[发明专利]一种入侵检测方法及系统

权利要求书

1.一种入侵检测方法，其特征在于，包括：

分组采集网络流量数据，获取网络流量数据特征；

分别计算获得每个所述网络流量数据特征的分布特征曲线；

根据所述每个网络流量数据特征的分布特征曲线，拟合获得行为分布特征曲线；

根据所述行为分布特征曲线，检测判断对应的攻击行为的类型。

2.如权利要求1所述的方法，其特征在于，所述分组采集网络流量数据，包括：

以源IP和目的IP作为标识信息采集所述网络流量数据，并设置每组所述网络流量数据的采集下限M和采集上限N，其中，若当前行为的数据量低于所述采集下限M，则认为当前行为是无效行为，若当前行为的数据量高于所述采集上限N，则删除第一条采集数据，加入新的采集数据，维持数据量等于所述采集上限N，其中，M和N均为整数。

3.如权利要求2所述的方法，其特征在于，所述网络流量数据特征包括：行为的持续时间、前后两个方向的包数、前后两个方向的字节数以及前后两个方向的响应时间。

4.如权利要求1所述的方法，其特征在于，分别计算获得每个网络流量数据特征的分布特征曲线，包括：

计算每个所述网络流量数据特征的比例分布信息，获得每个所述网络流量数据特征的频域信息，将所述频域信息带入傅里叶级数实值公式获得每个所述网络流量数据特征的分布特征曲线，其中，所述分布特征曲线用公式表示为：

F_d(t)＝∑x_nsin(p_n*2*π*t)

其中，x_n是网络流量数据特征的取值，p_n为x_n的比例概率，t为数量参数。

5.如权利要求1所述的方法，其特征在于，根据所述每个网络流量数据特征的分布特征曲线，拟合获得行为分布特征曲线，包括：

将所述每个网络流量数据特征的分布特征曲线的分布特征值输入至卷积自编码器，所述卷积自编码器拟合获得行为分布特征曲线。

6.如权利要求1所述的方法，其特征在于，所述根据所述行为分布特征曲线，检测判断对应的攻击行为的类型，包括：

利用所述行为分布特征曲线的行为分布特征值进行机器学习训练，获得行为检测神经网络模型，利用所述行为检测神经网络模型检测判断对应的攻击行为的类型。

7.一种入侵检测系统，其特征在于，包括：

数据采集模块，用于分组采集网络流量数据，获取网络流量数据特征；

分布特征计算模块，用于分别计算获得每个网络流量数据特征的分布特征曲线；

分布特征拟合模块，用于根据所述每个网络流量数据特征的分布特征曲线，拟合获得行为分布特征曲线；

训练检测模块，用于根据所述行为分布特征曲线，检测判断对应的攻击行为的类型。

8.如权利要求7所述的系统，其特征在于，在所述数据采集模块中，以源IP和目的IP作为标识信息采集所述网络流量数据，并设置每组所述网络流量数据的采集下限M和采集上限N，其中，若当前行为的数据量低于所述采集下限M，则认为当前行为是无效行为，若当前行为的数据量高于所述采集上限N，则删除第一条采集数据，加入新的采集数据，维持数据量等于所述采集上限N，其中，M和N均为整数。

9.如权利要求7所述的系统，其特征在于，在所述分布特征计算模块中，计算每个所述网络流量数据特征的比例分布信息，获得每个所述网络流量数据特征的频域信息，将所述频域信息带入傅里叶级数实值公式获得每个所述网络流量数据特征的分布特征曲线，其中，所述分布特征曲线用公式表示为：

F_d(t)＝∑x_nsin(p_n*2*π*t)

其中，x_n是网络流量数据特征的取值，p_n为x_n的比例概率，t为数量参数。

10.如权利要求7所述的系统，其特征在于，在所述分布特征拟合模块中，将所述每个网络流量数据特征的分布特征曲线的分布特征值输入至卷积自编码器，所述卷积自编码器拟合获得行为分布特征曲线。