網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的評(píng)估方法研究.pdf

1、入侵檢測(cè)系統(tǒng)評(píng)估是入侵檢測(cè)系統(tǒng)研究領(lǐng)域的一個(gè)基本問(wèn)題。本文在改進(jìn)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)的系統(tǒng)能力評(píng)估方法、探索新的攻擊測(cè)試案例生成方法、提高背景流量生成方法的真實(shí)性和提高評(píng)估評(píng)分的準(zhǔn)確姓和擴(kuò)展性等方面進(jìn)行了深入和系統(tǒng)的探討，本文工作的主要成果表現(xiàn)在以下幾個(gè)方面：
　　 (1)提出了一種基于時(shí)空約束的入侵檢測(cè)系統(tǒng)系統(tǒng)能力評(píng)估方法?；跁r(shí)空約束的評(píng)估方法把承載攻擊的報(bào)文序列作為描述IDS檢測(cè)能力的基礎(chǔ)，通過(guò)時(shí)空約束及其對(duì)應(yīng)的內(nèi)容約束對(duì)ID

2、S的檢測(cè)能力空間進(jìn)行等價(jià)劃分，完善了基于分辨率方法提出的系統(tǒng)能力測(cè)度體系，提高了入侵檢測(cè)系統(tǒng)評(píng)估結(jié)果的公平性、合理性和準(zhǔn)確性。論文同時(shí)提出了兩個(gè)層次的評(píng)估方法：基于時(shí)空約束的系統(tǒng)能力覆蓋率評(píng)估方法和基于時(shí)空約束的系統(tǒng)能力正確性評(píng)估方法。覆蓋率評(píng)估是正確性評(píng)估在不考慮IDS設(shè)計(jì)實(shí)現(xiàn)的條件下進(jìn)行的輕量級(jí)過(guò)程，這兩個(gè)評(píng)估方法可以滿足在不同的測(cè)試需求和條件下的測(cè)試過(guò)程。
　　 (2)提出一種基于時(shí)空約束模板的攻擊測(cè)試案例構(gòu)造方法。論文提

3、出的攻擊案例生成方法結(jié)合軟件測(cè)試方法生成測(cè)試案例序列，可以更準(zhǔn)確和公平地評(píng)估入侵檢測(cè)系統(tǒng)系統(tǒng)能力，同時(shí)可以滿足從報(bào)文到流以及到聚合流的模擬，有更好的擴(kuò)展性。
　　 (3)提出了建立在基于流的結(jié)構(gòu)化模型基礎(chǔ)上的一種網(wǎng)絡(luò)流量模擬方法。這種方法既可以滿足Gbit級(jí)別IDS評(píng)估的流量規(guī)模需求，又能高度逼真地模擬真實(shí)流的持續(xù)行為和到達(dá)模型。論文通過(guò)理論分析了網(wǎng)絡(luò)并發(fā)流的構(gòu)造模型，在此基礎(chǔ)提出了層次結(jié)構(gòu)化的流模擬模型，并給出了該方法用于測(cè)試

4、所需的最短測(cè)試時(shí)間的計(jì)算方法。模擬結(jié)果證明該方法不僅在性能上相對(duì)于傳統(tǒng)方法有明顯優(yōu)勢(shì)，同時(shí)保持了和真實(shí)流行為的良好近似，可以更準(zhǔn)確評(píng)估IDS系統(tǒng)在實(shí)際環(huán)境下的性能。本文的流量模擬方法不僅可以模擬正常的高速流量，還可以模擬蠕蟲、路由循環(huán)等異常流量的行為。
　　 (4)提出了一種基于同步點(diǎn)的入侵檢測(cè)系統(tǒng)評(píng)估評(píng)分方法。論文通過(guò)對(duì)傳統(tǒng)評(píng)分方法的分析，提出了評(píng)分方法的判定窗口滿足準(zhǔn)確性和擴(kuò)展性需求必須的性質(zhì)，并基于IDS對(duì)報(bào)文的處理是FI

5、FO隊(duì)列的特性，定義了基于同步點(diǎn)的評(píng)分方法。由于同步點(diǎn)方法利用報(bào)文的相對(duì)順序?yàn)榕卸ㄒ罁?jù)，判定結(jié)果不受報(bào)文速率的影響，無(wú)論千兆或萬(wàn)兆網(wǎng)絡(luò)環(huán)境下都可以適用，滿足了評(píng)分方法的擴(kuò)展性需求。同時(shí)同步點(diǎn)的最小測(cè)量單位為報(bào)文，可以實(shí)現(xiàn)高精度的判定窗口，使誤報(bào)和真實(shí)警報(bào)在判定窗口內(nèi)沖突的概率幾乎為0?；谕近c(diǎn)的評(píng)分方法相對(duì)于目前的考慮誤報(bào)和不考慮誤報(bào)的評(píng)分方法可以提供更準(zhǔn)確的評(píng)分結(jié)果，使IDS評(píng)估的結(jié)論有更高的可信度。
　　 (5)針對(duì)目前I