《用于云计算环境的入侵检测系统、方法及设备.pdf》由会员分享，可在线阅读，更多相关《用于云计算环境的入侵检测系统、方法及设备.pdf（18页珍藏版）》请在专利查询网上搜索。
1、10申请公布号CN104038466A43申请公布日20140910CN104038466A21申请号201310068974922申请日20130305H04L29/06200601H04L29/0820060171申请人中国银联股份有限公司地址200135上海市浦东新区含笑路36号银联大厦72发明人王明博鲁志军何朔华锦芝74专利代理机构中国专利代理香港有限公司72001代理人方世栋朱海煜54发明名称用于云计算环境的入侵检测系统、方法及设备57摘要本发明提出了用于云计算环境的入侵检测系统、方法及设备。其中，所述方法包括至少一个主机中的入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，。
2、并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器；入侵检测服务器根据接收到的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过程。本发明所公开的用于云计算环境的入侵检测系统、方法及设备具有高的适配性、灵活性和扩展性并能够进行关联分析。51INTCL权利要求书3页说明书12页附图2页19中华人民共和国国家知识产权局12发明专利申请权利要求书3页说明书12页附图2页10申请公布号CN104038466ACN104038466A1/3页21一种用于云计算环。
3、境的入侵检测系统，所述用于云计算环境的入侵检测系统包括至少一个主机，所述至少一个主机中的每个包括入侵检测客户端，所述入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器；入侵检测服务器，所述入侵检测服务器根据接收到的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过程。2根据权利要求1所述的用于云计算环境的入侵检测系统，其特征在于，所述至少一个主机是云计算环境中的主机。3根据权利要求2所述的用于云。
4、计算环境的入侵检测系统，其特征在于，当发生与安全性相关的严重事件时，所述入侵检测客户端构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，其中，所述事件响应请求包含该严重事件的信息。4根据权利要求3所述的用于云计算环境的入侵检测系统，其特征在于，所述入侵检测服务器进一步包括关联分析模块，所述关联分析模块接收所述至少一个主机发送来的主机事件并执行关联分析操作，以及根据分析结果生成相关的告警指令，并将所述告警指令传送到告警模块；告警模块，所述告警模块基于所述告警指令执行告警操作；响应请求处理模块，所述响应请求处理模块接收并分析所述事件响应请求，并基于分析结果触发响应机制。
5、以响应所述事件响应请求对应的严重事件；规则管理模块，所述规则管理模块管理和维护入侵检测规则，其中，所述入侵检测规则包括监控规则和关联分析规则；主机管理模块，所述主机管理模块管理和维护所述至少一个主机的状态信息，以及对所述至少一个主机进行分类并基于分类结果将不同类型的监控规则应用到对应的主机；用户接口，所述用户接口接收并转发来自用户的管理指令以执行相关的管理操作，所述管理指令包括针对所述入侵检测规则的配置指令。5根据权利要求4所述的用于云计算环境的入侵检测系统，其特征在于，所述入侵检测客户端周期性地将监控规则更新请求传送到所述入侵检测服务器以更新所使用的监控规则，其中，所述监控规则更新请求包含当。
6、前使用的监控规则的信息。6根据权利要求5所述的用于云计算环境的入侵检测系统，其特征在于，所述入侵检测服务器基于接收到的监控规则更新请求将最新的监控规则传送回对应的入侵检测客户端以更新该入侵检测客户端所使用的监控规则。7根据权利要求6所述的用于云计算环境的入侵检测系统，其特征在于，所述响应机制包括手动的响应所述事件响应请求或者驱动对应的入侵检测客户端自动地执行针对所述事件响应请求的响应操作。8根据权利要求7所述的用于云计算环境的入侵检测系统，其特征在于，所述主机事件至少包括日志事件、文件事件、帐号事件和注册表改动事件，并且每个主机事件包括事件权利要求书CN104038466A2/3页3标识符、分。
