基于管理Agent的协作式入侵检测技术的研究

论文摘要

随着计算机技术和Internet的飞速发展，计算机系统已经由独立的单机模式转向开放、互联的网络环境，网络安全和信息安全问题日益突出，网络上各种攻击事件不断发生，相应地，各种安全措施也越来越多。入侵检测技术正受到人们越来越多地重视。传统的误用检测存在效率低下、无法检测出未知攻击及变体攻击的问题，而异常检测又存在建模能力差、检测率低等问题。本文在对已有入侵检测技术分析与研究的基础上，主要完成了以下的工作：(1)引入管理Agent的概念。提出了在管理Agent中采用基于优先级选择算法的协作管理方法。Agent既可以独立完成某种特定的任务，也可以通过管理Agent地协调，多Agent间通过相互交换信息进行数据收集，从而共同协作完成某种复杂的任务。(2)提出了一种基于管理Agent的协作式入侵检测模型(Coopertaion IntrusionDetection Based on Manager Agent，CIDBMA)。该模型解决了传统的集中式入侵检测模型只能从单一视角监视被保护系统，对分布式攻击无能为力的弊病；同时也兼顾到了分布式入侵检测系统检测组件大量占用系统资源且消息量过于庞大的问题。尤其是对模型中的协作策略进行的详细设计，使模型的健壮性大大增强。当某个Agent失去工作能力(例如，无响应)后，也不会对整个模型有较大影响。Agent的恢复采用了一种选举算法，在管理Agent的主导下可以及时、动态恢复Agent的运行。(3)在Agent能力属性中引入了信誉度的概念。这是受到电子交易后的信用评价机制启发而提出的。信誉度概念的引入，为更准确描述Agent在协作中的表现提供了一个量化指标。Agent的本地数据库中存储与其直接协作和间接协作的所有Agent的信誉度向量。(4)改进了数据分析集成学习模型。在基于多个神经网络的分类器决策融合后，增加新的神经网络模块，修正了单个分类器内部发生的分类错误。并在二级神经网络中改变了输入向量维数，运用更全面的数据描述提高改变后模型的检测率，同时降低误警率。(5)设计并运用KDDCUP99数据对我们的模型进行了实验，通过与改进前的入侵检测集成学习方法和另一种类似改进方法的对比，表明改进后的方法在检测率和误警率方面都有明显改善。

论文目录

• 摘要
• ABSTRACT
• 第1章 绪论
• 1.1 网络安全
• 1.2 入侵检测技术研究进展
• 1.3 课题研究的意义和创新点
• 1.3.1 研究意义
• 1.3.2 本文的创新点
• 1.4 论文的组织
• 第2章 入侵检测原理
• 2.1 入侵检测原理及体系结构
• 2.1.1 入侵检测基本原理
• 2.1.2 入侵检测技术分类
• 2.1.3 入侵检测系统体系结构
• 2.2 入侵检测分析技术
• 2.2.1 误用检测采用的分析技术
• 2.2.2 异常检测采用的分析技术
• 2.2.3 其他入侵检测分析技术
• 2.3 攻击技术分析
• 2.3.1 常用攻击技术
• 2.3.2 拒绝服务攻击
• 2.4 本章小结
• 第3章 多Agent系统求解原理
• 3.1 AGENT及AGENT体系结构
• 3.2 多AGENT系统
• 3.2.1 多Agent体系结构
• 3.2.2 协作和协商
• 3.2.3 协调
• 3.3 本章小结
• 第4章 CIDBMA模型
• 4.1 CIDBMA逻辑结构
• 4.2 CIDBMA模型元素及功能
• 4.2.1 入侵检测Agent（IDA）
• 4.2.2 主机监视Agent（HMA）
• 4.2.3 状态控制Agent（SCA）
• 4.2.4 域监视Agent（DMA）
• 4.2.5 管理Agent（MA）
• 4.2.6 用户界面Agent（UIA）
• 4.3 协作机制
• 4.3.1 Agent的协作分类
• 4.3.2 协作策略
• 4.3.3 与协作相关的Agent参数
• 4.3.4 信誉度生成算法
• 4.4 通信机制
• 4.4 本章小结
• 第5章 管理Agent设计与实现
• 5.1 管理AGENT的功能描述
• 5.2 管理AGENT的结构组织
• 5.3 基于优先级的选择算法
• 5.4 本章小结
• 第6章 实验与分析
• 6.1 数据提取
• 6.1.1 数据采集
• 6.1.2 数据预处理
• 6.2 数据分析
• 6.2.1 基于集成学习的数据分析原理
• 6.2.2 集成学习模型的改进
• 6.3 实验结果分析
• 6.3.1 实验数据说明
• 6.3.2 实验结果与分析
• 6.4 本章小结
• 第7章 结束语
• 7.1 总结
• 7.2 进一步研究方向
• 致谢
• 参考文献
• 论文及科研情况
• 附录 KDDCUP99数据集特征属性分类