入侵检测系统性能提高新技术研究

论文摘要

随着计算机技术与网络数据通信技术的快速发展，特别是Internet技术的日益广泛深入的应用，网络信息系统的安全性问题日益凸现。为了保证连网计算机系统及其相互之间数据通信的安全，并对网络入侵进行防范，研究者们设计并实现了多种类型的安全保障措施，其中最典型的是网络防火墙系统与入侵检测系统。然而，在从一定程度上减轻网络入侵危害的同时，这些系统也都面临着一些难题。基于误用检测模型的入侵检测系统可以很好地检测出已知种类的攻击，但对新形式的入侵却无能为力；而基于异常检测模型的入侵检测系统，虽然理论上可以检测出已知与未知的系统入侵，但其所依赖的对系统正常行为进行建模的过程却比较困难。同时，由于当前网络数据流量的迅速增加，基于数据包过滤技术的网络防火墙系统与众多的误用入侵检测系统的实时性能也受到了挑战。 本文从不同层次、多个角度针对如何提高入侵检测系统的性能进行了深入研究，主要的创新性工作如下： (1) 提出了一种用于信息过滤的并行字符串搜索算法PBM。通过将字符串搜索任务并行化，有效地提高了数据处理的总体吞吐率，从而直接地提高了基于字符串搜索技术的误用入侵检测系统及网络防火墙系统的性能。 (2) 提出了一种分布式入侵检测系统模型PeerIDS。通过将对等网络模型引入入侵检测领域，入侵检测工作可以通过对等实体间的交互在LAN中实现自动分布，整个系统因而具有较高的自主性并避免了单点失效问题的发生；同时，系统还具有很好的可扩展性和可伸缩性，简单地在网络中增加PeerIDS实例就可以有效地提高整个分布式入侵检测系统的性能。 (3) 提出了一种新型异常检测模型。该模型结合了模糊概率赋值与贝叶斯置信网络推理方法，通过将系统中与安全相关的特征属性进行分类，并以模糊隶属度函数的形式给出其取特定值时系统行为异常与否的置信度；贝叶斯置信网络在综合这些实时模糊概率值的基础上，对系统是否正遭受入侵做出决策。较之传统的阈值模型，该模型可以对较复杂的系统行为进行更精确的建模。 (4) 设计并实现了动态防火墙系统SecuRouter。SecuRouter可以依据与局域网内各入侵检测系统间的交互，动态地更新其过滤规则集，以适应多变的网络安全形势；同时，通过从前端阻断攻击数据流，可以有效地缓解后台入侵检测系统的压力，从而从另一个角度提高了入侵检测的性能。SecuRouter基于一台连接Internet与内部局域网的双穴主机实现，并为入侵检测系统提供了相应的通讯接口，其可以通过从该接口接收到的与新检测出的入侵相关信息来动态地增加过滤规则。

论文目录

• 摘要
• Abstract
• 目录
• 图表目录
• 缩略词表
• 1 绪论
• 1.1 引言
• 1.2 论文的背景和意义
• 1.2.1 入侵检测的必要性
• 1.2.2 入侵检测系统的分类
• 1.2.2.1 基于体系结构的分类
• 1.2.2.2 基于检测数据源分类
• 1.2.2.3 基于数据分析技术的分类
• 1.2.3 侵检测系统中使用的技术
• 1.2.3.1 误用入侵检测技术
• 1.2.3.2 异常入侵检测技术
• 1.2.4 侵检测技术应用与研究现状
• 1.2.5 课题来源
• 1.3 论文的内容和组织结构
• 1.3.1 论文的内容
• 1.3.2 论文的组织结构
• 2 并行字符串搜索算法PBM
• 2.1 引言
• 2.2 结构设计
• 2.3 PBM算法与分析
• 2.3.1 PBM算法
• 2.3.2 分析
• 2.3.3 简化PBM算法
• 2.4 与实现相关的问题
• 2.5 模拟实验结果与分析
• 2.6 本章小结
• 3 基于P2P模型的分布式入侵检测系统PeerIDS
• 3.1 引言
• 3.2 PeerIDS的设计及采用的算法
• 3.2.1 入侵检测引擎（IDS Engine）
• 3.2.2 状态监测模块（State Checker）
• 3.2.3 工作收发模块（Receiver／Transmitter）
• 3.2.4 算法执行中的一些细节
• 3.2.5 PeerIDS的单机模式
• 3.3 PeerIDS的对等模式
• 3.3.1 同伴发现（Peer Discovery）
• 3.3.2 PULL协作
• 3.3.3 PUSH协作
• 3.3.4 讨论
• 3.4 PeerIDS的实现方案
• 3.5 本章小结
• 4 基于模糊贝叶斯网络的异常检测模型
• 4.1 引言
• 4.2 异常检测模型
• 4.2.1 简单概率算法
• 4.2.2 贝叶斯置信网络算法
• 4.3 系统正常行为建模
• 4.3.1 特征属性的模糊概率赋值
• 4.3.1.1 梯形分布模型
• 4.3.1.2 偏小型正态分布模型
• 4.3.1.3 偏大型正态分布模型
• 4.3.1.4 正态分布模型
• 4.3.2 系统行为建模
• 4.4 模拟实验及结果
• 4.5 本章小结
• 5 动态防火墙系统SecuRouter
• 5.1 引言
• 5.2 系统的设计
• 5.2.1 系统结构
• 5.2.2 SecuRouter
• 5.2.3 转发模块
• 5.2.4 日志模块
• 5.2.5 入侵检测Agent
• 5.3 系统的实现
• 5.4 本章小结
• 6 基于顶点信息采样的随机包标记IP追踪算法NSPPM
• 6.1 引言
• 6.2 相关工作
• 6.2.1 源地址过滤
• 6.2.2 链路测试
• 6.2.3 路由端日志
• 6.2.4 概率方法
• 6.3 问题与假设
• 6.3.1 问题的定义
• 6.3.2 一组假设
• 6.4 NSPPM算法
• 6.5 编码
• 6.5.1 路径特定信息（PSI）的编码
• 6.5.2 顶点信息编码
• 6.5.2.1 保守方案
• 6.5.2.2 积极方案
• 6.6 讨论
• 6.7 本章小结
• 7 被动式DoS／DDoS攻击容侵和检测服务-Baseline
• 7.1 针对DDoS攻击的相关研究
• 7.1.1 攻击的防范
• 7.1.2 攻击危害减轻
• 7.1.3 攻击的检测
• 7.2 Baseline系统服务
• 7.2.1 新的入手角度
• 7.2.2 Baseline服务的结构
• 7.2.3 注册模块（Register）
• 7.2.4 配置信息库（Configuration）
• 7.2.5 通信操作实时状态信息表（Table）
• 7.2.6 监测模块（Shepherd）
• 7.2.7 反应模块（Actuator）
• 7.2.8 与实现相关的问题
• 7.3 算法及分析
• 7.3.1 性能监测算法
• 7.3.2 模拟实验及分析
• 7.4 实现
• 7.5 本章小结
• 8 结论与展望
• 致谢
• 参考文献
• 博士期间发表（含录用）论文与参加科研项目情况