[发明专利]网络攻击检测方法及装置

说明书

技术领域

本发明涉及云计算技术领域，具体而言，涉及一种网络攻击检测方法及装置。

背景技术

随着各种网络技术的发展成熟，基于互联网的云计算全新服务模式得到了空前的发展，在最具权威的IT研究顾问咨询公司Gartner发布的“IT行业十大战略技术”报告中，“云计算”连续几年被评为前沿技术，同时也是2017年技术报告中人工智能等新技术的重要基础。

在云计算模式下，IT效率提高、成本节省等优势吸引大量数据朝着云平台中聚集，一方面带来了应用便利，另一方面这也大大提高了平台被攻击的风险。许多的恶意攻击行为(如APT攻击等)隐藏在大规模的网络流量中，对云平台或核心的数据进行攻击或窃取。因此，如何有效检测云平台下恶意行为并进行有效防护，进而确保云平台下机密数据的安全，是目前信息安全领域亟待解决的关键问题。

国内外针对云平台安全展开了大量的理论研究，研究包含适应于云环境的入侵检测模型、分布式入侵检测系统(Distributed intrusion detection systems，DIDS)、基于虚拟化的监控技术、基于数据挖掘的未知攻击检测算法等几个方面。以Snort为代表的入侵检测(Intrusion Detection System，IDS)模型通过对抓取到的数据包进行分析、按配置的规则进行检测并做出响应从而保证云平台的安全。为了提升对云平台攻击的实时检测效率，国内外研究人员开始着力研究分布式入侵检测系统，分布式入侵检测系统是一种通过将检测点分布在不同的位置，在核心层融合多IDS节点的警报信息进行分析的入侵检测系统。基于虚拟化的监控技术为云环境下的恶意行为分析提供必要的支撑，根据监控系统的部署位置，基于虚拟化的监控系统分为两类：一类是系统内部监控，另一类是系统外部监控。内部监控是指监控系统驻留在目标虚拟机内部，通过虚拟机监控器的高级特权保护监控系统的完整性，典型的内部监控系统有SIM和Lares。基于虚拟化的外部监控是将监控系统部署于被监控虚拟机外部，通过虚拟机监控器的高控制权来完成对虚拟机内部内核数据结构的监控，典型监控系统有VMDriver。利用数据挖掘技术实现对未知攻击的检测是云平台安全的重要保障，常见的应用于入侵检测的数据挖掘算法有关联规则、序列分析等。

以Snort为代表的传统入侵检测系统虽然在一定程度上保证了云平台的安全，但这种模式存在网络规则配置不灵活等一系列的问题，此外由于云平台规模的急剧扩展使得网络拓扑结构复杂化、网络流量迅猛增长，而在传统的入侵检测系统中过滤设备和路由设备完全分离，从而很难实现统一快速的防护。

当前网络数据高速增长，导致数据不能及时处理；计算环境网络复杂化，致攻击维度高引起的常规入侵检测技术准确性降低，当前数据流上基于单次扫描的频繁模式挖掘准确性不高。

发明内容

本发明的目的在于提供一种网络攻击检测方法及装置，其能够有效改善上述问题。

本发明的实施例是这样实现的：

第一方面，本发明实施例提供了一种网络攻击检测方法，所述方法包括：获取网络中的当前数据流；基于预先建立的恶意行为攻击特征库，判断所述当前数据流的行为是否异常；在为否时，通过滑动窗口遗传算法频繁模式挖掘模型以及基于核密度估计的异常点检测模型判断所述当前数据流的行为是否正常；在为否时，提取所述当前数据流的行为特征，并将所述行为特征加入所述恶意行为攻击特征库。

第二方面，本发明实施例还提供了一种网络攻击检测装置，其包括获取模块，用于获取网络中的当前数据流；一级检测模块，用于基于预先建立的恶意行为攻击特征库，判断所述当前数据流的行为是否异常；二级检测模块，用于在所述当前数据流的行为不为异常时，通过滑动窗口遗传算法频繁模式挖掘模型以及基于核密度估计的异常点检测模型判断所述当前数据流的行为是否正常；提取模块，用于在所述当前数据流的行为异常时，提取所述当前数据流的行为特征，并将所述行为特征加入所述恶意行为攻击特征库。