7、类标识符、源地址、目的地址、源端口、目的端口以及时间。9根据权利要求8所述的用于云计算环境的入侵检测系统，其特征在于，所述入侵检测客户端进一步包括日志监控单元、文件监控单元、帐号监控单元、恶意软件检查单元和注册表监控单元，其中，所述恶意软件检查单元周期性地检查是否存在恶意软件，并且如果发现存在恶意软件，则执行相应的处理过程，并且其中，所述监控规则至少包括日志监控规则、文件检查规则、帐号事件规则和注册表监控规则。10根据权利要求9所述的用于云计算环境的入侵检测系统，其特征在于，所述日志监控单元周期性地执行如下日志监控操作（1）读取日志监控规则，所述日志监控规则指定了所有需要监控的日志文件路径；（。
8、2）收集所述日志监控规则所指定的日志；（3）根据所述日志监控规则中的日志解码规则提取所收集的日志中的日志事件；（4）根据所述日志监控规则中的日志事件规则对每个日志事件进行分析和判断，并且如果所述日志事件与所述日志事件规则不匹配，则丢弃所述日志事件，而如果所述日志事件与所述日志事件规则相匹配，则判断所述日志事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，如果不是，则将所述日志事件传送到所述入侵检测服务器。11根据权利要求10所述的用于云计算环境的入侵检测系统，其特征在于，所述文件监控单元周期性地执行如下文件监控操。
9、作（1）从文件检查规则中读取需要检查的文件目录；（2）基于所述文件目录检查每个对应的文件，以获取该文件的权限和该文件的哈希值；（3）将当前文件检查的结果与上次文件检查的结果相比较，以找出有变化的文件，并随之生成相应的文件事件且将所述文件事件传送到所述入侵检测服务器，以及将当前文件检查的结果存储并归档。12根据权利要求11所述的用于云计算环境的入侵检测系统，其特征在于，所述帐号监控单元周期性地执行如下帐号监控操作（1）将所述日志监控操作所得到的每个日志事件和/或所述文件监控操作所得到的每个文件事件与帐号事件规则相比较，并且如果与帐号事件规则不匹配，则丢弃该日志事件和/或文件事件，而如果与帐号事件。
10、规则不匹配，则判断该日志事件和/或文件事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，如果不是，则将与该日志事件和/或文件事件相关联的帐号事件传送到所述入侵检测服务器。13根据权利要求12所述的用于云计算环境的入侵检测系统，其特征在于，所述注册表监控单元周期性地执行如下注册表监控操作（1）实时地监控注册表改动事件；（2）在发生注册表改动事件时，将该注册表改动事件与注册表监控规则相比较，如果该注册表改动事件与注册表监控规则不匹配，则丢弃该注册表改动事件，而如果该注册表改动事件与注册表监控规则相匹配，则判断该注册表。
11、改动事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，如果不是，则将该注册表改动事件传送到所述入侵检测服务器。14根据权利要求13所述的用于云计算环境的入侵检测系统，其特征在于，所述关联分析模块以如下方式执行所述关联分析操作（1）实时地收集所述至少一个主机传送来的主机事件；（2）对所收集的主机事件的事件标识符、分类标识符、源地址和目标地址参数进权利要求书CN104038466A3/3页4行频率计数；（3）将所收集的主机事件的所述事件标识符、分类标识符、源地址、目标地址参数以及相关联的频率参数与关联分析规则相比较，。
12、如果所述事件标识符、分类标识符、源地址、目标地址参数以及相关联的频率参数与关联分析规则相匹配，则生成对应的新的威胁事件，并构造包含所述新的威胁事件的告警指令且将所述告警指令传送到告警模块以执行告警操作；（4）重置命中关联分析规则的主机事件的频率数据，以开始重新计数，而在预定的时间阈值之后将未命中关联分析规则的主机事件的频率数据重置，以开始重新计数。15一种包含入侵检测客户端的主机，其中，所述入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述。
13、事件响应请求传送到所述入侵检测服务器，以执行后续的入侵检测过程。16一种用于云计算环境的入侵检测服务器，所述入侵检测服务器根据接收到的来自至少一个主机的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过程。17一种用于云计算环境的入侵检测方法，所述方法包括下列步骤（A1）至少一个主机中的入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器；（A2）所述入侵检测服务器根据接收到的主机事件或事件响应请。
