[发明专利]用于待入侵检测处理的数据包进行抽样的方法与设备

说明书

技术领域

本发明涉及网络安全技术领域，尤其涉及一种用于待入侵检测处理的数据包进行抽样的技术。

背景技术

互联网在方便人们获取信息的同时，与其并存的网络安全问题也日益影响着人们的生活，如时常发生病毒分布式拒绝服务攻击(DDoS)、蠕虫(Worms)、端口扫描(Port Scan)等病毒侵袭网络，而现有技术中，为应对网络安全问题出现的入侵检测(Intrusion Detection)技术通常采用一定流量抽样方法如面向恶意攻击热点流量的流量抽样择方法FSH(Flow Sampling &Hold)、面向小规模攻击的基于反馈指导的流长抽样方法FFS(Feedback Flow Length Sampling)等来选择嫌疑度高的流量来提供入侵检测系统(IDS，Intrusion Detection Systerm)的检测效果及检测精度，然而，FFS算法虽可保证短流被抽中的概率比较大，但FFS算法与FSH算法组合在一起，就会有某种功能上的冲突，如当被FFS算法判定为超长流不再对该数据流进行抽样时，而若该数据流中的一个数据包却被FSH算法抽中，则该数据流中的后继数据包依然将被抽样。

发明内容

本发明的目的是提供一种用于待入侵检测处理的数据包进行抽样的方法与设备。

根据本发明的一个方面，提供了一种用于待入侵检测处理的数据包进行抽样的方法，其中，该方法包括以下步骤：

a获取待进行入侵检测处理的数据包；

b根据所述数据包的包特征信息，检测所述数据包所属的数据流是否待抽样；

c当所述数据包待抽样时，根据所述数据流的长度信息，确定所述数据流是否满足新流抽样条件；

d当所述数据流满足新流抽样条件时，按预定抽样概率对所述数据流进行抽样处理；

e当所述数据流被抽中时，将所述数据包用于入侵检测处理。

根据本发明的另一个方面，还提供了一种用于待入侵检测处理的数据包进行抽样的抽样设备，其中，该抽样设备包括：

获取装置，用于获取待进行入侵检测处理的数据包；

检测装置，用于根据所述数据包的包特征信息，检测所述数据包所属的数据流是否待抽样；

确定装置，用于当所述数据包待抽样时，根据所述数据流的长度信息，确定所述数据流是否满足新流抽样条件；

抽样处理装置，用于当所述数据流满足新流抽样条件时，按预定抽样概率对所述数据流进行抽样处理；

入侵检测装置，用于当所述数据流被抽中时，将所述数据包用于入侵检测处理。

根据本发明的再一个方面，还提供了一种计算机设备，其中，该计算机设备包括如前述根据本发明另一个方面的用于待入侵检测处理的数据包进行抽样的抽样设备。

与现有技术相比，本发明通过根据所述数据包的包特征信息，检测所述数据包所属的数据流是否待抽样，当所述数据包待抽样时，根据所述数据流的长度信息，确定所述数据流是否满足新流抽样条件，当所述数据流满足新流抽样条件时，按预定抽样概率对所述数据流进行抽样处理，当所述数据流被抽中时，将所述数据包用于入侵检测处理，实现了通过结合FSH和FFS两种算法，既实现了找出多点流和高抽样短流、低抽样长流、不抽样超长流的功能，同时克服了将FSH和FFS算法结合时的缺陷，还提高了可疑数据报的抽样效果，减少了IDS的处理负担，相应地，提高了IDS检测效果和检测精度。

附图说明

通过阅读参照以下附图所作的对非限制性实施例所作的详细描述，本发明的其它特征、目的和优点将会变得更明显：

图1示出根据本发明一个方面的用于待入侵检测处理的数据包进行抽样的设备示意图；

图2示出根据本发明另一个方面用于待入侵检测处理的数据包进行抽样的方法流程图。

附图中相同或相似的附图标记代表相同或相似的部件。

具体实施方式

下面结合附图对本发明作进一步详细描述。