[发明专利]一种网络入侵检测方法、系统、设备和可读存储介质

说明书

本发明公开了一种网络入侵检测方法、系统、设备和可读存储介质，方法包括步骤1，选取网络入侵检测数据集；步骤2，根据访问的网络流量选取攻击特征行为；步骤3，根据步骤2选取的代表性特征行为属性，依据访问网络流量的二维端口矩阵组合分类构造数据分类器，通过数据分类器得出二维端口矩阵组合分类的网络流量频数分布；步骤4，依据网络流量频数分布建立Logit模型，通过Logit模型对网络流量进行攻击识别；步骤5，输出识别结果Y，并将攻击识别结果Y与概率切割值pi进行比较，当Y大于概率切割值pi是，输出Y＝1，判定网络流量属于网络攻击，反之，输出Y＝0，判断网络流量属于正常行为。通过将网络流量攻击问题转换为概率问题，降低了检测难度。

技术领域

本发明属于信息安全技术领域，具体属于一种网络入侵检测方法、系统、设备和可读存储介质。

背景技术

如今，智能终端和网络已经成为现代生活的重要组成部分，所以的娱乐、经济和通信方面都离不开计算机网络。为了保证计算机系统的安全性，需要各类的安全工具和方法来阻止各类网络攻击(如防火墙、加密等)。但是，尽管使用了不同的安全防范工具，许多企业和组织依然成为网络攻击的受害者。因此，有必要引入网络入侵检测方法来保护系统免受各种攻击。

网络入侵检测方法的诞生是为了克服现有工具(如防火墙、抗病毒、加密等)无法防范各种网络攻击的弱点。它的目标是监视网络系统的活动或行为，在发生攻击时识别并生成警报。入侵检测有两种检测方法：误用检测和异常检测。误用检测依赖于已知攻击(如抗病毒)的特征码列表，而异常检测依赖于为正常和攻击行为创建模型。

网络入侵检测方法是用来克服现有安全工具缺点的。近年来，基于网络入侵检测方法的研究者，利用统计分析、数据挖掘、机器学习、神经网络、支持向量机等方法分析检测。但是，现有技术的检测方法均存在分析过程复杂，检测时间长的问题。

发明内容

为了解决现有技术中存在的问题，本发明提供一种网络入侵检测方法、系统、设备和可读存储介质，较之于传统的网络入侵检测方法，简化了分析参数，降低了检测难度。

为实现上述目的，本发明提供如下技术方案：

一种网络入侵检测方法，包括以下步骤，

步骤1，选取网络入侵检测数据集；

步骤2，根据访问的网络流量选取攻击特征行为；

步骤3，根据步骤2选取的代表性特征行为属性，依据访问网络流量的二维端口矩阵组合分类构造数据分类器，通过数据分类器得出二维端口矩阵组合分类的网络流量频数分布；

步骤4，依据网络流量频数分布建立Logit模型，通过Logit模型对网络流量进行攻击识别；

步骤5，输出识别结果Y，并将攻击识别结果Y与概率切割值pi进行比较，当Y大于概率切割值pi时，输出Y＝1，判定网络流量属于网络攻击，反之，输出Y＝0，判断网络流量属于正常行为。

优选的，步骤1中，所述数据集为CIC-IDS2017数据集。

优选的，步骤2中，所述攻击特征行为的攻击类型包括PortScan、DDos、FTP-Patator、Dos Hulk、Dos GoldenEye、Dos Slowhttp、Dos Slowloris、Heartbleed、SSH-Patator、Web Attack-Brute Force、Web Attack-SQL Injection、Web Attack-XSS、Infiltration、Bot。

优选的，步骤3中，所述二维端口矩阵组合分类包括w_w、r_w、d_w、w_r、r_r、d_r、w_d、r_d和d_d；

其中w为公认端口；r为注册端口；d为动态端口。

优选的，步骤4中，所述Logit模型公式为：