[发明专利]一种融合威胁情报的网络流量入侵检测方法及系统

权利要求书

1.一种融合威胁情报的网络流量入侵检测方法，其特征在于，该方法包括以下步骤：

S1、通过预设方法不断扩展、更新威胁情报库；

S2、根据开源威胁情报的来源，采用预先设计的聚类方法，形成聚类表，并依据聚类表的编写算法实现网络威胁情报的分类；

S3、使用预先配置的布隆过滤器对分类后的威胁情报进行过滤，并用结构化查询语言查询命中的数据；

所述预设方法包括爬取开源威胁情报数据、挖掘生产数据及交换情报数据；

所述爬取开源威胁情报数据还包括以下步骤：

通过预先配置的浏览器爬虫和开源TI的软件开发工具包获取面向开源及私有软件项目的托管平台更新的黑名单，并从互联网中爬取到威胁情报数据；

所述挖掘生产数据还包括以下步骤：

对内生数据进行人工研判，并整理成入侵事件；

将近期的安全资讯整理成攻击链加入数据库中；

所述根据开源威胁情报的来源，采用预先设计的聚类方法，形成聚类表，并依据聚类表的编写算法实现网络威胁情报的分类还包括以下步骤：

S21、读取检测文件；

S22、解析文件；

S23、分析关联威胁情报库；

S24、分析结构数据入库；

所述根据开源威胁情报的来源，采用预先设计的聚类方法，形成聚类表，并依据聚类表的编写算法实现网络威胁情报的分类之前还包括以下步骤：

对获取的威胁情报原始数据进行清洗操作。

2.根据权利要求1所述的一种融合威胁情报的网络流量入侵检测方法，其特征在于，所述清洗操作还包括以下步骤：

洗去乱码数据以及翻译外语数据；

根据收集到的DNS服务器以及知名网站资产组成的白名单进行过滤。

3.一种融合威胁情报的网络流量入侵检测系统，以实现权利要求1-2中任一项融合威胁情报的网络流量入侵检测方法的步骤，其特征在于，该系统包括：

威胁情报采集模块，用于通过预设方法不断扩展、更新威胁情报库；

数据分类入库模块，用于根据开源威胁情报的来源，采用预先设计的聚类方法，形成聚类表，并依据聚类表的编写算法实现网络威胁情报的分类；

数据碰撞模块，用于使用预先配置的布隆过滤器对分类后的威胁情报进行过滤，并用结构化查询语言查询命中的数据。