一种新的网络异常监测模型.docVIP

一种新的网络异常监测模型 　　摘要：网络已经成为当今社会建设与发展的重要基础建设，然而蠕虫、病毒等恶意代码对网络的正常运行造成严重的冲击和危害，造成巨大的损失。因此实现在网络环境的实时监控，迅速检测和掌握恶意代码发作情况对于防范恶意代码的破坏，降低其造成的损失具有重要的意义。本文提出了一种新的基于层次化结构的网络异常监控模型，它采用分层，跨平台的分布式监测，集中监控数据分析的系统结构，拥有具有良好系统监控策略配置能力和系统扩展性。 　　关键词：网络异常；监控；层次化 　　中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)06-00ppp-0c 　　 　　A New Network Anomaly Monitoring Model 　　LANG Yong-xiang,ZHU Guang-fu,DONG Yong 　　(Chongqing City Management College,Chongqing 400055,China) 　　Abstract:Network has become an important infrastructure for the current social construction and development. But worms, virus and other malicious code undermining the normal operation of the network, those cause serious impact and harm to network and bring enormous losses. The real-time monitoring system can detect and quick grasp of malicious code attacks in network, it is important to defense against malicious damage, reduce the damage caused. In this paper, we present an new network anomaly monitoring model which based on hierarchical structure. It adopts hierarchical, cross-platform disturbed monitoring, centralized monitoring data analysis structure. Overall, it has great system monitor policy deployment and system scalability. 　　Key words:network anomaly;monitoring system;hierarchical 　　 　　1 引言 　　 　　网络目前已经成为国民经济建设和发展的重要基础设施，但是蠕虫、病毒等恶意代码的泛滥和破坏给网络应用造成了很大的威胁。它们不仅会对感染的主机中的重要信息造成泄露，更重要的是这些恶意代码在网络中大量繁殖和发送垃圾信息，严重的消耗了网络资源，造成网络拥堵和服务的瘫痪。 　　为了阻止恶意代码对网络运行的破坏，目前广泛使用的安全技术有IDS，防火墙等。但这些技术的应用范围一般只是针对一个局域网或某个范围内的用户[1]。蠕虫等基于网络传播的恶意代码一般都会在某个特定的时期突然出现大范围的爆发，并且传播迅速，发作时间短，往往让网络管理人员措手不及。由此在广域的范围内实现对网络异常运行情况的有效监测，可以及时检测到恶意代码传播活动，对于快速采取有效措施，最大程度消除恶意代码传播所带来的危害具有重要的意义[2][3]。 　　本文提出一种基于层次化结构的网络异常情况监测系统，该系统采用哈希表来存储和分析网络中各主机之间的活动情况，并采用层次化数据采集、集中数据分析方式实现对广域范围内网络异常情况的监测。由于采用XML格式来描述监测数据，本系统具有良好的跨平台性和扩展性。 　　 　　2 网络异常监控系统模型 　　 　　2.1 系统结构 　　从整体上看，本系统采用松散的分布式结构予以实现，主要体现在监测以局域网为基本单位，任一局域网可以在必要时随时加入监测系统，成为系统的监测对象，也可以在随时退出系统监测。系统主要结构如下图1所示。 　　 　　图1 系统结构图 　　从图1可以看出，本系统的结构是采用分层结构设计的，最底层的位于局域网内部的监测服务器，该监测服务器负责监测一个局域网内部各个主机或终端的网络活动情况，它的网络活动监测数据源主要由局域网内主