基于四层过滤的网络入侵检测系统模型

《基于四层过滤的网络入侵检测系统模型》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据总第260期2011年第6期计算机与数字工程Computer&DigitalEngineeringV01．39No．686基于四层过滤的网络入侵检测系统模型+沈艳方湘艳韩威邹娟(武汉数字工程研究所武汉430074)摘要文章在对网络入侵检测技术进行分析的基础上，结合网络攻击的特点和目前入侵检测系统的不足，提出一种新的基于四层过滤的网络入侵检测系统模型。这四层过滤分别是：协议分析、流量分析、状态检测和数据分析。四次过滤串并行同时进行以提高效率，增强网络的安全防护能力，保证网络的实时性。同时利用集群的优势在一定程度上解决漏包问题。实验证

2、明，该模型可以提高入侵检测效率和准确率。关键词入侵检测；四层过滤；状态检测；协议分析中图分类号TP393．08NetworkIntrusionDetectionSystemModelBasedonFourFiltrationsShenYanFangXiangyanHanWeiZouJuan(WuhanDigitalEngineeringInstitute，Wuhan430074)AbstractBasedontheshortcomingsoftraditionalnetworkintrusiondetectiontechnologyand

3、thecharacteristicsofnetworkattacks，anewintrusiondetectionmodelisdesignedbasedonfourfiltrations．Thesefourfiltrationsare：protocola—nalysis，trafficanalysis，statemonitoringanddataanalysis．Fourserialparallelfiltrationsimplementsimultaneouslytoim—proveefficiency，enhancenetworks

4、ecurityprotection，andensuretherealtimeofnetwork．Besides，solvetheleakageofpacketsbymakinguseofthesuperiorityofclustering．Experimentsshowthatthemodelcanimprovetheefficiencyandaccu—racyofintrusiondetection．KeyWordsintrusiondetection，fourfiltrations，statedetection，protocolana

5、lysisClassNumberTP393．081引言入侵检测系统(IDS)是继防火墙、数据加密等传统安全保护措施之后的新一代安全保障技术，它是对入侵行为的检测，通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象‘1

6、。现有的人侵检测系统还存在若干的不足因素。对网络入侵检测技术而言，目前存在的主要问题包括：1)高速网络环境下的检测漏包问题；2)漏报和误报问题L2j。入侵检测技术根据待检数据来源的不同可分为两类，分别是基于主机的入侵检测

7、系统(Host—basedIntrusionDetectionSystem，简称HIDS)和基于网络的入侵检测系统(Network2basedIntru—sionDetectionSystem，简称NIDS)L3j。本文主要研究后者。网络入侵检测系统以被检测网段的所有数据包为检测对象，通过把网卡设置为混杂模式，来抓取流经网卡的所有数据包。随着网路资源的丰富，网络上出现了各种类型的攻击。通过对攻击分类方法的研究，发现有以下几种攻击分类：1)基于基本网络协议特征方面(如包头特征)的攻击；2)基于负载内容的攻击；3)基于网络流量的攻击。根据上述

8、三种攻击描述方法，*收稿日期：2010年12月7日，修回日期：2011年1月30日作者简介：沈艳，女，硕士，研究方向：网络安全。方湘艳，男，博士，高级工程师，研究方向：密码安全。韩威，男，博士，研究员，研究方向：密码安全。邹娟，女，硕士，研究方向：容错技术。万方数据2011年第6期计算机与数字工程87把入侵检测分为：包头检测、包数据检测和流量检测。文献E4]设计了一种基于攻击特征描述的网络入侵检测模型，对不同攻击的数据包提出了分类入侵检测和负载均衡技术，但是在攻击包的过滤上还可以有较大的发展空间，文献[5]设计了分布式智能人侵检测系统模型

9、，但是忽略了数据包的分类对入侵检测的速度的影响。在此基础上，本文提出了基于四层过滤模块的入侵检测模型：1)通过协议分析将检测的数据包进行分类和初步过滤，以便针对各类数据包进行入侵检测数据分析，