[发明专利]IDS规则的优化系统及优化方法

摘要

本发明公开了一种IDS规则的优化系统及优化方法，优化系统包括：报警日志处理模块，收集IDS报警日志并生成唯一识别码，获取当天日期；历史报警数据库，存储历史IDS报警日志；查询模块，查询收集的IDS报警日志是否存储于历史报警数据库中，若否则存储；规则统计模块，统计过去M天的历史报警数据库并生成M个历史报警列表；扫描模块，扫描每个历史报警列表并进行查询；提取模块，提取统计次数大于第一阈值的历史报警日志并获取IDS规则名称；地址统计模块，根据流量方向统计地址数量；误报规则认定模块，将统计的地址数量大于第二阈值的IDS规则认定为误报规则；处理模块，删除误报规则。本发明减少报警数量，提高了报警准确性。

主权项

1.一种IDS规则的优化系统，其特征在于，包括：报警日志处理模块，用于收集IDS报警日志，所述IDS报警日志中包括IDS规则名称、源IP地址以及目的IP地址，并根据所述IDS规则名称、源IP地址以及目的IP地址生成所述IDS报警日志的唯一识别码，并获取所述IDS报警日志的当天日期；历史报警数据库，用于存储历史IDS报警日志对应的唯一识别码及当天日期；查询模块，用于查询所述报警日志处理模块收集的IDS报警日志对应的唯一识别码及当天日期是否存储于所述历史报警数据库中，并在判断为否时将所述报警日志对应的唯一识别码及当天日期存储于所述历史报警数据库中；规则统计模块，用于统计过去M天的历史报警数据库，并根据每一天的历史报警数据库生成一个历史报警列表，每个历史报警列表均记录有当天的历史报警数据库中的所有历史报警日志对应的唯一识别码及当天日期；其中M为正整数；扫描模块，用于依次扫描每个历史报警列表并按照唯一识别码进行查询，若一目标唯一识别码不存在，则将所述目标唯一识别码及对应的IDS规则名称、源IP地址、目的IP地址、当天日期保存至一统计列表中，并将所述目标唯一识别码的统计次数设置为1次；若所述目标唯一识别码存在，则将所述统计列表中的所述目标唯一识别码的统计次数加1；提取模块，用于在所述扫描模块完成扫描后，提取统计次数大于第一阈值的历史报警日志并获取对应的IDS规则名称；地址统计模块，用于根据所述提取模块提取的IDS规则名称的流量方向统计地址数量；误报规则认定模块，用于将统计的地址数量大于第二阈值的IDS规则认定为误报规则；处理模块，用于删除误报规则。