基于智能Agent的分布式入侵检测系统设计

论文摘要

论文以中科院西安网络中心网络安全嵌入式研究项目的研究和开发为背景,分析了当前系统中存在的问题,即检测速度太慢,检测技术的发展跟不上网速的快速发展,在分布性、灵活性、效率等方面还不尽如人意。因此我们开始寻求新的技术,以求提高入侵检测系统的整体性能。本文尝试了在入侵检测系统中引入智能Agent技术,力图使其在实时性、可扩展性、灵活性以及系统的容错能力等方面有较大的改善,使系统具有较好的性能和灵活性。Agent技术是缘于智能代理的分布式计算技术。与传统的分布式相比,Agent能减轻网络流量,以异步方式自主运行,能动态适应网络变化等。将多Agent系统技术应用到分布式入侵检测系统中,将能实现全局范围内的入侵检测功能,对网络系统和主机资源的占用较低,减少了出现瓶颈的可能,而且易于分发服务。本文对入侵检测系统作了详细介绍,分析了常用的几种检测方法,对Agent技术及其平台Aglet在IDS中的优点作了介绍,对比分析了检测引擎使用的几种模式匹配算法,采用协议分析与模式匹配结合的方法。通过实验表明该方法具有很好的优点,协议分析技术利用网络协议的高度规则,只检测特定协议的内容,从而减少了搜索空间和计算量,避免了简单模式匹配对内容比较而产生的误报和漏报。本文对Linux系统下网卡驱动程序和内存管理机制作了深入研究,绕过操作系统对数据包协议栈的解析,减少了数据包拷贝次数,实现了零拷贝,提高了系统捕获数据包的能力,显著改善了系统性能。

论文目录

• 摘要
• ABSTRACT
• 1 绪论
• 1.1 引言
• 1.2 国内外现状
• 1.3 论文主要研究内容及组织结构
• 1.4 小结
• 2 入侵检测系统概述
• 2.1 入侵及入侵检测
• 2.1.1 入侵的原理
• 2.1.2 入侵的技术
• 2.1.3 入侵检测流程
• 2.2 入侵监测系统模型
• 2.3 入侵检测系统的分类
• 2.3.1 按数据来源分类
• 2.3.2 按检测方法分类
• 2.4 现有入侵检测系统存在的问题
• 2.5 分布式入侵检测
• 2.6 小结
• 3 智能AGENT 技术
• 3.1 智能AGENT 的特点及工作方式
• 3.1.1 Agent 的特点
• 3.1.2 Agent 的工作方式
• 3.2 智能AGENT 在IDS 中的优势
• 3.3 智能代理系统AGLET 的介绍
• 3.3.1 Aglet 系统结构
• 3.3.2 ATP 协议
• 3.3.3 Agent 移动过程分析
• 3.4 AGLET 代理平台TAHITI 简介
• 3.4.1 Aglet 代理平台的安装
• 3.4.2 Aglet 代理平台使用与配置
• 3.5 小结
• 4 零拷贝原理及其实现
• 4.1 零拷贝原理
• 4.1.1 Linux 内存管理方式
• 4.1.2 内存映射mmap
• 4.1.3 Linux 内核可加载模块编程
• 4.1.4 内核空间与用户空间的通讯方式
• 4.2 数据包协议解析
• 4.3 TCP/IP 协议及其安全
• 4.3.1 TCP/IP 报文的发送
• 4.3.2 TCP/IP 报文的接收
• 4.4 零拷贝实现步骤及关键技术
• 4.4.1 实现步骤
• 4.4.2 零拷贝中的关键技术
• 4.5 小结
• 5 模式匹配算法研究
• 5.1 单模式匹配算法
• 5.1.1 KMP 算法
• 5.1.2 BM 算法
• 5.2 多模式匹配算法
• 5.2.1 BF 算法
• 5.2.2 AC 算法
• 5.3 小结
• 6 系统实现及其性能测试
• 6.1 系统综述
• 6.2 数据采集模块的实现
• 6.3 规则解析模块
• 6.4 规则匹配模块
• 6.5 系统性能测试
• 6.6 小结
• 7 结论
• 致谢
• 参考文献
• 附录