[发明专利]生成入侵检测规则的方法、装置、计算机设备及存储介质

说明书

本发明涉及规则生成技术领域，尤其涉及一种生成入侵检测规则的方法、装置、计算机设备及存储介质，包括：获取使用目标通讯协议的恶意数据帧；确定所述恶意数据帧的请求类型；根据所述请求类型，获取所述恶意数据帧的通信特征数据；根据所述通信特征数据，生成所述恶意数据帧对应的入侵检测规则。相较于现有技术，本申请根据恶意数据帧对应的目标通信协议以及恶意数据帧对应的请求类型，可以快速确定出对应的通信特征数据，然后再根据对应的通信特征数据自动生成对应的入侵检测规则。通过本申请可以快速自动的生成满足条件的恶意数据帧的入侵检测规则。由此，提高了入侵检测规则的生成效率，进而也提高了IDS检测能力。

技术领域

本发明涉及规则生成技术领域，尤其涉及一种生成入侵检测规则的方法、装置、计算机设备及存储介质。

背景技术

入侵检测系统(Intrusion Detection System，IDS)为保护计算机系统免于被窃取数据或恶意破坏计算机的重要技术，通过入侵检测系统搭配防火墙可有效防止来自于外部网络或内部网络的恶意入侵行为。其中，IDS主要利用入侵检测规则(IntrusionDetection Rules)过滤网络的恶意入侵行为。

相关技术中存在入侵检测规则生成效率低下，IDS检测能力较低的问题。

发明内容

有鉴于此，本发明提供一种生成入侵检测规则的方法、装置、计算机设备及存储介质，至少部分解决现有技术中存在的入侵检测规则生成效率低下，IDS检测能力较低的问题。

根据本申请的第一个方面，提供了一种生成入侵检测规则的方法，包括：

获取使用目标通讯协议的恶意数据帧。

确定所述恶意数据帧的请求类型。

根据所述请求类型，获取所述恶意数据帧的通信特征数据。

根据所述通信特征数据，生成所述恶意数据帧对应的入侵检测规则。

作为本申请一种可能的实现方式，所述获取使用目标通讯协议的恶意数据帧，包括：

将数据包中使用所述目标通讯协议的数据帧确定为目标数据帧。

根据每一所述目标数据帧的域名，确定出恶意数据帧。

作为本申请一种可能的实现方式，在所述获取使用目标通讯协议的恶意数据帧之前，所述方法还包括：

获取数据包。

确定所述数据包的文件格式。

若所述文件格式为目标格式，则将数据包中使用所述目标通讯协议的数据帧确定为目标数据帧。

作为本申请一种可能的实现方式，将数据包中使用目标通讯协议的数据帧确定为目标数据帧，包括：

获取所述数据包中每一数据帧的设定字段的第一内容。

根据每一所述数据帧对应的所述第一内容，确定每一所述数据帧对应的通讯协议。

将所述通讯协议为所述目标通讯协议的数据帧，确定为目标数据帧。

作为本申请一种可能的实现方式，所述确定所述恶意数据帧的请求类型，包括：

获取所述恶意数据帧的设定字段的第一内容。

根据所述第一内容，确定所述恶意数据帧对应的所述请求类型。

作为本申请一种可能的实现方式，所述根据所述请求类型，获取所述恶意数据帧的通信特征数据，包括：

根据所述请求类型，确定目标提取规则。

使用所述目标提取规则，对所述恶意数据帧进行信息提取，得到所述通信特征数据。