IDS測試系統(tǒng)AOLES的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、隨著對入侵檢測技術(shù)研究的發(fā)展,出現(xiàn)了許多入侵檢測系統(tǒng),因此對各種入侵檢測系統(tǒng)的功能和性能評估也形成了需求.在需求的推動之下,對于IDS系統(tǒng)的測試也相應(yīng)處于不斷發(fā)展之中,1996年Nicholas J.Puketza等人提出通過模擬被監(jiān)測系統(tǒng)上用戶的行為來測試IDS系統(tǒng)的方法.1998、1999年MIT的Licoln Laboratory通過模擬美軍空軍基地的日常網(wǎng)絡(luò)流量進(jìn)行了IDS系統(tǒng)的兩次測試.2000年時,MIT在測試數(shù)據(jù)中加入了對

2、于DDoS(Distributed Deny of Service)攻擊的模擬.2001年Terrence Champion等人專門對于IDS系統(tǒng)檢測DDoS攻擊的能力進(jìn)行了測量,同時還考慮了IDS系統(tǒng)響應(yīng)功能的評測.與此同時,一些商業(yè)廠家也給出了自己的入侵檢測系統(tǒng)的評估方法.本文在對已有測試方法研究的基礎(chǔ)上指出在測試過程中背景流量的應(yīng)用方式對測試結(jié)果有重要的影響.不使用背景流量只能進(jìn)行功能測試,不能反映被測系統(tǒng)在實(shí)際環(huán)境中的工作情況.

3、使用重復(fù)相同的或隨機(jī)的背景流量不適用于測試進(jìn)行協(xié)議內(nèi)容分析的IDS系統(tǒng).使用從真實(shí)環(huán)境中采集的背景流量,測試結(jié)果會受到背景流量中未知數(shù)據(jù)的干擾,且牽涉到數(shù)據(jù)的隱私問題.因此使用測試平臺模擬實(shí)際的網(wǎng)絡(luò)流量是一種很好的解決方案,本文根據(jù)已有的測試工作,列舉了一組用于IDS測試的重要指標(biāo).這組指標(biāo)可以被按照功能測試、性能測試和穩(wěn)定性測試分為三類.并且根據(jù)各種測試指標(biāo),制定了一個較為完整的評估指標(biāo)集.該指標(biāo)集是功能指標(biāo),性能指標(biāo)和穩(wěn)定性指標(biāo)的量

4、化體現(xiàn).本文指出Nicholas J.Puketza等人的評估工作和MIT的評估工作在構(gòu)造網(wǎng)絡(luò)背景流量時,采用的是自頂向下的方法,既通過模擬各種應(yīng)用層程序的行為來生成網(wǎng)絡(luò)流量.這種方法受到應(yīng)用層程序功能復(fù)雜和數(shù)量眾多的制約,在實(shí)現(xiàn)上有很大的困難,并且這種方法也不能有效的控制背景流量的大小和概率特性.本文提出了一種模擬協(xié)議棧的工作過程,使用概率參數(shù)和協(xié)議模板相結(jié)合來構(gòu)造網(wǎng)絡(luò)背景流量的方法.實(shí)驗(yàn)數(shù)據(jù)表明本文的背景流量構(gòu)造方法能夠克服已有背景

5、流量構(gòu)造方法遇到的困難,通過使用概率參數(shù)可以很好的控制背景流量的大小和流量中的報文到達(dá)率,通過使用模板可以完成特定應(yīng)用層協(xié)議的交互過程和協(xié)議內(nèi)容的模擬.本文構(gòu)造的背景流量可以很好的模擬目前常見的網(wǎng)絡(luò)環(huán)境.本文設(shè)計(jì)了入侵檢測系統(tǒng)測試平臺AOLES的體系結(jié)構(gòu),接著對AOLES的測試數(shù)據(jù)生成、測試數(shù)據(jù)播放和測試結(jié)果評分的相關(guān)算法分別進(jìn)行了介紹.在測試結(jié)果的評分過程中,AOLES通過引入同步點(diǎn)的概念來解決已有測試在評分上遇到的困難.依靠同步點(diǎn)來