基于虚拟化平台的分域网络入侵检测研究及开发应用.docVIP

中国科技论文在线   基于虚拟化平台的分域网络入侵检测研究 卢厚祥，吕玉琴，侯宾** （北京邮电大学电子工程学院，北京 100876） 5 10 15 20 25 30 35 摘要：随着虚拟化技术与网络技术的发展，网络安全事件日益复杂与多样化，为了满足虚拟 化平台上各个虚拟机之间差异化的安全需求，本文提出了一种分域入侵检测方法。利用基础 规则策略和域特有安全策略相结合的方式，形成每个域的特有最终规则链，既能满足了虚拟 化平台的基础安全需求，又能满足系统针对性的安全需求。在 Snort 和 Xen 的基础上实现了 基于虚拟化平台的分域网络入侵检测原型系统，原型系统测试的入侵检测表现良好，实现了 预期实际目标。 关键词：入侵检测；网络安全；虚拟化；分域 中图分类号：TP393 Research of Multi-domain Network Intrusion Detection System Base on Virtualization Platform LU Houxiang, LV Yuqing, HOU Bin (School of Electronic Engineering, Beijing University of Posts and Telecommunications,Beijing 100876) Abstract: With the development of network and virtualization technology,network security incidents have become more complex and diversified.In order to meet the different security needs for the different systems on the virtualization platform,sub-domain method is proposed in this paper。By adding the base rules and the domain-specific rules,the sub-domain method can not only meet the basic security need for the system as a whole but also can meet the specified needs for the systems on the platform。By modifying the source code of Snort and Xen，the prototype virtual-based multi-domain intrusion detection system is implemented.The test of the prototype system shows that it has a good performance at intrusion detection。 Key words: intrusion detection; network security; virtualization; multi-domain 0 引言 随着互联网与虚拟化技术的发展，互联网在人们的日常生活中占有了越来越重要的地 位，但同时也使人们随时面临各种各样的网络安全威胁。入侵检测技术作为网络安全体系中 的一环，一直在安全领域发挥重要作用。近年来，随着虚拟化技术的发展，网络体系架构变 得更加复杂，基于虚拟化的网络入侵检测成为人们的研究热点之一。 为了满足虚拟化平台上虚拟机之间的不同安全需求，本文提出了一种基于分域规则链策 略即基础规则和域特有规则结合的入侵检测系统，在充分利用虚拟化的隔离性与安全特性的 基础上，利用基础规则链满足系统基础安全需求，域特有规则链满足域特定安全需求，为虚 拟化平台构建层次化的入侵检测系统。通过修改 Snort[1]的源码，添加包缓冲与多线程机制， 实现分域入侵检测机制。 40 作者简介：卢厚祥（1987-），男，硕士研究生，主要研究方向：虚拟化，网络安全 通信联系人：吕玉琴，（1945-），女，教授，主要研究方向：通信软件，应用软件和智能化信息终端设备. E-mail: lvyq@263.net -1- 中国科技论文在线 1 入侵检测与虚拟化   1.1  入侵检测与 Snort  入侵行为是指非授权者对于计算机系统资源的非法访问，或者有可能造成关键数据或 信息的破坏、以及有可能使系统不能正常运作的行为[2]。入侵检测（Intrusion Detection，简  45 50 称为 ID）即是对入侵行为的检测，一般通过收集