基于模式匹配和神经网络的分布式入侵防御系统的研究

《基于模式匹配和神经网络的分布式入侵防御系统的研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、基于模式匹配和神经网络的分布式入侵防御系统的研究青华平傅彦（电子科技大学计算机科学与工程学院）[摘要]本文提出一种基于模式区配和神经网络技术的分布式入侵防御系统模型，设计一个基于该模型的入侵防御系统（称为Adidp）。并详细讨论该系统的体系结构、特点和实现技术等。该模型能够对大型高速分布异构网络进行有效的入侵检测和防御。关键词网络信息安全；入侵检测；入侵防御；模式匹配；神经网络1引言随着计算机网络的广泛使用和网络之间传输信息量的急剧增长，一些重要机构和部门在得益于网络加快业务运作的同时，其上网数据也

2、受到了不同程度的破坏，或被复制或被删除篡改，导致机密信息泄露或重要数据丢失。数据的安全性、保密性、完整性等受到了严重的威胁。网络安全问题日益引起人们的重视。借助于防火墙，把网络隔离为内网和外网，可以把来自外部的安全威胁减少到一个安全得多的程度。但是，单一防火墙技术并不能保障网络系统的安全。首先，防火墙基本上是属于防外部入侵的安全措施，要想防止内部的威胁，只能是分割子网，或在内部再分出一个“内部”来。而按IDC的技术统计，30%的网络攻击和70%以上的致命攻击来自于网络内部，如对企业不满的员工等等，对

3、这种威胁，防火墙是无能为力的。其次，如果内部电脑感染了特洛伊木马类病毒，外部主机就可以使用反向遂道绕过防火墙直接控制主机。此时，在防火墙看来，所有的请求都是由内部主机对外部网络的合法请求，而实际上，此时，内部主机已经被外部黑客完全控制了。由于单一的防火墙技术并不能防范来自内部的或智能化的入侵攻击，不能保障网络系统的安全。我们发现采用入侵检测技术是一种很好的安全防范手段。但是，入侵检测系统只能采取被动监听的方式发现网络问题，无法主动发现网络中的安全隐患和故障等。目前的入侵检测系统还不能适应大规模高速异

4、构网络环境、缺乏协同响应的能力。此外，网络攻击技术不断发展变化，并呈现出一些新的特点，而原有的安全解决方案不能迅速地适应这些新特点，导致网络的安全保障技术相对落后于网络攻击技术，从而出现防不胜防的尴尬局面。所以有必要引入新的技术和思想，来改进原有的安全解决方案。2分布式入侵防御系统入侵是指试图破坏一个资源的完整性、机密性和可获得性的活动集合。入侵检测技术可被分为误用入侵检测和异常入侵检测两种，前者通过检测固有的攻击模式发现入侵，后者通过检测系统或用户行为是否偏离正常模式发现入侵；按照数据来源可分为主

5、机和网络入侵检测，主机入侵检测主要收集其运行主机的信息；按照入侵响应可分为主动响应和被动响应两种，如果检测出入侵后，能够自动重新配置防火墙、关闭适当的服务或反击入侵者，那么就被称为主动响应，若检测到入侵后仅给出警报或记录日志，那就是被动响应。入侵检测和防御系统（IntrusionDetectionandPreventionSystem，称简IDPS），有时又称IPS，即入侵防御系统，指不但能检测入侵的发生，并且能指挥防火墙和其他响应方式（如conKill，TOD），实时地中止入侵行为的发生和发展，实

6、时保护信息体系不受实质性的攻击的智能化的新型安全技术。IDPS主要包括检测和防御两大系统组成，理想的IDP/IPS，应具备从网络到主机的防御措施，及预设定的响应设置，通常由IDS和防火墙技术分别发展、组合而成。检测和实时防御，是IDPS的最重要的性能特征。目前的网络入侵防御系统和产品还很不成熟，基本上还处于研发阶段。此外，随着网络应用的广泛和互连网络自身的分布异构性，网络入侵与攻击的方式已经变得越来越隐蔽，且趋于多样性、分布化和协同性。因此，入侵防御系统也需要满足跨平台、可复用、易扩充、协同检测等新

7、的应用需求。所以，研究利用分布计算技术，实现大型分布式入侵防御系统是具有重要意义的。因此，我们研究并设计一个分布式的入侵防御系统，称之为Adidp。3Adidp系统的结构和组成中央管理点异常入侵和分布式误用入侵分析器中央管理器DataBase中央安全响应模块子网管理器数据探测器误用入侵分析器数据过滤器子网安全响应模块主机管理器数据探测器误用入侵分析器数据过滤器主机安全响应模块网络检测防御点主机检测防御点图1系统结构图Adidp系统是一个集数据收集，入侵检测和入侵响应于一体、网络与主机检测相结合、适用

8、于大规模异构型网络结构的分布式入侵防御系统。Adidp系统主要由中央管理点、网络检测防御点、主机检测防御点3部分组成(见图1)。在Adidp应用环境中，用户可将一个大型网络划分成多个子网，每个子网中可部署一个网络检测防御点，多个主机检测防御点。整个系统只需部署一个中央管理点。网络（主机）检测防御点的任务是采集原始数据，对原始数据按照用户要求进行过滤，并反馈给管理点，实现实时状态监测；对原始数据进行误用入侵分析，将结果报告给管理点；防御网络（主机）的误用入侵攻击。它由数