【CN110086767A】一种混合入侵检测系统及方法【专利】

合集下载

一种混合式网络入侵检测系统

过大则判定新包属于异常。该算法实现简要步骤如下：（）１给定一个正常网络流量的数据包集合作为训练集，对
于每一个数据包，统计向量ｆｅ［一５］ｒｑｋ为字符值ｒｑＯ２５，ｆｅ［］
１单一检测模式系统
１１Ｓｎｒ．ｏｔ
（∈［，５］０２５）在该数据包中出现的频率，向量反映了数据包该
［ｙｗｏｄ］ｉｔｓｎｄｔｔｎａｏｌｅｃｉｎｍｉｓｅｅｔｎｈｂｉｔｓｎｄｔｃｏＫｅｒｓｎｒｉｅｅｉ；ｎｍａｄｔｔ；ｓｅｄｔｃｉ；ｙｒｉｒｉｅｅｔｎｕｏｃｏｙｅｏｕｏｄｎｕｏｉ
入侵检测系统从检测算法上基本分为２类：异常检测（ｎｍａｅｅｔｎ和误用检测（ｓｓｅｃｉｎＪ异常检测ａｏｌｄｔｃｏ）Ｙｉｍｉｅｔｔ）。ｕｄｅｏ首先学习正常行为的特征，当检测到的行为与正常行为有重大偏离时即被认为是入侵行为。误用检测预先定义所有不可接受行为的特征，任何能够与之匹配的行为都会引起报警。
Ｉ，ｃｍｂｎｎｓｓｅｅｔｏｏｄａｏａｙｄｔｃｉｎｍｏｅｈｅｍｅｏａｖｒｏｅｓｒｃｍｎｓｏＤＳｕｉｇｓｎｌｏｅＤＳｏｉｉｇｍｉｕｅｄｔｃｉｎｍｄｅａｎｎｍｌｅｅｔｏｄ，ｔｔｄＣｈｎｏｅｃｍｅｔｈｏｔｏｈｉｇｆＩｓｎｉｇｅｍｄ・ＥｘｅｍｅｔｈｗａｅｍｅｏｄＣｐｒｉｎｓｓｏｔｔｈｅｎｗｔｈｔｈａｉｒｖＤＳｄｅｅｔｏａｅａｄｄｃｅｓａｓｅｓｅｆｃｉｅｙ．ｎｍｐｏｅＩｔｃｉｎｒｔｎｅｒａｅｆｌｅａｒｆｅｔｖｌｌｔ

一种入侵信号诊断系统和方法[发明专利]

专利名称：一种入侵信号诊断系统和方法专利类型：发明专利
发明人：熊卫华,任嘉锋,季瑞松,梁坤,刘鹏申请号：CN201810224196.0
申请日：20180319
公开号：CN108506736A
公开日：
20180907
专利内容由知识产权出版社提供
摘要：本发明公开了一种入侵信号诊断系统和方法，所述入侵信号诊断系统和方法通过采集原始信号，使用EEMD将原始信号分解成IMF分量，然后经过去噪重构，并通过频谱质心法提取重构信号的频谱质心，将其作为特征量导入LS‑SVM进行回归预测，从而诊断出入侵信号。

申请人：浙江理工大学
地址：310018 浙江省杭州市江干区下沙高教园白杨街道2号大街928号
国籍：CN
代理机构：无锡市汇诚永信专利代理事务所(普通合伙)
代理人：张欢勇
更多信息请下载全文后查看。

入侵检测系统及其检测方法[发明专利]

专利名称：入侵检测系统及其检测方法专利类型：发明专利
发明人：肖小剑
申请号：CN201010616341.3
申请日：20101231
公开号：CN102571719A
公开日：
20120711
专利内容由知识产权出版社提供
摘要：本发明公开了一种入侵检测系统及其检测方法，克服现有技术中无线网络安全性较低的缺陷。

其中该入侵检测系统包括：攻击事件库，用于存储预先设置的无线网络攻击事件模型；捕包模块，用于从无线网络上捕获无线数据包；解码解密模块，用于对所述无线数据包进行解码解密，获得明文数据包；协议解析模块，用于对所述明文数据包进行协议解析，获得明文数据与无线网络协议；检测模块，用于根据所述无线网络攻击事件模型及无线网络协议对所述明文数据进行匹配检测，获得检测结果。

本发明的技术方案可以检测出攻击者对无线网络的攻击事件，提高了无线网络的安全性。

申请人：北京启明星辰信息技术股份有限公司,北京启明星辰信息安全技术有限公司
地址：100193 北京市海淀区东北旺西路8号中关村软件园21号楼启明星辰大厦
国籍：CN
代理机构：北京安信方达知识产权代理有限公司
更多信息请下载全文后查看。

