基于多代理的协同入侵检测系统模型地研究.pdfVIP

基于多代理的协同入侵检测系统模型的研究 唐家益蔡晓舟 (南京邮电学院计算机科学与技术系，南京210003) 【摘要】作者在入侵检测技术的研究中应用移动代理技术，设计了一个基于多代理的 BasedDistributed 分布式入侵检测系统MABDlDS(Multi—mobile IntmstionDetection Agent System)．本文简要介绍它的结构，功能和特点． 【关键词】移动代理 入侵检测 分布式系统 网络安全 人工智能 1网络安全问题 当前随着Intemet的迅猛发展，网络技术得到了前所未有的广泛应用。许多组 织、企业、事业单位和政府部门等都把自己的核心运作从纸面流程转向电子化和网 络化流程运作。但是计算机网络在为人们的工作和生活带来方便的同时，也给人们 带来了不少的烦恼和担忧， 因为它本身也正在面临着被非法访问、受攻击、遭破 坏的严重威胁。因此，建立一个安全可靠的计算机网络系统成为企业和组织机构的 迫切任务…。 传统的网络安全系统主要依赖于防火墙。可是基于防火墙的网络安全策略有两 大不足：首先，入侵者可能寻找到防火墙背后敞开的后门加以攻击；其次，放火墙 只能监视内外网之间流通的数据，而对于来自网络内部的攻击，防火墙则形同虚设。 入侵检测(Intrusion Detection)技术是动态安全技术的最核心部分之一口】。所 谓入侵检测按照入侵检测系统论坛(IDSA)的定义，就是从计算机网络或计算机 系统中的若干关键点收集信息并对此进行分析，从中发现网络或系统中是否有违反 安全策略的行为和遭到袭击的迹象的～种安全技术。入侵检测技术是网络对抗技术 的重要基础，是一种主动式的安全保障技术。因为只有及时准确的检测出入侵事件， 入侵者作案的地点，使用的作案工具，方法，入侵的路径等，才有可能及时采取补 救措施，减少损失，并向入侵者实施反击。 2入侵检测系统 IntrusionDetection 入侵检测系统(IDS System)就是执行入侵检测任务的计算 机程序。它的主要职责是检查并确认那些未经授权而使用计算机系统，以及可以合 法访问系统但是滥用了权利的用户oI。入侵检测系统作为继防火墙技术之后新的网 ．142． 络安全技术，成为保障信息网络安全的又一道重要屏障[4]。入侵检测系统不仅可以 有效地检测出来自网络外部的攻击，它还可以有效地检测出来自网络内部的攻击。 因此入侵检测技术与数据加密和防火墙技术等防御性的信息安全技术手段可以互 相补充，相辅相成。 根据检测方法的不同，传统的入侵检测系统可分为两类：基于主机的入侵检测 系统和基于网络的入侵检测系统。基于主机的入侵检测系统往往以系统日志、应用 程序日志等作为数据源，有时也通过其他手段(如监督系统调用)从所在的主机收 集信息进行分析，一般保护的是入侵检测系统所在的主机。基于网络的入侵检测系 统的数据源则是网络上的传输的数据包。它往往将监视的网卡设成混杂模式 (Promise Mode)，监听所有本网段内的数据包并进行判断分析，这种系统担负着 监控整个网段的任务。 但是这两类入侵检测系统都存在不足：基于主机的入侵检测系统只能监视自身 所驻留的主机，当发现入侵的时候也只能独立处理，无法与网络上的其他主机配合， 相互协同地进行安全防御；基于网络的入侵检测系统能够采集整个网段上的数据 流，可是这种方法对于高速局域网上传输的大数据流量显得非常脆弱，而且这种直 接分析数据包的方法对于加密过的恶意数据也无计可施。 智能化、分布式和监视大规模网络是当前国际上许多入侵检测系统所强调的 ”】。因此基于移动代理技术(Mobile Agent Technology)的入侵检测技术发展很快。 3基于多代理的分布式入侵检测系统(T讧ABDIDS)的设计 3．1移动代理技术 移动代理(Mobile A