一種網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)的制作方法
【專(zhuān)利摘要】本發(fā)明提供一種網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)。上述方法包括以下步驟：獲取預(yù)定時(shí)間段內(nèi)的訪(fǎng)問(wèn)數(shù)據(jù)；從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信息；根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷是否存在可疑訪(fǎng)問(wèn)。根據(jù)本發(fā)明提供的網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)，能夠高效檢測(cè)出利用HTTP隧道穿透技術(shù)的遠(yuǎn)控程序，提高系統(tǒng)安全性，并且無(wú)需在防火墻后面增加入侵檢測(cè)系統(tǒng)，減少系統(tǒng)成本。
【專(zhuān)利說(shuō)明】一種網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)

【技術(shù)領(lǐng)域】
[0001] 本發(fā)明屬于網(wǎng)絡(luò)通信領(lǐng)域，尤其涉及一種網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)。

【背景技術(shù)】
[0002] 木馬遠(yuǎn)控程序利用HTTP隧道穿透技術(shù)，會(huì)將私有的通信協(xié)議偽裝于HTTP協(xié)議中， 而同時(shí)由于業(yè)務(wù)需要，多數(shù)防火墻會(huì)讓HTTP數(shù)據(jù)包通過(guò)，這樣就會(huì)導(dǎo)致木馬遠(yuǎn)控程序的數(shù) 據(jù)包順利通過(guò)防火墻而威脅到內(nèi)網(wǎng)的安全。
[0003] 當(dāng)防火墻失效時(shí)，多數(shù)情況下內(nèi)網(wǎng)就直接暴露；一些稍強(qiáng)的防護(hù)系統(tǒng)在防火墻后 面還會(huì)有入侵檢測(cè)系統(tǒng)，然而入侵檢測(cè)系統(tǒng)造價(jià)較高，會(huì)無(wú)形中增加企業(yè)成本和負(fù)擔(dān)。HTTP 隧道技術(shù)的出現(xiàn)給企業(yè)內(nèi)部的網(wǎng)絡(luò)安全帶來(lái)了很大的威脅，對(duì)于如何高效地檢測(cè)使用該技 術(shù)通信的程序，依舊是一個(gè)難題。


【發(fā)明內(nèi)容】

[0004] 本發(fā)明提供一種網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)，以解決上述問(wèn)題。
[0005] 本發(fā)明提供一種網(wǎng)絡(luò)入侵檢測(cè)方法。上述方法包括以下步驟：獲取預(yù)定時(shí)間段內(nèi) 的訪(fǎng)問(wèn)數(shù)據(jù)；從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信息；根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷 是否存在可疑訪(fǎng)問(wèn)。
[0006] 本發(fā)明還提供了一種網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，包括：數(shù)據(jù)獲取單元，連接至特征提取單 元，用于獲取預(yù)定時(shí)間段內(nèi)的訪(fǎng)問(wèn)數(shù)據(jù)并將所述訪(fǎng)問(wèn)數(shù)據(jù)發(fā)送至所述特征提取單元；所述 特征提取單元，用于接收來(lái)自所述數(shù)據(jù)獲取單元的訪(fǎng)問(wèn)數(shù)據(jù)，并從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng) 問(wèn)參數(shù)特征信息，以及將所述訪(fǎng)問(wèn)參數(shù)特征信息發(fā)送至判斷單元；所述判斷單元，連接至所 述特征提取單元，用于根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷是否存在可疑訪(fǎng)問(wèn)。
