分布式主动协同入侵检测系统的入侵特征描述与子系统性能改进

论文摘要

入侵检测作为一种安全防护技术,提供了对内部攻击、外部攻击和误操作的实时保护,在网络系统受到危害之前拦截和响应入侵。但是随着网络规模的扩大,攻击方式的分布化,采用单一体系结构的入侵检测系统普遍存在误警(误报)率偏高、产品适应能力较低、大型网络的管理能力较弱、处理速度存在瓶颈、信息关联能力不强等不利的因素。 为了解决上述问题,我们研究设计了一种分布式主动协同入侵检测系统,该系统以部署在各节点上的入侵检测系统的告警信息或探测器探测到的信息作为数据来源,通过分析这些信息来达到提高系统的检测率和检测出分布式多步骤入侵的目的。 本文首先对传统网络安全方法进行了简述,引出采用入侵检测系统来保障网络安全的必要性,并对入侵检测系统研究的现状做了简要的介绍,分析了当前入侵检测系统面临的问题。对现有的分布式入侵检测系统结构进行分析之后,给出分布式主动协同入侵检测系统的体系结构,并对系统中几个主要模块进行了详细的介绍。 本文研究的内容是分布式主动协同入侵检测系统研究项目的一部分,笔者主要就以下方面开展了工作: 1、给出了分布式多步骤入侵建模的方法 分布式多步骤入侵中某些步骤不会对被保护的主机或网段造成直接的威胁,因此不会被部署在其中的子入侵检测系统检测出来。根据分布式多步骤入侵的这个特点,我们将其场景分解成一系列探测器能观察到的事件或者对应于子入侵检测系统能检测到的入侵子目标,我们将其统称为检测子任务;检查特定的事件、系统状态来刻画检测子任务,从而检测出子任务的发生;指定检测子任务间的关系包括检测子任务发生的先后次序,检测子任务对应的事件属性间的关系。采用扩展的巴科斯范式对分布式多步骤入侵模型进行了抽象描述,并给出一个实例的抽象描述。 2、定义了一种用来描述分布式多步骤入侵特征的语言 根据建立的分布式多步骤入侵的模型,定义了一种基于XML的分布式多步骤入侵特征语言,详细介绍了该语言的词法元素、数据类型以及表达式;给出用该语言描述的分布式多步骤入侵特征的文档类型定义,用这个文档类型定义可以对安全管理人员或分布式主动协同入侵检测系统用户描述的分布式多步骤入侵特征进行格式检查;给出一个利用该语言描述的分布式多步骤入侵的特征。 3、规范化了系统中协同检测引擎输入的数据 分布式主动协同入侵检测系统分析的数据格式多样、内容不一,系统利用分布式多步骤入侵特征语言描述的特征来检测分布式多步骤入侵时,要求协同检测引擎接收的数据格式一致,只有在格式一致的数据中才能方便提取出合乎关联条件的内容。因此,本文利用入侵检测工作组制定入侵检测消息交换格式时规范化数据的方法,修改其中的数据模型来满足分布式主动协同入侵检测系统的需求,将原有数据模型中分析器用来向管理器报告自

论文目录

• 摘要
• ABSTRACT
• 第一章 引言
• §1.1 网络安全与入侵检测
• 1.1.1 传统网络安全方法
• 1.1.2 入侵检测的必要性
• §1.2 相关术语
• §1.3 入侵检测系统研究现状
• 1.3.1 入侵检测系统的发展
• 1.3.2 入侵检测系统的分类
• §1.4 入侵检测系统面临的问题分析
• §1.5 本文的研究内容
• 第二章 分布式主动协同入侵检测系统
• §2.1 性能要求
• §2.2 现有的分布式入侵检测系统结构分析
• 2.2.1 集中式系统检测
• 2.2.2 层次化协同检测
• 2.2.3 完全分布式协同检测
• §2.3 分布式主动协同入侵检测系统体系结构
• 第三章 分布式多步骤入侵场景建模及其描述
• §3.1 入侵描述语言分析
• §3.2 分布式多步骤入侵场景建模
• 3.2.1 检测子任务过滤器
• 3.2.2 检测子任务序列
• 3.2.3 约束条件的组合
• §3.3 分布式多步骤入侵模型的抽象描述
• 3.3.1 检测子任务过滤器的抽象语法
• 3.3.2 分布式多步骤入侵模型描述的抽象语法
• 3.3.3 分布式多步骤入侵模型的一个抽象描述例子
• §3.4 分布式多步骤入侵描述
• 3.4.1 DMISL的词法元素
• 3.4.2 DMISL的数据类型
• 3.4.3 DMISL的表达式
• §3.5 分布式多步骤入侵特征的文档类型定义
• 第四章 协同检测引擎输入数据的规范化
• §4.1 数据规范化面临的问题分析
• §4.2 修改IDMEF数据模型来满足需求
• §4.3 数据模型中几个重要类的文档类型定义
• Event类'>4.3.1 Detect_Event类
• Event类'>4.3.2 Sensor_Event类
• 4.3.3 Sensor类
• 4.3.4 Packet类
• Event类'>4.3.5 SubIDS_Event类
• §4.4 举例说明
• 第五章 基于特征的网络子IDS性能改进
• §5.1 模式匹配定义
• §5.2 BM算法
• §5.3 AC自动机匹配算法
• §5.4 AC自动机匹配算法在特征检测子模块中的使用
• §5.5 实验比较
• 第六章 结束语
• 致谢
• 参考文献
• 附录A：攻读硕士学位期间完成的论文