一种新的分布式入侵检测系统结构.pdfVIP

第三届全国信息与电子工程学术会议、四川省电子学会曙光分会第十四届学术年会暨院青年科协第八届学术年会论文集405 一种新的分布式入侵检测系统结构 艾山邱王晟许都 (电子科技大学宽带光纤传输与通信网技术重点实验室 四川 成都610054) 摘要本文通过分析现有的分布式入侵检测系统(DIDS)，提出了一种新的DIDS结构．该 结构将数据层和分析层分开，提供了更好的灵活性和可扩展性．在该结构中，配置不同规则的分析 节点可以对同一个数据节点进行分析．当分析节点发现入侵时，进行投票表决，该机制能够有效降 低误报率． 关键词DIDS系统结构投票表决误报率 1 引言 随着网络技术的不断发展，网络环境日趋复杂。1988年的Morris 络的入侵检测的概念NSM(Network Security 查主机系统的审计记录，而是通过在局域网上主动地监视网络信息流量来追踪可疑的行为。1991年， IntrusionDetection DIDS0(Distribute System)提出收集和合并处理来自多个主机的审计信息以检测 一系列主机的协同攻击。分布式入侵检测系统(DIDS)从此成为安全领域的研究热点。 2 DIDS典型结构分析 在此后十多年的研究中，学者提出了多种DIDS结构，其中比较典型的系统结构有：1991年的 在DIDS0中，每个主机和每个局域网段(LAN 到的数据被送到director进行分析。 动，从而发现入侵。上层部f-J贝JJ把下层部门抽象为～个点，同样通过构建图来进行网络活动分析。 EMERALD0把所检测的网络分为三个层级：服务(sa-vic,e analysis)、域(domainannalysis)和 企业(enterprise-wide monitor)对网络数据进行分析。同一 analysis)。每层都有服务监控器(service 层的监控器之间可以通过订阅的方式互相传递数据。上层通过分析下层传递的报告对全网的状况进 行监控。 AAFID0采用自动代理(autonomous agent)来收集、分析、过滤数据。自动代理运行在主机上， 告来掌握整个网络的安全情况。 2004年，v 部分叫做Axis Node，Axi．qNode之间定期交流信息。在系统结构的较低 Overlay，其中包多个Axis Communities。SatelliteConunuaities收集、分析 层次上，网络中的多个主机构成大小不一的Satellite 一种新的分布式入侵检测系统结构 Node。Axis 网络数据，并把自己的分析报告提交给Axis Node通过分析这些报告来判断网络的安全 状况。 以上系统中，有的系统采取了分布式收集数据，集中分析处理的方式。有的系统虽然采用了多 个分析节点，但是每个节点分管一部分网络，在分管的区域内，仍然是集中处理的方式。但是，网 络活动非常复杂，单一的处理节点和处理规则很可能会产生较高的误报率。并且数据在层层简化中， 一些重要的安全信息很可能被丢失。而如果不采用数据层层简化的办法，则随着网络中主机数量的 增加，上层节点的计算量会快速增长，系统的扩展性会受到影响。 3 SALI DS结构各部分功能描述 针对上述问题，本文提出了一种资源层和分析层分离的结构。如图1所示，本文提出的分布式 IntrusionDetection 入侵检测系统——sALDs(SeparatedAnalysisLayer System)分为三层：数据采 collection 集层