[发明专利]入侵检测方法、装置、电子设备及存储介质

权利要求书

1.一种入侵检测方法，其特征在于，应用于第一电子设备，所述方法包括：

通过调用设定插件，确定第一信息集；

将确定出的第一信息集上报第二电子设备；其中，

所述设定插件用于通过调用内核所提供的接口，确定用于第二电子设备进行入侵检测的信息。

2.根据权利要求1所述的方法，其特征在于，所述通过调用设定插件，确定第一信息集，包括：

通过调用所述设定插件，确定至少一个第一信息，并根据所述至少一个第一信息确定所述第一信息集；所述第一信息表征通过调用内核所提供的接口确定出的事件信息。

3.根据权利要求2所述的方法，其特征在于，所述根据所述至少一个第一信息确定所述第一信息集，包括以下至少之一：

在第一信息用于描述进程事件的情况下，在文件系统确定第二信息，并将所述第一信息和确定出的第二信息写入所述第一信息集；确定出的第二信息表征所述第一信息描述的进程事件对应的进程信息；

在第一信息用于描述网络链接事件的情况下，根据所述第一信息确定对应的第二信息，并将所述第一信息和确定出的第二信息写入所述第一信息集；确定出的第二信息表征所述第一信息描述的网络链接事件对应的流量信息；

在第一信息用于描述文件变动事件的情况下，将所述第一信息写入所述第一信息集。

4.根据权利要求1至3任一项所述的方法，其特征在于，所述将确定出的第一信息集上报第二电子设备，包括：

基于至少一种设定方式处理确定出的第一信息集；

将处理后的第一信息集上报所述第二电子设备；其中，

所述设定方式包括归并、过滤和/或压缩第一信息集中的信息。

5.一种入侵检测方法，其特征在于，应用于第二电子设备，所述方法包括：

对第一信息集进行特征提取，得到第一特征集；所述第一信息集中的信息通过调用内核所提供的接口确定；

将所述第一特征集与入侵规则库进行匹配，得到匹配结果；

在所述匹配结果表征所述第一特征集在所述入侵规则库中匹配有设定特征的情况下，输出告警信息。

6.根据权利要求5所述的方法，其特征在于，所述将所述第一特征集与入侵规则库进行匹配，包括：

基于所述入侵规则库中存储的至少一个攻击链中每个攻击链上的每个节点的特征，对所述第一特征集进行匹配，得到所述匹配结果；

在所述匹配结果表征至少存在一个所述攻击链上的至少两个节点的特征与所述第一特征集中的特征相匹配的情况下，输出告警信息。

7.根据权利要求5或6所述的方法，其特征在于，在所述对第一信息集进行特征提取之前，所述方法还包括：

接收至少两个第一电子设备中的每个第一电子设备上报的第一信息集。

8.一种入侵检测装置，其特征在于，包括：

第一处理单元，用于通过调用设定插件，确定第一信息集；

上报单元，用于将确定出的第一信息集上报第二电子设备；其中，

所述设定插件用于通过调用内核所提供的接口，确定用于第二电子设备进行入侵检测的信息。

9.一种入侵检测装置，其特征在于，包括：

第二处理单元，用于对第一信息集进行特征提取，得到第一特征集；所述第一信息集中的信息通过调用内核所提供的接口确定；

匹配单元，用于将所述第一特征集与入侵规则库进行匹配，得到匹配结果；

告警单元，用于在所述匹配结果表征所述第一特征集在所述入侵规则库中匹配有设定特征的情况下，输出告警信息。

10.一种电子设备，其特征在于，包括：处理器和用于存储能够在处理器上运行的计算机程序的存储器，

其中，所述处理器用于运行所述计算机程序时，执行权利要求1至4任一项所述的入侵检测方法的步骤，和/或执行权利要求5至7任一项所述的入侵检测方法的步骤。

11.一种存储介质，其上存储有计算机程序，其特征在于，所述计算机程序被处理器执行时实现以下至少之一：

权利要求1至4任一项所述方法的步骤；

权利要求5至7任一项所述方法的步骤。