科研立项材料

《科研立项材料》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、1、问题和解决。一旦IDS检测任何可疑或恶意的活动，它就会自动报警。不幸的是,触发了警报通常有数量庞人的假警报，片面性和误报警的入侵检测系统（IDS）关键性能参数。在实践中，智能决策支持系统已经观测到每天成千上万的警报,其中大多数都是错误所引发的正常活动。这使它极其困难地分析相关攻击，进而正确地识别警报。误报警的风险高于片面性的风险。通过上述的有关I仃RS的描述,Togsurfer”是该系统的开始按钮。当登录失败发生时，Togsurfe严就会启动系统部件立即处理。整个处理需要一定的时间。在实践中，会有多个进行同步攻击。不幸的是，当两个攻击之间的吋间间隔是非常短

2、,-logsurfer-将不会启动系统处理第二次的攻击,因而会虚警。图5是一个两种攻击同时攻击,然而系统只能处理一个,错过另一个。IJul416:28:48vm2sdid[5496]:pam_unix(sshd:aath):authenticationfeilure;logname=uiWeaitO

3、ttj^sAmsef=rtat=192.168.142.12Buser=kaiIJul416:28:48vm2屈[5502]:pam_imix(sshd:aiith):anthenticatioiifirilure;logname=uiHeuid=0

4、_tty-s

5、di^©^08^19^68442^32_Ihl石6曲:应亦疝4须:商占fioml吭诫14亦3血Mill五_Jul416:28:48vm2sshd[5494]:Fafldpassedfirkai192J68J42J28port487«1ssh2Jul416:28:50vm2ssM[54%]：Fandpssvrordibrkaiftom192.168.142.128port487B2ssh2hl416:28:50vm2Mhd[5502]:Failedpasswirdfinkaiftoml92・168・142・132port56119sdi2hl416:28:50v

6、m2sshd[5494]:Fafledpasswrdftrkaifiom192.168.142.128port487«1ssh2Jal416:28:50vn>2s«M[5490]:Bailedpasswordfijrkaiftoml92,168,142J32port56118ssh2Jal416:28:50vm2sshd[5491]:ComKctionclosedby192.168.142.132Jul416:28:50vm2sdd[5490]:PAM2moreauthenticationfefluies;logname=nid=Oeuid=Otty^sdir

7、oserrhost=192.168.142.132user=kai图5syslog-two的内容为了解决这一虚警I廿RS,我们利用一个预处理模块去收集之前的错误登录信息的数据。在木文中，提出了一种新颖的文件new-configf（图6）。此图显示出两个启动l"D"RS匹配的规则，启动过程平行却不连贯。当关键字^failure/9出现在securelog文件,Togsurfer”就会启动start,pl（程序下面会有介绍），它是一个保存失败登录信息的到临时数据库文件——log.txto图6new-configf的内容//start・p1#l/usr/bin/pe

8、rl//pickupthefailedlogin'sinformationarray=;open(APPFILE；,»log.txtw)；printAPPFILE©array;//PPinf.pl#l/usr/bin/perldo{LAST:{definevariables;open(LOGFILE/vlog.txt”)；our@logarray=(0,);open(LOGFILE/>log・txt”)；close(IOGFILE);open(DATABASE/'〉〉database”)ordieprintDATABASE◎l

9、ogarray;our$j=i;dataprocessing};fuzzydecision};response};while(defined($1ogarray[$j])){{Procedure!:{Procedure2:{Procedure^:$卅+；}redoLAST;}11nt.iIf0V2、实验结果。在我们的试验中，有一个虚拟局域网构成的主机与Linux操作系统的三个核心11o一是I仃RS的主机有两个正常的用户（uscrl和）,其余的是攻击者主机，每个主机有两个终端。实验是4个终端，同吋进行攻击两个用户。两种方法的结果作了比较，显示如表1。在"Att

10、acks-是袭击的数量,"Alarms