[发明专利]一种减少网络入侵检测系统漏报的方法

摘要

本发明涉及一种减少网络入侵检测系统漏报的方法。其基本原理是通过比对的方法，按照预先定义好的网络入侵模式规则集来判别搜集到的数据特征是否在该预先定义好的入侵模式规则集中出现。由于每天都有新的攻击方法产生和新漏洞发布，如果入侵模式规则集不能及时更新，将造成网络入侵检测系统的漏报。本发明通过软件程序在网络入侵检测系统中找到一个暂停状态，此时入侵模式规则集并没有使用，然后装载新的规则集到内存，最后用新规则集替代当前规则集，来实现更新规则集，而不须更新TCP连接状态，以达到减少网络入侵检测系统漏报目的。

主权项

1、一种减少网络入侵检测系统漏报的方法，包括入侵模式规则集(01)、新的入侵模式规则集(14)、正常入侵检测(16)，其特征在于：实现减少网络入侵检测系统漏报方法的步骤如下：步骤1：保持原有的TCP连接状态，管理员发出SIGUSR2中断信号(15)给网络入侵检测系统，作为更新所述入侵模式规则集(01)的请求；步骤2：网络入侵检测系统响应该中断请求(17)，网络入侵检测系统从读取网络数据包的循环Pcap_loop中退出来，使网络入侵检测系统进入到暂停状态(13)；步骤3：在网络入侵检测系统的所述暂停状态(13)加载所述新的入侵模式规则集(14)；步骤4：网络入侵检测系统应用加载的所述新入侵模式规则集(14)，并返回至所述正常状态(11)，继续对网络数据包进行所述正常入侵检测(16)。