入侵檢測(cè)系統(tǒng)性能提高新技術(shù)研究.pdf

1、隨著計(jì)算機(jī)技術(shù)與網(wǎng)絡(luò)數(shù)據(jù)通信技術(shù)的快速發(fā)展，特別是Internet技術(shù)的日益廣泛深入的應(yīng)用，網(wǎng)絡(luò)信息系統(tǒng)的安全性問題日益凸現(xiàn)。為了保證連網(wǎng)計(jì)算機(jī)系統(tǒng)及其相互之間數(shù)據(jù)通信的安全，并對(duì)網(wǎng)絡(luò)入侵進(jìn)行防范，研究者們?cè)O(shè)計(jì)并實(shí)現(xiàn)了多種類型的安全保障措施，其中最典型的是網(wǎng)絡(luò)防火墻系統(tǒng)與入侵檢測(cè)系統(tǒng)。然而，在從一定程度上減輕網(wǎng)絡(luò)入侵危害的同時(shí)，這些系統(tǒng)也都面臨著一些難題?；谡`用檢測(cè)模型的入侵檢測(cè)系統(tǒng)可以很好地檢測(cè)出已知種類的攻擊，但對(duì)新形式的入侵卻無

2、能為力；而基于異常檢測(cè)模型的入侵檢測(cè)系統(tǒng)，雖然理論上可以檢測(cè)出已知與未知的系統(tǒng)入侵，但其所依賴的對(duì)系統(tǒng)正常行為進(jìn)行建模的過程卻比較困難。同時(shí)，由于當(dāng)前網(wǎng)絡(luò)數(shù)據(jù)流量的迅速增加，基于數(shù)據(jù)包過濾技術(shù)的網(wǎng)絡(luò)防火墻系統(tǒng)與眾多的誤用入侵檢測(cè)系統(tǒng)的實(shí)時(shí)性能也受到了挑戰(zhàn)。 本文從不同層次、多個(gè)角度針對(duì)如何提高入侵檢測(cè)系統(tǒng)的性能進(jìn)行了深入研究，主要的創(chuàng)新性工作如下： （1）提出了一種用于信息過濾的并行字符串搜索算法PBM。通過將字符串搜索

3、任務(wù)并行化，有效地提高了數(shù)據(jù)處理的總體吞吐率，從而直接地提高了基于字符串搜索技術(shù)的誤用入侵檢測(cè)系統(tǒng)及網(wǎng)絡(luò)防火墻系統(tǒng)的性能。 （2）提出了一種分布式入侵檢測(cè)系統(tǒng)模型PeerIDS。通過將對(duì)等網(wǎng)絡(luò)模型引入入侵檢測(cè)領(lǐng)域，入侵檢測(cè)工作可以通過對(duì)等實(shí)體間的交互在LAN中實(shí)現(xiàn)自動(dòng)分布，整個(gè)系統(tǒng)因而具有較高的自主性并避免了單點(diǎn)失效問題的發(fā)生；同時(shí)，系統(tǒng)還具有很好的可擴(kuò)展性和可伸縮性，簡(jiǎn)單地在網(wǎng)絡(luò)中增加PeerIDS實(shí)例就可以有效地提高整個(gè)分布

4、式入侵檢測(cè)系統(tǒng)的性能。 （3）提出了一種新型異常檢測(cè)模型。該模型結(jié)合了模糊概率賦值與貝葉斯置信網(wǎng)絡(luò)推理方法，通過將系統(tǒng)中與安全相關(guān)的特征屬性進(jìn)行分類，并以模糊隸屬度函數(shù)的形式給出其取特定值時(shí)系統(tǒng)行為異常與否的置信度；貝葉斯置信網(wǎng)絡(luò)在綜合這些實(shí)時(shí)模糊概率值的基礎(chǔ)上，對(duì)系統(tǒng)是否正遭受入侵做出決策。較之傳統(tǒng)的閾值模型，該模型可以對(duì)較復(fù)雜的系統(tǒng)行為進(jìn)行更精確的建模。 （4）設(shè)計(jì)并實(shí)現(xiàn)了動(dòng)態(tài)防火墻系統(tǒng)SecuRouter。Secu

5、Router可以依據(jù)與局域網(wǎng)內(nèi)各入侵檢測(cè)系統(tǒng)間的交互，動(dòng)態(tài)地更新其過濾規(guī)則集，以適應(yīng)多變的網(wǎng)絡(luò)安全形勢(shì)；同時(shí)，通過從前端阻斷攻擊數(shù)據(jù)流，可以有效地緩解后臺(tái)入侵檢測(cè)系統(tǒng)的壓力，從而從另一個(gè)角度提高了入侵檢測(cè)的性能。SecuRouter基于一臺(tái)連接Internet與內(nèi)部局域網(wǎng)的雙穴主機(jī)實(shí)現(xiàn)，并為入侵檢測(cè)系統(tǒng)提供了相應(yīng)的通訊接口，其可以通過從該接口接收到的與新檢測(cè)出的入侵相關(guān)信息來動(dòng)態(tài)地增加過濾規(guī)則。 （5）提出了一種基于隨機(jī)包標(biāo)記技

6、術(shù)的IP追蹤策略NSPPM及相應(yīng)攻擊路徑重建算法。由于基于對(duì)網(wǎng)絡(luò)數(shù)據(jù)包流經(jīng)路徑上的頂點(diǎn)信息進(jìn)行采樣，較之于傳統(tǒng)的基于邊信息采樣的隨機(jī)包標(biāo)記策略，NSPPM入侵追蹤策略的攻擊路徑重建算法具有更低的計(jì)算復(fù)雜度，因而能夠在DDoS攻擊發(fā)生時(shí)得到更有效的執(zhí)行。 （6）提出了一種被動(dòng)式的拒絕服務(wù)攻擊檢測(cè)服務(wù)Baseline。從保障連網(wǎng)主機(jī)中通信進(jìn)程的最低QoS要求這一獨(dú)特角度出發(fā)，給出了一種被動(dòng)式的DoS／DDoS攻擊容侵／檢測(cè)機(jī)制。該服