[发明专利]入侵检测规则优化方法、装置、电子设备及存储介质

说明书

本发明的实施例公开一种入侵检测规则优化方法、装置、电子设备及存储介质，涉及网络安全技术领域，能够提高入侵检测效率。所述入侵检测规则优化方法，包括：获取初始的入侵检测规则；解析所述初始的入侵检测规则，获得规则内容；确定所述规则内容所匹配的目标位置和/或报文方向；根据所述目标位置和/或报文方向，对所述解析后的入侵检测规则进行优化。本发明适用于对入侵检测规则的优化。

技术领域

本发明涉及网络安全技术领域，尤其涉及一种入侵检测规则优化方法、装置、电子设备及存储介质。

背景技术

目前，网络越来越发达，也越来越复杂，也越来越受到各种非法攻击和非法入侵，因此入侵检测系统越来越重要。

网络入侵检测系统多种多样，常见的是一种基于规则的特征检测系统，此种系统能够准确的检测到某些特征的攻击，但该种入侵检测系统需要依赖于事先定义好的检测规则。

当前的入侵检测系统规则多数来源于检测系统相应的网络社区，而网络社区中规则的撰写者可能会存在水平参差不齐的情况，例如：某些规则描述不够严谨。

在实现本发明的过程中，发明人发现当描述不够严谨的规则加入到入侵检测系统后，会给入侵检测系统带来严重的压力，导致入侵检测效率不高。

发明内容

有鉴于此，本发明实施例提供一种入侵检测规则优化方法、装置、电子设备及存储介质，能够提高入侵检测效率。

第一方面，本发明实施例提供一种入侵检测规则优化方法，包括：获取初始的入侵检测规则；解析所述初始的入侵检测规则，获得规则内容；确定所述规则内容所匹配的目标位置和/或报文方向；根据所述目标位置和/或报文方向，对所述解析后的入侵检测规则进行优化。

结合第一方面，在第一方面的第一种可能的实现方式中，确定所述规则内容所匹配的目标位置和/或报文方向，包括：获取所述规则内容包括的内容模式或内容关键词；根据所述规则内容包含的内容模式或内容关键字，以及所述检测规则中的其它至少一个规则选项，确定所述规则内容所匹配的目标位置和/或报文方向。

结合第一方面的第一种可能的实现方式，在第一方面的第二种可能的实现方式中，所述检测规则中的其它至少一个规则选项，包括：端口号和/或内容关键词。

结合第一方面，在第一方面的第三种可能的实现方式中，根据所述目标位置和/或报文方向，对所述解析后的入侵检测规则进行优化，包括：根据所述目标位置和/或报文方向，在所述入侵检测规则中添加限制性关键词，所述限制性关键词描述待检测的目标位置和/或报文方向。

结合第一方面，在第一方面的第四种可能的实现方式中，在对所述解析后的入侵检测规则进行优化之后，所述方法还包括：接收审核通过指令；根据所述审核通过指令，利用优化后的入侵检测规则替换所述初始的入侵检测规则。

第二方面，本发明实施例提供一种入侵检测规则优化装置，包括：获取单元，用于获取初始的入侵检测规则；解析单元，用于解析所述初始的入侵检测规则，获得规则内容；确定单元，用于确定所述规则内容所匹配的目标位置和/或报文方向；优化单元，用于根据所述目标位置和/或报文方向，对所述解析后的入侵检测规则进行优化。

结合第二方面，在第二方面的第一种可能的实现方式中，所述确定单元，包括：获取模块，用于获取所述规则内容包括的内容模式或内容关键词；确定模块，用于根据所述规则内容包含的内容模式或内容关键字，以及所述检测规则中的其它至少一个规则选项，确定所述规则内容所匹配的目标位置和/或报文方向。

结合第二方面的第一种可能的实现方式，在第二方面的第二种可能的实现方式中，所述检测规则中的其它至少一个规则选项包括：端口号和/或内容关键词。