基于主動網(wǎng)的自適應(yīng)入侵響應(yīng)系統(tǒng)的研究和實現(xiàn).pdf

1、隨著Internet的蓬勃發(fā)展，網(wǎng)絡(luò)攻擊事件也呈現(xiàn)增長的趨勢。目前對入侵防范的研究主要偏重于入侵檢測。眾所周知，入侵檢測系統(tǒng)(Intrusion Detection System，簡稱IDS)的誤報和漏報不可避免，尤其是在大規(guī)模網(wǎng)絡(luò)環(huán)境中，往往使安全管理員淹沒在大量的警報中。對用戶而言，網(wǎng)絡(luò)安全體系中檢測和響應(yīng)同樣重要。但是，長期以來響應(yīng)技術(shù)的研究未受到重視，主要依賴于人工響應(yīng)，由于響應(yīng)及時性不夠并且無法處理大規(guī)模高速網(wǎng)絡(luò)中大量的安全事

2、件，使得該方法已經(jīng)不能夠滿足目前對入侵響應(yīng)的需求。自動入侵響應(yīng)系統(tǒng)(Intrusion Response System，簡稱IRS)的研究尚處于初期階段，響應(yīng)決策大都使用傳統(tǒng)的基于分類的決策模型，響應(yīng)的合理性和適應(yīng)能力不夠理想。 本文在分析了網(wǎng)絡(luò)攻擊的特征后，提出在已有成熟IDS的基礎(chǔ)上建立一個面向大規(guī)模網(wǎng)絡(luò)的自適應(yīng)入侵檢測和響應(yīng)系統(tǒng)AN-AIDRS(Active-Network based Adaptive Intrusion

3、 Detection and Response System)，該系統(tǒng)以主動網(wǎng)為平臺，由多個分布式入侵檢測代理IDA(Intrusion Detection Agent)和中央處理節(jié)點AIRS(Adaptive Intrusion：Response System)組成。IDA對本地。IDS的報警進(jìn)行簡單的預(yù)處理，AIRS的主要功能是實時匯聚分布在大規(guī)模網(wǎng)絡(luò)中IDA的入侵警報，在此基礎(chǔ)上實現(xiàn)報警事件的全局分析和自動響應(yīng)。本文的研究主要是圍

4、繞著AIRS中涉及到的關(guān)鍵技術(shù)展開的，AIRS的關(guān)鍵技術(shù)包括全局事件關(guān)聯(lián)和基于代價的自適應(yīng)響應(yīng)決策。 全局事件關(guān)聯(lián)的主要目的是對IDS輸出的報警進(jìn)行處理，使得對應(yīng)每次攻擊的發(fā)生僅產(chǎn)生一個報警事件，從而避免響應(yīng)系統(tǒng)做出多余的響應(yīng)。本文提出一個多步全局事件分析模型MS-GACM(Multi-Step GlobalAlert Correlation Model)，該模型包括冗余消除、事件合并、事件聚集以及復(fù)合攻擊識別四個串聯(lián)子算法。其

5、中冗余消除模塊位于本地IDA，其主要目的是對單個IDS的重復(fù)報警進(jìn)行消除，位于中央節(jié)點的事件合并子模塊首先對多個IDA傳遞過來的重復(fù)報警進(jìn)行合并，然后交由事件聚集子模塊，該模塊根據(jù)攻擊屬性對報警進(jìn)行聚集，以發(fā)現(xiàn)大規(guī)模的單步攻擊，最后復(fù)合攻擊關(guān)聯(lián)子模塊根據(jù)攻擊的因果關(guān)系對報警進(jìn)行關(guān)聯(lián)，實現(xiàn)對網(wǎng)絡(luò)復(fù)合攻擊的識別。 目前的自動入侵響應(yīng)系統(tǒng)均采用基于分類的響應(yīng)決策模型，該模型的主要缺點在于沒有統(tǒng)一的響應(yīng)目標(biāo)，且響應(yīng)策略對環(huán)境變化的適應(yīng)性

6、不理想。本文借鑒Wenke Lee的成本敏感模型的思想，提出基于代價的自適應(yīng)響應(yīng)決策模型。該模型綜合考慮攻擊的危害和響應(yīng)的付出，同時參考響應(yīng)的歷史成功率對攻擊選擇最優(yōu)的響應(yīng)措施。該模型涉及兩種代價：響應(yīng)操作代價和殘留損失代價，其中殘留損失代價又包括攻擊已經(jīng)造成的損失和響應(yīng)可能給正常用戶帶來的負(fù)面代價。本文給出了攻擊殘留損失代價的具體量化方法，并通過將代價轉(zhuǎn)換為攻擊損失代價的計算從而實現(xiàn)代價的統(tǒng)一量化。為提高響應(yīng)的自適應(yīng)性，響應(yīng)執(zhí)行后系統(tǒng)