[发明专利]一种基于有穷状态自动机的网络入侵预警方法

摘要

本发明提供了一种基于有穷状态自动机的网络入侵预警方法。该方法通过利用状态序列刻画扫描特征、利用状态转换树对网络中发生的扫描活动进行全局的分析和检测。它定义了一个状态转换模型，并利用状态转换树来表达检测模型的状态转换机制，采用链表结构来组织网络连接，利用双向指针综合处理状态树及网络连接链表，并根据三种统计机制对网络扫描进行检测和报警。本方法不仅能够准确检测各种单一类型的扫描活动，而且能够对分布式、多类型混杂扫描等现有技术无法检测的扫描活动进行有效检测，改善了对网络扫描的检测效果，能够对网络入侵起到有效的预警作用。

主权项

1.一种基于有穷状态自动机的网络入侵预警方法，其特征在于包括如下步骤：定义一个状态转换模型，并利用状态转换树来表达检测模型的状态转换机制，将网络连接的基本组织方式采用链表结构表述；在所述网络连接链表结构的连接信息节点中包含一个状态节点指针，指向该连接当前所处状态在状态转换树中对应的节点；同时所述状态转换树的每个节点中包含一个指针链表，链表中的节点分别指向每一个当前处于该状态的连接信息节点；通过检测(1)网络连接链表中源地址节点的扫描次数是否超过设定的极限值；(2)状态转换树叶节点的匹配次数是否超过设定的极限值；(3)扫描次数全局统计变量是否超过设定极限值；中任何一个条件是否满足来确定是否发送预警信息。