[发明专利]一种基于马尔科夫链的入侵检测方法

摘要

本发明提供的是一种基于马尔科夫链的入侵检测方法。提取网络数据包特征，构造基于马尔科夫链的数据模型；在训练阶段和检测阶段分别构造马尔科夫链模型；根据事件重要性对入侵检测算法改进；利用改进后的入侵检测算法，对训练阶段和检测阶段的马尔科夫链进行异常检测，并得到异常结果。本发明主要关注工业控制领域ICS系统特有的攻击类型：在网络通信数据包格式完全正常的情况下，仍会出现基于顺序或基于时间的序列攻击。通过实验验证，本发明能够有效降低误报率，且有更高的检测效率和精确度。

主权项

1.一种基于马尔科夫链的入侵检测方法，其特征是：步骤一：提取网络数据包特征，构造基于马尔科夫链的数据模型；所述构造基于马尔科夫链的数据模型针对于状态和跳转关系进行建模，具体包括：每个状态State是一个五元组数据单元，形式化表示为<Data，Type，Count，FT，LT>；其中，Data指的是能够明确标识状态State的信息，并且该信息为该状态中所有事件共同享有；Type指的是某个状态State代表元素的类型属性，包括请求/应答对、单请求和单应答；Count指的是在一个事件时序列中属于状态State的事件数量；FT指第一个出现的属于状态State的事件的时间戳；LT指最后一个出现的属于状态State的事件的时间戳；每个由源状态State_Source到目的状态State_Destination的状态跳转关系Transition是一个六元组数据单元，形式化描述为：<Pr,Count,FJ,LJ,ATI,SDTI>；其中，Pr指的是由状态State_Source到状态State_Destination的概率值；Count指的是在一个事件时序列中从状态State_Source到状态State_Destination的跳转次数；FJ是在一个事件时序列中该跳转第一次出现；LJ是在一个事件时序列中该跳转最后一次出现；ATI是由状态State_Source到状态State_Destination的平均时间间隔；SDTI是状态转移时间间隔样本标准差；步骤二：在训练阶段和检测阶段分别构造马尔科夫链模型；步骤三：根据事件重要性对入侵检测算法改进；步骤四：利用改进后的入侵检测算法，对训练阶段和检测阶段的马尔科夫链进行异常检测，并得到异常结果。