[发明专利]一种基于知识不对等的入侵检测方法、装置以及设备

说明书

本发明公开了一种基于知识不对等的入侵检测方法、装置、设备以及计算机可读存储介质，包括：当入侵检测系统获取到当前流量后，将镜像流量与入侵行为特征库中的特征进行匹配；当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录当前入侵行为的风险信息；根据所述风险信息确定所述当前入侵行为的目标风险评估值，并判断所述目标风险评估值是否大于等于所述预设风险阈值；若所述目标风险评估值大于等于所述预设风险阈值，则生成预警信息，并将所述预警信息发送至用户端。本发明所提供的方法、装置、设备以及计算机可读存储介质，提高了网络入侵检测的效率与准确性。

技术领域

本发明涉及网络安全技术领域，特别是涉及一种基于知识不对等的入侵检测方法、装置、设备以及计算机可读存储介质。

背景技术

当入侵行为发生时,网络上传输的流量在某些特性,如流量大小、数据包长以及数据包特定区域的内容等特性会表现出与正常流量的相异性，若能够尽早检测这些异常流量，就可以提前采取行动来保护网络安全。研究对这些异常流量的检测、定位造成异常的主机，进而对异常主机进行处理，对于避免网络拥塞、保证网络性能、避免网络资源的滥用以及保护网络信息安全，具有重要意义。

网络入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。

目前的入侵检测系统主要分为两种。一种是根据预定义的载荷特征检测，能准确给出已知攻击的详细信息，但灵活性不足，无法对未知的威胁产生报警，而且已知攻击载荷数量较大，效率低，容易导致网络拥堵。第二种是基于机器学习的特征检测，机器学习是基于已知攻击过程训练的模型，因此无法有效检测未知的攻击方法和逻辑，因此在一定程度上拦截未知威胁，但仍然存在漏报和时延的缺陷，难以应付日益复杂的网络攻击。

现有的入侵检测系统无法对未知的威胁产生报警，并且处理效率低，速度慢，容易误报、漏报。

综上所述可以看出，如何快速判断及预警网络入侵行为是目前有待解决的问题。

发明内容

本发明的目的是提供一种基于知识不对等的入侵检测方法、装置、设备以及计算机可读存储介质，以解决现有入侵检测系统无法对未知威胁产生报警且处理效率低的问题。

为解决上述技术问题，本发明提供一种基于知识不对等的入侵检测方法，包括：当部署于路由器镜像流量口的入侵检测系统获取到当前流量后，将所述当前流量对应的镜像流量与预先根据资产所有者和攻击者的知识不对等性构建的入侵行为特征库中的特征进行匹配；当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录当前入侵行为的风险信息；根据所述风险信息确定所述当前入侵行为的目标风险评估值，并判断所述目标风险评估值是否大于等于所述预设风险阈值；若所述目标风险评估值大于等于所述预设风险阈值，则生成预警信息，并将所述预警信息发送至用户端。

优选地，所述当所述镜像流量与所述入侵行为特征库中的当前特征匹配成功时，记录当前入侵行为的风险信息包括：

当所述镜像流量与所述漏洞特征库中的当前特征匹配成功时，记录所述当前入侵行为的入侵时间、资产与来源以及所述当前特征对应的规则类别。

优选地，所述据所述风险信息确定目标风险评估值包括：

根据所述当前入侵行为的入侵时间，确定时间风险评估值；

根据所述当前特征对应的规则类别，确定聚类风险评估值；

根据所述当前入侵行为的资产，确定资产风险评估值；

根据所述当前入侵行为的来源，确定来源风险评估值；

根据所述时间风险评估值、所述聚类风险评估值、所述资产风险评估值与所述来源风险评估值，确定所述目标风险评估值。