网络入侵检测系统及方法与流程

本发明涉及数字信息的传输，具体为网络入侵检测系统及方法。

背景技术：

1、网络入侵检测方法的研究，其核心驱动力源于网络安全威胁的持续演进与防御技术之间的动态博弈。随着网络攻击手段的不断升级，传统的检测方法日益显得力不从心，这迫使研究领域必须探索更有效、更智能的解决方案。

2、如今，对网络入侵检测的研究还存在一些不足，具体体现在检测未知攻击的能力存在不足，无法识别零日攻击或经过变形的已知攻击；存在处理加密流量的困境，超过80%的网络流量已被加密，传统的深度包检测方法失效，而仅分析元数据又会损失大量可用于检测的关键信息。

技术实现思路

1、针对现有技术的不足，本发明提供了网络入侵检测系统及方法，能够有效解决上述背景技术中涉及的问题。

2、为实现以上目的，本发明通过以下技术方案予以实现：本发明第一方面提供了网络入侵检测系统，包括：

3、原始数据包解析模块，用于根据原始数据包，执行规范化处理生成规范五元组并构造固定长度二进制串作为流键，提取初始序列号，输出带键包。

4、带状态的包记录获取模块，用于基于带键包，以带键包中的流键为索引，查询哈希索引表，得到带状态的包记录。

5、序列号核查模块，用于基于带状态的包记录，结合传输协议类型，进行序列号核查，输出已验证包记录。

6、加密协议检查模块，用于对已验证包记录，判断已验证包记录是否为加密协议承载包，若已验证包记录为加密协议承载包，则执行加密协议检查，输出加密验证后的包记录，若已验证包记录不为加密协议承载包，则将已验证包记录直接输出为加密验证后的包记录。

7、裁决结果输出模块，用于基于加密验证后的包记录，进行单向持续性流量检测、握手完整性检测及无响应流量检测，输出最终裁决结果记录。

8、本发明第二方面提供了网络入侵检测方法，包括以下步骤：

9、根据原始数据包，执行规范化处理生成规范五元组并构造固定长度二进制串作为流键，提取初始序列号，输出带键包。

10、基于带键包，以带键包中的流键为索引，查询哈希索引表，得到带状态的包记录。

11、基于带状态的包记录，结合传输协议类型，进行序列号核查，输出已验证包记录。

12、对已验证包记录，判断已验证包记录是否为加密协议承载包，若已验证包记录为加密协议承载包，则执行加密协议检查，输出加密验证后的包记录，若已验证包记录不为加密协议承载包，则将已验证包记录直接输出为加密验证后的包记录。

13、基于加密验证后的包记录，进行单向持续性流量检测、握手完整性检测及无响应流量检测，输出最终裁决结果记录。

14、相对于现有技术，本发明的实施例至少具有如下优点或有益效果：

15、（1）本发明通过提供网络入侵检测系统及方法，原始数据包解析模块与流状态管理模块协作，利用规范五元组流键和执行内存压力驱逐机制，彻底摆脱了会话超时时长的束缚，使慢速攻击的跨时段载荷包始终可被关联，既保证了检测完整性又杜绝了内存溢出风险，序列号核查模块从传输层协议标准出发，以确认号超前等确定性违规判定取代传统签名匹配，无需依赖攻击特征即可识别零日攻击。

16、（2）本发明通过仅对传输层安全性协议记录头部明文固定字段执行格式与范围合法性验证，不解密载荷即可高效识别畸形流量，适应加密流量占比高的现实环境，实施分级告警，将合规网络重传导致的序列号间隙与真正攻击行为区分开来，大幅降低误报率。

1.网络入侵检测系统，其特征在于，包括：

2.根据权利要求1所述的网络入侵检测系统，其特征在于，根据原始数据包，执行规范化处理生成规范五元组并构造固定长度二进制串作为流键，提取初始序列号，输出带键包的具体过程为：

3.根据权利要求1所述的网络入侵检测系统，其特征在于，以带键包中的流键为索引，查询哈希索引表，得到带状态的包记录的具体过程为：

4.根据权利要求3所述的网络入侵检测系统，其特征在于，执行内存压力驱逐机制的具体过程为：

5.根据权利要求1所述的网络入侵检测系统，其特征在于，结合传输协议类型，进行序列号核查，输出已验证包记录的具体过程为：

6.根据权利要求5所述的网络入侵检测系统，其特征在于，执行独立验证，确定验证标记集合的具体过程为：

7.根据权利要求1所述的网络入侵检测系统，其特征在于，判断已验证包记录是否为加密协议承载包，若已验证包记录为加密协议承载包，则执行加密协议检查，输出加密验证后的包记录，若已验证包记录不为加密协议承载包，则将已验证包记录直接输出为加密验证后的包记录的具体过程为：

8.根据权利要求1所述的网络入侵检测系统，其特征在于，进行单向持续性流量检测、握手完整性检测及无响应流量检测，输出最终裁决结果记录的具体过程为：

9.根据权利要求8所述的网络入侵检测系统，其特征在于，执行最终告警裁决逻辑，输出最终裁决结果记录的具体过程为：

10.网络入侵检测方法，应用于权利要求1-9任一项所述的网络入侵检测系统，其特征在于，包括以下步骤：