[发明专利]基于对网络流量的分析检测网络入侵的系统、方法与介质

权利要求书

1.一种基于对网络流量的分析来检测网络入侵的系统，所述系统包括：

存储器和一个或更多个处理器，所述存储器是编码有可执行指令的非暂时性计算机可读介质，使得在执行所述可执行指令时，所述一个或更多个处理器执行以下操作：

对有关网络流量的消息定时执行统计分析，以生成表示所述网络流量中的不同消息类型之间的时间相关性的时间相关性矩阵；

将时间相关性矩阵的集合分解成分量矩阵，其中，至少一个分量矩阵表示这些矩阵的典型特性，并且至少一个其它分量矩阵表示这些矩阵的非典型特性；

基于新的网络流量生成新的时间相关性矩阵；以及

通过对所述新的时间相关性矩阵中的分量矩阵与正常操作条件下的时间相关性矩阵的分量矩阵进行比较，检测所述新的网络流量中的异常行为，

其中，检测所述新的网络流量中的异常行为的处理是通过首先执行时间相关性矩阵的稀疏低秩分解并接着对稀疏分量的l₁范数||z_S||₁与训练集范数的均值进行比较来执行的。

2.根据权利要求1所述的系统，其中，表示所述网络流量中的不同消息类型之间的时间相关性的时间相关性矩阵是利用传递熵计算生成的传递熵矩阵TEM。

3.根据权利要求1所述的系统，其中，检测所述新的网络流量中的异常行为的处理还包括：根据多个TEM的稀疏低秩分解确定范数和标准偏差，并且执行t测试以确定所述新的网络流量是否超过预置界限。

4.根据权利要求3所述的系统，其中，在检测到所述新的网络流量中的异常行为时，还包括启动反应响应的操作。

5.根据权利要求4所述的系统，其中，所述反应响应包括使车辆启动安全模式，其中，禁用至少一个车辆系统。

6.根据权利要求1所述的系统，其中，在检测到所述新的网络流量中的异常行为时，还包括启动反应响应的操作。

7.根据权利要求6所述的系统，其中，所述反应响应包括使车辆启动安全模式，其中，禁用至少一个车辆系统。

8.一种非暂时性计算机可读介质，所述非暂时性计算机可读介质基于对网络流量的分析来检测网络入侵，所述非暂时性计算机可读介质上编码有可执行指令，使得当通过一个或更多个处理器执行所述可执行指令时，所述一个或更多个处理器执行以下操作：

对有关网络流量的消息定时执行统计分析，以生成表示所述网络流量中的不同消息类型之间的时间相关性的时间相关性矩阵；

将时间相关性矩阵的集合分解成分量矩阵，其中，至少一个分量矩阵表示这些矩阵的典型特性，并且至少一个其它分量矩阵表示这些矩阵的非典型特性；

基于新的网络流量生成新的时间相关性矩阵；以及

通过对所述新的时间相关性矩阵中的分量矩阵与正常操作条件下的时间相关性矩阵的分量矩阵进行比较，检测所述新的网络流量中的异常行为,

其中，检测所述新的网络流量中的异常行为的处理是通过首先执行时间相关性矩阵的稀疏低秩分解并接着对稀疏分量的l₁范数||z_S||₁与训练集范数的均值进行比较来执行的。

9.根据权利要求8所述的非暂时性计算机可读介质，其中，表示所述网络流量中的不同消息类型之间的时间相关性的时间相关性矩阵是利用传递熵计算生成的传递熵矩阵TEM。

10.根据权利要求8所述的非暂时性计算机可读介质，其中，检测所述新的网络流量中的异常行为的处理还包括根据多个传递熵矩阵TEM的稀疏低秩分解确定范数和标准偏差，并且执行t测试以确定所述新的网络流量是否超过预置界限。

11.根据权利要求8所述的非暂时性计算机可读介质，其中，所述非暂时性计算机可读介质还包括在检测到所述新的网络流量中的异常行为时，使所述一个或更多个处理器执行启动反应响应的操作的指令。