基于及早通知检测异常业务的系统和方法

摘要

本发明的方法和系统用于在通信网络中检测异常业务，该方法和系统基于对处于危险中的业务和状况类别进行分级并且保持服务状态表，该表具有各节点上的这些信息。危险类别最初针对各服务所识别的已知软件脆弱性来确定。及早通知程序能够对怀疑受到恶意软件传播的业务进行进一步处理。状态类别能够将具有“受到攻击状态”的业务从“未受到攻击”状态的业务分离出来，因此各节点上的侵入检测系统只处理“受到攻击”的业务。这样，由侵入检测系统执行的处理过程的时间和数量大大减少。

主权项

一种在配备有侵入检测系统/侵入防御系统IDS/IPS的通信网络节点上检测异常业务的方法，该方法包括以下步骤：通过仅查看业务流中的网际控制消息协议ICMP分组，监视输入到所述节点的业务流的状态，以确定所述业务流是否携带可疑数据业务；其中所述监视步骤包括：基于针对所述业务流使用的协议所识别的软件脆弱性，从多个风险等级中为所述业务流分配危险等级，所述多个风险等级包括“在危险中”等级和“不在危险中”等级；测量所述业务流中的ICMP分组的速率；如果所述业务流属于“在危险中”等级，则将所述ICMP分组的速率与第一阈值比较，如果所述业务流属于“不在危险中”等级，则将所述ICMP分组的速率与第二阈值比较，所述第一阈值低于所述第二阈值；当所述ICMP分组的速率高于相应的所述第一阈值和第二阈值时，将所述业务流标记为可疑业务流；以及一旦所述业务流的状态被标记为可疑业务流，则触发及早通知。