[发明专利]基于序列模式挖掘的程序级入侵检测系统和方法

摘要

一种基于序列模式挖掘的程序级入侵检测系统和方法，该系统由控制模块、数据采集和预处理模块、训练模块、存储模块、检测模块、检测结果输出模块组成，配置在需要监控的服务器上。该系统采用基于数据挖掘的异常检测技术，通过监控网络服务器中特权程序的运行情况来检测网络中的各种攻击活动；即以特权程序运行时所产生的系统调用作为审计数据，利用数据挖掘技术中的序列模式表示一个特权程序的正常行为，根据序列的支持度或可信度在训练数据中挖掘正常序列模式，并建立相应的正常序列模式库；检测时通过将当前序列模式和正常序列模式进行比较和匹配来识别攻击行为，以便引起网络安全管理员的密切注意和采取相应的处理措施来保证安全。

主权项

1、一种基于序列模式挖掘的程序级入侵检测系统，该系统配置在需要监控的网络服务器上，利用特权程序运行时所产生的系统调用作为审计数据，通过监控网络服务器中特权程序的运行情况，采用基于数据挖掘的异常检测技术来检测网络服务器中是否发生入侵；其特征在于：所述系统包括有：控制模块，负责设置系统的工作状态和各种参数，并对数据采集和预处理模块、训练模块、检测模块和整个系统的运行进行控制；数据采集和预处理模块，负责从服务器中获取原始的训练数据或审计数据，即程序运行过程中所产生的系统调用，并将这些原始训练数据或审计数据进行预处理，滤除系统调用的参数后，分别送入训练模块或检测模块，用于训练或检测；训练模块，负责利用训练数据进行训练，建立正常序列模式库；存储模块，用于存储训练模块所建立的正常序列模式库，并在检测时，供检测模块进行检索比较；检测模块，负责利用审计数据进行检测，产生包括但不限于判决值和/或报警信息的检测结果；检测结果输出模块，负责显示检测模块产生的判决值，并根据检测模块的报警信息对攻击行为进行报警。