14、求并基于预定的入侵检测规则执行入侵检测过程。权利要求书CN104038466A1/12页5用于云计算环境的入侵检测系统、方法及设备技术领域0001本发明涉及入侵检测系统、方法及设备，更具体地，涉及用于云计算环境的入侵检测系统、方法及设备。背景技术0002目前，随着计算机和网络应用的日益广泛以及不同领域的业务种类的日益丰富，用于云计算环境的入侵检测系统、方法及设备变得越来越重要。0003在云计算环境的常见模式中，通过虚拟化技术将数据中心的服务器、存储器、网络等资源抽象成逻辑的虚拟资源池，并通过网络传递给用户，从而实现资源的有效利用，例如，最常见的形式是将资源分配为不同的虚拟机以供用户使用。000。
15、4然而，现有的用于云计算环境的入侵检测系统及方法存在如下问题（1）用户身份的多样化导致用户不是完全可信，即可能成为潜在的入侵者；（2）单个虚拟机的安全无法得到保障；3虚拟机的集中式管理导致安全漏洞集中出现，即如果单个虚拟机被黑客控制则可能导致多个虚拟机被集体入侵；（4）由于入侵事件仅发生在由虚拟机构成的内网之中，故边界的网络防护不具有针对入侵事件的安全防护功能。0005因此，存在如下需求提供具有高的适配性、灵活性和扩展性并能够进行关联分析的针对云计算环境中的主机（包括虚拟主机）的入侵检测系统、方法及设备。发明内容0006为了解决上述现有技术方案所存在的问题，本发明提出了具有高的适配性、灵活性和。
16、扩展性并能够进行关联分析的针对云计算环境中的主机（包括虚拟主机）的入侵检测系统、方法及设备。0007本发明的目的是通过以下技术方案实现的一种用于云计算环境的入侵检测系统，所述用于云计算环境的入侵检测系统包括至少一个主机，所述至少一个主机中的每个包括入侵检测客户端，所述入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器；入侵检测服务器，所述入侵检测服务器根据接收到的主机事件或事件响应请求并基于预定的入侵检测。
17、规则执行入侵检测过程。0008在上面所公开的方案中，优选地，所述至少一个主机是云计算环境中的主机。0009在上面所公开的方案中，优选地，当发生与安全性相关的严重事件时，所述入侵检测客户端构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，其中，所述事件响应请求包含该严重事件的信息。0010在上面所公开的方案中，优选地，所述入侵检测服务器进一步包括说明书CN104038466A2/12页6关联分析模块，所述关联分析模块接收所述至少一个主机发送来的主机事件并执行关联分析操作，以及根据分析结果生成相关的告警指令，并将所述告警指令传送到告警模块；告警模块，所述告警模块基于所。
18、述告警指令执行告警操作；响应请求处理模块，所述响应请求处理模块接收并分析所述事件响应请求，并基于分析结果触发响应机制以响应所述事件响应请求对应的严重事件；规则管理模块，所述规则管理模块管理和维护入侵检测规则，其中，所述入侵检测规则包括监控规则和关联分析规则；主机管理模块，所述主机管理模块管理和维护所述至少一个主机的状态信息，以及对所述至少一个主机进行分类并基于分类结果将不同类型的监控规则应用到对应的主机；用户接口，所述用户接口接收并转发来自用户的管理指令以执行相关的管理操作，所述管理指令包括针对所述入侵检测规则的配置指令。0011在上面所公开的方案中，优选地，所述入侵检测客户端周期性地将监控规。
19、则更新请求传送到所述入侵检测服务器以更新所使用的监控规则，其中，所述监控规则更新请求包含当前使用的监控规则的信息。0012在上面所公开的方案中，优选地，所述入侵检测服务器基于接收到的监控规则更新请求将最新的监控规则传送回对应的入侵检测客户端以更新该入侵检测客户端所使用的监控规则。0013在上面所公开的方案中，优选地，所述响应机制包括手动的响应所述事件响应请求或者驱动对应的入侵检测客户端自动地执行针对所述事件响应请求的响应操作。0014在上面所公开的方案中，优选地，所述主机事件至少包括日志事件、文件事件、帐号事件和注册表改动事件，并且每个主机事件包括事件标识符、分类标识符、源地址、目的地址、源端。
