基于對象監(jiān)控的分布式協(xié)同入侵檢測.pdf

1、網(wǎng)絡(luò)安全形勢依然嚴(yán)峻，網(wǎng)絡(luò)攻擊事件時常發(fā)生，入侵檢測技術(shù)的研究需要繼續(xù)深入，國內(nèi)外許多專家、學(xué)者從不同角度研究攻擊分類問題，給出了各自的攻擊分類體系，進而支持檢測一定的攻擊行為，這可通過部分分類體系與分類思想正被應(yīng)用于當(dāng)前的一些入侵檢測系統(tǒng)證實。然而入侵檢測尚有許多問題未解決：①誤警率與漏警率高使入侵檢測方法難于實用；②幾乎每天都有新的攻擊方法誕生，而又缺乏有效的方法檢測；③分布式協(xié)同攻擊使許多檢測方法失效；④入侵檢測系統(tǒng)很難有效地從海

2、量數(shù)據(jù)中檢測出攻擊行為。針對上述問題，本文從研究攻擊分類入手，提出了相應(yīng)的檢測方法，在一定程度上解決了入侵檢測問題。本文的主要工作在于： 提出了一種O-R-M-C(Object，Result，Mechanism，Characteristics)分類體系。O-R-M-C分類以對象為中心，先確定被攻擊對象Object，定位被攻擊點；其次考察攻擊產(chǎn)生的結(jié)果和危害程度Result，以迅速做出相應(yīng)的行動，降低損失；進而分析攻擊機理Mech

3、anism，探知攻擊的內(nèi)在原因、攻擊方法及攻擊情況；總結(jié)歸納出攻擊的一般特征Characteristics，以利于應(yīng)對類似攻擊或重復(fù)攻擊的檢測。 提出了一個分布式協(xié)同入侵檢測模型?；贠-R-M-C分類體系，提出了一個由傳感器、事件生成器、特征檢測代理、場景檢測代理、融合中心和控制中心組成的6層結(jié)構(gòu)的分布式協(xié)同入侵檢測模型。傳感器用于收集網(wǎng)絡(luò)數(shù)據(jù)包、日志和其他信息，提交給事件生成器；事件生成器對數(shù)據(jù)進行初步檢測、過濾，將正常用戶

4、數(shù)據(jù)及顯式入侵?jǐn)?shù)據(jù)剔除、過濾掉，目標(biāo)是盡可能減少入侵檢測器處理的數(shù)據(jù)量，對不確定數(shù)據(jù)，生成可疑入侵事件，轉(zhuǎn)發(fā)到相應(yīng)的入侵事件檢測代理；入侵事件檢測代理(特征檢測/場景檢測/融合中心)對可疑入侵事件進行分析，剔除、過濾掉正常用戶數(shù)據(jù)，當(dāng)檢測出攻擊行為時，轉(zhuǎn)響應(yīng)單元處理：對仍不能確定的可疑入侵?jǐn)?shù)據(jù)，提交給更高層的檢測代理；監(jiān)控中心監(jiān)控、管理、協(xié)調(diào)各入侵事件檢測代理(特征檢測代理/場景檢測代理)的工作，調(diào)節(jié)各檢測代理負(fù)載。 設(shè)計并實現(xiàn)

5、了四種入侵事件檢測代理，他們分別是特征檢測代理、場景檢測代理、統(tǒng)計檢測代理和基于數(shù)據(jù)融合技術(shù)的檢測代理。特征檢測代理抽取可疑入侵事件的特征，將其與數(shù)據(jù)庫存放的已知攻擊特征進行比較、分析，判斷是否為入侵行為；場景檢測代理通過對一個已知攻擊，分析其攻擊機理，將已知攻擊及其所有派生攻擊組織進一個入侵場景，構(gòu)造出檢測己知攻擊及其所有派生攻擊的檢測自動機；統(tǒng)計檢測代理通過考察受害者對象在一定時間內(nèi)的通信量，判斷其是否超出預(yù)先設(shè)定的閾值來檢測攻擊行

6、為；數(shù)據(jù)融合技術(shù)的檢測代理給出了從空間、時間與內(nèi)容上融合數(shù)據(jù)的方法，進而給出了數(shù)據(jù)融合算法。設(shè)計并實現(xiàn)了檢測三大類攻擊的檢測器，第一類是掃描攻擊與拒絕服務(wù)攻擊檢測器，由于掃描攻擊與拒絕服務(wù)攻擊機理、受害對象都相同，因而依據(jù)O-R-M-C分類體系，本文提出了一個基于三層結(jié)構(gòu)的檢測器檢測掃描攻擊與拒絕服務(wù)攻擊，它由特征檢測代理、場景檢測代理與統(tǒng)計檢測代理三層結(jié)構(gòu)組成；第二類是木馬攻擊檢測器，它由基于規(guī)范的檢測(特征檢測代理)與統(tǒng)計檢測代理組

7、成；第三類是權(quán)限提升及其變種攻擊檢測器，它由場景檢測代理完成。 解決了檢測已知攻擊及其所有派生攻擊的檢測問題。研究了權(quán)限提升攻擊機理，探究了攻擊與對象狀態(tài)變遷的內(nèi)在聯(lián)系，揭示了通過一個已知攻擊產(chǎn)生變種攻擊的原理、技術(shù)與方法，提出了運用場景(Scenario)與對象監(jiān)控技術(shù)檢測已知攻擊及其所有派生的新攻擊的方法，進而組織入侵場景，構(gòu)造有窮自動機來檢測這些入侵行為。由于一個變種攻擊不同于己知攻擊，從這種意義上說，我們提出的方法能夠檢

8、測新的攻擊。 設(shè)計并實現(xiàn)了基于數(shù)據(jù)融合技術(shù)的協(xié)同入侵檢測算法。探討了數(shù)據(jù)融合技術(shù)在入侵檢測領(lǐng)域的應(yīng)用，給出了從空間、時間及內(nèi)容上融合可疑入侵?jǐn)?shù)據(jù)的方法，通過協(xié)同攻擊、多次會話攻擊及精心設(shè)計的攻擊的檢測問題說明如何運用數(shù)據(jù)融合技術(shù)，改進檢測效果。 設(shè)計并實現(xiàn)了一個協(xié)同入侵檢測原型系統(tǒng)CoIDM(Collaborative IntrusionDetection Model)。經(jīng)實驗驗證了CoIDM入侵檢測原型的有效性，檢驗了