分布式入侵检测系统体系结构及告警融合研究

论文摘要

入侵检测技术是网络安全中的一个重要的研究领域。随着网络规模的扩大,攻击方式的增多,分布式入侵俭测系统成为入侵检测系统研究的热点。本文以分布式入侵检测系统的体系结构及其关键技术为主要研究内容。 按照系统的设计目标和设计原则,论文提出了一个DIDS四层体系结构模型,该模型完成了对IDS逻辑分层模型的功能扩充,具有全局告警的功能。 DIDS的网络拓扑结构采用树状拓扑结构。树状拓扑结构中的节点注册机制是新节点合法、安全加入入侵检测系统的有效方法,节点注册会话过程包括注册、建立安全会话、会话控制和注销。注册会话机制中的安全特性包括:注册和会话控制由CA鉴别协议和Heartbeat（心跳）信息实现,建立安全会话和注销建立在BEEP（块可扩展交换协议）基础之上,同时安全通信进程（STP）使用Diffie-Hellman协议进行密钥协商,在密钥协商的过程中加入了时间戳信息,提高了系统的抗回放攻击能力。这些安全机制都保证了新注册节点的合法性,从而保证了DIDS体系结构的整体安全性。 关联分析层是DIDS四层体系结构模型的核心。为了减少入侵检测系统的虚告警,论文对关联分析层的告警融合技术进行了研究。首先采用XML语言实现对攻击事件建模的同时完成系统安全状态库的扩展。接着是告警融合模块的实现,论文对其中三个子模块——聚集模块、合并模块和关联模块的作用和实现告警融合的方法进行了阐述,并对告警融合模块进行了改进,增加判决部件的同时引入了告警反馈线,这样就可以实时的对告警进行处理,从而保证了检测入侵的实时性。 最后实验结果表明,这种实现告警融合的方法能够减少入侵检测的虚告警,提高系统的检测效率。

论文目录

• 摘要
• Abstract
• 第一章 绪论
• 1.1 网络安全现状
• 1.2 入侵检测系统
• 1.2.1 入侵检测系统的定义
• 1.2.2 入侵检测系统的发展历史及研究方向
• 1.3 入侵检测系统的体系结构
• 1.3.1 IDS体系结构的演变
• 1.3.2 CIDF体系结构研究
• 1.4 论文的研究内容与安排
• 第二章 分布式入侵检测系统体系结构
• 2.1 分布式入侵检测系统的通用组件
• 2.2 DIDS体系结构的分类
• 2.3 当前DIDS的体系结构模型
• 2.4 小结
• 第三章 四层体系结构模型的设计
• 3.1 设计目标
• 3.2 设计原则
• 3.3 四层体系结构模型
• 3.3.1 数据采集层
• 3.3.2 预处理层
• 3.3.3 关联分析层
• 3.3.4 响应管理层
• 3.4 节点注册会话机制
• 3.4.1 节点的注册会话过程
• 3.4.2 节点注册会话机制的改进
• 3.4.3 安全性分析
• 3.5 小结
• 第四章 关联分析层的告警融合的研究与设计
• 4.1 数据融合的设计思想
• 4.2 告警融合模块
• 4.2.1 初级告警的生成
• 4.2.2 聚集模块
• 4.2.3 合并模块
• 4.2.4 关联模块
• 4.2.5 对告警融合模块的改进
• 4.3 实验分析
• 4.3.1 实验过程
• 4.3.2 结果分析
• 4.4 小结
• 第五章 结束语
• 致谢
• 参考文献