IDS數(shù)據(jù)的收集與過(guò)濾.pdf

1、該文分析了多種來(lái)源的、不同結(jié)構(gòu)的數(shù)據(jù),將其總結(jié)成登錄信息、事件信息和網(wǎng)絡(luò)數(shù)據(jù)包信息三種類型,并為每種類型的數(shù)據(jù)設(shè)計(jì)了固定的格式;為了與將來(lái)可能出現(xiàn)的新型數(shù)據(jù)兼容,采用了配置文件與模式字符串相結(jié)合的方法,設(shè)計(jì)并實(shí)現(xiàn)了數(shù)據(jù)格式標(biāo)準(zhǔn)化算法;由于收集到的數(shù)據(jù)中存在冗余的信息和對(duì)入侵檢測(cè)影響不大的信息,該文分別討論了冗余數(shù)據(jù)辨別規(guī)則和安全數(shù)據(jù)辨別規(guī)則,并建立起數(shù)據(jù)過(guò)濾規(guī)則庫(kù);數(shù)據(jù)收集系統(tǒng)采用分布式設(shè)計(jì),收集器以黑盒形式提供,對(duì)新的數(shù)據(jù)源只需設(shè)計(jì)一

2、個(gè)新的模式字符串,即可得到過(guò)濾后的、具有標(biāo)準(zhǔn)格式的數(shù)據(jù),各收集器間獨(dú)立工作;在收集點(diǎn)即對(duì)數(shù)據(jù)進(jìn)行過(guò)濾,只向分析中心報(bào)告可疑數(shù)據(jù),以減少傳輸和存儲(chǔ)的數(shù)據(jù)量,降低對(duì)網(wǎng)絡(luò)性能的影響.IDS數(shù)據(jù)收集系統(tǒng)是在Linux下利用C語(yǔ)言編寫(xiě)完成的,對(duì)Linux的系統(tǒng)日志、Apache日志、網(wǎng)絡(luò)數(shù)據(jù)包進(jìn)行收集并加以過(guò)濾,過(guò)濾后的數(shù)據(jù)傳給分析中心,存入MySQL數(shù)據(jù)庫(kù)中.目前的入侵檢測(cè)研究主要集中在分析哪些數(shù)據(jù)能揭露入侵行為,該文從減少數(shù)據(jù)量的角度對(duì)數(shù)據(jù)進(jìn)

3、行分析,過(guò)濾掉冗余的和安全的數(shù)據(jù),只上報(bào)可疑的數(shù)據(jù),降低了網(wǎng)絡(luò)傳輸量.冗余規(guī)則有:1.某一用戶退出時(shí)間與下一次登錄時(shí)間間隔小于一分鐘,這兩條登錄記錄并為一條;2.從主機(jī)登錄的用戶登錄記錄有兩條,只保留一條;3.Messages中的登錄信息,略去.4.單位時(shí)間內(nèi)源IP:端口→目的IP:端口的相同協(xié)議的包,合并為一條記錄,保留時(shí)間范圍和包的數(shù)目.安全規(guī)則有:1.root用戶的所有活動(dòng)記錄;2.指定用戶的特定活動(dòng);3.reboot事件;4.系