20、口、目的端口以及时间。0015在上面所公开的方案中，优选地，所述入侵检测客户端进一步包括日志监控单元、文件监控单元、帐号监控单元、恶意软件检查单元和注册表监控单元，其中，所述恶意软件检查单元周期性地检查是否存在恶意软件，并且如果发现存在恶意软件，则执行相应的处理过程，并且其中，所述监控规则至少包括日志监控规则、文件检查规则、帐号事件规则和注册表监控规则。0016在上面所公开的方案中，优选地，所述日志监控单元周期性地执行如下日志监控操作（1）读取日志监控规则，所述日志监控规则指定了所有需要监控的日志文件路径；（2）收集所述日志监控规则所指定的日志；（3）根据所述日志监控规则中的日志解码规则提取所。
21、收集的日志中的日志事件；（4）根据所述日志监控规则中的日志事件规则对每个日志事件进行分析和判断，并且如果所述日志事件与所述日志事件规则不匹配，则丢弃所述日志事件，而如果所述日志事件与所述日志事件规则相匹配，则判断所述日志事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，如果不是，则将所述日志事件传送到所述入侵检测服务器。0017在上面所公开的方案中，优选地，所述文件监控单元周期性地执行如下文件监控操作（1）从文件检查规则中读取需要检查的文件目录；（2）基于所述文件目录检查每个对说明书CN104038466A3/1。
22、2页7应的文件，以获取该文件的权限和该文件的哈希值；（3）将当前文件检查的结果与上次文件检查的结果相比较，以找出有变化的文件，并随之生成相应的文件事件且将所述文件事件传送到所述入侵检测服务器，以及将当前文件检查的结果存储并归档。0018在上面所公开的方案中，优选地，所述帐号监控单元周期性地执行如下帐号监控操作（1）将所述日志监控操作所得到的每个日志事件和/或所述文件监控操作所得到的每个文件事件与帐号事件规则相比较，并且如果与帐号事件规则不匹配，则丢弃该日志事件和/或文件事件，而如果与帐号事件规则不匹配，则判断该日志事件和/或文件事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严。
23、重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，如果不是，则将与该日志事件和/或文件事件相关联的帐号事件传送到所述入侵检测服务器。0019在上面所公开的方案中，优选地，所述注册表监控单元周期性地执行如下注册表监控操作（1）实时地监控注册表改动事件；（2）在发生注册表改动事件时，将该注册表改动事件与注册表监控规则相比较，如果该注册表改动事件与注册表监控规则不匹配，则丢弃该注册表改动事件，而如果该注册表改动事件与注册表监控规则相匹配，则判断该注册表改动事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器。
24、，如果不是，则将该注册表改动事件传送到所述入侵检测服务器。0020在上面所公开的方案中，优选地，所述关联分析模块以如下方式执行所述关联分析操作（1）实时地收集所述至少一个主机传送来的主机事件；（2）对所收集的主机事件的事件标识符、分类标识符、源地址和目标地址参数进行频率计数；（3）将所收集的主机事件的所述事件标识符、分类标识符、源地址、目标地址参数以及相关联的频率参数与关联分析规则相比较，如果所述事件标识符、分类标识符、源地址、目标地址参数以及相关联的频率参数与关联分析规则相匹配，则生成对应的新的威胁事件，并构造包含所述新的威胁事件的告警指令且将所述告警指令传送到告警模块以执行告警操作；（4）。
25、重置命中关联分析规则的主机事件的频率数据，以开始重新计数，而在预定的时间阈值之后将未命中关联分析规则的主机事件的频率数据重置，以开始重新计数。0021本发明的目的也可以通过以下技术方案实现一种包含入侵检测客户端的主机，其中，所述入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器，以执行后续的入侵检测过程。0022本发明的目的也可以通过以下技术方案实现一种用于云计算环境的入侵检测服务器，所述入侵检测服务器根。
26、据接收到的来自至少一个主机的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过程。0023本发明的目的也可以通过以下技术方案实现一种用于云计算环境的入侵检测方法，所述方法包括下列步骤（A1）至少一个主机中的入侵检测客户端监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主说明书CN104038466A4/12页8机事件传送到入侵检测服务器，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器；（A2）所述入侵检测服务器根据接收到的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过。
