第二章分布式入侵检测系统.doc

分布式入侵监测系统 设计与实现 mboy(i386@263.net) 摘 要 随着黑客入侵事件的日益猖獗，人们发现只从防御的角度构造安全系统是不够的。入侵检测技术是继“防火墙”、“数据加密”等传统安全保护措施后新一代的安全保障技术。他对计算机和网络资源上的恶意使用行为进行识别和响应，它不仅检测来自外部的入侵行为，同时也监督内部用户的未授权活动。 本文提出一种基于部件的入侵检测系统，具有良好的分布性能和可扩展性。他将基于网络和基于主机的入侵检测系统有机地结合在一起，提供集成化的检测、报告和功能 关键字 入侵检测；模式匹配  Abstract With more and more site intruded by hackers, security expert found than only use crypt technology to build a security system is not enough. The Intrusion Detection is a new security technology, apart from tradition security protect technology, such as firewall and data crypt. IDSs watch the computer and network traffic for intrusive and suspicious activities. they not only detect the intrusion from the Extranet hacker, but also the intranet users. We design a component-based Intrusion Detection System, which has good distribute and scalable ability. It combine the network-based IDS and host-based IDS into a system, and provide detection, report and respone together. In the implement of the network engine, the combination of network protocol analyze and pattern match technology is used, and reduce scope to search. We also improved pattern match algorithm, the network engine can search intrusion signal more quickly. We use network interface detection in host agent, which will enable the IDS work on switch network fine. Keyword IDS; pattern match  目 录 引言 1 第一章 入侵检测系统概述 2 1.1 TCSEC难以适应新的网络环境 2 1.2 P2DR：动态安全模型 4 1.3 入侵检测系统 5 1.3.1 入侵检测系统的分类 5 1.3.2 入侵检测系统的发展趋势 8 1.4 CIDF模型 11 第二章 分布式入侵检测系统 12 2.1 现有入侵检测系统的不足 12 2.2 主要功能要求 13 2.3 系统概述 14 2.4 系统部署 15 第三章 网络引擎和主机代理 19 3.1 网络引擎的设计 19 3.1.1 检测匹配方法的改进 19 3.1.2 网络引擎设计 21 3.2 主机代理 25 3.2.1 数据来源 25 3.2.2 代理结构 26 第四章 存储系统和分析系统 29 4.1 存储系统 29 4.1.1 数据载入 29 4.1.2 数据缩减 30 4.1.3 推与拉技术 31 4.2 分析系统 32 4.2.1 基于行为的检测 32 4.2.2 基于知识的检测 34 第五章 控制台与响应系统 37 5.1 控制台 37 5.1.1 事件管理 37 5.1.2 安全管理 38 5.1.3 报告生成 38 5.1.4 部件管理 38 5.1.5 误报警管理 39 5.2 响应系统 39 5.2.1 常用响应技术 40 第六章 系统自身的安全 43 6.1对付攻击 44 6.2 安全通信 45 第七章 网络引擎实现 52 7.1 检测规则 52 7.1.1 规则格式 52 7.1.2 规则选项 55 7.2 匹配算