[发明专利]基于路由器日志分析的网络攻击检测系统及检测方法

摘要

本发明公开了一种基于路由器日志分析的网络攻击检测系统，主要解决现有技术存在的适应性低、计算复杂度高的问题，他包括四个子系统，其中日志模板抽取子系统，从路由器事件日志中提取各个事件的模板；模板特征分类子系统，将日志模板抽取子系统提供的事件模板进行降维操作，完成事件模板的分类，并将事件模板及其分类输出至数据库存储子系统或攻击事件检测子系统；数据库存储子系统，存储模板特征分类子系统提供的降维后的模板特征及其分类，并向攻击事件检测子系统提供查询功能；攻击事件检测子系统对事件模板进行决断，并将决断结果供其他安全软件和风险评估系统使用。本发明提高了攻击检测的准确度，降低了计算，可用于保障网络空间安全。

主权项

一种基于路由器日志分析的网络攻击检测系统，其特征在于，包括：日志模板抽取子系统(1)，用于从安全人员预先提供的路由器事件日志或实际网络的路由器事件日志中提取各个事件的模板，并将提取的事件模板提供给模板特征分类子系统；模板特征分类子系统(2)，用于将日志模板抽取子系统提供的事件模板进行降维操作，完成事件模板的分类，并将事件模板及其分类输出至数据库存储子系统或攻击事件检测子系统；该事件模板分为两类，一类是攻击事件模板，一类是正常事件模板，其中攻击事件模板又分为SSL攻击事件模板、网关监听攻击事件模板、IP洪泛攻击事件模板、ARP洪泛攻击事件模板、DOS攻击事件模板和暴力破解事件模板；数据库存储子系统(3)，用于对模板特征分类子系统提供的降维后的模板特征及其分类进行存储，并向攻击事件检测子系统提供查询功能；攻击事件检测子系统(4)，用于对模板特征分类子系统提供的事件模板进行如下决断，并将决断结果供其他安全软件和风险评估系统使用；若事件模板与数据库存储子系统中存储的攻击事件的模板特征匹配，则决断该事件模板对应的事件为攻击事件，并判断出攻击事件的具体类型；若事件模板与数据库存储子系统中存储的正常事件的模板特征匹配，则决断为该事件模板对应的事件为正常事件；否则，决断为该事件模板对应的事件为未知事件。