[发明专利]入侵检测系统

权利要求书

1.一种入侵检测系统，其特征在于，所述系统包括事件产生器、预先构建的事件分析器和响应器；其中，

所述事件产生器，用于监控并获取目标监控环境中的事件，将所述事件发送至预先构建的事件分析器；

所述预先构建的事件分析器，用于针对所述事件进行检测分类，得到所述事件的事件类型，将所述事件发送至所述响应器；

所述响应器，用于根据所述事件类型，针对所述事件作出相应的响应行为。

2.根据权利要求1所述的系统，其特征在于，所述系统还包括训练模块；所述训练模块，用于获取所述目标监控环境中的历史事件集，利用所述历史事件集对事件分析器进行训练，得到所述预先构建的事件分析器；其中，所述历史事件集中的历史事件的事件类型已知。

3.根据权利要求2所述的系统，其特征在于，所述事件分析器包括数据预处理模块、判断模块和分类器；其中，

所述数据预处理模块，用于获取所述事件的特征值，针对所述事件的特征值进行离散化和归一化得到标准特征值，将所述标准特征值发送至所述判断模块；

所述判断模块，用于判断所述标准特征值的总个数是否小于预设阈值；若是，则将所述事件发送至所述分类器；

所述分类器，用于根据所述标准特征值对所述事件进行分类，得到所述事件的事件类型。

4.根据权利要求3所述的系统，其特征在于，所述事件分析器还包括特征选择模块；

所述判断模块，用于判断所述标准特征值的总个数是否小于预设阈值；若否，则将所述事件发送至所述特征选择模块；

所述特征选择模块，用于根据所述事件的所述标准特征值进行特征选择，得到满足预设条件的特征值子集；将所述特征值子集发送至所述分类器，以使所述分类器根据所述特征值子集对所述事件进行分类，得到所述事件的事件类型。

5.根据权利要求3所述的系统，其特征在于，所述响应器包括日志记录模块；所述日志记录模块与所述分类器连接；

所述日志记录模块，用于从所述分类器接收所述事件以及相应的事件类型并存储。

6.根据权利要求3所述的系统，其特征在于，所述响应器还包括报警模块和响应模块；所述报警模块与所述分类器连接；

所述分类器，用于在判断所述事件的事件类型为入侵事件时，将所述入侵事件发送至所述报警模块；

所述报警模块，用于向管理端口发送报警信息；将所述入侵事件发送至响应模块，以指示所述响应模块作出相应的响应行为。

7.根据权利要求3所述的系统，其特征在于，所述分类器是基于ID3决策树算法构建的。

8.根据权利要求4所述的系统，其特征在于，所述特征选择模块是利用基于信息增益的算法构建的。

9.根据权利要求8所述的系统，其特征在于，所述基于信息增益的算法包括C4.5算法。

10.根据权利要求1至9任一项所述的系统，其特征在于，所述系统还包括事件数据库：

所述事件数据库用于存储所述事件、所述事件的事件类型以及所述报警信息。