[发明专利]一种混合入侵检测系统及方法

摘要

本发明公开了一种混合入侵检测系统及方法，采用基于网络行为的两层混合入侵检测方式，第一异常检测模块作为第一检测阶段，第二异常检测模块和误用检测模块作为第二检测阶段，利用两个检测阶段紧密配合，第二检测阶段的两个检测模块对第一检测阶段的检测模块的检测结果进行二次识别，进而识别出第一检测阶段的检测结果中存在的误报和漏报情况，进一步提升了整体入侵检测的准确率。

主权项

1.一种混合入侵检测系统，其特征在于，包括：第一异常检测模块，用于检测网络行为是否为异常行为，并输出第一检测结果；第二异常检测模块，用于在所述第一异常检测模块输出的第一检测结果为异常行为的情况下，检测所述第一异常检测模块输出的第一检测结果是否为误报，在所述第一异常检测模块输出的第一检测结果是误报的情况下，输出所述网络行为为正常行为的第二检测结果，在所述第一异常检测模块输出的第一检测结果不是误报的情况下，输出所述网络行为为异常行为的第二检测结果；误用检测模块，用于在所述第一异常检测模块输出的第一检测结果为正常行为的情况下，检测所述网络行为是否为与正常行为相似的异常行为，在所述网络行为是与正常行为相似的异常行为的情况下，输出所述网络行为为异常行为的第三检测结果，在所述网络行为不是与正常行为相似的异常行为的情况下，输出所述网络行为为正常行为的第三检测结果。