基于CORBA的分布式入侵检测系统的研究与实现

论文摘要

随着网络环境的不断复杂,各种网络攻击的频繁发生,网络安全在Internet中的重要性越来越明显,具有主动防御功能的入侵检测系统IDS新的方法和技术不断提出和应用。本文在分析了CIDF框架和传统DIDS框架的基础上,构建了一个基于CORBA的轻负载代理分布式入侵检测系统模型CL-DIDS（CORBA-based Lightweight-Agent Distributed Intrusion Detection System）,该模型不仅可以检测基于主机和网络的入侵,而且可以快速检测大规模的分布式入侵。CL-DIDS充分利用了CORBA中间件作为系统间集成的总线,发挥了CORBA对操作系统、网络协议和编程语言的透明性等优点,使把工作重点放到伺服对象的实现上。CL-DIDS利用系统命令实现了系统调用序列所耗时间、所占内存的大小收集,利用与具体实现无关的访问操作系统所提供的分组捕获机制的函数库Libpcap对网络数据包截获,并进行协议解码,分离出TCP/IP协议层的各个字段,降低了在不同平台上开发检测代理的难度。CL-DIDS实现了基于危害系数动态队列的主机调用序列检测方法和对网络数据包协议分析和模式匹配相结合的检测方法研究,同时对NFR入侵检测规则的描述格式也进行了研究,降低了误报和漏报,提高了匹配的速度,检测的实时性和准确性。CL-DIDS引入了代理敏感度的新概念,利用动态加载技术提高或降低代理敏感度,实现对DDOS等分布式入侵的检测。同时中心分析器对个代理的可疑数据汇集,综合分析各种数据源,进一步判断各种分布式的攻击,提升系统对复杂攻击的分析和决策能力,提高系统健壮性。CL-DIDS的体系结构模型具有:平台无关性,良好的适应性,扩展性,支持多层次的数据分析以及动态防御等特点,对于目前的复杂网络具有良好的应用前景。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 课题的研究背景
• 1.2 入侵检测技术的国内外研究现状
• 1.2.1 入侵检测系统研究的发展
• 1.2.2 主要商用入侵检测系统简介
• 1.3 主要研究工作
• 1.4 论文的结构和章节安排
• 第二章 入侵检测系统概述
• 2.1 传统网络安全技术
• 2.2 入侵检测定义
• 2.3 入侵检测系统的分类
• 2.3.1 根据数据来源分类
• 2.3.2 根据体系结构分类
• 2.3.3 根据检测技术分类
• 2.3.4 根据工作方式分类
• 2.4 公共入侵检测框架CIDF
• 2.5 入侵检测的发展方向
• 2.6 本章小结
• 第三章 CL-DIDS 模型的提出
• 3.1 传统的DIDS 模型
• 3.2 CL-DIDS 模型的提出
• 3.3 引入CORBA 特点
• 3.4 CORBA 分布式对象技术
• 3.5 系统的IDL
• 3.6 系统的安全
• 3.7 系统的调用方式
• 3.8 系统部署
• 3.9 本章小结
• 第四章CL-DIDS 系统的设计与实现
• 4.1 数据源
• 4.2 数据采集引擎
• 4.3 数据格式化
• 4.4 检测规则
• 4.4.1 基于危害系数的动态队列
• 4.4.2 多模式字符串规则匹配
• 4.4.3 协议规则引擎设计
• 4.4.4 协议分析技术
• 4.5 分布式检测
• 4.6 响应引擎
• 4.8 本章小结
• 第五章 总结与展望
• 5.1 本文的研究工作总结
• 5.2 尚待继续深入研究的工作
• 参考文献
• 致谢
• 附录A 攻读硕士期间发表的文章