27、程。0024本发明所公开的用于云计算环境的入侵检测系统、方法及设备具有以下优点（1）具有高的适配性，即可以适用于包含运行各种类型的操作系统的主机的云计算环境；（2）具有高的配置灵活性，即可以灵活配置和部署监控规则和关联分析规则；（3）由于实现了针对入侵事件的关联分析，故具有增强的安全性。附图说明0025结合附图，本发明的技术特征以及优点将会被本领域技术人员更好地理解，其中图1是根据本发明的实施例的用于云计算环境的入侵检测系统的示意性结构图；图2是根据本发明的实施例的用于云计算环境的入侵检测方法的流程图。具体实施方式0026图1是根据本发明的实施例的用于云计算环境的入侵检测系统的示意性结构图。如。
28、图1所示，本发明所公开的用于云计算环境的入侵检测系统包括至少一个主机1以及入侵检测服务器2。其中，所述至少一个主机1中的每个包括入侵检测客户端3，所述入侵检测客户端3监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器2，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2。所述入侵检测服务器2根据接收到的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过程。0027优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述至少一个主机1是云计算环境中的主机（。
29、包括实体主机和/或虚拟主机）。0028优选地，在本发明所公开的用于云计算环境的入侵检测系统中，当发生与安全性相关的严重事件时，所述入侵检测客户端3构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，其中，所述事件响应请求包含该严重事件的信息。0029优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述入侵检测服务器2进一步包括响应请求处理模块4、关联分析模块5、告警模块6、主机管理模块7、规则管理模块8和用户接口9。其中，所述关联分析模块5接收所述至少一个主机1发送来的主机事件并执行关联分析操作，以及根据分析结果生成相关的告警指令，并将所述告警指令传送到告。
30、警模块6。所述告警模块6基于所述告警指令执行告警操作。所述响应请求处理模块4接收并分析所述事件响应请求，并基于分析结果触发响应机制以响应所述事件响应请求对应的严重事件。所述规则管理模块8管理和维护入侵检测规则，其中，所述入侵检测规则包括监控规则和关联分析规则。所述主机管理模块7管理和维护所述至少一个主机1的状态信息，以及对所述至少一个主机1进行分类并基于分类结果将不同类型的监控规则说明书CN104038466A5/12页9应用到对应的主机。所述用户接口9接收并转发来自用户（例如入侵检测系统的操作者和/或管理者）的管理指令以执行相关的管理操作，所述管理指令包括针对所述入侵检测规则的配置指令。00。
31、30优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述入侵检测客户端3周期性地（示例性地，每隔5分钟）将监控规则更新请求传送到所述入侵检测服务器2以更新所使用的监控规则，其中，所述监控规则更新请求包含当前使用的监控规则的信息。0031优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述入侵检测服务器2基于接收到的监控规则更新请求将最新的监控规则传送回对应的入侵检测客户端3以更新该入侵检测客户端3所使用的监控规则。0032示例性地，在本发明所公开的用于云计算环境的入侵检测系统中，所述告警模块6以发送邮件或短信的方式执行所述告警操作。0033示例性地，在本发明所公开的用于云计算环。
