[发明专利]基于主机的入侵检测方法及装置

权利要求书

1.一种基于主机的入侵检测方法，其特征在于，包括：

建立正常行为模式规则库和入侵行为模式规则库；

检测主机的行为样本数据信息，将所述行为样本数据信息分别与所述正常行为模式规则库和所述入侵行为模式规则库进行匹配；

若判断出所述行为样本数据信息与所述正常行为模式规则库和所述入侵行为模式规则库均不匹配，则分别计算所述行为样本数据信息与所述正常行为模式规则库中的正常行为模式的亲和度及与所述入侵行为模式规则库中的入侵行为模式的亲和度；

根据所述行为样本数据信息与所述正常行为模式规则库中的正常行为模式的亲和度及与所述入侵行为模式规则库中的入侵行为模式的亲和度判断所述行为样本数据信息对应的样本行为是否为入侵行为。

2.根据权利要求1所述的基于主机的入侵检测方法，其特征在于，还包括：

将所述行为样本数据信息与所述入侵行为模式进行匹配；

若匹配成功，则确定所述样本行为为入侵行为，并发出告警信号。

3.根据权利要求1所述的基于主机的入侵检测方法，其特征在于，还包括：

若将所述行为样本数据信息与所述入侵行为模式匹配失败且与所述正常行为模式匹配成功，则确定所述行为样本数据信息为正常操作。

4.根据权利要求1所述的基于主机的入侵检测方法，其特征在于，所述根据所述亲和度判断所述行为样本数据信息是否为入侵行为，包括：

若所述行为样本数据信息与所述正常行为模式的亲和度大于或等于与所述入侵行为模式的亲和度，则确定所述行为样本数据信息为正常操作；

若所述行为样本数据信息与所述正常行为模式的亲和度小于与所述入侵行为模式的亲和度，则确定所述行为样本数据信息对应的样本行为为入侵行为。

5.根据权利要求1所述的基于主机的入侵检测方法，其特征在于，所述分别计算所述行为样本数据信息与所述正常行为模式规则库中的正常行为模式的亲和度及与所述入侵行为模式规则库中的入侵行为模式的亲和度，包括：

确定所述样本行为数据信息对应的数值型特征数据、所述正常行为模式及所述入侵行为模式分别对应的数值型特征向量；所述数值型特征向量为区间标度型向量；

根据所述入侵行为模式对应的数值型特征向量、所述数值型特征数据及预设的所述数值型特征数据中各特征值的权重，确定所述行为样本数据信息与所述入侵行为模式之间的第一亲和系数；

根据所述正常行为模式对应的数值型特征向量、所述数值型特征数据及所述权重，确定所述行为样本数据信息与所述正常行为模式之间的第二亲和系数。

6.根据权利要求5所述的基于主机的入侵检测方法，其特征在于，采用序关系分析法确定所述各特征值的权重。

7.根据权利要求5所述的基于主机的入侵检测方法，其特征在于，还包括：

确定所述入侵行为模式规则库中的各入侵行为模式所对应的第一亲和系数中的第一最大值；

确定所述正常行为模式规则库中的各正常行为模式所对应的第二亲和系数中的第二最大值；

比较所述第一最大值与所述第二最大值，并根据比较结果确定所述样本行为是否为入侵行为。

8.一种基于主机的入侵检测装置，其特征在于，包括：

规则库模块，用于建立正常行为模式规则库和入侵行为模式规则库；

检测模块，用于检测主机的行为样本数据信息，将所述行为样本数据信息分别与所述正常行为模式规则库和所述入侵行为模式规则库进行匹配；

计算模块，用于若判断出所述行为样本数据信息与所述正常行为模式规则库和所述入侵行为模式规则库均不匹配，则分别计算所述行为样本数据信息与所述正常行为模式规则库中的正常行为模式的亲和度及与所述入侵行为模式规则库中的入侵行为模式的亲和度；

第一判断模块，用于根据所述行为样本数据信息与所述正常行为模式规则库中的正常行为模式的亲和度及与所述入侵行为模式规则库中的入侵行为模式的亲和度判断所述行为样本数据信息对应的样本行为是否为入侵行为。