[发明专利]一种入侵防护方法和系统

说明书

本发明提供一种入侵防护方法和系统，入侵防护系统包括：报文地址分析单元，分析和提取报文的源IP地址；报文流长度分析单元，分析和提取报文所请求的事项和报文流的长度，报文变量分析单元，提取和分析报文中所含有的变量，请求行为分析单元，记录报文的请求频率，入侵表记录单元，记录发生过的入侵报文的特征，查询单元，将源IP地址、报文流的长度、报文中所含有的变量和报文中所包含的请求在入侵表记录单元中进行查询，待观察表单元，接收查询单元发送来的可疑报文流，虚拟运行单元，接收来自待观察表单元的可疑报文流并进行虚拟运行，监测可疑报文流的行为。本发明能够更准确的判断报文的安全性，更好的保护计算机和网络系统。

技术领域

本发明涉及一种入侵防护方法，本发明还涉及入侵防护系统，属于网络安全领域。

背景技术

计算机系统和互联网的入侵防护，一直是数据安全的核心问题。以往的入侵防护方法，通常是采用对IP地址进行识别的防护，或者采用病毒库进行防护。然而，IP地址伪装的技术也在不断提高，病毒库也只能基于过往已有的病毒进行防护。当发生可疑入侵的行为时，现有的防护方法，往往只能发出警报，由人工干预，进行处理。这样不仅效率低，而且人工处理的漏检率也比较高。当信息量较大时，就无法应对了。

发明内容

本发明的目的在于提供一种入侵防护方法和系统，以对可疑的入侵行为进行更有效的分辨。

本发明采用了如下技术方案：

本发明提供一种入侵防护系统，其特征在于，包括：报文地址分析单元，分析和提取报文的源IP地址；报文流长度分析单元，分析和提取报文所请求的事项和报文流的长度，报文变量分析单元，提取和分析报文中所含有的变量，请求行为分析单元，记录报文的请求频率，入侵表记录单元，记录发生过的入侵报文的特征，查询单元，将源IP地址、报文所请求的事项和报文流的长度、报文中所含有的变量和报文中所包含的请求在入侵表记录单元中进行查询，待观察表单元，接收查询单元发送来的可疑报文流，虚拟运行单元，接收来自待观察表单元的可疑报文流并进行虚拟运行，监测可疑报文流的行为。

进一步，本发明的入侵防护系统，还包括：信任表记录单元，记录信任的报文的源IP地址。

进一步，本发明的入侵防护系统，还具有这样的特征：入侵表记录单元，记录的特征包括：入侵报文的源IP地址、报文所请求的事项和对应的报文流的长度，记录入侵报文的请求事项和对应所使用的变量。

本发明还提供一种入侵防护方法，运行在所述的入侵防护系统中，其特征在于，包括：

步骤一：报文地址分析单元对报文的源IP地址进行分析，报文流长度分析单元对报文所请求的事项和报文流的长度进行分析和提取，

报文变量分析单元对报文中所含有的变量进行提取和分析，

请求行为分析单元对报文中所包含的请求频率进行记录和分析，

步骤二：查询单元在入侵表记录单元中，对步骤一中得到的报文流源IP地址进行查询，如果查询结果为“有”，则将此报文流加入到待观察表单元，如果查询结果为“无”，则对步骤一中得到的请求的事项和报文流的长度进行查询，如果查询结果为“不匹配”，则将此报文流加入到待观察表单元，如果查询结果为“匹配”，则对步骤一得到的报文中所含有的变量进行查询和分析，若变量与修改IP地址相关，或者与扫描服务器端口相关，则将此报文流加入到待观察表单元，若不相关，则对步骤一中得到的报文中所包含的请求频率进行分析，若请求频率大于预定值时，则将此报文流加入到待观察表单元，若请求中不包含获取入侵相关的信息，则放行此报文流；

步骤三：待观察表单元收到来自查询单元的报文流后，将其发送到虚拟运行单元中进行运行，虚拟运行单元监测报文流是否有入侵行为，若“有”则阻止此报文流，若“无”则在正常系统中执行此报文流。