[发明专利]一种基于流量特征分析的分布式入侵检测方法

权利要求书

1.一种分布式入侵检测方法，包括一种改进的流量检测算法——阈值回归算法，一种分布式部署方式，其特征是：基于JADE平台，将系统中的代理分为两类：智能决策分析代理和数据采集、独立入侵条件监测代理。其中，数据采集、独立入侵条件监测代理主要针对入侵特征明确的网络入侵行为进行检测；智能决策分析代理通过阈值回归算法对网络流量中不同统计特征量，包括流量带宽、新源IP地址等进行综合监测并结合数据采集、独立入侵条件代理传送的相关信息实现网络异常检测，有效提高入侵检测效率和准确性。

2.根据权利要求1所述的分布式入侵检测方法，其特征是：入侵检测方法选取如下三个网络流量统计特征指标，外部网络与内部网络之间第一英里路由的下行网络流量；新源IP地址；SYN包数量、FIN包及RST包的数量之和在总数据包中的比例。

3.根据权利要求1所述的分布式入侵检测方法，其特征是采用智能决策分析代理和数据采集、独立入侵条件监测代理实施入侵检测：数据采集、独立入侵条件监测代理针对入侵特征明确的网络入侵行为进行检测，包括两类Agent节点，一类是部署智能分析和决策Agent的节点设置局域网连接外部网络的路由端口镜像，即从该类节点可以分析或捕捉到整个网络的上行或下行网络流量。另一类是部署单一特征入侵检测Agent的节点捕捉对端类型的网络攻击，在该类节点处部署单一特征入侵检测Agent对上述类型攻击新型检测。该节点处的主要接口有：数据包分析接口、终端报警接口。