买专利卖专利找龙图腾，真高效！ 查专利查商标用IPTOP,全免费！专利年费监控用IP管家,真方便！

申请/专利权人：河北工业大学

摘要：本发明公开了一种基于改进Suricata引擎的工控系统网络入侵检测方法。该方法是首先建立攻击数学模型，再构造网络攻击数据包并对其进行过滤，然后制定入侵检测规则，再对入侵检测规则的正则表达式进行正则分解，通过改进Suricata引擎将分解得到的模式串的存储结构进行重新构造，得到校验散列表并送入到匹配进程中；然后通过改进Suricata引擎对工控系统网络通信流量进行捕获、解码和散列运算，并将散列运算结果传入到匹配进程中，匹配进程会将校验散列表与散列运算结果送入到多个线程中，改进HashTries算法进行匹配，最后输出检测结果。本发明将改进HashTries算法与入侵检测引擎Suricata相结合得到改进Suricata引擎，既节省了空间资源，也加快了硬件的匹配处理速度，大幅降低了系统损耗。

主权项：1.一种基于改进Suricata引擎的工控系统网络入侵检测方法，其特征在于，该方法包括以下步骤：步骤1、针对工业控制系统网络环境中所能进行的网络攻击建立攻击数学模型；步骤2、根据建立的攻击数学模型在入侵检测平台中构造网络攻击数据包并对其进行过滤，得到过滤后的网络攻击数据包；步骤3、根据过滤后的网络攻击数据包制定入侵检测规则，得到入侵检测规则的正则表达式；步骤4、利用正则分解将入侵检测规则的正则表达式转换为模式串和正则表达子式；步骤5、采用入侵检测平台的改进Suricata引擎中的改进HashTries算法对步骤4得到的模式串的存储结构进行重新构造，将数据存储形式转变为二进制数据，得到校验散列表；存储结构进行重新构造是构造向量B和向量R，向量B和向量R的具体构造过程如下：设模式串的集合如式6所示：P＝{p0,p1,…,pr-1}6对每一个模式串中的每一个前缀其中0≤kr,1≤j≤mk，利用递归散列函数进行散列运算来计算该前缀的散列值h；递归散列函数如式7所示： 式7中，mk为模式串长，hi的初始值为0，a为常数，为增量序列，m为存储空间B的大小；存储空间B和存储空间R是长度为m的零向量，其初始位全部为0；每计算得到一个散列值h，则将存储空间B中的第k位置1；依此，模式串的每一个前缀u经过散列之后映射到存储空间B中对应的一个比特上，得到向量B；对于每一个完整的模式串，除了在存储空间B中标记其散列值外，同时将其标记在另一个存储空间R中，即将存储空间R中对应的第k位也置1，得到向量R，实现了模式串的比特信息的存储；校验散列表的具体构造过程如下：完整模式串的散列值已经存储在向量R中，利用排序方法计算向量R中第k位之前0值的个数，并将个数值作为模式串的编号，然后将编号与该模式串一同存入校验散列表中；步骤6、工业控制系统正常运行时，入侵检测平台的改进Suricata引擎捕获工业控制系统的网络通信流量，然后将网络通信流量进行解码，再将解码完成后的网络通信流量通过改进HashTries算法进行散列运算，再将散列运算结果与步骤5得到的校验散列表进行比较，得到匹配结果，再根据匹配结果进行响应。

全文数据：

权利要求：

百度查询： 河北工业大学 一种基于改进Suricata引擎的工控系统网络入侵检测方法