[0007] 相較于先前技術(shù)，根據(jù)本發(fā)明提供的網(wǎng)絡(luò)入侵檢測(cè)方法及系統(tǒng)，能夠高效檢測(cè)出 利用HTTP隧道穿透技術(shù)的遠(yuǎn)控程序，提高系統(tǒng)安全性，并且無(wú)需在防火墻后面增加入侵檢 測(cè)系統(tǒng)，減少系統(tǒng)成本。

【專(zhuān)利附圖】

【附圖說(shuō)明】
[0008] 此處所說(shuō)明的附圖用來(lái)提供對(duì)本發(fā)明的進(jìn)一步理解，構(gòu)成本申請(qǐng)的一部分，本發(fā) 明的示意性實(shí)施例及其說(shuō)明用于解釋本發(fā)明，并不構(gòu)成對(duì)本發(fā)明的不當(dāng)限定。在附圖中：
[0009] 圖1所示為根據(jù)本發(fā)明的一較佳實(shí)施例提供的網(wǎng)絡(luò)入侵檢測(cè)方法的流程圖；
[0010] 圖2所示為根據(jù)本發(fā)明的又一較佳實(shí)施例提供的網(wǎng)絡(luò)入侵檢測(cè)方法的流程圖；
[0011] 圖3所示為根據(jù)本發(fā)明的又一較佳實(shí)施例提供的網(wǎng)絡(luò)入侵檢測(cè)方法的流程圖；
[0012] 圖4所示為根據(jù)本發(fā)明的一較佳實(shí)施例提供的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的示意圖。

【具體實(shí)施方式】
[0013] 下文中將參考附圖并結(jié)合實(shí)施例來(lái)詳細(xì)說(shuō)明本發(fā)明。需要說(shuō)明的是，在不沖突的 情況下，本申請(qǐng)中的實(shí)施例及實(shí)施例中的特征可以相互組合。
[0014] 圖1所示為根據(jù)本發(fā)明的較佳實(shí)施例提供的網(wǎng)絡(luò)入侵檢測(cè)方法的流程圖。如圖1 所示，本發(fā)明的較佳實(shí)施例提供的在線(xiàn)課堂導(dǎo)播控制方法包括步驟102?106。
[0015] 在步驟102,獲取預(yù)定時(shí)間段內(nèi)的訪(fǎng)問(wèn)數(shù)據(jù)?？梢栽诰W(wǎng)絡(luò)層實(shí)時(shí)抓取數(shù)據(jù)包來(lái)獲取 訪(fǎng)問(wèn)數(shù)據(jù)，該訪(fǎng)問(wèn)數(shù)據(jù)例如三天之內(nèi)的訪(fǎng)問(wèn)數(shù)據(jù)，該訪(fǎng)問(wèn)數(shù)據(jù)是來(lái)自不同IP地址的統(tǒng)一資 源定位符（URL)。來(lái)自一個(gè)IP地址的一個(gè)URL就是一條訪(fǎng)問(wèn)記錄。
[0016] 在步驟104,從訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信息。
[0017] 在步驟106,根據(jù)訪(fǎng)問(wèn)參數(shù)特征信息判斷是否存在可疑訪(fǎng)問(wèn)。
[0018] 在一實(shí)施例中，從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信息并根據(jù)所述訪(fǎng)問(wèn)參數(shù)特 征信息判斷是否存在可疑訪(fǎng)問(wèn)的過(guò)程包括：
[0019] 判斷訪(fǎng)問(wèn)數(shù)據(jù)中訪(fǎng)問(wèn)記錄數(shù)目是否大于第一預(yù)設(shè)值；
[0020] 在訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目大于第一預(yù)設(shè)值時(shí)，計(jì)算訪(fǎng)問(wèn)數(shù)據(jù)中各條訪(fǎng)問(wèn)時(shí)間 記錄的時(shí)間間隔的方差值，將方差值作為提取出的所述訪(fǎng)問(wèn)參數(shù)特征信息；
[0021] 判斷方差值是否小于預(yù)設(shè)的方差臨界值；
[0022] 在所述方差值小于所述方差臨界值時(shí)，確定存在可疑訪(fǎng)問(wèn)。
[0023] 方差值小于方差臨界值說(shuō)明訪(fǎng)問(wèn)時(shí)間較為規(guī)律，那么該訪(fǎng)問(wèn)數(shù)據(jù)有可疑。
[0024] 在另一實(shí)施例中，從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信息并根據(jù)所述訪(fǎng)問(wèn)參數(shù) 特征信息判斷是否存在可疑訪(fǎng)問(wèn)的過(guò)程包括：：
