基于网络流量的入侵监控方法及系统技术方案

本发明专利技术公开一种基于网络流量的入侵监控方法及系统，其中，所述系统包括数据采集单元

【技术实现步骤摘要】
基于网络流量的入侵监控方法及系统


[0001]本专利技术涉及网络安全
，具体地说是一种基于网络流量的入侵监控方法及系统
。

技术介绍

[0002]随着互联网的快速发展，大量的网络流量涌入网络，给网络安全带来了诸多挑战
。
为了保护网络安全，监控和分析网络流量变得至关重要
。
[0003]目前已有一些对网络流量进行监控分析技术方案，但它们存在一些限制和不足之处
。
以下是其中几种常见的技术方案：
1. 传统网络监控系统：传统的网络监控系统主要针对
IPv4
网络设计，无法完全适应
IPv6
网络的需求
。
这些系统通常基于
SNMP
（
Simple Network Management Protocol
）和
NetFlow
等协议来采集网络流量数据，并使用规则引擎来检测和报警
。
然而，在
IPv6
网络中，
SNMP
的功能受限，
NetFlow
协议需要升级到
IPv6
版本才能支持
IPv6
流量的采集和分析
。
[0004]2. Suricata
和
ELK
栈：
Suricata
是一个开源入侵检测和防火墙系统，支持
IPv6
网络
。ELK
栈（
Elasticsearch、Logstash
和
Kibana
）是一个流行的开源日志分析平台
。
结合
Suricata
和
ELK
栈，可以实现对
IPv6
网络的流量采集
、
分析和可视化展示
。
然而，该方案对于高吞吐
、
海量数据分析尚显不足
。

技术实现思路

[0005]为此，本专利技术所要解决的技术问题在于提供一种基于网络流量的入侵监控方法及系统，基于流量采集
、
处理和恶意进攻行为识别的强大技术体系，能够更好地满足网络监控的需求，并具备一定的灵活性和扩展性
。
[0006]为解决上述技术问题，本专利技术提供如下技术方案：基于网络流量的入侵监控方法，包括如下步骤：
S1
）数据采集单元采集经过网络数据转发设备的网络流量并将采集的网络流量发送至网络监测单元进行监测分析；
S2
）网络监测单元中内置有
Suricata
引擎的第一监测分析模块和内置有决策树模型的第二监测分析模块分别对步骤
S1
）中数据采集单元所采集到的网络流量进行分析并将分析结果发送
Logstash
单元进行处理；
S3
）
Logstash
单元对步骤
S2
）中得到分析结果和步骤
S1
）所采集的网络流量进行数据整合和数据统一处理得到处理后数据并将处理后数据在可视化单元展示
。
[0007]上述方法，在步骤
S3
）中，
Logstash
单元将处理后数据发送至决策树训练单元对决策树模型进行训练，决策树训练单元将训练后得到的决策树模型发送至第二监测分析模块用以对第二监测分析模块中内置的决策树模型进行迭代更新
。
[0008]上述方法，决策树训练单元每次训练决策树模型时所使用的决策树基础模型版本不低于决策树训练单元每次训练决策树模型时第二监测分析模块中内置的决策树模型的
版本
。
[0009]上述方法，决策树训练单元在对决策树模型进行训练前，先依据数据的信息增益将处理后数据分为训练组数据和验证组数据，然后用训练组数据和验证组数据对决策树模型进行训练
。
[0010]上述方法，决策树训练单元利用遗传算法对训练出来的决策树模型进行选择
、
交叉和变异处理，并将处理后得到的决策树模型发送至第二监测分析模块对第二监测分析模块内置的决策树进行迭代更新
。
[0011]上述方法，网络监测单元通过数据收集单元和数据转发单元与
Logstash
单元通信连接
。
[0012]一种利用上述基于网络流量的入侵监控方法进行入侵监控的系统，包括：数据采集单元，用于采集经过网络数据转发设备的网络流量；网络监测单元，用于对网络流量进行监测分析；网络监测单元包括内置有
Suricata
引擎的第一监测分析模块和内置有决策树模型的第二监测分析模块，第一监测分析模块和第二监测分析模块分别对数据单元采集到的网络流量进行监测分析；
Logstash
单元，用于对数据采集单元采集到的网络流量与网络监测单元对网络流量进行监测分析得到的分析结果进行数据整合和数据统一处理；数据统一处理包括数据过滤和转换；存储单元，用于存储数据采集单元采集的网络流量
、
网络监测单元对网络流量进行监测分析得到的分析结果和
Logstash
单元对数据采集单元采集到的网络流量与网络监测单元对网络流量进行监测分析得到的分析结果进行数据整合和数据统一处理的处理后数据；可视化单元，用于对
Logstash
单元对数据采集单元采集到的网络流量与网络监测单元对网络流量进行监测分析得到的分析结果进行数据整合和数据统一处理的处理后数据进行展示；数据采集单元与网络监测单元通信连接，网络监测单元与
Logstash
单元通信连接，
Logstash
单元与可视化单元通信连接，数据采集单元
、
网络监测单元
、Logstash
单元和可视化单元分别与存储单元通信连接
。
[0013]上述系统，还包括数据转发单元和用于对网络检测单元分析结果进行收集的数据收集单元，网络监测单元依次通过数据收集单元和数据转发单元与
Logstash
单元通信连接
。
[0014]上述系统，还包括用于对决策树模型进行训练的决策树训练单元，决策树训练单元利用
Logstash
单元处理后得到的处理后数据对决策树模型进行训练，并将训练后得到的决策树模型发送至第二监测分析模块用以对第二监测分析模块中内置的决策树模型进行迭代更新
。
[0015]上述系统，决策树训练单元内置有决策树筛选模块，决策树筛选模块利用遗传算法对训练出来的决策树模型进行选择
、
交叉和变异处理，然后再由决策树训练单元将处理后得到的决策树模型发送至第二监测分析模块对第二监测分析模块内置的决策树进行迭代更新
。
[0016]本专利技术的技术方案取得了如下有益的技术效果：...

