分布式入侵检测系统中告警相关的研究与实现

论文摘要

互联网的开放性为信息的共享和交互提供了极大的便利，但同时也对信息的安全性提出了严峻的挑战。信息安全已逐渐发展成为信息系统的关键问题。 入侵检测(Intrusion Detection)作为一种主动的信息安全保障措施，有效地弥补了传统安全防护技术的缺陷。通过构建动态的安全循环，可以最大限度地提高系统的安全保障能力，减少安全威胁对系统造成的危害。 随着计算机技术和网络技术的不断发展，分布式计算环境的广泛采用，海量存储和高带宽传输技术的普及，传统的基于单机的集中式入侵检测系统已不能满足安全需求。分布式入侵检测(Distributed Intrusion Detection，DTD)逐渐成为入侵检测乃至整个网络安全领域的研究重点。 本文针对分布式入侵检测的关键问题进行了研究。首先分析了当前入侵检测和告警相关的研究现状，然后针对其存在的主要问题提出了一种适用于分布式入侵检测系统的基于知识积累的告警相关方法和一个基于入侵类型逻辑转换的过滤方法。 基于知识积累的告警相关方法通过将入侵检测系统检测到的有关黑客入侵的信息积累起来，用这些信息与新的告警信息进行相关性的分析，这样可以避免遗漏入侵过程的关联；在关联分析时，我们考虑完全关联和部分关联两种情况，以识别带有分支的入侵过程；另外，还可以用相关度来对入侵过程的关联程度进行评价。 基于入侵类型逻辑转换的过滤方法定义了一个入侵类型逻辑转换矩阵。在进行告警信息的相关性分析时，首先分析已积累的知识与新的告警信息之间是否存在入侵类型的逻辑转换关系，如果存在逻辑转换关系，就进行相关性的分析，否则不进行。这样可以大大减少一些不必要的告警信息参与相关性的分析，从而可以明显提高告警相关部件的有效性。

论文目录

• 摘要
• Abstract
• 插图索引
• 附表索引
• 第一章 绪论
• 1.1.安全问题产生的原因
• 1.2.目前主要的网络安全技术
• 1.2.1.数据加密技术
• 1.2.2.防火墙
• 1.2.3.网络防病毒技术
• 1.2.4.入侵检测技术
• 1.3.告警相关综述
• 1.4.问题分析及研究的意义
• 1.5.论文的内容和结构安排
• 第二章 入侵检测与告警相关
• 2.1.入侵检测的基本概念
• 2.1.1.入侵检测的历史
• 2.1.2.入侵检测系统的基本结构
• 2.1.3.入侵检测系统的分类
• 2.2.常见的异常入侵检测方法
• 2.2.1.基于统计分析的方法
• 2.2.2.基于数据挖掘的方法
• 2.2.3.基于神经网络的方法
• 2.2.4.基于进程行为的方法
• 2.3.告警相关
• 2.3.1.基于因果关系的告警相关方法
• 2.3.2.SRI的基于概率的告警相关方法
• 2.3.3.IBM提出的聚合与关联组件
• 2.3.4.入侵检测消息交换格式（IDMEF）
• 第三章 基于知识积累的告警相关方法
• 3.1.DDOS及其入侵过程分析
• 3.2.现有告警相关方法的进一步分析
• 3.3.基于知识积累的告警相关方法
• 3.3.1.相关知识库
• 3.3.2.相关处理方法
• 3.3.3.相关度
• 3.3.4.现场知识库
• 3.4.结束语
• 第四章 带过滤器的告警相关部件的实现
• 4.1.概述
• 4.2.告警相关部件的整体实现
• 4.2.1.重复告警的合并
• 4.2.2.基于入侵类型逻辑转换的过滤方法
• 4.2.3.预处理
• 4.2.4.相关性分析
• 4.2.5.告警相关图的形成
• 4.3.评价方法与实验结果
• 4.3.1.评价方法
• 4.3.2.实验结果
• 4.4.结束语
• 第五章 各部件间通信机制总体实现
• 5.1.引言
• 5.2.分布式入侵检测系统的总体结构
• 5.3.通信模块的总体设计
• 5.3.1.告警相关部件的通信部件
• 5.3.2.传感器通信部件
• 5.4.接口定义
• 5.5.结束语
• 结论
• 参考文献
• 致谢
• 附录A 攻读硕士学位期间主要的研究成果
• 附录B 攻读硕士学位期间参加的科研课题