征和历史命中次数，所述历史命中次数为所述历史命中特征在所述历史周期内被记载于IPS日志上的次数；

根据所述历史IPS日志，确定历史网络受攻击的变化情况；

若在与所述预设周期相邻两个历史周期内，所述历史命中特征的历史命中次数增大，则增大预设特征命中阈值，所述预设特征命中阈值为在所述预设周期内任一所述命中特征允许被命中的最大次数；

如果任一所述命中特征在所述预设周期内被命中的次数大于或等于所述预设特征命中阈值，确定IPS误报；

将目标数据包以及与所述目标数据包相匹配的目标特征传输至存储装置，所述目标数据包为引起IPS误报的非法数据包。

2.根据权利要求1所述的方法，其特征在于，在将所述目标数据包，以及与所述目标数据包相匹配的目标特征传输至存储装置之后，还包括：

提取所述目标数据包中的会话信息，所述会话信息包括五元组；

如果所述会话信息与所述目标特征对应的业务进程相符，确定所述目标数据包为待处理数据包，并确定与所述目标数据包相匹配的目标特征为待处理特征；

将所述存储装置中的所述待处理数据包，及与所述待处理数据包相匹配的待处理特征传输至目标服务器。

3.根据权利要求2所述的方法，其特征在于，在确定所述目标数据包为待处理数据包，并确定与所述目标数据包相匹配的目标特征为待处理特征之后，还包括：

根据所述待处理数据包中的会话信息和所述待处理特征对应的业务进程，修改所述IPS特征库中的所述待处理特征，或修改所述IPS对所述待处理特征执行的操作。

4.一种IPS误报的检测装置，其特征在于，包括：

第一确定模块，用于在接收到预设周期内的各个数据包之后，获取所述各个数据包对应的命中特征，并确定匹配所述命中特征的数据包为非法数据包，所述命中特征为IPS特征库中被所述非法数据包命中的攻击特征；

获取单元，用于获取历史周期的历史IPS日志，所述历史IPS日志包括：历史命中特征和历史命中次数，所述历史命中次数为所述历史命中特征在所述历史周期内被命中的次数；

第一确定单元，用于根据所述历史IPS日志，确定历史网络受攻击的变化情况；

调整单元，用于若在相邻两个历史周期内，所述历史命中特征的历史命中次数增大，则增大预设特征命中阈值，所述预设特征命中阈值为在所述预设周期内任一所述命中特征允许被命中的最大次数；

第二确定模块，用于如果任一所述命中特征在所述预设周期内被命中的次数大于或等于所述预设特征命中阈值，确定IPS误报；

传输模块，用于将目标数据包，以及与所述目标数据包相匹配的目标特征传输至存储装置，所述目标数据包为引起IPS误报的非法数据包。

5.根据权利要求4所述的装置，其特征在于，所述装置还包括第三确定模块，所述第三确定模块包括：

提取单元，用于提取所述目标数据包中的会话信息，所述会话信息包括五元组；

第二确定单元，用于如果所述会话信息与所述目标特征对应的业务进程相符，确定所述目标数据包为待处理数据包，并确定与所述目标数据包相匹配的目标特征为待处理特征；

传输单元，用于将所述存储装置中的所述待处理数据包，及与所述待处理数据包相匹配的待处理特征传输至目标服务器。

6.根据权利要求5所述的装置，其特征在于，所述装置还包括修改模块，所述修改模块用于：根据所述待处理数据包中的会话信息和所述待处理特征对应的业务进程，修改所述IPS特征库中的所述待处理特征，或修改所述IPS对所述待处理特征执行的操作。