[发明专利]基于数据挖掘的网络入侵检测方法

摘要

基于数据挖掘的网络入侵检测方法，涉及一种网络入侵检测方法。本发明为了解决现有的实时入侵检测存在的不能及时检测出特征发生变化的网络入侵行为进行的问题。本发明首先对已知的网络入侵类型进行分析，提取程序活动周期，获得已知的网络入侵类型对应的特征并训练网络入侵类型模型；模拟网络入侵，通过布置ELK日志分析平台的主机进行对所有日志文件进行监控；最后基于网络入侵类型模型进行实时进行网络入侵监控，同时利用ELK日志分析平台检测发生变化的日志文件及日志文件中的异常数据更新重点检测对象，完善网络入侵类型模型。本发明适用于网络入侵行为的检测。

主权项

基于数据挖掘的网络入侵检测方法，其特征在于，所述方法包括以下步骤：步骤一、利用Bro的分析函数定义事件引擎和规则引擎对已知的网络入侵类型进行分析，提取程序活动周期，获得已知的网络入侵类型对应的特征；将已知的网络入侵类型对应的特征作为神经网络模型的输入，将已知的网络入侵类型作为神经网络模型的标签，通过训练获得网络入侵类型模型；并对网络入侵类型模型进行验证，当网络入侵类型模型的分类准确率达到阈值后，作为建立好的网络入侵类型模型；步骤二、利用不同已知类型的网络入侵检对象模拟网络入侵，同时通过布置ELK日志分析平台的主机进行对所有日志文件进行监控，并进行数据挖掘，获取在模拟网络入侵时发生异常的日志文件及对应日志文件中的异常数据；基于ELK日志分析平台对发生发生异常的日志文件及对应日志文件中的异常数据作为重点监测对象；同时建立日志文件及日志文件中的异常数据对应的异常数据库；步骤三、基于网络入侵类型模型，利用Bro的分析函数定义事件引擎和规则引擎进行实时进行网络入侵监控；同时对重点监测对象进行监控；当进行网络入侵监控时，能够通过网络入侵类型模型确定对应网络入侵类型则发出报警信息，同时利用ELK日志分析平台检测发生变化的日志文件及日志文件中的异常数据，如果该日志文件及日志文件中的异常数据并没有在重点检测对象中，则将其加入重点检测对象中；当进行网络入侵监控时不能通过网络入侵类型模型确定对应网络入侵类型，但是重点检测对象中对应的日志文件及日志文件中数据发生改变，则发出报警信息；并在用户确认的基础上，将发生改变的日志文件及日志文件中数据对应的网络通信作为已知网络入侵类型返回步骤一完善网络入侵类型模型；当重点检测对象中对应的日志文件及日志文件中数据没有发生改变，但是除了重点检测对象中的日志文件及日志文件中数据以外的其他日志文件及日志文件中数据发生了变化，则发出提示信息，提示用户利用ELK日志分析平台对发生变化的日志文件及日志文件中数据进行分析，并进一步检查是否有网络入侵发生。