[发明专利]一种基于软件定义安全架构的入侵检测系统

权利要求书

1.一种基于软件定义安全架构的入侵检测系统，其特征在于，所述入侵检测系统包括SDN控制器、客户端模块以及云端模块；所述客户端模块包括客户端代理、通信传输模块以及数据包嗅探模块；所述云端模块包括云端代理、通信传输模块、入侵检测引擎；所述数据包嗅探模块采集网络数据并交付给客户端代理，所述客户端代理将数据封装并根据通信传输模块实现和云端代理通信，所述通信传输模块将采用云端代理与客户端自定义的通信协议。所述云端代理接收来自客户端模块发送的流量数据，并将流量数据送入所述入侵检测引擎检测，再将入侵检测的结果返回给客户端代理，通过所述SDN控制器实现快速响应和主动防御；所述入侵检测引擎采用基于Snort的特征检测技术和基于机器学习的异常检测技术。

2.根据权利要求1所述的一种基于软件定义安全架构的入侵检测系统，其特征在于，所述云端模块还包括专家规则库、机器学习库以及日志数据库，所述入侵检测引擎是通过专家规则库区分已知攻击和未知攻击。基于Snort的特征检测技术用于已知攻击的实时检测；未知攻击被送入机器学习库中训练学习，构建新规则实时补充专家规则库，并将数据包和检测结果记录到日志数据库中。

3.根据权利要求1所述的一种基于软件定义安全架构的入侵检测系统，其特征在于，所述异常检测技术利用增量式学习方法，根据顺序到达的数据流量，进行实时检测的增量式训练，保存到分类器模型，后续到达的新流量样本可通过已有模型自动识别分类，区分是否为恶意流量。

4.根据权利要求3所述的基于机器学习的异常检测技术，其特征在于，所述增量式学习方法包括离线部分和在线部分，主要步骤分别为离线训练模型，离线验证模型，在线增量学习，所述离线部分使用云端日志数据库历史数据，所述在线部分是基于实时新数据样本。