入侵报警关联模型及其关键技术的研究与实现

论文摘要

入侵检测系统(IDS)是近年来发展迅速的系统安全技术,它已经成为继防火墙之后的第二道网络安全防线。然而,传统的入侵检测系统有着两大弱点:(1)它通常关注于低级报警和异常,发出对应的孤立报警,而无法发现其中的逻辑联系和攻击策略。(2)传统的入侵检测系统会产生大量的误报,混杂于真实的报警之中。针对以上问题,本文提出了分布式网络入侵检测报警关联分析模型,采用模块化处理方式,对报警信息进行分层处理。采用报警属性近似度算法对报警进行聚合,结合前提和结果关联算法对攻击者能力进行建模系统的关联报警信息。该模型首先在IDS检测代理本地根据各IDS的报警属性统一报警格式和消除重复报警,对原始报警数据进行预处理,并将处理过的报警信息实时的发送发给中心节点服务器;接着去除不同IDS产生的重复报警信息;采用属性近似度算法聚合报警信息;然后,对攻击者能力进行建模,结合前提和结果关联算法进行关联分析;最后输出攻击轨迹链,通知管理员。同时进行了仿真实验对模型和算法进行了测试,并通过对比实验结果,证实了提出的模型和算法可对报警信息进行有效的分析处理。为本实验室提出的基于入侵检测系统、蜜罐系统、防火墙系统联动的主动防御体系提供报警分析解决方案。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 引言
• 1.2 研究背景
• 1.3 课题研究的内容及贡献
• 1.4 本文的章节安排
• 第二章 入侵检测系统概述
• 2.1 入侵检测系统的产生和发展
• 2.2 入侵检测的分类
• 2.2.1 基于主机的入侵检测
• 2.2.2 基于网络的入侵检测
• 2.2.3 混合式入侵检测
• 2.3 入侵检测方法
• 2.3.1 误用入侵检测
• 2.3.2 异常入侵检测
• 2.4 IDS 面临的主要问题
• 2.5 主动防御体系
• 2.5.1 主动防御体系结构
• 2.5.2 主动防御体系中的报警分析处理
• 2.6 小结
• 第三章 报警关联技术
• 3.1 引言
• 3.2 关联分析对象
• 3.2.1 报警格式标准化
• 3.2.2 报警间关系的分类
• 3.3 报警关联技术分类
• 3.3.1 报警关联技术的主要相关概念
• 3.3.2 报警关联技术的分类
• 3.4 小结
• 第四章 报警关联分析系统的研究与实现
• 4.1 报警关联分析系统的体系结构
• 4.2 报警关联分析系统的实现
• 4.2.1 合并模块及其功能实现
• 4.2.1.1 统一报警格式
• 4.2.1.2 去除重复报警
• 4.2.2 去冗模块及其功能实现
• 4.2.3 聚合模块及其功能实现
• 4.2.4 关联模块及其功能实现
• 4.2.4.1 基于攻击者能力的入侵模型
• 4.2.4.2 入侵模型与元攻击及其关联
• 4.2.4.3 超报警关联算法
• 4.2.4.4 关联模块功能实现
• 4.2.5 攻击轨迹链生成模块
• 4.3 小结
• 第五章 仿真实验及结果分析
• 5.1 仿真实验环境
• 5.2 系统实现
• 5.3 实验结果及分析
• 5.3.1 合并模块测试
• 5.3.2 去冗模块测试
• 5.3.3 聚合模块测试
• 5.3.4 关联和攻击链生成模块测试
• 5.3.5 实验结果分析
• 5.4 小结
• 第六章 总结与展望
• 6.1 总结
• 6.2 未来工作及展望
• 参考文献
• 致谢
• 在学期间的研究成果及发表的学术论文