分布式入侵檢測(cè)系統(tǒng)管理協(xié)調(diào)能力的研究和實(shí)現(xiàn).pdf

1、隨著網(wǎng)絡(luò)技術(shù)的日益發(fā)展，尤其是Internet的迅速普及，網(wǎng)絡(luò)安全問(wèn)題受到越來(lái)越多人的關(guān)注。傳統(tǒng)的靜態(tài)安全模型已經(jīng)不能適應(yīng)新的網(wǎng)絡(luò)環(huán)境，動(dòng)態(tài)安全模型(如PPDR模型)更能適合當(dāng)前網(wǎng)絡(luò)安全的需要，而入侵檢測(cè)是PPDR模型中的關(guān)鍵一環(huán)。入侵檢測(cè)是一種主動(dòng)的安全防護(hù)技術(shù)，是對(duì)傳統(tǒng)計(jì)算機(jī)安全技術(shù)的補(bǔ)充，已成為網(wǎng)絡(luò)安全領(lǐng)域研究中的一個(gè)新熱點(diǎn)。 本文首先介紹了當(dāng)前網(wǎng)絡(luò)安全問(wèn)題的現(xiàn)狀和目前網(wǎng)絡(luò)安全防護(hù)的主要手段，指出了研究和發(fā)展入侵檢測(cè)系統(tǒng)的

2、重要性；然后介紹了入侵檢測(cè)系統(tǒng)的概念、分類和通用模型，針對(duì)目前入侵檢測(cè)系統(tǒng)管理協(xié)調(diào)能力不強(qiáng)，自身安全性較差等不足，提出了一種基于CIDF模型的分布式實(shí)時(shí)入侵檢測(cè)系統(tǒng)，系統(tǒng)由中央管理協(xié)調(diào)模塊、網(wǎng)絡(luò)檢測(cè)代理組成。文章主要介紹了入侵檢測(cè)系統(tǒng)管理和控制模塊的設(shè)計(jì)與實(shí)現(xiàn)。管理協(xié)調(diào)模塊是整個(gè)系統(tǒng)的核心，由數(shù)據(jù)庫(kù)模塊、分析模塊、響應(yīng)模塊、用戶界面模塊和通信模塊組成。系統(tǒng)在Windows2000環(huán)境下設(shè)計(jì)實(shí)現(xiàn)，以MicrosoftSQLServer20

3、00為數(shù)據(jù)庫(kù)服務(wù)器，MicrosoftVC++6.0是主要的開(kāi)發(fā)工具。 文章在規(guī)則庫(kù)定義、攻擊檢測(cè)、攻擊響應(yīng)、通信模塊及系統(tǒng)自身安全性等方面嘗試引入新的原理和技術(shù)，加強(qiáng)系統(tǒng)的管理協(xié)調(diào)能力。入侵規(guī)則以保留關(guān)鍵字和值原語(yǔ)作為基本語(yǔ)義元素，簡(jiǎn)單的表達(dá)式語(yǔ)法用來(lái)對(duì)規(guī)則進(jìn)行自動(dòng)響應(yīng)作為缺省響應(yīng)方式，同時(shí)加入手機(jī)短信平臺(tái)，管理員能夠在其他地方與系統(tǒng)進(jìn)行交互，具備無(wú)人值守自動(dòng)響應(yīng)能力；在完善各種被動(dòng)響應(yīng)措施的同時(shí)，也嘗試采用遠(yuǎn)程阻斷、甚至警告

4、攻擊者的主動(dòng)響應(yīng)方式。在本地端加裝本地檢測(cè)代理負(fù)責(zé)本網(wǎng)段的攻擊檢測(cè)，使用雙網(wǎng)卡，用于檢測(cè)的監(jiān)聽(tīng)網(wǎng)卡不分配IP地址，實(shí)現(xiàn)隱蔽監(jiān)聽(tīng)。按照CIDF模型構(gòu)造通信模塊，具有與其他符合網(wǎng)絡(luò)檢測(cè)代理無(wú)縫的交互。在通信過(guò)程中使用TLS/SSL安全通信機(jī)制，采用安全認(rèn)證技術(shù)進(jìn)行身份識(shí)別，采用加密算法實(shí)現(xiàn)數(shù)據(jù)安全傳輸，在很多方面加強(qiáng)了系統(tǒng)自身安全性。 通過(guò)跨網(wǎng)段測(cè)試表明系統(tǒng)簡(jiǎn)潔高效，管理協(xié)調(diào)能力強(qiáng)，自身安全性高，符合當(dāng)前網(wǎng)絡(luò)和分布式入侵檢測(cè)的發(fā)展趨