一种基于机器学习的入侵检测系统及方法[发明专利]

(19)中华人民共和国国家知识产权局(12)发明专利申请(10)申请公布号 (43)申请公布日 (21)申请号 201810751136.4(22)申请日 2018.07.10(71)申请人阜阳职业技术学院地址 236031 安徽省阜阳市阜南路465号(72)发明人刘涛　(74)专利代理机构重庆市信立达专利代理事务所(普通合伙) 50230代理人包晓静(51)Int.Cl.G06F 21/55(2013.01)G06K 9/62(2006.01)(54)发明名称一种基于机器学习的入侵检测系统及方法(57)摘要本发明属于人工智能领域，公开了一种基于机器学习的入侵检测系统及方法，参考已有的网络安全模型和入侵检测模型，针对实际应用中的需求，构建一种基于机器学习的入侵检测系统框架；首先，采用特征选择方法降低入侵检测中安全数据高维度的特征维度；其次，采用粒子群优化人工神经网络的算法，用以提高检测准确率；第三，采用两种典型的聚类分析算法实现入侵检测中误报的消除。

本发明构建的基于机器学习的入侵检测系统框架采用模块化的设计，具有一定的通用性，提出了一种新的入侵检测方法，将协议分析技术和聚类支持向量机相结合，提高聚类支持向量机的检测效率，通过计算机软件有效地改进算法，进一步提高检测率，降低了误报率。

权利要求书1页说明书9页附图3页CN 109086603 A 2018.12.25C N 109086603A1.一种基于机器学习的入侵检测方法，其特征在于，所述基于机器学习的入侵检测方法包括：采用特征选择方法降低入侵检测中安全数据高维度的特征维度；采用粒子群优化人工神经网络的算法；采用两种典型的聚类分析算法实现入侵检测中误报的消除。

2.如权利要求1所述的基于机器学习的入侵检测方法，其特征在于，所述基于机器学习的入侵检测方法具体包括以下步骤：步骤一：参考已有的网络安全模型和入侵检测模型，针对实际应用中的需求，构建一种基于机器学习的入侵检测系统框架；步骤二：按照特征的重要性进行排序，给出安全数据的特征序列，引入K近邻算法与支持向量机算法作为分类器，构建包裹式特征选择方法，按照分类器的效果选择特征子集，所选择的特征子集作为入侵检测方法的实验数据特征；步骤三：采用粒子群优化算法对径向基函数神经网络进行优化的方法，并实现相应的算法；步骤四：采用聚类分析对误报进行消除的方法，将入侵检测系统的警报结果中真实的警报和误报分离开；步骤五：基于历史数据和对应BMU最佳匹配神经元的距离，采用t分布原理，构建置信区间；步骤六：将协议分析技术和聚类支持向量机相结合，利用分类支持向量机和单类支持向量机对网络入侵检测和网络异常检测；步骤七：采用基于特征压缩和分支剪裁的直推式网络异常检测方法，并采用VC++和matlab能将其实现。

一种混合式入侵检测系统

一种混合式入侵检测系统彭建;刘凯【期刊名称】《微计算机信息》【年(卷),期】2012(000)001【摘要】For existing intrusion detection system using a single test mode is difficult to tackle the issue of omission and misstatement,this paper proposed a new SHIDS（Serial Hybrid Intrusion Detection System）.We start from the open source software SNORT and then combines two different detect pattern together.The result shows that SHIDS has covers the shortage of single test mode while unknown viruses have also beenpre-judgment：1） SHIDS has a lower omission rate and a faster detection speed 2） SHIDS has a lower misstatement rate and a higher explanatory.%针对现有入侵检测系统采用单一检测模式难以有效地解决漏报和误报问题,本文从开源软件snort系统开始分析,提出一种混合式入侵检测系统SHIDS（A Serial Hybrid Intrusion Detection System）,将两种不同检测模式相结合,较好解决单一检测模式不足,同时对未知病毒也进行了预判。

