[发明专利]一种根据队长自动调节检测方式的IDS理论建模方法

权利要求书

1.一种根据队长自动调节检测方式的IDS理论建模方法，其特征在于：具体包括如下步骤：

步骤1，对IDS进行参数设定；

所述步骤1的具体过程为：

设单位时间内平均有λ个数据包到达IDS，IDS根据待检队列的长度，自动调节对多媒体包的检测方式；具体为：

当待检队列的长度小于等于n时，IDS对多媒体包进行保守检测，设此时IDS在单位时间内的检测数为μ₁；

对于非多媒体包，检测引擎会把规则库中与数据包内通信协议所对应的所有规则进行检测，这种检测方式因为检测规则多，所以检测时间长，但是安全性高，这种检测方式称为保守检测；

当待检队列的长度超过n时，IDS对多媒体包进行单独检测，设此时IDS在单位时间内的检测数为μ₂；

多媒体包在多媒体规则子库中对应的检测规则较少，所以对多媒体进行区分性的单独检测能够提高效率，这种对多媒体包的检测方法称为单独检测；

步骤2，对IDS状态空间分析；

所述步骤2的具体过程为：

设p_k为待检队列的长度为k的概率，用ρ₁＝λ/μ₁表示检测引擎对多媒体包进行保守检测的检测强度，用ρ₂＝λ/μ₂表示检测引擎对多媒体包进行单独检测的检测强度，其中，k＝0，1，……；IDS状态空间的分析过程如下：

对于状态0：根据λp₀＝μ₁p₁，得p₁＝ρ₁p₀；

对于状态n-1：根据λp_n-1＝μ₁p_n，得

对于状态n：根据λp_n＝μ₂p_n+1，得

对于状态n+r-1：根据λp_n+r-1＝μ₂p_n+r，得r表示任意数；

因此，对任何状态k，p_k可以通过以下公式(1)表示：

另外，通过公式(2)

可以推导出p₀的值，如公式(3)所示

步骤3，计算IDS内数据包平均数、等待检测的数据包平均数和正在检测的数据包平均数；

所述步骤3的具体过程为：

IDS内数据包平均数L_s包括等待检测的数据包平均数L_q和正在检测的数据包平均数L_d，L_s的计算方法如公式(4)所示：

正在检测的数据包平均数L_d的计算方法如公式(5)所示：

L_d＝1-p₀ (5)；

等待检测的数据包平均数L_q的计算方法如公式(6)所示：

步骤4，计算数据包在系统中平均逗留时间和平均排队等待时间：

所述步骤4的具体过程为：

数据包在系统中平均逗留时间W_s的计算方法如公式(7)所示：

平均排队等待时间W_q的计算方法如公式(8)所示：