入侵检测系统合作机制.pdfVIP

入侵检测系统合作机制 崔益民黄敏植张刳波王晓光 (北京系统工程研究所) 擎镒激㈣销卷瓣蕊裟嬲器髅 慢 检涌系努}合作框架和机制，既保证了系统的开放性灵霈住又兄，t谦让j1士肯位示巩甲 合理的分布． 关t词：人侵柱翻翟造通讯 引言 人侵检测与反应系统(ⅪD＆Rs)能够收集网络、操作系统的不同类型、不同层次的信 息．分柝潜在或已存在的成胁．并且采取发警告或实时响应方式，切断攻击，避免损失· 人侵控蔫已成为保障计算机安全必要技术手殷。然而恶意攻击正变得更加广泛、更加复 杂，已超出任何一种安全手段单独处理舶范围．为了检测更加复杂的攻击就需要融舍不同 的检测技术．实现信息共享。通过多十检测系统的合作共同完成^侵检测和响应·^侵检 穗技术经过十余年的发展已比较成燕．撞澍厦量不辑撮商．费们舶目标是通过对^侵检测 系统互操作技术的研究，使目前的检捌系统之间眙眵共享信息，进行可能的协作，提高整 体系统的检铡能力．弥补单十检测系统的不足。 奉文论述了分布式人侵检测系统的组成框架，组件之间的信息共享方式和方法，提出 ～个利用合同罔进行协商的方法，以保持系统总体的平衡和协调同时又不失其开放性和曼 话性。 系统结构 c如mon hnlsi加De‰曲n Fh仃恃wofk(cmF)是DA砌璩从事的一项工作(参见文 【l】)。致力于开发Ds＆R通讯语言和协议，提供入侵检测系统舍作的基础．我们的工作正 是建立在cⅢF之上的。cDF仅仅是—个共同的框架．还需要做进一步工作。在介绍我们 的工作之前就∞F作一个简要的说观． cmF{队侵柱测系统看作一个个组件构成舶，每—个组件再有完整的功能．组件能瞎 曼活的加^或飙系统中膈除。组件之同能够直接通讯．通过交接GmO(＆nm6zcd hI廿岱i∞瞻蹴6∞oqecb)共事信息．cmF划分了四类组件．事件产生器(Ev醐I Geoc删髓)、事件分析器(Emc unh，和事件数据库 A醐al扫er)、反应部件(RespoIm (E呦tD础山酗§)· 一个㈣包含了入侵或反应敷据．cⅢo包古一个固定格式头舔和一个可变长体。 头部包含版本信息、时间信息和体的长度．体的结构悬类U叩s哥哒式。表达式的解折树 使用朋括号描绘。在体中有两种构造，第一种是实际数据，第二粪是语义标识符s∞。实 例如下： fDcIe忙 m¨Ullix) fWbcII Beb 14：58：1224 mm I辨8) ) (h-i如舡 (H“州“’hig删·。㈣139 J 帆leS∞r∞ m嘴tNm∞．ten．adL吣．1 (FIIURleN椰’fe址忡sswd’ 一、系统布局 配置在网络上的检测系统通过某种形式的组合。构成一个整体、高效、灵活：．翌芝享 的捡器系统cⅢs(c00pemdve In咖sl∞De培砸∞sy咖n)。由于系统是开放的，．i蛔零分 布式系统中的每一个组件当作一个衄蚰t来讨论系统的结{勾，分析它们在系统中的行为t 因此共有四类Ag％t。各种Ag∞t可以根据需薹安装在网络上的任何一台机器上，最好是 在致据潦所在的主机上或通讯花费最小的主机上。 Ag∞t的概念我们采取这样的定义：一个软件实体持续自主地在一个特定的环境下行 使功能，以灵活和智能的方式运行，对环境变纯敏感。理想情况下一个Ag曲c能从经验中 学习。另外．—个Agent在它的环境里和其它^ge眦通讯台作。把一个自主Ag咖定义为 一个软件^删“指的是它能够在一个主机上执行安全监控功能、管理功能。乖}：其为自 主．因为它们是独立运行豹软件，可能需要也可以完全不需要其它A擘eIlt处理的数据来进 行它们的工作。 我们所舣的∞s的结构星同状，也可以简化成