32、境的入侵检测系统中，所述响应机制包括手动的响应所述事件响应请求或者驱动对应的入侵检测客户端3自动地执行针对所述事件响应请求的响应操作。0034示例性地，在本发明所公开的用于云计算环境的入侵检测系统中，所述入侵检测客户端3基于UDP协议将所监测到的主机事件传送到所述入侵检测服务器2。0035示例性地，在本发明所公开的用于云计算环境的入侵检测系统中，所述入侵检测客户端3基于HTTPSOAP协议实现与所述事件响应请求和所述监控规则更新相关联的数据通信。0036示例性地，在本发明所公开的用于云计算环境的入侵检测系统中，所述主机事件至少包括日志事件、文件事件、帐号事件和注册表改动事件，并且每个主机事件包。
33、括事件标识符、分类标识符、源地址、目的地址、源端口、目的端口以及时间。0037优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述入侵检测客户端3进一步包括日志监控单元、文件监控单元、帐号监控单元、恶意软件（例如ROOTKIT，其是攻击者用来隐藏自己的踪迹和保留ROOT访问权限的工具）检查单元和注册表监控单元，其中，所述恶意软件检查单元周期性地检查是否存在恶意软件，并且如果发现存在恶意软件，则执行相应的处理过程，并且其中，所述监控规则至少包括日志监控规则、文件检查规则、帐号事件规则和注册表监控规则。0038优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述日志监控单元周期性地。
34、执行如下日志监控操作（1）读取日志监控规则，所述日志监控规则指定了所有需要监控的日志文件路径（示例性地，针对WINDOWS操作系统日志，所述日志监控规则定义了要监控的WINDOWS操作日志的类别（例如系统日志，安全日志，应用程序日志等等）；（2）收集所述日志监控规则所指定的日志；（3）根据所述日志监控规则中的日志解码规则提取所收集的日志中的日志事件（由于不同平台以及不同应用的日志格式不相同，故需要对所收集的日志进行解码以提取日志事件）；（4）根据所述日志监控规则中的日志事件规则对每个日志事件进行分析和判断，并且如果所述日志事件与所述日志事件规则不匹配，则丢弃所述日志事件，而如果所述日志事件与所。
35、述日志事件规则相匹配，则判断所述日志事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，如果不是，则将所述日志事件说明书CN104038466A6/12页10传送到所述入侵检测服务器2。0039优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述文件监控单元周期性地（例如每次间隔12小时）执行如下文件监控操作（1）从文件检查规则中读取需要检查的文件目录；（2）基于所述文件目录检查每个对应的文件，以获取该文件的权限和该文件的哈希（HASH）值；（3）将当前文件检查的结果与上次文件检查的结果相比较，以找出有变。
36、化的文件，并随之生成相应的文件事件且将所述文件事件传送到所述入侵检测服务器2，以及将当前文件检查的结果存储并归档。0040优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述帐号监控单元周期性地执行如下帐号监控操作（1）将所述日志监控操作所得到的每个日志事件和/或所述文件监控操作所得到的每个文件事件与帐号事件规则相比较，并且如果与帐号事件规则不匹配，则丢弃该日志事件和/或文件事件，而如果与帐号事件规则不匹配，则判断该日志事件和/或文件事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，如果不是，则将与该日。
37、志事件和/或文件事件相关联的帐号事件传送到所述入侵检测服务器2（账号监控是基于日志监控和文件监控而实现的，因为通常系统日志会记录账号的变动，同时记录账号信息的文件也会发生变动）。0041优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述注册表监控单元周期性地执行如下注册表监控操作（1）实时地监控注册表改动事件；（2）在发生注册表改动事件时，将该注册表改动事件与注册表监控规则相比较，如果该注册表改动事件与注册表监控规则不匹配，则丢弃该注册表改动事件，而如果该注册表改动事件与注册表监控规则相匹配，则判断该注册表改动事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的。
