[发明专利]一种混合入侵检测系统及方法

权利要求书

1.一种混合入侵检测系统，其特征在于，包括：

第一异常检测模块，用于检测网络行为是否为异常行为，并输出第一检测结果；

第二异常检测模块，用于在所述第一异常检测模块输出的第一检测结果为异常行为的情况下，检测所述第一异常检测模块输出的第一检测结果是否为误报，在所述第一异常检测模块输出的第一检测结果是误报的情况下，输出所述网络行为为正常行为的第二检测结果，在所述第一异常检测模块输出的第一检测结果不是误报的情况下，输出所述网络行为为异常行为的第二检测结果；

误用检测模块，用于在所述第一异常检测模块输出的第一检测结果为正常行为的情况下，检测所述网络行为是否为与正常行为相似的异常行为，在所述网络行为是与正常行为相似的异常行为的情况下，输出所述网络行为为异常行为的第三检测结果，在所述网络行为不是与正常行为相似的异常行为的情况下，输出所述网络行为为正常行为的第三检测结果。

2.如权利要求1所述的混合入侵检测系统，其特征在于，所述第一异常检测模块，具体用于：

建立正常行为模型；

根据上述正常行为模型检测所述网络行为是否为异常行为。

3.如权利要求1所述的混合入侵检测系统，其特征在于，所述第二异常检测模块，具体用于：

根据K邻近分类算法检测所述网络行为是否为异常行为；

在所述网络行为为正常行为的情况下，所述第一异常检测模块输出的第一检测结果是误报，输出所述网络行为为正常行为的第二检测结果；

在所述网络行为为异常行为的情况下，所述一异常检测模块输出的第一检测结果不是误报，输出所述网络行为为异常行为的第二检测结果。

4.如权利要求1所述的混合入侵检测系统，其特征在于，所述误用检测模块，具体用于：

根据预设时间段内用户的行为模式构建用户行为模式集；

检测所述用户行为模式集中是否存在与所述网络行为相同或相似的行为模式；

在所述用户行为模式集中存在与所述网络行为相同或相似的行为模式的情况下，所述网络行为不是与正常行为相似的异常行为，输出所述网络行为为正常行为的第三检测结果；

在所述用户行为模式集中不存在与所述网络行为相同或相似的行为模式的情况下，所述网络行为是与正常行为相似的异常行为，输出所述网络行为为异常行为的第三检测结果。

5.如权利要求1至4中任一项所述的混合入侵检测系统，其特征在于，所述网络行为至少包括以下之一：网页浏览行为、评论行为、系统交互行为、跨网交换行为、社交协作行为、文件访问行为。

6.一种混合入侵检测方法，其特征在于，包括：

S1，检测网络行为是否为异常行为，并输出第一检测结果，在所述第一异常检测模块输出的第一检测结果为异常行为的情况下，执行步骤S2，在所述第一异常检测模块输出的第一检测结果为正常行为的情况下，执行步骤S3；

S2，检测所述第一异常检测模块输出的第一检测结果是否为误报，在所述第一异常检测模块输出的第一检测结果是误报的情况下，输出所述网络行为为正常行为的第二检测结果，在所述第一异常检测模块输出的第一检测结果不是误报的情况下，输出所述网络行为为异常行为的第二检测结果；

S3，检测所述网络行为是否为与正常行为相似的异常行为，在所述网络行为是与正常行为相似的异常行为的情况下，输出所述网络行为为异常行为的第三检测结果，在所述网络行为不是与正常行为相似的异常行为的情况下，输出所述网络行为为正常行为的第三检测结果。

7.如权利要求6所述的混合入侵检测方法，其特征在于，所述检测网络行为是否为异常行为，包括：

建立正常行为模型；

根据上述正常行为模型检测所述网络行为是否为异常行为。