[发明专利]一种结合病毒检测与入侵检测的方法及系统

摘要

本发明涉及一种结合病毒检测和网络入侵检测的方法和系统。本发明方法主要是在网络入侵检测系统中引入了病毒检测功能，不仅可以对网络攻击和入侵进行检测和报警，而且可以通过IDS的数据流重组和应用协议解析功能，实现对FTP、HTTP、SMTP、POP3、IMAP等协议中携带的数据流进行病毒检测。本发明方法在不显著影响传统IDS引擎性能的情况下，大幅提高NIDS系统的病毒检测能力。本发明系统包括5个工作单元和系统模块：1.流重组和应用协议解析单元；2.传统IDS应用协议检测单元；3.网络病毒检测单元；4.报警显示单元；5.系统管理单元。

主权项

1.一种结合病毒检测与入侵检测的方法，其特征在于：(1)：用于按照设定的条件对网络数据包进行捕获、流重组和应用协议解析，将典型应用协议分解为控制信道和数据信道，然后将控制信道中通信数据提交给IDS检测引擎，将数据信道中数据流提交给网络病毒检测引擎的流重组和应用协议解析步骤；(2)：用于接收来自流重组和应用协议解析单元的应用协议控制信道数据，基于IDS应用协议攻击事件规则库进行误用检测，进一步采用协议异常检测识别网络通信中发生的异常事件的IDS应用协议检测步骤；(3)：用于接收来自流重组和应用协议解析单元的应用协议数据信道数据流，基于网络病毒知识库进行病毒检测的网络病毒检测步骤；(4)：用于向用户显示引擎上报的攻击事件或病毒名称、相关IP、风险级别的报警显示步骤；(5)：用于对应用协议检测引擎和网络病毒检测引擎的工作状态进行管理、控制及查询，对引擎下发规则库及病毒特征库，系统在线升级的系统管理步骤。