38、事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，如果不是，则将该注册表改动事件传送到所述入侵检测服务器2。0042优选地，在本发明所公开的用于云计算环境的入侵检测系统中，所述关联分析模块5以如下方式执行所述关联分析操作（1）实时地收集所述至少一个主机1传送来的主机事件；（2）对所收集的主机事件的事件标识符、分类标识符、源地址和目标地址参数进行频率计数；（3）将所收集的主机事件的所述事件标识符、分类标识符、源地址、目标地址参数以及相关联的频率参数与关联分析规则相比较，如果所述事件标识符、分类标识符、源地址、目标地址参数以及相关联的频率参数与关联分析规则相匹配，则生成对应的新的威胁事件。
39、，并构造包含所述新的威胁事件的告警指令且将所述告警指令传送到告警模块6以执行告警操作；（4）重置命中关联分析规则的主机事件的频率数据，以开始重新计数，而在预定的时间阈值（例如20分钟）之后将未命中关联分析规则的主机事件的频率数据重置，以开始重新计数。0043由上可见，本发明所公开的用于云计算环境的入侵检测系统具有下列优点（1）具有高的适配性，即可以适用于包含运行各种类型的操作系统的主机的云计算环境；（2）具有高的配置灵活性，即可以灵活配置和部署监控规则和关联分析规则；（3）由于实现了针对入侵事件的关联分析，故具有增强的安全性。0044如图1所示，本发明公开了包含入侵检测客户端3的主机，所述入侵。
40、检测客户端3监控其驻留于其上的主机的预定类型的主机事件，并基于预定的监控规则执行下列操作以说明书CN104038466A107/12页11实施相关的入侵检测过程将所监测到的主机事件传送到入侵检测服务器2，或者基于所监测到的主机事件构造事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，以执行后续的入侵检测过程。0045优选地，本发明所公开的包含入侵检测客户端3的主机是云计算环境中的主机（包括实体主机和/或虚拟主机）。0046优选地，在本发明所公开的包含入侵检测客户端3的主机中，当发生与安全性相关的严重事件时，所述入侵检测客户端3构造对应于该严重事件的事件响应请求并将所述事件响应请求传送。
41、到所述入侵检测服务器2，其中，所述事件响应请求包含该严重事件的信息。0047优选地，在本发明所公开的包含入侵检测客户端3的主机中，所述入侵检测客户端3周期性地（示例性地，每隔5分钟）将监控规则更新请求传送到所述入侵检测服务器2以更新所使用的监控规则，其中，所述监控规则更新请求包含当前使用的监控规则的信息。0048示例性地，在本发明所公开的包含入侵检测客户端3的主机中，所述入侵检测客户端3基于UDP协议将所监测到的主机事件传送到所述入侵检测服务器2。0049示例性地，在本发明所公开的包含入侵检测客户端3的主机中，所述入侵检测客户端3基于HTTPSOAP协议实现与所述事件响应请求和所述监控规则更新。
42、相关联的数据通信。0050示例性地，在本发明所公开的包含入侵检测客户端3的主机中，所述主机事件至少包括日志事件、文件事件、帐号事件和注册表改动事件，并且每个主机事件包括事件标识符、分类标识符、源地址、目的地址、源端口、目的端口以及时间。0051优选地，在本发明所公开的包含入侵检测客户端3的主机中，所述入侵检测客户端3进一步包括日志监控单元、文件监控单元、帐号监控单元、恶意软件（例如ROOTKIT，其是攻击者用来隐藏自己的踪迹和保留ROOT访问权限的工具）检查单元和注册表监控单元，其中，所述恶意软件检查单元周期性地检查是否存在恶意软件，并且如果发现存在恶意软件，则执行相应的处理过程，并且其中，所。
43、述监控规则至少包括日志监控规则、文件检查规则、帐号事件规则和注册表监控规则。0052优选地，在本发明所公开的包含入侵检测客户端3的主机中，所述日志监控单元周期性地执行如下日志监控操作（1）读取日志监控规则，所述日志监控规则指定了所有需要监控的日志文件路径（示例性地，针对WINDOWS操作系统日志，所述日志监控规则定义了要监控的WINDOWS操作日志的类别（例如系统日志，安全日志，应用程序日志等等）；（2）收集所述日志监控规则所指定的日志；（3）根据所述日志监控规则中的日志解码规则提取所收集的日志中的日志事件（由于不同平台以及不同应用的日志格式不相同，故需要对所收集的日志进行解码以提取日志事件）。
44、；（4）根据所述日志监控规则中的日志事件规则对每个日志事件进行分析和判断，并且如果所述日志事件与所述日志事件规则不匹配，则丢弃所述日志事件，而如果所述日志事件与所述日志事件规则相匹配，则判断所述日志事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，如果不是，则将所述日志事件传送到所述入侵检测服务器2。0053优选地，在本发明所公开的包含入侵检测客户端3的主机中，所述文件监控单元说明书CN104038466A118/12页12周期性地（例如每次间隔12小时）执行如下文件监控操作（1）从文件检查规则中读取需要检查的。
