对等网与入侵检测的探讨

《对等网与入侵检测的探讨》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、对等网与入侵检测的探讨：主要阐述对等X的概念及其IDS的基本理论的历史、发展和主要种类。　　关键词：对等X；入侵检测；探讨　　：TB：A：1671－7597（2011）0310009－01　　　　1对等X　　P2P即PeertoPeer，称作对等X，随着近年来X络条件的优化，上X人数的增加，以及资源共享方式的增多，P2P已经是互联X中一个比较成熟的概念。非常著名的X络下载工具迅雷，利用的也是P2P的原理。P2PX络其主要优点是能够提高X络中单个节点的利用率，进而进一步提升设备、X络、服务和协同工作的效能。　　P2P与传统的C/S的主要差别在

2、于，每个单独的节点所扮演的角色可以是多重的，并不只限于单纯的服务器端或者节点端。每个节点既可以是命令方或者控制方，也可以是接受命令方或者是被控制端，并且在X络中的大多数节点是平等的，拥有同样的义务和权利。　　P2P结构的主要优点：首先，在P2PX络中，整个系统和单个节点的效率相比于其他结构而言要更高，因为X络中空闲和零散的资源能够得到有效利用，任务能够被更平均和合理的方式分布。相比而言C/S结构纵使有大量的闲置资源，也无法有效的发挥作用。其次，随着X络中节点数目的增加，C/S模式下的服务器将负责越来越多的命令任务，当服务器负载过高时，容易形

3、成整个X络的瓶颈，导致出现危机。而在P2P结构中，每个节点的接入和脱离，并不会对整个X络造成太大的影响，每个对等节点的进入，都能为X络提供一定的资源，理论上节点越多，X络性能和能力越优越。再次，传统C/SX络由于依靠中心服务器调度，其中转成本过高。而P2PX络中，服务器的作用很大程度上的被弱化了，在很多X络中服务器甚至被取消了，取而代之的添加一个X络内部的资源监控器来负责整个X内的资源情况。最后是P2PX络环境下的负载均衡。因为每个节点即能起到服务器，也能起到客户机的作用，且资源分布在多个节点，整个X络在运行任务时，尤其是可以分散运行的任务

4、例如入侵检测时，具有很好的调节作用。　　2入侵检测系统　　2.1引入。入侵检测系统（IDS）是执行入侵检测工作的硬件或软件产品。IDS从多种计算机系统及X络中搜集信息，在从这些信息中分析入侵及误用特征；其中入侵由系统外部发起的攻击；误用是由系统内部发起的攻击。所有的IDS的本质都是基于分析一系列离散的、按先后顺序发生的事件，这些事件用于误用模式进行匹配，入侵检测源都是连接的记录，他们反映了特定的操作，间接反映了运转状态。IDS一般包括三部分：信息的搜集和预处理、入侵检测分析引擎以及响应和恢复系统。　　2.2IDS分类。按入侵检测的技术基础可

5、分为两类：一种基于标志的入侵检测（signature-based），另一种是基于异常情况的入侵检测　　（Anomaly-based）。　　对于基于标识的检测技术来说，首先要定义违背安全策略的事件的特征，如X络数据包的某些头信息。检测主要判别这类特征是否在所收集到的数据中出现，这有些类似杀毒软件的工作原理。而基于异常的检测技术则是先定义一组系统“正常”情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象。这

6、种检测方式的核心在于如何精确定义所谓的“正常”情况。　　往往两种检测方法所得出的结论会有非常大的差异。基于标志的检测技术的核心是维护一个知识库。对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。基于异常的检测技术则无法准确判别出攻击的手法，但它可以（至少在理论上可以）判别更广泛、甚至未发觉的攻击。在条件允许的情况下，两种技术的结合可以提供更好的检测结果。　　3分布式入侵检测　　分布式入侵检测系统可以被理解为是由分布在一个大型X络中的多个入侵检测系统所构成的有机系统，该系统中的ids通过彼此间

7、的通信和协调来协同展开各种数据采集、分析和事件检测活动，共同实现对整个X络全面有效的监控。是现代入侵检测系统的主要发展方向之一，它能够在数据收集、入侵分析和自动响应方面最大限度地发挥系统资源的优势，其设计模型也具有很大的灵活性。　　国外一些研究机构已经开发出了应用于不同操作系统的几种典型的分布式入侵检测系统（D-IDS）。　　主要的IDS生产商与产品有：国外Cisco公司的NetRanger；Inter　　SecuritySystem公司的RealSecure；国内的有紫光X络的UnisIDS；重庆爱思软件技术有限公司的ODD_NIDS；上

8、海金诺X络安全技术发展股份有限公司的KIDS。下面简单介绍其中的一种。　　Cisco公司的NetRanger。NetRanger产品分为两部分：监测X络包和发告警的传感器，以及接