分布式入侵檢測系統(tǒng)管理協(xié)調(diào)能力的研究和實現(xiàn).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的日益發(fā)展，尤其是Internet的迅速普及，網(wǎng)絡(luò)安全問題受到越來越多人的關(guān)注。傳統(tǒng)的靜態(tài)安全模型已經(jīng)不能適應(yīng)新的網(wǎng)絡(luò)環(huán)境，動態(tài)安全模型(如PPDR模型)更能適合當(dāng)前網(wǎng)絡(luò)安全的需要，而入侵檢測是PPDR模型中的關(guān)鍵一環(huán)。入侵檢測是一種主動的安全防護(hù)技術(shù)，是對傳統(tǒng)計算機(jī)安全技術(shù)的補(bǔ)充，已成為網(wǎng)絡(luò)安全領(lǐng)域研究中的一個新熱點。 本文首先介紹了當(dāng)前網(wǎng)絡(luò)安全問題的現(xiàn)狀和目前網(wǎng)絡(luò)安全防護(hù)的主要手段，指出了研究和發(fā)展入侵檢測系統(tǒng)的

2、重要性；然后介紹了入侵檢測系統(tǒng)的概念、分類和通用模型，針對目前入侵檢測系統(tǒng)管理協(xié)調(diào)能力不強(qiáng)，自身安全性較差等不足，提出了一種基于CIDF模型的分布式實時入侵檢測系統(tǒng)，系統(tǒng)由中央管理協(xié)調(diào)模塊、網(wǎng)絡(luò)檢測代理組成。文章主要介紹了入侵檢測系統(tǒng)管理和控制模塊的設(shè)計與實現(xiàn)。管理協(xié)調(diào)模塊是整個系統(tǒng)的核心，由數(shù)據(jù)庫模塊、分析模塊、響應(yīng)模塊、用戶界面模塊和通信模塊組成。系統(tǒng)在Windows2000環(huán)境下設(shè)計實現(xiàn)，以MicrosoftSQLServer20

3、00為數(shù)據(jù)庫服務(wù)器，MicrosoftVC++6.0是主要的開發(fā)工具。 文章在規(guī)則庫定義、攻擊檢測、攻擊響應(yīng)、通信模塊及系統(tǒng)自身安全性等方面嘗試引入新的原理和技術(shù)，加強(qiáng)系統(tǒng)的管理協(xié)調(diào)能力。入侵規(guī)則以保留關(guān)鍵字和值原語作為基本語義元素，簡單的表達(dá)式語法用來對規(guī)則進(jìn)行自動響應(yīng)作為缺省響應(yīng)方式，同時加入手機(jī)短信平臺，管理員能夠在其他地方與系統(tǒng)進(jìn)行交互，具備無人值守自動響應(yīng)能力；在完善各種被動響應(yīng)措施的同時，也嘗試采用遠(yuǎn)程阻斷、甚至警告

4、攻擊者的主動響應(yīng)方式。在本地端加裝本地檢測代理負(fù)責(zé)本網(wǎng)段的攻擊檢測，使用雙網(wǎng)卡，用于檢測的監(jiān)聽網(wǎng)卡不分配IP地址，實現(xiàn)隱蔽監(jiān)聽。按照CIDF模型構(gòu)造通信模塊，具有與其他符合網(wǎng)絡(luò)檢測代理無縫的交互。在通信過程中使用TLS/SSL安全通信機(jī)制，采用安全認(rèn)證技術(shù)進(jìn)行身份識別，采用加密算法實現(xiàn)數(shù)據(jù)安全傳輸，在很多方面加強(qiáng)了系統(tǒng)自身安全性。 通過跨網(wǎng)段測試表明系統(tǒng)簡潔高效，管理協(xié)調(diào)能力強(qiáng)，自身安全性高，符合當(dāng)前網(wǎng)絡(luò)和分布式入侵檢測的發(fā)展趨