[发明专利]一种网络攻击的识别方法

说明书

本发明公开一种网络攻击的识别方法，通过抓取足够数量的数据包进行分析，提取出该种攻击的攻击特征，并基于多模式匹配算法，建立不同种攻击特征的有限状态机作为过滤器，将待识别数据包输入所述过滤器，当再次收到攻击时，能够过滤出带有攻击特征的数据包，从而起到防御作用。相对于现有的特征匹配技术，本发明的基于多模式匹配算法的攻击识别方法，有利于提高入侵检测的效率和准确性。

技术领域

本发明属于网络安全技术领域，尤其是涉及一种利用多模式匹配算法实现攻击特征识别的方法。

背景技术

入侵检测，即收集计算机网络或系统中的若干关键点信息并分析，以发现是否存在可疑行为或遭受攻击的迹象。现实中，攻击行为常常混夹于正常的网络数据包之中，因此若要实现入侵行为的检测，必须对流经网络的数据包进行识别并加以判断，包括对数据包负载的分析，辨别数据包是否具有攻击特征，并根据辨别结果对数据包进行相应的处理。

传统的攻击特征匹配采用的如基于最长公共子串、基于固定长度的负载出现频率等，前者是在可疑数据流中查找最长的公共子字符串并将其作为攻击特征，仅提取单个最长的特征片段，并不足以准确描述攻击；后者将可疑数据流划分为固定长度的分片，然后计算分片在所有可疑数据流中出现的频繁度，最后将频繁度高的分片输出为攻击特征，存在的问题是难以选取固定长度的大小，计算开销和存储开销大、没有考虑攻击变形情况。

因此，如何通过优化攻击特征识别，以提高攻击检测的效率和准确性，成为入侵检测技术面临的难题。

发明内容

基于上述背景，本发明旨在提出一种网络攻击的识别方法，克服了现有技术下多特征匹配造成的资源消耗较大而识别准确性较低的问题，具体的技术方案如下所述。

一种网络攻击的识别方法，包括：

采集大于第一预设数量的已知攻击数据包；

分析计算，将各数据包负载中符合规定条件的公共子序列确定为攻击特征；

根据所述攻击特征，利用多模式匹配算法建立有限状态自动机；

提取待识别数据包的负载，输入所述有限状态自动机进行特征匹配，若匹配成功，则将数据包确定为攻击包，并执行预设的处理动作。

所述数据包负载的公共子序列，包括通过遍历前缀树的算法提取出的、出现频率大于预设阈值且长度大于规定值的字符串。

进一步的，将各数据包负载的最长公共子序列确定为当前威胁的攻击特征；若采集的各数据包负载具有2个以上最长公共子序列，将所述最长公共子序列作为特征集，建立对应的有限状态自动机；当待识别数据包输入状态机后匹配成功的特征数达到预设数量时，将当前数据包确定为攻击包。

当所述采集到的网络攻击数据包达到第二预设数量时，停止采集；所述第二预设数量大于第一预设数量；当所述采集到的网络攻击数据包未达到第二预设数量时，判断当前采集时长，若达到预设时长则停止采集。

所述攻击特征作为模式串，利用AC算法建立所述有限状态自动机。

较佳的，所述的待识别数据包进行特征匹配，具体包括：将待识别数据包的负载内容作为主串，输入所述有限状态自动机，使自动机进行状态转换，当到达规定的状态时，说明发生模式匹配，将当前数据包确定为攻击包，并输出匹配成功的攻击特征内容。

较佳的，所述确定攻击特征，具体包括：

S1，设定数据包采集的最大时长、最少数量和最多数量，提取字符串的最小出现频率与最小长度；

S2，当发现攻击时，开始采集数据包，若采集到的数据包数量≧所述最少数量，进行S4；若采集到的数据包≧所述最多数量，停止采集；

S3，若采集到的数据包数量＜所述最少数量、同时采集时长≧所述最大时长时，停止采集并进行S4；

S4，根据预设的最小出现频率与最小长度，从所述采集到的数据包中提取字符串，以及确定其中的最长公共子序列为当前攻击的特征。