[发明专利]一种网络入侵检测方法、装置、系统及存储介质

权利要求书

1.一种网络入侵检测方法，其特征在于，包括：

初始化分布式计算系统，检测节点向管控节点上报节点信息；

将特征规则库分配到对应的检测组的所述检测节点，利用流复制技术将同一份业务数据镜像流量复制到不同分布式的所述检测组；

根据所述流复制技术复制到所述检测组的流量大小以控制所述业务数据分流到单个检测节点或同一所述特征规则库的所述检测组的所述检测节点；

所述检测节点接收到待检测报文，根据所述特征规则库进行匹配检测并输出检测结果至所述管控节点。

2.根据权利要求1所述的一种网络入侵检测方法，其特征在于，还包括：

所述管控节点根据所述检测结果进行告警或者主动反应措施。

3.根据权利要求1所述的网络入侵检测方法，其特征在于，所述流复制技术包括：SDN交换机流复制技术、分流负载技术。

4.根据权利要求1所述的网络入侵检测方法，其特征在于，根据所述流复制技术复制到所述检测组的流量大小以控制所述业务数据分流到单个检测节点或同一所述特征规则库的所述检测组的所述检测节点具体包括：

若所述流复制技术复制到所述检测组的流量超过单个所述检测节点的处理能力，根据所述流复制技术将所述业务数据按IP端口或会话进行负载分流到相同所述特征规则库的所述检测组；

若所述流复制技术复制到所述检测组的流量位于单个所述检测节点的处理能力内，根据所述流复制技术将所述业务数据分流至单个所述检测节点。

5.根据权利要求1所述的网络入侵检测方法，其特征在于，所述检测节点的检测过程具体包括：

检测节点在接收到所述业务数据后，将所述业务数据缓存在收包缓存队列中；

检测引擎从所述收包缓存中读取所述业务数据，所述检测引擎解析所述业务数据后与所述特征规则库内的数据匹配；

若数据匹配成功，则结束所述业务数据的检测并输出检测结果至所述管控节点。

6.根据权利要求1所述网络入侵检测方法，其特征在于，还包括：所述管控节点根据当前所述业务数据的流量自主增加和删减所述检测组内的检测节点。

7.一种网络入侵检测装置，其特征在于，包括：

初始化模块，用于初始化分布式计算系统；

分配模块，用于将特征规则库分配到对应的检测组；

复制模块，用于根据sdn交换机流复制技术将同一份业务数据镜像流量复制到不同分布式的检测组；

计算模块，用于计算所述sdn交换机流复制技术镜像流量复制的所述业务数据的流量大小；

分流模块，根据流量大小将所述业务数据分流到单个检测节点或所述检测组

检测模块，用于根据所述特征规则库检测所述业务数据并输出检测结果至管控节点。

8.根据权利要求7所述的一种网络入侵检测装置，其特征在于，所述检测模块包括：

接收子模块，用于接收所述业务数据；

缓存子模块，用于将所述业务数据存储在缓存队列中；

读取子模块，用于采用检测从缓存队列中读取待检测的所述业务数据；

解析子模块，用于将所述业务数据进行解析；

检测子模块，用于根据所述特征规则库检测解析后的所述业务数据是否匹配；

结果输出子模块，用于根据匹配结果输出对应的检测结果。

9.一种网络入侵检测系统，其特征在于，包括存储装置和处理器，所述存储装置上存储有所述处理器运行的计算机程序，所述计算机程序在被所述处理器运行时执行如权利要求1-6中任一项所述的网络入侵检测方法。

10.一种存储介质，其特征在于，所述存储介质上存储有计算机程序，所述计算机程序在运行时执行如权利要求1-6中任一项所述的网络入侵检测方法。