基于用户数据流的分布式网络安全审计系统的研究

论文摘要

随着计算机网络的迅速发展,网络管理人员不仅要防范外网用户对企业内网的入侵,还要避免内网用户对网络性能造成严重的影响。由于缺乏科学而高效的基于内网用户数据流的审计系统,在网络性能出现异常时,网管人员只能借助类似SolarWinds等软件将网络流量导出,进行逐行查看分析后,找出可疑的主机,给网络管理工作造成极大的不便。本论文为解决上述问题,讨论了网络中异常流量的种类及相关的审计方法,并设计实现了基于用户数据流的分布式网络安全审计系统。论文在确定了网络中的异常流量范围以及对网络安全审计方法进行研究的基础上,提出了两种用于检测异常流量的方法:指标统计检测和特征匹配检测。根据异常流量的工作原理和特征定义了异常检测指标,并结合中心极限定理和统计分析给出了用户数据流的抽样统计算法。最后,提出了一个基于用户数据流的分布式网络安全审计系统的框架,保证了服务器的处理能力和审计系统的扩展性能,并设计与实现了系统的各个模块。系统分为流量采集模块、审计模块、查询与报警模块,其中核心程序使用C语言编写,执行效率较高。系统采用的是分布式审计和数据集中存储的结构,提高了系统的扩展性,避免了网管人员对多个不同异常流量信息显示页面的切换操作。Web显示页面中含有异常流量统计图形,方便网管人员对网络中异常流量分布情况的了解,提高了处理的速度。该系统已在北京市西城区教育城域网中运行测试,审计结果得到了网管人员的认可。

论文目录

• 摘要
• ABSTRACT
• 1 引言
• 1.1 研究背景和意义
• 1.2 国内外研究现状
• 1.3 研究内容
• 1.4 研究的技术路线
• 2 异常流量
• 2.1 异常流量定义
• 2.2 异常流量分类
• 2.2.1 拒绝服务攻击
• 2.2.2 端口扫描
• 2.2.3 网络蠕虫
• 2.2.4 其他异常
• 2.3 各种异常流量的工作原理及特性
• 2.3.1 拒绝服务攻击
• 2.3.2 端口扫描
• 2.3.3 网络蠕虫
• 2.3.4 其他异常
• 2.4 异常流量特征分析
• 3 网络安全审计
• 3.1 网络安全审计的概念
• 3.2 网络安全审计方法分类
• 3.2.1 误用检测
• 3.2.2 异常检测
• 3.3 常用异常检测方法
• 3.3.1 基于统计分析的异常检测方法
• 3.3.2 基于模式预测的异常检测方法
• 3.3.3 基于神经网络的异常检测方法
• 3.3.4 基于数据挖掘的异常检测方法
• 4 用户数据流抽样
• 4.1 检测指标的定义
• 4.2 用户数据流抽样统计算法
• 4.3 用户数据流抽样统计算法设计
• 4.3.1 初次抽样程序的核心代码
• 4.3.2 确定检测指标阈值的核心代码
• 5 基于用户数据流的分布式网络安全审计系统的实现
• 5.1 总体结构
• 5.2 流量采集与预处理模块
• 5.2.1 流量采集与预处理模块体系结构
• 5.2.2 Libpcap 函数库
• 5.2.3 采集与预处理模块的实现
• 5.2.4 核心函数
• 5.3 网络安全审计模块
• 5.3.1 指标统计检测
• 5.3.2 特征匹配检测
• 5.4 WEB 查询与报警模块
• 5.4.1 Email 报警
• 5.4.2 Web 查询子系统
• 6 系统配置与测试
• 6.1 运行环境
• 6.1.1 网络结构
• 6.1.2 环境设置
• 6.2 系统配置及运行操作
• 6.2.1 交换机上配置端口镜像
• 6.2.2 用户数据流抽样统计
• 6.2.3 检测系统的配置及运行
• 6.3 异常流量报警信息显示
• 6.3.1 Email 报警通知
• 6.3.2 Web 查询界面
• 6.4 异常流量检测结果检验
• 7 结果与讨论
• 7.1 研究结果
• 7.2 讨论与展望
• 参考文献
• 个人简介
• 第一导师简介
• 第二导师简介
• 获得成果目录清单
• 致谢