[发明专利]一种基于知识不对等的入侵检测方法、装置以及设备

权利要求书

1.一种基于知识不对等的入侵检测方法，其特征在于，包括：

当部署于路由器镜像流量口的入侵检测系统获取到当前流量后，将所述当前流量对应的镜像流量与预先根据资产所有者和攻击者的知识不对等性构建的入侵行为特征库中的特征进行匹配；

当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录当前入侵行为的风险信息；

根据所述风险信息确定所述当前入侵行为的目标风险评估值，并判断所述目标风险评估值是否大于等于预设风险阈值；

若所述目标风险评估值大于等于所述预设风险阈值，则生成预警信息，并将所述预警信息发送至用户端；

所述当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录当前入侵行为的风险信息包括：

当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录所述当前入侵行为的入侵时间、资产与来源以及所述当前特征对应的规则类别；

所述根据所述风险信息确定目标风险评估值包括：

根据所述当前入侵行为的入侵时间，确定时间风险评估值；

根据所述当前特征对应的规则类别，确定聚类风险评估值；

根据所述当前入侵行为的资产，确定资产风险评估值；

根据所述当前入侵行为的来源，确定来源风险评估值；

根据所述时间风险评估值、所述聚类风险评估值、所述资产风险评估值与所述来源风险评估值，确定所述目标风险评估值。

2.如权利要求1所述的方法，其特征在于，所述根据所述当前入侵行为的入侵时间，确定时间风险评估值包括：

根据所述当前入侵行为的入侵时间，获取预设时间段内发生入侵行为的次数；

将所述预设时间段内发生入侵行为的次数与预设次数阈值进行比较，根据比较结果生成所述时间风险评估值。

3.如权利要求2所述的方法，其特征在于，所述根据所述当前特征对应的规则类别，确定聚类风险评估值包括：

获取所述当前特征对应的规则类别，根据所述规则类别对应的风险初始值确定聚类风险评估值。

4.一种基于知识不对等的入侵检测装置，其特征在于，包括：

流量匹配模块，用于当部署于路由器镜像流量口的入侵检测系统获取到当前流量后，将所述当前流量对应的镜像流量与预先根据资产所有者和攻击者的知识不对等性构建的入侵行为特征库中的特征进行匹配；

风险信息获取模块，用于当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录当前入侵行为的风险信息；

风险评估模块，用于根据所述风险信息确定所述当前入侵行为的目标风险评估值，判断所述目标风险评估值是否大于等于预设风险阈值；

预警模块，用于若所述目标风险评估值大于等于所述预设风险阈值，则生成预警信息，并将所述预警信息发送至用户端；

所述风险信息获取模块包括：

记录单元，用于当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录所述当前入侵行为的入侵时间、资产与来源以及所述当前特征对应的规则类别；

所述风险评估模块包括：

时间评估单元，用于根据所述当前入侵行为的入侵时间，确定时间风险评估值；

聚类评估单元，用于根据所述当前特征对应的规则类别，确定聚类风险评估值；

资产评估单元，用于根据所述当前入侵行为的资产，确定资产风险评估值；

来源评估单元，用于根据所述当前入侵行为的来源，确定来源风险评估值；

综合评估单元，用于根据所述时间风险评估值、所述聚类风险评估值、所述资产风险评估值与所述来源风险评估值，确定所述目标风险评估值。

5.一种基于知识不对等的入侵检测设备，其特征在于，包括：

存储器，用于存储计算机程序；

处理器，用于执行所述计算机程序时实现如权利要求1至3任一项所述一种基于知识不对等的入侵检测方法的步骤。

6.一种计算机可读存储介质，其特征在于，所述计算机可读存储介质上存储有计算机程序，所述计算机程序被处理器执行时实现如权利要求1至3任一项所述一种基于知识不对等的入侵检测方法的步骤。