一种智能分布式入侵检测系统的研究与设计

论文摘要

入侵检测作为一种积极主动的安全防护技术,提供了对内部攻击、外部攻击和误操作的实时保护,在网络系统遭受危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发,入侵检测理应受到人们的高度重视,这从国外入侵检测产品市场的蓬勃发展就可以看出。在国内,随着上网的关键部门、关键业务越来越多,迫切需要具有自主版权的入侵检测产品。但现状是入侵检测还不够成熟,处于发展阶段,或者是防火墙中集成较为初级的入侵检测模块,所以对于入侵检测系统的研究是很重要的。入侵检测是指在特定的网络环境中发现和识别未经授权的或恶意的攻击和入侵,并对此做出反应的过程。而入侵检测系统是一套运用入侵检测技术对计算机或网络资源进行实时检测的系统工具。入侵检测系统一方面检测未经授权的对象对系统的入侵,另一方面还识别授权对象对系统资源的非法操作。本文中,我们提出了使用粗糙集分类算法作为网络入侵检测规则生成的算法,同时,在入侵检测的体系结构中我们采用了分布式的架构方式,并且使用了Condor系统作为该分布式架构的核心。本文首先详细地介绍了入侵检测技术的概念、历史、所使用到的相关技术及其发展趋势,然后重点介绍了网络数据包的拦截与分析技术、机群作业管理系统——Condor和粗糙集的相关理论知识,最后在这基础之上,设计并实现了一个基于粗糙集理论和Condor系统的智能分布式入侵检测系统。本文所做的主要工作、技术难点与创新之处如下:1、在回顾计算机网络的基础知识的基础之上,根据网络数据包的拦截原理和分析原理,结合Winpcap软件开发包,对网络数据进行了拦截和分析。2、通过Winpcap软件包对网卡进行了统计模式的设置,对网络数据流量做了实时的统计功能,并且以图形化界面友善地展现在网络管理员面前。3、通过研究学习分布式系统的体系架构,提出了使用分布式架构作为入侵检测系统的主要体系结构,并且使用了著名的机群作业管理系统——Condor作为该分布式系统的核心构成。把不同的服务器和工作站分配角色——中央管理器、作业提交者和作业执行者,由此构成了一个分布式系统。4、在入侵检测的主要模块——入侵检测模块里,我们提出了使用粗糙集理论来生成入侵检测规则。之所以采用该理论作为入侵检测规则生成的主要算法,主要原因在于入侵检测领域本身存在着大量的不确定性数据,而粗糙集理论在处理非确定性信息方面有着其自身的优势。5、在总结和综合以上各项关键技术的基础之上,设计并开发出一基于粗糙集理论和Condor系统的智能分布式入侵检测系统,实现了入侵系统的五大模块——数据采集模块、作业调度引擎模块、入侵检测模块、存储模块和响应模块。最后,通过设计一个仿真实验来对系统的设计进行了检验和分析,实验采用了著名的KDD CUP99实验数据。仿真实验表明,本文开发的系统是切实可行的,并且在误判率和漏判率方面都比较好。在读研究生期间,已在计算机类刊物《航空计算技术》发表一篇论文。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 网络入侵防范概述
• 1.1.1 网络安全防护的必要性
• 1.1.2 国际网络安全状况的启示
• 1.1.3 我国网络安全现状
• 1.2 网络入侵防范技术
• 1.2.1 网络数据获取
• 1.2.2 入侵检测系统
• 1.2.3 网络陷阱技术
• 1.2.4 入侵取证技术
• 1.2.5 网络信息实时监控
• 1.2.6 网络流量预测和分析
• 1.2.7 网络信息系统生存性分析
• 1.3 论文内容与章节安排
• 第二章 入侵检测概述
• 2.1 入侵检测的基本概念与模型
• 2.2 入侵检测技术
• 2.2.1 异常入侵检测
• 2.2.2 误用入侵检测
