一种基于溯源信息的入侵检测系统及方法

摘要

本发明公开了一种基于溯源信息的入侵检测系统及方法，该系统包括收集器、检测器和分析器；收集器包括溯源生成单元、溯源修剪单元和溯源存储单元，检测器包括规则库建立单元、规则匹配单元和输出预警报告单元，分析器包括传播查询单元和追溯查询单元；其方法是通过收集溯源信息，将溯源信息以文件的形式存放在文件系统上，同时存放到溯源数据库中，提取溯源数据库中的依赖信息，根据该依赖信息建立规则数据库,入侵检测时，将被检测的溯源信息与规则库中的溯源信息作比较，发现入侵时，输出预警报告，通过预警报告提供的入侵检测点，对入侵行为进行全面查询，得到整个入侵过程，分析出系统漏洞和入侵来源；本发明提供的系统及方法，提高了入侵检测的实时性。

主权项

一种基于溯源信息的入侵检测系统，其特征在于，包括收集器、检测器和分析器；所述收集器用于根据系统调用序列进行转换生成溯源信息；所述检测器用于根据所述溯源信息建立规则数据库；入侵检测时，将被检测的溯源信息与规则库中的溯源信息作比较；发现入侵时，输出预警报告，所说预警报告中包括所述比较过程中识别出的异常路径，根据所述异常路径确定入侵检测点；所述分析器用于在所述入侵检测点对入侵过程进行传播查询和追溯查询，检测系统漏洞和入侵来源。