基于NetFlow的网络安全态势传感器设计与实现

论文摘要

网络自身安全机制的脆弱性、现有网络安全产品的局限性、以及各种网络恶意活动的日益猖獗导致了网络安全形势不容乐观。网络安全态势感知系统(Network Security Situational Awareness System,NSSAS)作为一个崭新的网络安全保障系统,旨在对大规模网络态势进行实时监控,并对潜在的、恶意的网络行为变得无法控制之前进行识别,给出相应的应对策略,最终有效地保障网络安全运行。本文设计实现的基于NetFlow的网络安全态势传感器作为网络安全态势感知系统重要的信息获取部件之一,负责获取态势感知系统准确判断当前网络状况及预测未来趋势所需的必要信息,具有视角宽广、信息量大、实时性强等优点。本文首先阐述了NetFlow(网络流)技术原理及应用情况,在此基础上讨论了NetFlow数据所包含的网络态势信息以及将其作为态势感知系统数据源的优缺点。其次,研究了NetFlow流量信息的特性,并提出了相应的获取方法;研究了扫描、蠕虫、木马、DOS/DDOS攻击等网络异常事件所引起的NetFlow数据变化规律,提出了基线检测层与特征检测层相结合的层次化检测模型。再次,对基于NetFlow的网络安全态势传感器进行了设计与实现,包括模块划分、模块接口设计、传感器工作流程设计,以及各个模块的编码实现等工作。最后,对基于NetFlow的网络安全态势传感器进行了实验验证,包括实地网络验证及DARPA数据重放验证。实验表明基于NetFlow的网络安全态势传感器能够高效准确地检测具有较显著流量模式或连接模式的网络安全事件,比如扫描行为、蠕虫爆发、DOS/DDOS攻击等。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 引言
• 1.2 技术国内外研究现状
• 1.3 本文背景、目的和意义
• 1.4 论文的结构安排
• 第2章 NetFlow技术
• 2.1 NetFlow技术的演进
• 2.2 NetFlow基本原理
• 2.2.1 NetFlow记录的形成
• 2.2.2 NetFlow记录的输出
• 2.2.3 NetFlow数据格式
• 2.3 NetFlow的应用
• 2.4 本章小结
• 第3章 基于NetFlow的态势信息获取方法研究
• 3.1 流量信息获取
• 3.1.1 数据流量视图
• 3.1.2 端端流量视图
• 3.1.3 会话流量视图
• 3.1.4 应用流量视图
• 3.2 常见安全事件及其特征
• 3.2.1 端口扫描
• 3.2.2 蠕虫病毒
• 3.2.3 僵尸网络
• 3.2.4 DoS、DDoS
• 3.2.5 其它安全事件
• 3.3 安全事件信息获取
• 3.3.1 层次化检测模型
• 3.3.2 基线检测层
• 3.3.3 特征检测层
• 3.4 本章小结
• 第4章 基于NetFlow的网络安全态势传感器设计与实现
• 4.1 体系结构设计
• 4.2 收集器的设计与实现
• 4.2.1 数据接收线程
• 4.2.2 流解析线程
• 4.3 安全事件信息获取模块的设计与实现
• 4.3.1 统计线程
• 4.3.2 分析线程
• 4.4 本章小结
• 第5章 实验与结果分析
• 5.1 实验环境的部署
• 5.2 实验与结果分析
• 5.3 本章小结
• 结论
• 参考文献
• 攻读硕士学位期间发表的论文和取得的科研成果
• 致谢