实验结果显示,SHIDS比误用检测系统漏报率低,检测速率较快;比异常检测误报率低,解释性也较强。

【总页数】3页(P130-131,59)【作者】彭建;刘凯【作者单位】长沙理工大学计算机与通信工程学院,长沙410114;长沙理工大学计算机与通信工程学院,长沙410114【正文语种】中文【中图分类】TP393.08【相关文献】1.基于多代理的混合式入侵检测系统模型 [J], 张宝军;潘雪增;王界兵;平玲娣2.一种混合式入侵检测系统的研究与设计 [J], 许占文;张锦;王鹤祥3.混合式入侵检测系统的研究 [J], 侍伟敏4.一种混合式网络入侵检测系统 [J], 孙云;黄皓5.三层混合式网络入侵检测系统研究及实现 [J], 罗桂琼因版权原因，仅展示原文概要，查看原文内容请购买。

1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。

(19)中华人民共和国国家知识产权局
(12)发明专利申请
(10)申请公布号 (43)申请公布日 (21)申请号 201910180422.4
(22)申请日 2019.03.11
(71)申请人中国电子科技集团公司电子科学研
究院
地址 100041 北京市石景山区双园路11号
(72)发明人雷璟　
(74)专利代理机构工业和信息化部电子专利中
心 11010
代理人张然
(51)Int.Cl.
H04L 29/06(2006.01)
(54)发明名称
一种混合入侵检测系统及方法
(57)摘要
本发明公开了一种混合入侵检测系统及方
法，采用基于网络行为的两层混合入侵检测方
式，第一异常检测模块作为第一检测阶段，第二
异常检测模块和误用检测模块作为第二检测阶
段，利用两个检测阶段紧密配合，第二检测阶段
的两个检测模块对第一检测阶段的检测模块的
检测结果进行二次识别，进而识别出第一检测阶
段的检测结果中存在的误报和漏报情况，进一步
提升了整体入侵检测的准确率。

权利要求书2页说明书6页附图1页CN 110086767 A 2019.08.02
C N 110086767
A
权　利　要　求　书1/2页CN 110086767 A
1.一种混合入侵检测系统，其特征在于，包括：
第一异常检测模块，用于检测网络行为是否为异常行为，并输出第一检测结果；
第二异常检测模块，用于在所述第一异常检测模块输出的第一检测结果为异常行为的情况下，检测所述第一异常检测模块输出的第一检测结果是否为误报，在所述第一异常检测模块输出的第一检测结果是误报的情况下，输出所述网络行为为正常行为的第二检测结果，在所述第一异常检测模块输出的第一检测结果不是误报的情况下，输出所述网络行为为异常行为的第二检测结果；
误用检测模块，用于在所述第一异常检测模块输出的第一检测结果为正常行为的情况下，检测所述网络行为是否为与正常行为相似的异常行为，在所述网络行为是与正常行为相似的异常行为的情况下，输出所述网络行为为异常行为的第三检测结果，在所述网络行为不是与正常行为相似的异常行为的情况下，输出所述网络行为为正常行为的第三检测结果。

2.如权利要求1所述的混合入侵检测系统，其特征在于，所述第一异常检测模块，具体用于：
建立正常行为模型；
根据上述正常行为模型检测所述网络行为是否为异常行为。

3.如权利要求1所述的混合入侵检测系统，其特征在于，所述第二异常检测模块，具体用于：
根据K邻近分类算法检测所述网络行为是否为异常行为；
在所述网络行为为正常行为的情况下，所述第一异常检测模块输出的第一检测结果是误报，输出所述网络行为为正常行为的第二检测结果；
在所述网络行为为异常行为的情况下，所述一异常检测模块输出的第一检测结果不是误报，输出所述网络行为为异常行为的第二检测结果。

4.如权利要求1所述的混合入侵检测系统，其特征在于，所述误用检测模块，具体用于：
根据预设时间段内用户的行为模式构建用户行为模式集；
检测所述用户行为模式集中是否存在与所述网络行为相同或相似的行为模式；
在所述用户行为模式集中存在与所述网络行为相同或相似的行为模式的情况下，所述网络行为不是与正常行为相似的异常行为，输出所述网络行为为正常行为的第三检测结果；
在所述用户行为模式集中不存在与所述网络行为相同或相似的行为模式的情况下，所述网络行为是与正常行为相似的异常行为，输出所述网络行为为异常行为的第三检测结果。

5.如权利要求1至4中任一项所述的混合入侵检测系统，其特征在于，所述网络行为至少包括以下之一：网页浏览行为、评论行为、系统交互行为、跨网交换行为、社交协作行为、文件访问行为。

6.一种混合入侵检测方法，其特征在于，包括：
S1，检测网络行为是否为异常行为，并输出第一检测结果，在所述第一异常检测模块输出的第一检测结果为异常行为的情况下，执行步骤S2，在所述第一异常检测模块输出的第一检测结果为正常行为的情况下，执行步骤S3；
2。