基于移動(dòng)Agent的協(xié)同式后入侵檢測(cè)技術(shù)研究.pdf

1、信息技術(shù)的發(fā)展直接推動(dòng)了安全工具的發(fā)展。從早期的殺毒軟件到后來(lái)的防火墻再到現(xiàn)在的入侵檢測(cè)系統(tǒng)，人們使用的信息安全工具越來(lái)越具有主動(dòng)性和智能性。當(dāng)前，入侵檢測(cè)系統(tǒng)已經(jīng)成為安全防衛(wèi)體系中的一個(gè)重要環(huán)節(jié)。然而目前入侵檢測(cè)的研究重點(diǎn)集中于選擇合適的數(shù)據(jù)源和數(shù)據(jù)屬性、發(fā)現(xiàn)新的檢測(cè)算法或改進(jìn)現(xiàn)有檢測(cè)算法、改進(jìn)入侵檢測(cè)系統(tǒng)的構(gòu)架和擴(kuò)大檢測(cè)范圍等方法來(lái)提高檢測(cè)精度、降低誤報(bào)率和漏報(bào)率等環(huán)節(jié)上，從而導(dǎo)致系統(tǒng)管理員負(fù)擔(dān)過(guò)重，難以有效處理海量警報(bào)的現(xiàn)象。過(guò)多

2、的誤報(bào)和無(wú)關(guān)警報(bào)“淹沒(méi)了”真正的攻擊警報(bào)，影響入侵響應(yīng)的效率和成功率，因此人們需要從新的角度來(lái)設(shè)計(jì)和實(shí)現(xiàn)入侵檢測(cè)系統(tǒng)。 本論文選題以應(yīng)對(duì)這些挑戰(zhàn)為出發(fā)點(diǎn)，試圖在理清當(dāng)前入侵檢測(cè)問(wèn)題的基礎(chǔ)上，以多重協(xié)同機(jī)制為中心開展協(xié)同式入侵檢測(cè)系統(tǒng)、入侵警報(bào)關(guān)聯(lián)和響應(yīng)追蹤等問(wèn)題的研究。本文試圖在以下方面做一些研究： (1)分析現(xiàn)有的協(xié)同入侵檢測(cè)模型和與之相關(guān)的技術(shù)，全面系統(tǒng)地闡述現(xiàn)有警報(bào)關(guān)聯(lián)和響應(yīng)追蹤技術(shù)的研究進(jìn)展情況，討論當(dāng)前相關(guān)技術(shù)

3、存在的問(wèn)題，引出研究協(xié)同式后入侵檢測(cè)模型的必要性。 (2)在分析已有入侵檢測(cè)模型基礎(chǔ)上，結(jié)合移動(dòng)Agent的特點(diǎn)和協(xié)同機(jī)制，提出了一個(gè)基于移動(dòng)Agent的協(xié)同式入侵檢測(cè)系統(tǒng)(CooperativeIntrusion Detection System based on Mobile Agents，Co-MAIDS)框架。該系統(tǒng)框架在體系結(jié)構(gòu)上具有防止單點(diǎn)失效的功能，可以避免大量數(shù)據(jù)移動(dòng)帶來(lái)的網(wǎng)絡(luò)負(fù)載壓力，并且能在不影響其他模塊的情

4、況下對(duì)系統(tǒng)模塊進(jìn)行增減。彼此獨(dú)立的移動(dòng)Agent通過(guò)相互通信協(xié)作完成復(fù)雜任務(wù)，實(shí)現(xiàn)系統(tǒng)的智能化運(yùn)行。多重協(xié)同機(jī)制保證系統(tǒng)模塊之間交互過(guò)程中的有序性，加強(qiáng)系統(tǒng)各模塊的整體合作性能。 (3)從揭示警報(bào)信息背后隱藏的攻擊策略角度出發(fā)，提出了一種基于移動(dòng)Agent的警報(bào)混合關(guān)聯(lián)處理方法。該方法以二維時(shí)間和空間為軸線，將當(dāng)前警報(bào)與同一時(shí)間段內(nèi)發(fā)生的警報(bào)、警報(bào)前后期所發(fā)生的警報(bào)進(jìn)行關(guān)聯(lián)。警報(bào)關(guān)聯(lián)處理采用謂詞公式來(lái)表示警報(bào)前提和后果。通過(guò)對(duì)謂

5、詞公式的分解，實(shí)現(xiàn)不同警報(bào)之間的前提和后果進(jìn)行匹配的目的，進(jìn)而將警報(bào)進(jìn)行關(guān)聯(lián)。 (4)在警報(bào)混合關(guān)聯(lián)的基礎(chǔ)上，提出了一個(gè)基于移動(dòng)Agent的追蹤響應(yīng)策略。該策略以警報(bào)關(guān)聯(lián)信息為輸入，對(duì)警報(bào)信息實(shí)施了警報(bào)驗(yàn)證、置信度學(xué)習(xí)等警報(bào)預(yù)處理過(guò)程，并在此基礎(chǔ)上提取有效數(shù)據(jù)包信息，依據(jù)與包標(biāo)記過(guò)程相反的機(jī)理對(duì)攻擊數(shù)據(jù)包的攻擊路徑進(jìn)行追蹤，實(shí)現(xiàn)對(duì)攻擊路徑的重構(gòu)。 (5)在以上研究?jī)?nèi)容的基礎(chǔ)上，提出了Co—MAIDS多重協(xié)同機(jī)制的集成策略