IPv6環(huán)境下異常檢測系統(tǒng)的關(guān)鍵技術(shù)研究.pdf

1、新一代互聯(lián)網(wǎng)協(xié)議IPv6以其巨大的地址空間及良好的安全體系設(shè)計(jì)等優(yōu)勢正在逐漸替代已有的互聯(lián)網(wǎng)協(xié)議IPv4。然而隨著下一代互聯(lián)網(wǎng)的發(fā)展，各種新型應(yīng)用的普及，下一代互聯(lián)網(wǎng)的安全問題也越來越突出。傳統(tǒng)的異常檢測算法無法識(shí)別新的協(xié)議，也無法有效地檢測這些新的攻擊形式。必須研究一種適用于IPv6協(xié)議的，能在高帶寬下快速檢測的異常檢測算法。因此研究基于下一代互聯(lián)網(wǎng)的異常檢測算法是十分必要的，具有十分重要的理論意義和實(shí)際應(yīng)用價(jià)值，并已成為國際上亟待解

2、決的重大前沿課題。 為了保障下一代互聯(lián)網(wǎng)的安全，必須能對(duì)于其中的異常行為模式做出正確的判別和響應(yīng)。下一代互聯(lián)網(wǎng)異常檢測體系研究的目標(biāo)是開創(chuàng)新的技術(shù)，讓異常檢測系統(tǒng)能適應(yīng)高帶寬和高負(fù)荷的網(wǎng)絡(luò)環(huán)境，支持最新的Internet網(wǎng)絡(luò)協(xié)議，并有自我學(xué)習(xí)的能力。從而形成下一代互聯(lián)網(wǎng)異常檢測技術(shù)、下一代互聯(lián)網(wǎng)安全體系結(jié)構(gòu)模型和下一代互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全控制平臺(tái)。 構(gòu)建IPv6環(huán)境下異常檢測系統(tǒng)，需要針對(duì)IPv6協(xié)議安全性分析、高速數(shù)據(jù)包捕

3、獲模型、基于免疫遺傳原理的異常檢測算法以及適用于IPv6環(huán)境的異常檢測系統(tǒng)等四個(gè)重要方面進(jìn)行研究。 要設(shè)計(jì)和建立基于下一代互聯(lián)網(wǎng)的異常檢測體系結(jié)構(gòu)必須了解新的互聯(lián)網(wǎng)承載協(xié)議存在的安全問題。通過對(duì)協(xié)議的設(shè)計(jì)階段、協(xié)議的實(shí)現(xiàn)階段以及協(xié)議的部署階段對(duì)IPv6協(xié)議的安全性的分析，發(fā)現(xiàn)Windows、Linux等主流操作系統(tǒng)在IPv6協(xié)議的實(shí)現(xiàn)上存在著一些漏洞，特別是在鄰居發(fā)現(xiàn)協(xié)議NDP（Neighbor Discovery Protoc

4、ol）的實(shí)現(xiàn)上。根據(jù)分析結(jié)果，對(duì)協(xié)議實(shí)現(xiàn)上存在的漏洞進(jìn)行了總結(jié)，并利用這些漏洞設(shè)計(jì)和實(shí)施一些全新的IPv6環(huán)境下的攻擊方式，在對(duì)所提出的異常檢測算法進(jìn)行測試的同時(shí)，也對(duì)協(xié)議的設(shè)計(jì)提出了一些安全建議。 數(shù)據(jù)包的無丟失捕獲是異常檢測的基礎(chǔ)。通過分析現(xiàn)有數(shù)據(jù)包捕獲模型的不足，研究并實(shí)現(xiàn)了半輪詢驅(qū)動(dòng)的零拷貝報(bào)文捕獲機(jī)制（Packet Capture Mechanism based on Semi-Polling Driven Zero

5、Copy，簡稱PCMSZ），并引入內(nèi)存映像（Memory Map，簡稱MM）機(jī)制，解決了高速數(shù)據(jù)包捕獲中的瓶頸問題。將該模型的原型系統(tǒng)與傳統(tǒng)的數(shù)據(jù)包捕獲模型進(jìn)行比較，實(shí)驗(yàn)結(jié)果表明所提出的PCSZC在捕獲性能上有了很大的提高。 異常檢測算法的設(shè)計(jì)目標(biāo)是提高檢測的效率和準(zhǔn)確性。生物免疫和計(jì)算機(jī)安全系統(tǒng)所面臨及需要解決的問題十分類似，采用生物免疫思想的異常檢測技術(shù)可以獲得更加準(zhǔn)確、可靠的結(jié)果，大大地提高檢測性能。通過引入實(shí)數(shù)編碼，精確

6、排擠小生態(tài)算法，對(duì)遺傳算法進(jìn)行改進(jìn)，研究了基于背離等級(jí)的檢測算法（Deviation Levels based Detection Algorithm，簡稱DLDA），同時(shí)為了提高檢測的準(zhǔn)確性，引入了一種生成模糊檢測規(guī)則的演進(jìn)算法，使用模糊異常檢測算法，對(duì)網(wǎng)絡(luò)中的異常行為進(jìn)行模糊檢測。在不同數(shù)據(jù)集（DARPA1999，DARPA2000）以及實(shí)際網(wǎng)絡(luò)流量上對(duì)異常檢測原型系統(tǒng)以及開放源碼的異常檢測系統(tǒng)snort進(jìn)行對(duì)比實(shí)驗(yàn)，實(shí)驗(yàn)結(jié)果表明所

7、提出的算法在誤報(bào)率、漏報(bào)率上都有了很大的提高。 IPv6環(huán)境下異常檢測系統(tǒng)的輸入對(duì)象為全新的協(xié)議，地址長度和數(shù)據(jù)量都有了極大的增長，使得上述算法在新環(huán)境下無法高效運(yùn)轉(zhuǎn)。為此對(duì)上述算法進(jìn)行了改進(jìn)，進(jìn)行隨機(jī)實(shí)數(shù)編碼，引入基于親和度的非我識(shí)別方法，使用分段匹配的高效匹配算法，以提高檢測效率。 上述研究成果已綜合應(yīng)用到一個(gè)面向下一代互聯(lián)網(wǎng)的異常檢測系統(tǒng)中，使用自定義的數(shù)據(jù)集（構(gòu)造攻擊數(shù)據(jù)和實(shí)際網(wǎng)絡(luò)流量的結(jié)合）以及實(shí)際IPv6網(wǎng)絡(luò)