分布式高速网络入侵防御系统研究-清华大学.pdfVIP

奋斗的历程 丰硕的成果（二） 1 分布式高速网络入侵防御系统研究 康晓宁 蒋东兴 张承 刘启新 周霖 吴海燕 摘 要：网络的安全问题日益严重，DoS, DDoS 等暴力攻击成为千兆级别高速网络上的主要攻击手段， 蠕虫的传播占据了大量的网络带宽。传统的入侵检测系统不能有效地处理大量的网络数据，且无法及时 阻断检测到的攻击行为。本文针对以上问题，提出了一种可有效运行在高速网络上的分布式入侵检测与 阻断系统。此类系统也称为入侵防御系统 IPS (Intrusion Prevention System) 。 关键字：分布式，高速网络，入侵防御系统 一、引 言 Internet 发展非常迅猛，美国商务部的调查表明，Internet 上的数据流量平均每 100 天 就要翻一番，如此快的发展速度不仅带来了巨大的商机，也带来了日益严重的安全问题。 特别是千兆位及以上高速网络的普及，使得网络数据超出了服务器的处理能力：DoS 和 DDoS 等暴力类型攻击以其操作简单，效果显著的特点，逐渐成为 Internet 上的主要攻击 手段；高速网络上各种网络蠕虫层出不穷，以很快的速度在全球网络中传播，给 Internet 用户带来了无尽的困扰。对于反入侵和攻击的主要工具入侵检测系统(Intrusion Detection System, IDS)来说，高速网络的出现则是一个巨大的挑战[1]，如何从网络上采集和处理大 量的数据都是传统 IDS 需要解决的问题：传统 IDS 通常采用基于网卡混杂模式捕捉采集 数据的方式，这种采集方式受到系统中断响应速度的限制，在千兆位网络上很难做到不丢 失报文；高速网络上的大量数据超过了一般系统的处理能力，这类系统难以有效地处理。 此外，现有 IDS 产品都没有能力控制网络出口，无法及时在网络出口将检测到的攻击来 源阻断。 针对现有 IDS 产品存在的问题，本文提出了一种软硬件结合的高速网络入侵检测与 阻断系统，该系统不仅可以运行于千兆位高速网络上检测入侵活动，还可以对检测到的入 侵行为在第一时间做出响应，在网络出口上阻断入侵来源。属于一种 IPS 系统。 二、IPS系统简介 IPS （Intrusion Prevention System ）是最近兴起的一类安全产品。它主要是针对IDS 系 统只能被动地检测攻击，不能主动对攻击做出防御的缺点而提出的。不同于并联在网络中 奋斗的历程 丰硕的成果（二） 2 的IDS 系统，IPS 系统通常串联在网络的进出口处，检测到攻击企图后，会自动将攻击源 阻断，从而达到保护网络内部计算机的目的，因此被命名为入侵防御系统。IPS 系统和 IDS 系统的结构区别如图 1 所示： 图 1 IDS 和 IPS 系统的结构区别 IPS 系统是一种有取舍地吸取了防火墙和 IDS 功能的一个产品，在 IPS 系统中，防火 墙和 IDS 两大功能模块结合得更加紧密。单一集成产品实际应用中在系统稳定性和维护 成本方面都比多个产品的联合使用有优势。更重要的是，目前防火墙和 IDS 系统之间的 互动接口并没有一个被广泛承认的标准，给安全方案的制定造成了很大麻烦。IPS 的概念 正是为了解决不同厂家的安全产品难于协作的问题而提出的：将两个产品的功能集成到一 个产品内，在产品内部进行联动，这样的系统数据来源和保护对象都是网络，因此通常被 称为 NIPS （网络入侵防御系统），与之对应的还有HIPS （主机入侵防御系统）。 IPS 系统的设计和实现主要有以下几个难点： 1) 入侵检测功能的误报率一定要控制在可以接受的范围之内：由于IPS 系统会根据 入侵检测的结果实时对网络进行阻断，大量的误报会严重影响网络