[0025] 將訪(fǎng)問(wèn)數(shù)據(jù)與預(yù)設(shè)的可疑字符集進(jìn)行比對(duì)，以確定訪(fǎng)問(wèn)數(shù)據(jù)是否存在可疑字符集 中的可疑字符；
[0026] 若存在可疑字符，則在訪(fǎng)問(wèn)數(shù)據(jù)中添加可疑標(biāo)識(shí)；
[0027] 判斷訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目是否大于第二預(yù)設(shè)值；
[0028] 在所述訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目大于第二預(yù)設(shè)值時(shí)，采用模糊匹配算法處理訪(fǎng) 問(wèn)數(shù)據(jù)；
[0029] 根據(jù)模糊匹配算法的處理結(jié)果確定是否存在可疑訪(fǎng)問(wèn)。
[0030] 經(jīng)過(guò)一段時(shí)間統(tǒng)計(jì)之后，可以將確定是可疑訪(fǎng)問(wèn)數(shù)據(jù)中的關(guān)鍵字符數(shù)據(jù)記錄在可 疑字符集中。根據(jù)該可以字符集可對(duì)新的訪(fǎng)問(wèn)數(shù)據(jù)進(jìn)行初步判斷。在訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)數(shù) 據(jù)記錄數(shù)目較大時(shí)，可采用模糊匹配算法并結(jié)合之前根據(jù)可疑字符集的初步判斷結(jié)果來(lái)處 理訪(fǎng)問(wèn)數(shù)據(jù)，從而判斷是否存在可疑訪(fǎng)問(wèn)。
[0031] 其中，模糊匹配算法包括：
[0032] 取訪(fǎng)問(wèn)數(shù)據(jù)中的任意兩條統(tǒng)一資源定位符記錄；
[0033] 在任意兩條統(tǒng)一資源定位符記錄的長(zhǎng)度之差小于第三預(yù)設(shè)值時(shí)，獲取任意兩條統(tǒng) 一資源定位符記錄中的相同字符，并計(jì)算任意兩條統(tǒng)一資源定位符記錄之間的相似值； [0034] 在相似值大于第四預(yù)設(shè)值時(shí)，確定匹配成功，并檢測(cè)相同字符在訪(fǎng)問(wèn)數(shù)據(jù)中的出 現(xiàn)次數(shù)；
[0035] 若出現(xiàn)次數(shù)大于第五預(yù)設(shè)值，則確定存在可疑訪(fǎng)問(wèn)，并顯示第一可疑訪(fǎng)問(wèn)數(shù)據(jù)。
[0036] 將訪(fǎng)問(wèn)數(shù)據(jù)中的統(tǒng)一資源定位符進(jìn)行兩兩比較，尋找字符數(shù)相差較少的資源定位 符記錄對(duì)，并判斷每對(duì)資源定位符記錄的相似值，如果相似值大于某個(gè)值，則進(jìn)一步判斷相 同字符的出現(xiàn)次數(shù)。出現(xiàn)次數(shù)較多，說(shuō)明有可能是木馬遠(yuǎn)程控制程序的可疑訪(fǎng)問(wèn)。此外，將 所述相同字符加入所述可疑字符集，以更新可疑字符集。
[0037] 其中，所述模糊匹配算法還包括：
[0038] 在所述相似值小于等于所述第四預(yù)設(shè)值時(shí)，確定匹配失敗，進(jìn)一步判斷所述訪(fǎng)問(wèn) 數(shù)據(jù)中是否包含所述可疑標(biāo)識(shí)；
[0039] 若包含所述可疑標(biāo)識(shí)，則確定存在可疑訪(fǎng)問(wèn)，并顯示第二可疑訪(fǎng)問(wèn)數(shù)據(jù)。
[0040] 其中，所述相似值是所述相同字符的數(shù)目與所述任意兩條統(tǒng)一資源定位符記錄中 字符最少的統(tǒng)一資源定位符記錄的總字符數(shù)目之比。
[0041] 另外，在所述訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目小于等于所述第二預(yù)設(shè)值時(shí)，無(wú)需用模 糊匹配算法進(jìn)行處理，而是判斷所述訪(fǎng)問(wèn)數(shù)據(jù)中是否包含所述可疑標(biāo)識(shí)；若檢測(cè)到所述訪(fǎng) 問(wèn)數(shù)據(jù)中包含所述可疑標(biāo)識(shí)，則確定存在可疑訪(fǎng)問(wèn)，并顯示可疑訪(fǎng)問(wèn)數(shù)據(jù)。
[0042] 下面結(jié)合圖2和圖3詳細(xì)說(shuō)明根據(jù)本發(fā)明的又一實(shí)施例。
