一种基于流量信息的高级可持续攻击行为检测方法

摘要

本发明公开了一种基于流量信息的高级可持续攻击行为检测方法，系统每来一个数据包就进行检测，如果通过异常检测和误用检测不能确定是攻击还是用户正常行为，则认为这个用户的行为是可疑的，那么需要跟踪这个用户的行为；系统对可疑行为进行跟踪，利用跟踪算法以进一步分析，如果为正常流量，则将其特征加入正常行为特征库，如果判定为攻击行为，则将其特征加入到入侵规则库中。本发明通过一种混合入侵检测技术，将流量通过异常检测引擎和误用检测引擎更新匹配规则库的方式，提升对高级可持续攻击行为的检测效率和检测成功率，较少误报率。