基于對(duì)象監(jiān)控的分布式協(xié)同入侵檢測(cè).pdf

1、網(wǎng)絡(luò)安全形勢(shì)依然嚴(yán)峻，網(wǎng)絡(luò)攻擊事件時(shí)常發(fā)生，入侵檢測(cè)技術(shù)的研究需要繼續(xù)深入，國(guó)內(nèi)外許多專家、學(xué)者從不同角度研究攻擊分類問題，給出了各自的攻擊分類體系，進(jìn)而支持檢測(cè)一定的攻擊行為，這可通過部分分類體系與分類思想正被應(yīng)用于當(dāng)前的一些入侵檢測(cè)系統(tǒng)證實(shí)。然而入侵檢測(cè)尚有許多問題未解決：①誤警率與漏警率高使入侵檢測(cè)方法難于實(shí)用；②幾乎每天都有新的攻擊方法誕生，而又缺乏有效的方法檢測(cè)；③分布式協(xié)同攻擊使許多檢測(cè)方法失效；④入侵檢測(cè)系統(tǒng)很難有效地從海

2、量數(shù)據(jù)中檢測(cè)出攻擊行為。針對(duì)上述問題，本文從研究攻擊分類入手，提出了相應(yīng)的檢測(cè)方法，在一定程度上解決了入侵檢測(cè)問題。本文的主要工作在于： 提出了一種O-R-M-C(Object，Result，Mechanism，Characteristics)分類體系。O-R-M-C分類以對(duì)象為中心，先確定被攻擊對(duì)象Object，定位被攻擊點(diǎn)；其次考察攻擊產(chǎn)生的結(jié)果和危害程度Result，以迅速做出相應(yīng)的行動(dòng)，降低損失；進(jìn)而分析攻擊機(jī)理Mech

3、anism，探知攻擊的內(nèi)在原因、攻擊方法及攻擊情況；總結(jié)歸納出攻擊的一般特征Characteristics，以利于應(yīng)對(duì)類似攻擊或重復(fù)攻擊的檢測(cè)。 提出了一個(gè)分布式協(xié)同入侵檢測(cè)模型。基于O-R-M-C分類體系，提出了一個(gè)由傳感器、事件生成器、特征檢測(cè)代理、場(chǎng)景檢測(cè)代理、融合中心和控制中心組成的6層結(jié)構(gòu)的分布式協(xié)同入侵檢測(cè)模型。傳感器用于收集網(wǎng)絡(luò)數(shù)據(jù)包、日志和其他信息，提交給事件生成器；事件生成器對(duì)數(shù)據(jù)進(jìn)行初步檢測(cè)、過濾，將正常用戶

4、數(shù)據(jù)及顯式入侵?jǐn)?shù)據(jù)剔除、過濾掉，目標(biāo)是盡可能減少入侵檢測(cè)器處理的數(shù)據(jù)量，對(duì)不確定數(shù)據(jù)，生成可疑入侵事件，轉(zhuǎn)發(fā)到相應(yīng)的入侵事件檢測(cè)代理；入侵事件檢測(cè)代理(特征檢測(cè)/場(chǎng)景檢測(cè)/融合中心)對(duì)可疑入侵事件進(jìn)行分析，剔除、過濾掉正常用戶數(shù)據(jù)，當(dāng)檢測(cè)出攻擊行為時(shí)，轉(zhuǎn)響應(yīng)單元處理：對(duì)仍不能確定的可疑入侵?jǐn)?shù)據(jù)，提交給更高層的檢測(cè)代理；監(jiān)控中心監(jiān)控、管理、協(xié)調(diào)各入侵事件檢測(cè)代理(特征檢測(cè)代理/場(chǎng)景檢測(cè)代理)的工作，調(diào)節(jié)各檢測(cè)代理負(fù)載。 設(shè)計(jì)并實(shí)現(xiàn)