【技术保护点】

【技术特征摘要】
1.
基于网络流量的入侵监控方法，其特征在于，包括如下步骤：
S1
）数据采集单元采集经过网络数据转发设备的网络流量并将采集的网络流量发送至网络监测单元进行监测分析；
S2
）网络监测单元中内置有
Suricata
引擎的第一监测分析模块和内置有决策树模型的第二监测分析模块分别对步骤
S1
）中数据采集单元所采集到的网络流量进行分析并将分析结果发送
Logstash
单元进行处理；
S3
）
Logstash
单元对步骤
S2
）中得到分析结果和步骤
S1
）所采集的网络流量进行数据整合和数据统一处理得到处理后数据并将处理后数据在可视化单元展示
。2.
根据权利要求1所述的方法，其特征在于，在步骤
S3
）中，
Logstash
单元将处理后数据发送至决策树训练单元对决策树模型进行训练，决策树训练单元将训练后得到的决策树模型发送至第二监测分析模块用以对第二监测分析模块中内置的决策树模型进行迭代更新
。3.
根据权利要求2所述的方法，其特征在于，决策树训练单元每次训练决策树模型时所使用的决策树基础模型版本不低于决策树训练单元每次训练决策树模型时第二监测分析模块中内置的决策树模型的版本
。4.
根据权利要求2所述的方法，其特征在于，决策树训练单元在对决策树模型进行训练前，先依据数据的信息增益将处理后数据分为训练组数据和验证组数据，然后用训练组数据和验证组数据对决策树模型进行训练
。5.
根据权利要求2所述的方法，其特征在于，决策树训练单元利用遗传算法对训练出来的决策树模型进行选择
、
交叉和变异处理，并将处理后得到的决策树模型发送至第二监测分析模块对第二监测分析模块内置的决策树进行迭代更新
。6.
根据权利要求1所述的方法，其特征在于，网络监测单元通过数据收集单元和数据转发单元与
Logstash
单元通信连接
。7.
一种利用权利要求1所述的基于网络流量的入侵监控方法进行入侵监控的系统，其特征在于，包括：数据采集单元，用于采集经过网络数据转发设备的网络流量；网络监测单元，用...

【专利技术属性】
技术研发人员：王鹏飞，张成，
申请(专利权)人：明阳点时科技沈阳有限公司，
类型：发明
国别省市：