基于IDS和DMHoneypot系统设计

《基于IDS和DMHoneypot系统设计》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2010年3月北京联合大学学报(自然科学版)Mat．2O1O第24卷第1期总79期JournalofBeijingUnionUniversity(NaturalSciences)V01．24No．1SumNo．79基于IDS和DM的Honeypot系统的设计潘立武(郑州大学西亚斯国际学院，郑州451150)[摘要]对一个具体的可实现蜜罐数据反馈和联动的IDS模型进行了研究，同时将数据挖掘技术引入蜜罐系统，优化和加强了蜜罐的数据价值并为IDS系统提供了有效的反馈数据。基于IDS和数据挖掘技术的新型蜜罐系统不仅有

2、效地加强了蜜罐的诱骗功能，大大提高了蜜罐系统对目标资源的保护和对攻击数据的分析能力，而且也有效地提高了IDS的性能。[关键词]honeypot；IDS(intrusiondetectionsystems)；DM(datamining)[中图分类号]TP393．08[文献标志码]A[文章编号]1005-0310(2010)01-0042．04ADesignofHoneypotSystemBasedonIDSandDMPANLi—WH(ZhengzhouUniversitySiasInternationalCol

3、lege，Zhengzhou451150，China)Abstract：TheresearchisconductedinresponsetoaconcreteIDS(IntrusionDetectionSystem)modelwhichiscapableofimplementingHoneypotdatafeedbackandactioncoordination．AlsoDM(DataMining)isintroducedintoHoneypotsystemtooptimizeandenhanceitsdat

4、avaluewithapurposeofofferingeffectivefeedback．Thenew—typeHoneypotbasedonIDSandDMnotonlystrengthensitstrapfunctioneffectively，butalsoimprovesitsa-bilitytoprotectthetargetresourceandtoanalyzehackeddatagreatly，consequently，IDSperformanceisen—haucedineffectaswe

5、l1．Keywords：honeypot；IDS(intrusiondetectionsystems)；DM(datamining)误报，并能用于进一步改进IDS的设计，增强IDS1相关技术的检测能力。伴随着Internet的普及与发展，黑客人侵变得蜜罐(Honeypot)是一个专门让黑客攻击的系越来越频繁，已经对网络安全构成了严重的威胁，统，由于它专门设计来被扫描、攻击和攻陷，然后对而当前的大多数系统都是被动地采用一些防御技这些攻击活动进行监视、检测和分析，以获取黑客术，如入侵检测和防火墙技术等。在入侵检测

6、常规的信息，从而在与黑客的斗争中获得了最大的主动情况下，难以检测新类型黑客攻击方法，极可能出权，因而，其拥有很高的价值。作为一种网络安全现漏报和误报的问题；防火墙在保障网络安全方解决方案，它的实现则主要依赖于低层网络技术的面，对病毒、访问限制、后门威胁和对于内部的黑客支持和运用，其中，蜜罐的主要技术有网络欺骗、数攻击等无法起到相应的作用，Honeypot(蜜罐)技术据控制和数据捕获等。使这些问题有望得到进一步的解决。通过观察和为保证计算机系统的安全，入侵检测技术记录黑客在Honeypot上的活动，人们可以了解

7、黑客(IDS)是能够及时发现并报告系统中未授权或异常的动向、黑客使用的攻击方法等有用信息。将Hon—现象，是一种用于检测计算机网络中具有与安全策eypot与IDS结合起来，则有可能减少IDS的漏报和略相违背行为的技术。入侵检测系统能够识别出[收稿日期]2009—06—15[作者简介]潘立武(1971一)，男，河南郑州人，郑州大学副教授，系统分析师，研究方向为软件工程、GIS、软件开发。第24卷第1期潘立武：基于IDS和DM的Honeypot系统的设计43任何非常规的外网和内网的活动。因而，对于入侵1)蜜网网关

8、：作为网络控制设备的蜜网网关，检测系统的良好应用，能使在入侵攻击对系统产生功能主要有以下内容：对内部IP地址进行NAT转危害前，检测到侵入的攻击，并通过利用报警与防换，对内部向外的非法连接，以及蜜网网关内部的护系统来驱逐入侵攻击。在入侵攻击过程中，能减主机向外的连接进行阻止，对由外部向内部的所有少入侵攻击所造成的损失。在被入侵攻击后，收集连接进行放行或允许，而且对应用服务器中的非工入侵攻击的相关信息