Scorpio：遵循IDWG規(guī)范的分布式入侵檢測架構(gòu)設(shè)計與實現(xiàn).pdf

1、而在大規(guī)模網(wǎng)絡(luò)中,可能需要多個入侵檢測系統(tǒng)共同協(xié)作,以處理各種復(fù)雜的分布式攻擊,達到最佳的檢測效果.對于分布式入侵檢測系統(tǒng)而言,進一步需要解決的關(guān)鍵問題是檢測信息的協(xié)同處理與入侵攻擊的全局信息提取.入侵檢測的協(xié)同分析,主要就是指入侵檢測的數(shù)據(jù)交換格式和交換協(xié)議,這些主要是為了解決在安全實現(xiàn)在各個IDS實體之間的數(shù)據(jù)交換,從而達到協(xié)同分析的目的.現(xiàn)在多數(shù)系統(tǒng)都是封閉的,而且原始數(shù)據(jù)的來源單一,具有不同的用戶界面、通信機制與配置方法,無法實

2、現(xiàn)與其他系統(tǒng)的通信與協(xié)作.互聯(lián)網(wǎng)工程任務(wù)組(IETF)的入侵檢測工作組(IDWG)發(fā)起制訂的相關(guān)標準化建議草案,是從CIDF的基礎(chǔ)上發(fā)展起來并于2000年初正式頒布.IDWG的最終目的是創(chuàng)立一種包括數(shù)據(jù)交換格式和交換協(xié)議在內(nèi)的IETF標準,以便不同類型的入侵檢測系統(tǒng)或者不同的檢測組件之間能夠進行互相通信.Scorpio多層架構(gòu)的分布式入侵檢測系統(tǒng),采用多層分析的方式來有效辨識入侵事件.用于采集并分析原始網(wǎng)絡(luò)、主機數(shù)據(jù)的傳感器分布在分布式

3、系統(tǒng)中的各個關(guān)鍵點處,負責(zé)及時獲取最新系統(tǒng)訊息.傳感器內(nèi)部處理模塊同時采用異常檢測和誤用檢測分析的方法分析數(shù)據(jù),發(fā)現(xiàn)網(wǎng)絡(luò)異常數(shù)據(jù)流量,并辨認具有明顯特征的入侵事件.在整個系統(tǒng)架構(gòu)中引入事件收集器概念,接收各個傳感器生成的事件消息作為輸入信息,并在此基礎(chǔ)上進一步分析各事件之間的內(nèi)在聯(lián)系以識別跨越多個傳感器范圍內(nèi)的分布式攻擊活動.為了遵循統(tǒng)一的國際標準,使系統(tǒng)具有良好的可擴展性,Scorpio系統(tǒng)的數(shù)據(jù)通信格式采用IDWG規(guī)定的IDMEF格