[0043] 數(shù)據(jù)包（訪(fǎng)問(wèn)數(shù)據(jù)）抓取后提取其中的目標(biāo)地址（IP地址）和訪(fǎng)問(wèn)時(shí)間交由動(dòng)態(tài) 行為分析模塊處理，動(dòng)態(tài)分析分析模塊對(duì)數(shù)據(jù)進(jìn)行實(shí)時(shí)分析，參考圖2。另外，提取其中的目 標(biāo)地址和訪(fǎng)問(wèn)URL后交由日志記錄模塊記錄日志，并由靜態(tài)特征分析模塊則對(duì)日志信息進(jìn) 行分析，分析結(jié)果通過(guò)信息顯示模塊顯示，并將分析數(shù)據(jù)保存于系統(tǒng)數(shù)據(jù)庫(kù)中，當(dāng)檢測(cè)結(jié)果 出現(xiàn)安全隱患時(shí)，則觸發(fā)隱患預(yù)警模塊報(bào)警告知管理員，參考圖3。
[0044] 如圖2所示，動(dòng)態(tài)行為分析模塊的處理過(guò)程如下：
[0045] 步驟202,首先讀取配置文件中的多項(xiàng)檢測(cè)預(yù)設(shè)值，包括訪(fǎng)問(wèn)記錄最大值，方差臨 界值和休眠時(shí)間。
[0046] 步驟204,獲取一段時(shí)間內(nèi)的訪(fǎng)問(wèn)記錄數(shù)據(jù)。
[0047] 步驟206,判斷獲取的訪(fǎng)問(wèn)記錄是否大于訪(fǎng)問(wèn)記錄最大值，如果大于最大值，則進(jìn) 入步驟208,否則進(jìn)入步驟214。
[0048] 步驟208，計(jì)算獲取的訪(fǎng)問(wèn)記錄對(duì)應(yīng)訪(fǎng)問(wèn)時(shí)間的方差。
[0049] 步驟210,接著判斷方差值是否大于方差臨界值，如果大于方差臨界值，則進(jìn)入步 驟214,否則進(jìn)入步驟212。
[0050] 步驟212,通知信息顯示模塊作進(jìn)一步處理，例如顯示可疑訪(fǎng)問(wèn)數(shù)據(jù)進(jìn)行報(bào)警。
[0051] 步驟214,最后動(dòng)態(tài)行為分析模塊休眠指定時(shí)間。如果在上述判斷中出現(xiàn)小于指定 預(yù)設(shè)值的情況，則模塊休眠指定時(shí)間后，繼續(xù)獲取新的訪(fǎng)問(wèn)記錄數(shù)據(jù)。
[0052] 其中，方差公式為：
[0053] 若訪(fǎng)問(wèn)時(shí)間間隔分為xl，x2, x3......xn且它們的平均數(shù)為m，則這組訪(fǎng)問(wèn)時(shí)間數(shù) 據(jù)的方差為：

【權(quán)利要求】
1. 一種網(wǎng)絡(luò)入侵檢測(cè)方法，其特征在于，包括以下步驟： 獲取預(yù)定時(shí)間段內(nèi)的訪(fǎng)問(wèn)數(shù)據(jù)； 從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信息； 根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷是否存在可疑訪(fǎng)問(wèn)。
2. 根據(jù)權(quán)利要求1所述的方法，其特征在于，從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信 息并根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷是否存在可疑訪(fǎng)問(wèn)的過(guò)程包括： 判斷所述訪(fǎng)問(wèn)數(shù)據(jù)中訪(fǎng)問(wèn)記錄數(shù)目是否大于第一預(yù)設(shè)值； 在所述訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目大于所述第一預(yù)設(shè)值時(shí)，計(jì)算所述訪(fǎng)問(wèn)數(shù)據(jù)中各條 訪(fǎng)問(wèn)時(shí)間記錄的時(shí)間間隔的方差值，將所述方差值作為提取出的所述訪(fǎng)問(wèn)參數(shù)特征信息； 判斷所述方差值是否小于預(yù)設(shè)的方差臨界值； 在所述方差值小于所述方差臨界值時(shí)，確定存在可疑訪(fǎng)問(wèn)。