5、了四種入侵事件檢測(cè)代理，他們分別是特征檢測(cè)代理、場(chǎng)景檢測(cè)代理、統(tǒng)計(jì)檢測(cè)代理和基于數(shù)據(jù)融合技術(shù)的檢測(cè)代理。特征檢測(cè)代理抽取可疑入侵事件的特征，將其與數(shù)據(jù)庫(kù)存放的已知攻擊特征進(jìn)行比較、分析，判斷是否為入侵行為；場(chǎng)景檢測(cè)代理通過對(duì)一個(gè)已知攻擊，分析其攻擊機(jī)理，將已知攻擊及其所有派生攻擊組織進(jìn)一個(gè)入侵場(chǎng)景，構(gòu)造出檢測(cè)己知攻擊及其所有派生攻擊的檢測(cè)自動(dòng)機(jī)；統(tǒng)計(jì)檢測(cè)代理通過考察受害者對(duì)象在一定時(shí)間內(nèi)的通信量，判斷其是否超出預(yù)先設(shè)定的閾值來檢測(cè)攻擊行

6、為；數(shù)據(jù)融合技術(shù)的檢測(cè)代理給出了從空間、時(shí)間與內(nèi)容上融合數(shù)據(jù)的方法，進(jìn)而給出了數(shù)據(jù)融合算法。設(shè)計(jì)并實(shí)現(xiàn)了檢測(cè)三大類攻擊的檢測(cè)器，第一類是掃描攻擊與拒絕服務(wù)攻擊檢測(cè)器，由于掃描攻擊與拒絕服務(wù)攻擊機(jī)理、受害對(duì)象都相同，因而依據(jù)O-R-M-C分類體系，本文提出了一個(gè)基于三層結(jié)構(gòu)的檢測(cè)器檢測(cè)掃描攻擊與拒絕服務(wù)攻擊，它由特征檢測(cè)代理、場(chǎng)景檢測(cè)代理與統(tǒng)計(jì)檢測(cè)代理三層結(jié)構(gòu)組成；第二類是木馬攻擊檢測(cè)器，它由基于規(guī)范的檢測(cè)(特征檢測(cè)代理)與統(tǒng)計(jì)檢測(cè)代理組

7、成；第三類是權(quán)限提升及其變種攻擊檢測(cè)器，它由場(chǎng)景檢測(cè)代理完成。 解決了檢測(cè)已知攻擊及其所有派生攻擊的檢測(cè)問題。研究了權(quán)限提升攻擊機(jī)理，探究了攻擊與對(duì)象狀態(tài)變遷的內(nèi)在聯(lián)系，揭示了通過一個(gè)已知攻擊產(chǎn)生變種攻擊的原理、技術(shù)與方法，提出了運(yùn)用場(chǎng)景(Scenario)與對(duì)象監(jiān)控技術(shù)檢測(cè)已知攻擊及其所有派生的新攻擊的方法，進(jìn)而組織入侵場(chǎng)景，構(gòu)造有窮自動(dòng)機(jī)來檢測(cè)這些入侵行為。由于一個(gè)變種攻擊不同于己知攻擊，從這種意義上說，我們提出的方法能夠檢

8、測(cè)新的攻擊。 設(shè)計(jì)并實(shí)現(xiàn)了基于數(shù)據(jù)融合技術(shù)的協(xié)同入侵檢測(cè)算法。探討了數(shù)據(jù)融合技術(shù)在入侵檢測(cè)領(lǐng)域的應(yīng)用，給出了從空間、時(shí)間及內(nèi)容上融合可疑入侵?jǐn)?shù)據(jù)的方法，通過協(xié)同攻擊、多次會(huì)話攻擊及精心設(shè)計(jì)的攻擊的檢測(cè)問題說明如何運(yùn)用數(shù)據(jù)融合技術(shù)，改進(jìn)檢測(cè)效果。 設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)協(xié)同入侵檢測(cè)原型系統(tǒng)CoIDM(Collaborative IntrusionDetection Model)。經(jīng)實(shí)驗(yàn)驗(yàn)證了CoIDM入侵檢測(cè)原型的有效性，檢驗(yàn)了