45、文件目录；（2）基于所述文件目录检查每个对应的文件，以获取该文件的权限和该文件的哈希（HASH）值；（3）将当前文件检查的结果与上次文件检查的结果相比较，以找出有变化的文件，并随之生成相应的文件事件且将所述文件事件传送到所述入侵检测服务器2，以及将当前文件检查的结果存储并归档。0054优选地，在本发明所公开的包含入侵检测客户端3的主机中，所述帐号监控单元周期性地执行如下帐号监控操作（1）将所述日志监控操作所得到的每个日志事件和/或所述文件监控操作所得到的每个文件事件与帐号事件规则相比较，并且如果与帐号事件规则不匹配，则丢弃该日志事件和/或文件事件，而如果与帐号事件规则不匹配，则判断该日志事件和。
46、/或文件事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，如果不是，则将与该日志事件和/或文件事件相关联的帐号事件传送到所述入侵检测服务器2（账号监控是基于日志监控和文件监控而实现的，因为通常系统日志会记录账号的变动，同时记录账号信息的文件也会发生变动）。0055优选地，在本发明所公开的包含入侵检测客户端3的主机中，所述注册表监控单元周期性地执行如下注册表监控操作（1）实时地监控注册表改动事件；（2）在发生注册表改动事件时，将该注册表改动事件与注册表监控规则相比较，如果该注册表改动事件与注册表监控规则不匹配，则。
47、丢弃该注册表改动事件，而如果该注册表改动事件与注册表监控规则相匹配，则判断该注册表改动事件是否是需要发起事件响应请求的严重事件，如果是，则构造对应于该严重事件的事件响应请求并将所述事件响应请求传送到所述入侵检测服务器2，如果不是，则将该注册表改动事件传送到所述入侵检测服务器2。0056如图1所示，本发明公开了用于云计算环境的入侵检测服务器2，所述入侵检测服务器2根据接收到的来自至少一个主机1的主机事件或事件响应请求并基于预定的入侵检测规则执行入侵检测过程。0057优选地，本发明所公开的用于云计算环境的入侵检测服务器2进一步包括响应请求处理模块4、关联分析模块5、告警模块6、主机管理模块7、规则。
48、管理模块8和用户接口9。其中，所述关联分析模块5接收所述至少一个主机1发送来的主机事件并执行关联分析操作，以及根据分析结果生成相关的告警指令，并将所述告警指令传送到告警模块6。所述告警模块6基于所述告警指令执行告警操作。所述响应请求处理模块4接收并分析所述事件响应请求，并基于分析结果触发响应机制以响应所述事件响应请求对应的严重事件。所述规则管理模块8管理和维护入侵检测规则，其中，所述入侵检测规则包括监控规则和关联分析规则。所述主机管理模块7管理和维护所述至少一个主机1的状态信息，以及对所述至少一个主机1进行分类并基于分类结果将不同类型的监控规则应用到对应的主机。所述用户接口9接收并转发来自用户。
49、（例如入侵检测系统的操作者和/或管理者）的管理指令以执行相关的管理操作，所述管理指令包括针对所述入侵检测规则的配置指令。0058优选地，本发明所公开的用于云计算环境的入侵检测服务器2基于接收到的来自所述至少一个主机1的监控规则更新请求将最新的监控规则传送回对应的主机的入侵检测客户端3以更新该入侵检测客户端3所使用的监控规则。0059示例性地，在本发明所公开的用于云计算环境的入侵检测服务器2中，所述告警说明书CN104038466A129/12页13模块6以发送邮件或短信的方式执行所述告警操作。0060示例性地，在本发明所公开的用于云计算环境的入侵检测服务器2中，所述响应机制包括手动的响应所述事件响应请求或者驱动对应的入侵检测客户端3自动地执行针对所述事件响应请求的响应操作。0061示例性地，在本发明所公开的用于云计算环境的入侵检测服务器2中，所述主机事件至少包括日志事件、文件事件、帐号事件和注册表改动事件，并且每个主机事件包括事件标识符、分类标识符、源地址、目的地址、源端口、目的端口以及时间。0062优选地，在本发明所公开的用于云计算环境的入侵检测服务器2中，所述关联分析模块5以如下方式执行所述关联分析操作（1）实时地收集所述至少一个主机1传送来的主机事件；（2）对所收集的主机事件的事件标识符、分类标识符、源地址和目标地址参数进行频率计数；（3）将所收集的主机事件的所述事件标识。