公开(公告)号：CN101902441B

公开(公告)日：2013-05-15

申请号：CN200910085069.8

申请日：2009-05-31

Applicant: 北京启明星辰信息技术股份有限公司 ,  北京启明星辰信息安全技术有限公司

Inventor： 张在峰 ,  邓炜 ,  张峰 ,  赵东宾 ,  王雷章 ,  黄长权

IPC: H04L29/06 ,  H04L12/24

Abstract: 一种可实现序列攻击事件检测的入侵检测方法，包括：根据需检测的每一序列攻击事件，将规则库中用于检测该序列攻击事件中前导事件的规则配置为基础规则，将用于检测该序列攻击事件中后续事件的规则配置为该基础规则的一组关联规则，将所述后续事件发生的先后顺序记录为所述关联规则的关联顺序；对某数据报文进行入侵检测时，如该数据报文匹配到一个或多个基础规则，则优先使用匹配到的基础规则的关联规则，按关联顺序与该数据报文的后续数据报文逐一匹配，如果某个基础规则的一组关联规则均匹配成功，则检测到对应的序列攻击事件，按该序列攻击事件的告警级别进行告警。本发明能够实现对序列攻击事件的检测，提高检测效率。

公开(公告)号：CN101562604B

公开(公告)日：2012-08-08

申请号：CN200810104321.0

申请日：2008-04-17

Applicant: 北京启明星辰信息技术股份有限公司

Inventor： 许金鹏 ,  邓炜 ,  赵东宾 ,  王虹

IPC: H04L29/06

Abstract: 本发明涉及一种基于报文流数据的无缓存模式匹配方法，该方法在处理多报文数据时，无需进行报文缓存，即可完成跨报文的模式匹配工作。该方法包含如下步骤：读取匹配模式；把匹配模式转换为匹配状态树；初始化匹配起始状态；读取待匹配的数据；按照当前的匹配状态，调用匹配程序进行模式匹配；记录当前的匹配状态；如果匹配成功，上报匹配结果；否则转读取待匹配的数据步骤继续。本发明具有的优点：能够在不缓存报文数据的情况下，完成网络数据的完整数据模式匹配，从而大大节省由于数据缓存而引起的时间、空间消耗，提高整体性能。

公开(公告)号：CN101425936B

公开(公告)日：2011-08-31

申请号：CN200710176511.9

申请日：2007-10-30

Applicant: 北京启明星辰信息技术股份有限公司

Inventor： 赵东宾 ,  邓炜 ,  许金鹏 ,  周涛 ,  叶润国

IPC: H04L12/26 ,  H04L12/24

Abstract: 一种基于异常度量的宏观网络安全状态评估方法，包括：定义建模参数与评分标准；采集样本数据，提取用于描述网络安全状态的指标变量；根据从样本数据中提取的指标变量，提取能反映网络运行状态的规律性因素，过滤偶然性因素，建立网络正常运行状态模型；采集指标变量检测数据，计算指标变量检测数据与正常模型间的异常程度；根据已定义的评分标准，按照所述指标变量的异常程度计算该指标的标准化评分，按照指标变量的重要程度给出网络整体状态的标准化评分。本发明方法能根据不同网络环境下各指标变量关注度不同，调整各指标变量的建模参数与评分标准，描述当前网络中重要指标变量的当前状态以及网络的整体综合状态，具有实时、准确、定量、可配置等优点。

公开(公告)号：CN101309179B

公开(公告)日：2011-03-16

申请号：CN200710099395.5

申请日：2007-05-18

Applicant: 北京启明星辰信息技术股份有限公司

Inventor： 叶润国 ,  赵东宾 ,  许金鹏 ,  华东明 ,  骆拥政

IPC: H04L12/26 ,  H04L12/56 ,  H04L29/08 ,  H04L12/24

Abstract: 本发明涉及一种基于主机活跃性和通信模式分析实时异常流量检测方法，本发明能够在高速网络环境下实时确定异常流量事件发生的时间，识别出异常流量事件的类型，并能对该异常流量事件进行物理定位。本发明利用提供各种网络服务的广域网以及与广域网连接的区域网和局域网、和安装在集中检测设备上的抽样单元、提取计算单元、比较单元、知识库单元来实现。本发明基于先验知识建立各种类型异常流量事件的通信模式，而在异常检测时，通过提取网络中的活跃主机通信模式，并与各异常流量事件通信模式相比较，就可能识别出发生在活跃主机上的异常流量事件，支持的异常流量检测事件包括α流、各种Flood事件、Flash-Crowd、端口扫描、网络扫描、设备故障和蠕虫扫描事件。

公开(公告)号：CN101902334A

公开(公告)日：2010-12-01

申请号：CN200910084704.0

申请日：2009-05-25

Applicant: 北京启明星辰信息技术股份有限公司 ,  北京启明星辰信息安全技术有限公司

Inventor： 赵东宾

IPC: H04L9/36 ,  H04L29/06

Abstract: 本发明公开了一种安全事件实时确认方法及系统，以实时高效地进行安全事件的确认。其中该方法包括：对接收网络报文进行攻击行为检测，将检测出攻击行为的所述网络报文描述为攻击报文；提取所述攻击报文的响应报文；使用一安全事件确认规则，对所述响应报文进行匹配，得到所述攻击报文的攻击确认结果，所述安全事件确认规则用于判定所述攻击是否成功。本发明通过对响应报文进行精确匹配，实时地完成安全事件攻击行为的确认。

公开(公告)号：CN101527648A

公开(公告)日：2009-09-09

申请号：CN200810101524.4

申请日：2008-03-07

Applicant: 北京启明星辰信息技术股份有限公司

Inventor： 许金鹏 ,  邓炜 ,  赵东宾 ,  王虹

IPC: H04L12/24 ,  H04L29/06 ,  G06F21/00

Abstract: 本发明涉及一种能够完成整数匹配的状态树匹配方法，在完成通用的并行模式匹配同时，完成整数的数值匹配，是一种用于计算机或网络的入侵监测、审计等多种基于数据监测的方法。本发明所述方法的步骤：读取整数定义模式的步骤，生成状态树的步骤，读取数据的步骤，模式匹配的步骤，上报结果的步骤。本发明可以在字符串匹配的同时，完成整数的匹配，从而提高匹配的速度。加快了在数据检测、审计的速度，减少了硬件开销，提高了数据检测和审计的效率。