• 2.2.3 混合型入侵检测
• 2.3 入侵检测的发展趋势
• 2.3.1 体系结构演变
• 2.3.2 安全技术综合集成
• 2.3.3 标准化
• 2.3.4 安全性评估
• 2.3.5 面向IPv6的入侵检测
• 第三章 网络数据包的截获与分析
• 3.1 计算机网络
• 3.1.1 计算机网络体系结构
• 3.1.1.1 OSI参考模型
• 3.1.1.2 TCP/IP参考模型
• 3.1.1.3 OSI参考模型与TCP/IP参考模型的比较
• 3.1.2 常用的网络协议
• 3.1.2.1 IP数据报的格式
• 3.1.2.2 ICMP报文的格式
• 3.1.2.3 UDP数据报的格式
• 3.1.2.4 TCP数据报的格式
• 3.2 网络数据包截获和分析的原理、工具和实现
• 3.2.1 网络数据包截获和分析的原理
• 3.2.1.1 网络数据包截获原理
• 3.2.1.2 网络数据包分析原理
• 3.2.2 网络数据包截获和分析的工具
• 3.2.2.1 原始套接字
• 3.2.2.2 Libpcap——Linux/BSD/UNIX平台下的网络数据包截获与分析包
• 3.2.2.3 Winpcap——Windows平台下的网络数据包截获与分析包
• 3.2.2.4 Jpcap——多平台下基于Java的网络数据包截获与分析包
• 3.2.3 网络数据包截获和分析的实现（基于Winpcap）
• 3.3 网络数据包的流量统计
• 第四章 机群作业管理系统——Condor
• 4.1 机群计算机系统及Condor系统概览
• 4.1.1 机群计算机系统及其结构
• 4.1.2 Condor系统概述
• 4.2 Condor系统的结构探讨
• 4.2.1 Condor系统的几个基本概念
• 4.2.2 Condor系统的体系结构
• 4.2.3 Condor系统中作业的执行过程描述
• 4.2.4 Condor系统的关键技术介绍
• 4.3 Condor系统在Windows环境下的安装与配置
• 4.4 实验:基于Condor系统的N皇后问题求解
• 4.4.1 N皇后问题的描述
• 4.4.2 实验的设计
• 4.4.3 实验的结果及其分析
• 第五章 粗糙集理论及其在入侵检测中的应用
• 5.1 粗糙集理论的相关概念
• 5.1.1 知识表达系统
• 5.1.2 不可分辨等价关系与分辨矩阵
• 5.1.3 下近似与上近似
• 5.1.4 约简与核
• 5.2 连续属性值离散化
• 5.3 决策表的约简
• 5.4 示例:运用粗糙集理论分析KDD CUP 99数据集
• 5.4.1 Rosetta——一个基于粗糙集理论框架的表格逻辑数据工具
• 5.4.2 KDD CUP 99数据集介绍
• 5.4.2.1 数据集的属性介绍
• 5.4.2.2 数据集的攻击类型
• 5.4.3 实验的过程及其结果分析
• 5.4.3.1 实验数据离散化、属性集约简和检测规则生成
• 5.4.3.2 结果分析
• 第六章 基于粗糙集理论的分布式入侵检测系统设计与实现
• 6.1 系统设计原理
• 6.2 主要功能要求
• 6.3 检测器位置
• 6.4 数据源
• 6.5 系统总体结构与具体实现
• 6.5.1 数据采集模块
• 6.5.2 作业调度引擎模块
• 6.5.3 入侵检测模块
• 6.5.4 存储模块
• 6.5.5 响应模块
• 6.6 仿真实验与结果分析
• 6.6.1 实验数据的选取
• 6.6.2 实验数据离散化、属性集约简和检测规则生成
• 6.6.3 检测规则的C++实现
• 6.6.4 结果分析
• 第七章 总结与展望
• 7.1 全文总结
• 7.2 入侵检测技术的展望
• 致谢
• 参考文献
• 附录