多層架構(gòu)的協(xié)同式入侵檢測(cè)系統(tǒng)研究.pdf

1、隨著Internet的發(fā)展，網(wǎng)絡(luò)安全已成了人們不得不面對(duì)的問題之一。網(wǎng)絡(luò)安全工具雖然已取得了很大發(fā)展，但仍存在著許多局限性，譬如防火墻靈活性差，不能保護(hù)網(wǎng)絡(luò)免受隱蔽攻擊等，建立一個(gè)全面完善的入侵防護(hù)體系是互聯(lián)網(wǎng)用戶共同的目標(biāo)與期望。入侵檢測(cè)是一項(xiàng)對(duì)抗計(jì)算機(jī)網(wǎng)絡(luò)入侵攻擊、有效提高網(wǎng)絡(luò)安全的主動(dòng)防御技術(shù)。它主要通過檢測(cè)系統(tǒng)狀態(tài)、收集重要信息，來(lái)判斷并切斷入侵，發(fā)現(xiàn)系統(tǒng)存在的漏洞，對(duì)攻擊事件主動(dòng)進(jìn)行分析和響應(yīng)。但是，而入侵檢測(cè)系統(tǒng)也存在漏報(bào)和

2、誤報(bào)率高、難于管理問題。隨著網(wǎng)絡(luò)應(yīng)用范圍的不斷擴(kuò)大以及網(wǎng)絡(luò)結(jié)構(gòu)的日趨復(fù)雜，安全體系對(duì)入侵檢測(cè)系統(tǒng)也提出了新的要求。 針對(duì)以上問題，本文提出了一種跨網(wǎng)絡(luò)管理域的多層架構(gòu)的協(xié)同式入侵檢測(cè)方法。這種方法的依據(jù)是：網(wǎng)絡(luò)是相互依賴的，外部全局網(wǎng)絡(luò)的安全信息對(duì)評(píng)估內(nèi)部網(wǎng)絡(luò)安全風(fēng)險(xiǎn)，及早地、更準(zhǔn)確地發(fā)現(xiàn)對(duì)內(nèi)部網(wǎng)絡(luò)的入侵活動(dòng)是非常有用的。多層架構(gòu)的協(xié)同式入侵檢測(cè)方法實(shí)現(xiàn)了不同管理域網(wǎng)絡(luò)之間告警共享和集中地相關(guān)分析，可以提高入侵檢測(cè)準(zhǔn)確性，可以識(shí)

3、別入侵意圖，了解網(wǎng)絡(luò)的整體安全態(tài)勢(shì)，并且還可以為各個(gè)網(wǎng)絡(luò)提供入侵預(yù)警服務(wù)。 本文首先對(duì)網(wǎng)絡(luò)及安全性和入侵檢測(cè)技術(shù)進(jìn)行了概述，并介紹了目前入侵檢測(cè)的技術(shù)動(dòng)態(tài)和發(fā)展趨勢(shì)。網(wǎng)絡(luò)入侵、入侵檢測(cè)的概念及發(fā)展、入侵檢測(cè)系統(tǒng)模型、入侵檢測(cè)系統(tǒng)分類、已知的入侵檢測(cè)技術(shù)和入侵檢測(cè)系統(tǒng)結(jié)構(gòu)，討論了傳統(tǒng)入侵檢測(cè)系統(tǒng)存在的一些問題以及其發(fā)展的趨勢(shì)。 其次，提出了一種可擴(kuò)展的、高性能的多層架構(gòu)的協(xié)同式入侵監(jiān)測(cè)系統(tǒng)結(jié)構(gòu)。多層架構(gòu)的協(xié)同式入侵檢測(cè)系統(tǒng)

4、由多個(gè)安全監(jiān)測(cè)分中心及其由安全監(jiān)測(cè)中心管理的會(huì)員網(wǎng)絡(luò)構(gòu)成。 在一個(gè)安全監(jiān)測(cè)分中心范圍內(nèi)，會(huì)員網(wǎng)絡(luò)按一定相關(guān)性組織。在會(huì)員網(wǎng)絡(luò)內(nèi)部，采用引入事件收集器的概念的多層架構(gòu)的分布式入侵檢測(cè)系統(tǒng)。會(huì)員網(wǎng)絡(luò)將內(nèi)部產(chǎn)生的告警傳輸?shù)桨踩O(jiān)測(cè)中心，安全監(jiān)測(cè)中心對(duì)收集到的告警進(jìn)行相關(guān)性分析。而在安全監(jiān)測(cè)中心之間只交換匯總的安全信息。同時(shí)，為了提高系統(tǒng)的可擴(kuò)展性，安全監(jiān)測(cè)分中心之間采用一種對(duì)等結(jié)構(gòu)，安全監(jiān)測(cè)分中心與會(huì)員網(wǎng)絡(luò)之間為一種星型結(jié)構(gòu)，在安全監(jiān)

5、測(cè)分中心之間、安全監(jiān)測(cè)分中心和會(huì)員網(wǎng)絡(luò)之間形成一個(gè)重疊網(wǎng)絡(luò)來(lái)實(shí)現(xiàn)告警、安全更新信息的高性能交換。 接著，提出了一個(gè)通用性的告警相關(guān)模型，用于表示整個(gè)告警相關(guān)過程。這個(gè)告警相關(guān)模型由多個(gè)告警相關(guān)模塊和分析工具組成，每個(gè)模塊和分析工具實(shí)現(xiàn)一個(gè)特定的告警相關(guān)功能，通過各個(gè)模型和分析工具相互配合和共同作用，實(shí)現(xiàn)告警相關(guān)的總目標(biāo)。 然后，研究了我們提出的事件收集器的模型及其關(guān)聯(lián)分析方法。通過對(duì)事件消息采用規(guī)則過濾方法和關(guān)聯(lián)分析算法