分布式入侵檢測系統(tǒng)中事件分析器的設(shè)計(jì)與實(shí)現(xiàn).pdf

1、入侵檢測是當(dāng)前網(wǎng)絡(luò)安全研究領(lǐng)域的熱點(diǎn),但現(xiàn)有的入侵檢測方法大部分沒有分析入侵行為中一系列事件之間的相關(guān)性,所以存在誤報(bào)率高、檢測滯后等問題.為了降低入侵檢測系統(tǒng)的誤報(bào)率,在分布式入侵檢測系統(tǒng)DIDS中專門設(shè)計(jì)了一個基于入侵模式的事件分析器.在充分分析現(xiàn)有各種入侵手段的基礎(chǔ)之上發(fā)現(xiàn),入侵過程主要可分成入侵前的信息收集、入侵和入侵成功后的現(xiàn)場處理三個階段.每種入侵方法的各個階段都有其特征,將其特征抽取出來就可形成相應(yīng)的入侵模式.給出了入侵模

2、式設(shè)計(jì)的基本原則、描述方式以及入侵模式一般應(yīng)包括的元素,并設(shè)計(jì)了若干典型的入侵模式.給出了一次入侵的定義并討論了它的關(guān)鍵屬性對事件分析器的分析結(jié)果可能造成的影響,提出了事件分析器的設(shè)計(jì)要求和數(shù)據(jù)源要求.然后,基于入侵模式設(shè)計(jì)了事件分析器的框架,給出了相應(yīng)的算法,并描述了事件分析器與DIDS其它組件的通信機(jī)制.事件分析器的實(shí)現(xiàn)主要包括數(shù)據(jù)庫設(shè)計(jì)和事件分析算法的實(shí)現(xiàn).數(shù)據(jù)庫設(shè)計(jì)包括入侵模式數(shù)據(jù)庫、新事件數(shù)據(jù)庫和分析結(jié)果數(shù)據(jù)庫三部分.實(shí)驗(yàn)結(jié)果