3. 根據(jù)權(quán)利要求1所述的方法，其特征在于，從所述訪(fǎng)問(wèn)數(shù)據(jù)中提取訪(fǎng)問(wèn)參數(shù)特征信 息并根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷是否存在可疑訪(fǎng)問(wèn)的過(guò)程包括：： 將所述訪(fǎng)問(wèn)數(shù)據(jù)與預(yù)設(shè)的可疑字符集進(jìn)行比對(duì)，以確定所述訪(fǎng)問(wèn)數(shù)據(jù)是否存在所述可 疑字符集中的可疑字符； 若存在可疑字符，則在所述訪(fǎng)問(wèn)數(shù)據(jù)中添加可疑標(biāo)識(shí)； 判斷所述訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目是否大于第二預(yù)設(shè)值； 在所述訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記錄數(shù)目大于所述第二預(yù)設(shè)值時(shí)，采用模糊匹配算法處理所 述訪(fǎng)問(wèn)數(shù)據(jù)； 根據(jù)所述模糊匹配算法的處理結(jié)果確定是否存在可疑訪(fǎng)問(wèn)。
4. 根據(jù)權(quán)利要求3所述的方法，其特征在于，所述模糊匹配算法包括： 取所述訪(fǎng)問(wèn)數(shù)據(jù)中的任意兩條統(tǒng)一資源定位符記錄； 在所述任意兩條統(tǒng)一資源定位符記錄的長(zhǎng)度之差小于第三預(yù)設(shè)值時(shí)，獲取所述任意兩 條統(tǒng)一資源定位符記錄中的相同字符，并計(jì)算所述任意兩條統(tǒng)一資源定位符記錄之間的相 似值； 在所述相似值大于第四預(yù)設(shè)值時(shí)，確定匹配成功，并檢測(cè)所述相同字符在所述訪(fǎng)問(wèn)數(shù) 據(jù)中的出現(xiàn)次數(shù)； 若所述出現(xiàn)次數(shù)大于第五預(yù)設(shè)值，則確定存在可疑訪(fǎng)問(wèn)，并顯示第一可疑訪(fǎng)問(wèn)數(shù)據(jù)。
5. 根據(jù)權(quán)利要求4所述的方法，其特征在于，所述模糊匹配算法還包括： 若所述出現(xiàn)次數(shù)大于所述第五預(yù)設(shè)值，則將所述相同字符加入所述可疑字符集。
6. 根據(jù)權(quán)利要求4所述的方法，其特征在于，所述模糊匹配算法還包括： 在所述相似值小于等于所述第四預(yù)設(shè)值時(shí)，確定匹配失敗，進(jìn)一步判斷所述訪(fǎng)問(wèn)數(shù)據(jù) 中是否包含所述可疑標(biāo)識(shí)； 若包含所述可疑標(biāo)識(shí)，則確定存在可疑訪(fǎng)問(wèn)，并顯示第二可疑訪(fǎng)問(wèn)數(shù)據(jù)。
7. 根據(jù)權(quán)利要求4所述的方法，其特征在于，所述相似值是所述相同字符的數(shù)目與所 述任意兩條統(tǒng)一資源定位符記錄中字符最少的統(tǒng)一資源定位符記錄的總字符數(shù)目之比。
8. 根據(jù)權(quán)利要求3至7中任一項(xiàng)所述的方法，其特征在于，在所述訪(fǎng)問(wèn)數(shù)據(jù)中的訪(fǎng)問(wèn)記 錄數(shù)目小于等于所述第二預(yù)設(shè)值時(shí)，判斷所述訪(fǎng)問(wèn)數(shù)據(jù)中是否包含所述可疑標(biāo)識(shí)； 若檢測(cè)到所述訪(fǎng)問(wèn)數(shù)據(jù)中包含所述可疑標(biāo)識(shí)，則確定存在可疑訪(fǎng)問(wèn)，并顯示可疑訪(fǎng)問(wèn) 數(shù)據(jù)。
9. 一種網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，其特征在于，包括： 數(shù)據(jù)獲取單元，連接至特征提取單元，用于獲取預(yù)定時(shí)間段內(nèi)的訪(fǎng)問(wèn)數(shù)據(jù)并將所述訪(fǎng) 問(wèn)數(shù)據(jù)發(fā)送至所述特征提取單元； 所述特征提取單元，用于接收來(lái)自所述數(shù)據(jù)獲取單元的訪(fǎng)問(wèn)數(shù)據(jù)，并從所述訪(fǎng)問(wèn)數(shù)據(jù) 中提取訪(fǎng)問(wèn)參數(shù)特征信息，以及將所述訪(fǎng)問(wèn)參數(shù)特征信息發(fā)送至判斷單元； 所述判斷單元，連接至所述特征提取單元，用于根據(jù)所述訪(fǎng)問(wèn)參數(shù)特征信息判斷是否 存在可疑訪(fǎng)問(wèn)。
【文檔編號(hào)】H04L29/06GK104378361SQ201410577668
【公開(kāi)日】2015年2月25日 申請(qǐng)日期:2014年10月24日 優(yōu)先權(quán)日:2014年10月24日
【發(fā)明者】沈玉將, 趙杰 申請(qǐng)人:蘇州闊地網(wǎng)絡(luò)科技有限公司