ids数据的收集与过滤

《ids数据的收集与过滤》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、．由茎查查堂堡主堂些堡兰一一一．——Redundantrolesare：1．Iftheuser’Slogintimeandthenextiogintimeiswithin1minute，thenthesetwologinrecordswouldcombineasone．2．Iftheuserloginfromlocalhosthastworecords，itwouldonlysaveOBe·3．Deleteloginrecordfrommessages．4UnittimeportIPaddress专destinationIP：Po

2、rtshavesameprotocolpackages，combineasonerecord，savetimerangeandamountofthepackages．Safetyrolesare：1．Allofrootuser’Sactivitiesrecords．2．Certainuser’Scertainactivities．3．Rerootevent．4．Systemkernel’Sactivity．IDSdatacollectingsystemgetsdatafromthedatasource，firstexchanged

3、ataintostandardformation，thenusingruletOdetect．ifaccordwithanyparticularrule，thenitwoulddeleteorcombinethedatawithrelateddata．ThealgorithmusedinthispaperisbasedonLinuxplatform，butit'scompatiblewithotheroperationsystems．TheClanguage’sabilitytotransplantdecidedtherealis

4、ticdatacollectingsystemhaspracticalusewithotheroperatingsystems．KEYWORDS：IDS，datacollect，log，standardization，datafilter4内蒙吉走学硕士学位论文第一章前言{卡篓娥网络躲出臻绘人们瓣生泼繁寒了极大懿侵裂。但是，裁像疆影与鞠竞爨在一样，痰毒秘黑客也沿整这条售息之潞港入计算枧系统，大肆破坏。一方愿，匪联网上大量婚信息使入侵学有利可图，另一方聪，网络入侵的方便性和隐蔽性又馒入侵赣有机可黎。于是，随着网络的迅速发展，网络安全

5、事件也大量增加。计算机安全专家一直在寻找防御入侵的方法，从访问控制、加密到几年前的防火墙技术，这些至今仍在应用的方法的确帮助人们抵挡了许多入侵行为。但是，在矛与盾的斗争中，伤痕累累的总是盾牌。黑客们有的是时间，他们尝试着各种可能的攻击手段，一厦找掰突破日，就会在防御对策出台之前，进入系统中为所欲为。入们意谈到，荜纯的防御过予被动，强须我到一葶孛瓤往入侵者菇巴酌手段。在这释需求之下，产生了薪鍪静、主动的貔镄方法——入侵梭测。宅是对传绞戆计算梳安全税铡翡一耱替究，髓够主动寻找入侵者的踪遴。一旦发现可疑行为，戟会发出警告信号，弗采取耜瘫

6、接藏，瓣止事态惑纯。舅蕙，针对入侵检测技术的磺究工佟已经取季导了很大进鼹，枣嚣上也出现了～些入侵检测系统(IDS)。但是由于入侵检测领域还没有形成国际标准，无论是数搌格式还是入侵行为描述，各个产品都不统一。尽管不同的产品铸有优势，但并不能协同工作。这就使得入侵者仍有可乘之机，也不利于入侵检测技术的进一步研究。已经有两个国际组织在进行标准的制定工作，他们是CIDF和也rrF下属的IDWO。这两个组织强调了入侵检测的不同方面，并从备自的角度迸行了标准化工作。但是由于入侵行为是如此广泛和复杂，加上厂商之间存在的协调问题等种种豳素，标准化

7、工作进展的非常缓慢，两个标准化组织的工作凡遥箨顿。尽管匿难燕重，标准仡终究楚一个必然趋势。鑫姨1987每Denning提出透焉IDS模型滋来，久们对数据分帮亍方法进行了大量静醑究，然露对数据的收嶷和邋滤摄制的磅突龆不够瀑入。尽管醛蓑专家系绞、亭搴经网络等瑟技术被引入到入侵检测领域中，使入侵行为的辨别更为猴确和毫效，但在大裂系统的海量数据面前，入侵行为探测器就如同在茫茫林海中孤独前行的猎手，力不从心。为了提怒入侵检测系统的效率，降低待分析数据的规模势在必行。针对上述不足，本文从入侵检测系统的数据收集入手，建立起一个分布式的数据收集系

8、统，并将收集到的各种数据转换成统一的格式。转换后的数据不仅包含了已^知数据的关键信息，还能与可能撩；现的新黧数据兼容。根搽数据之间的内在联系，合理提取有用数据、．塑鍪直查兰堡主兰堡丝墨删除冗余的和对入侵检测没有重要影响的数据，减少待分析的数据量，为