[发明专利]一种多路IDS集成检测方法和装置

权利要求书

1.一种多路IDS集成检测方法，其特征在于，包括：

获取并存储实时和离线的可疑流量PCAP包；

对所述可疑流量PCAP包进行流量会话回放，并利用多路IDS设备对流量会话进行威胁检测，生成告警数据；

对所述告警数据进行TP/TN根因分析及FP/FN根因分析，得到潜在的误报或漏报事件集合作为训练数据集，并将所述训练数据集进行IDS多维度评估，得到IDS集合的可信度评估向量；

利用多目标查询反筛的MOQN算法，从IDS设备厂家集合中筛选出IDS弱势集合，删除所述IDS弱势集合，得到候选IDS集合；利用多目标查询正筛的MOPN算法，从所述候选IDS集合中筛选出IDS权威集合；

对所述候选IDS集合和IDS权威集合进行权重分配和权重投票，生成多路IDS设备集成模型；

对实时流量进行多路IDS检测，得到多路IDS检测结果，再通过所述多路IDS设备集成模型对多路IDS检测结果进行多路IDS集成检测，输出威胁事件。

2.根据权利要求1所述的方法，其特征在于，所述利用多目标查询反筛的MOQN算法，从IDS设备厂家集合中筛选出IDS弱势集合，包括：

根据IDS集合的可信度评估向量，对不同厂家的IDS设备进行评估，生成第一IDS正向评估数据集，再生成IDS负向评估数据集；

对所述IDS负向评估数据集中的IDS负向评估元组建立负向临时表，设置第一消息队列，用于存储相互之间不存在不同厂商IDS之间的控制关系的IDS负向评估元组；

从所述负向临时表中读取IDS负向评估元组，若所述第一消息队列为空，则将读取到的IDS负向评估元组插入所述第一消息队列中；若所述第一消息队列不为空，则将读取到的IDS负向评估元组遍历所述第一消息队列中已有的IDS负向评估元组进行控制关系比较，根据比较结果进行出入队；

遍历所述负向临时表中的全部IDS负向评估元组后，将当前第一消息队列中的IDS负向评估元组作为IDS弱势集合。

3.根据权利要求2所述的方法，其特征在于，所述将读取到的IDS负向评估元组遍历所述第一消息队列中已有的IDS负向评估元组进行控制关系比较，根据比较结果进行出入队，包括：

若所述第一消息队列中存在IDS负向评估元组对读取到的IDS负向评估元组存在控制弱势，则将读取到的IDS负向评估元组删除；

若读取到的IDS负向评估元组对所述第一消息队列中的IDS负向评估元组存在控制弱势，则从所述第一消息队列中删除被读取到的IDS负向评估元组控制的IDS负向评估元组，将读取到的IDS负向评估元组插入所述第一消息队列中；

若所述第一消息队列中的IDS负向评估元组与读取到的IDS负向评估元组之间不存在控制弱势，判断所述第一消息队列是否已满，若所述第一消息队列已满，则将读取到的IDS负向评估元组写入另一负向临时表中；若所述第一消息队列未满，则将所述读取到的IDS负向评估元组插入所述第一消息队列中；

其中，所述控制弱势定义为：

给定的一个多维空间的多个IDS负向评估元组集合，若存在两个IDS负向评估元组，分别表示两个不同厂商的IDS负向评估指标值；若第一IDS负向评估元组的各个负向评估指标值不小于第二IDS负向评估元组的负向评估指标值，且至少存在一个负向评估指标值大于第二IDS评估元组的对应负向评估指标值，则所述第一IDS负向评估元组对所述第二IDS负向评估元组具有控制弱势。