Openflow在入侵检测评估中的应用研究-论文.pdf

《Openflow在入侵检测评估中的应用研究-论文.pdf》由会员上传分享，免费在线阅读，更多相关内容在行业资料-天天文库。

1、2014年第l7期总第161期S_L_C0NVALLEY固Openflow在入侵检测评估中的应用研究田庆，朱俊岭(肇庆学院，广东肇庆526061)摘要针对入侵检测评估数据来源问题和OpenFlow能够提供灵活的网络控制能力的特点，研究基于软件定义网络的真实数据评估模型，并程序实现基于该模型的入侵检测评估系统，最后利用网络仿真该模型。实验结果表明该模型是可行的、，有效的。关键词IDS评估；OpenFlow；软件定义网络；评估模型中图分类号：TP393文献标识码：A文章编号：1671—7597(2014)17—0l1卜02对入侵检测(intrusiondetection

2、system，简称“IDS”)的评估工作开始与上世纪9O年代，有代表性的测评有：1994年，美国加州大学的Puketza和他的研究团队第一次提出了IDS评估，以及评估的方法和软件平台；1998年，麻省理工大学林肯实验室(MLT／LL)也启动了入侵检测评估项目，到目前为止，该评估项目是最权威的评估项目；随后，MITRE公司开展的入侵检测评估，是最早针对商用IDS的评估项目。国内的评估工作则刚刚起步，其代表企业是赛迪网，它测评的重点是基于网络的入侵检测系统。深入研究这些已经开展过的入侵检测评估我们发现，因为数据保密性等各种原因，目前已经开展过的评估都是采用模拟图1传统I

3、DS评估模型的网络环境和仿真的入侵数据和网络数据，以解决测评过程中该模型主要用于自建的简单网络环境，所需的网络数据和所需要的攻击数据、网络流量和用户行为等。模拟环境和数据攻击数据都依据实际网络模拟产生，即上图所示的流量发生器，仿真虽然在很大程度上解决了测评的数据来源问题，但却始终该方法解决了评估所需的数据来源问题。不能反映真实的网络环境和数据，所以在此基础上做出来的评2．2基于OpenfIOW的入侵检测评估模型估也就存在很多问题。基于模拟环境的评估虽然在很大程度上解决了入侵检测所因此，本文研究如何利用真实的网络环境和网络数据对IDS需要的数据问题，但仍然还存在很多问

4、题，比如模拟环境不能测评，以得出更为真实的测评结果。真实还原每一种真实的网络结构；现实情况下，真实网络数据1OpenFIow技术与模拟数据差异巨大，因此，评估的准确性和可信度有待进一互联网的研究现状表明，为了验证最新的网络研究成果，步论证；目前的评估方法和手段用在真实环境中是否可行等。需要部署一个可扩展、可编程的大规模实验平台。针对这一需求，以前，我们只能在模拟环境中评估的主要制约因素是网络出现了很多研究成果，如自适应网络、基于软件定义的网络技的不可控。如果能解决网络的不可控问题，评估环境的真实性术OpenFlow等，其中最受欢迎和认可的是OpenFlow技术，该问

5、题就迎刃而解，而上文所提到的OpenFlow技术为建立可控的技术由美国斯坦福大学于2008年提出，它是一个新型的网络控网络提供了可能。因此，基于真实网络环境的IDS评估也就成制协议，并于2011年2月完成了比较全面的标准化，目前应用为可能。图2是基于OpenFlow的入侵检测评估模型。非常广泛，如微软、IBM、思科、NEC、Verizon、Facebook、惠普等行业巨头都在推广这项技术。2基于OoenFIow的入侵检测评估模型2．1传统入侵检测评估环境模型对IDS进行评估，也就是对一个已经在IDS保护下的系统进行检测，看IDS是否能够发现入侵并报警。要测评IDS，

6、最好是能够利用实际运行环境产生的数据进行，在OpenFlow技术产生以前，这个要求往往很难实现，因为实际环境中运行的数据都包含一些企业或者机构的隐私数据，这些数据多数是都不愿意公开，即使有企业愿意把不是很敏感的数据公开，这些数据因为带有明显的特定性而不大适合用来做通用评估。为此，在具体评估的时候，大都采用模拟真实环境数据来生成IDS的评估数据，最主要的手段是不使用网络中的正常通讯数据而是在测评网络中模拟重建正常通信和攻击数据，简单模型如图1所示。图2基于OpenFlow的入侵检测评估模型T6Y脚u咖oN表1基于Openflow的IDS检测报告正常1正常2正常3正常4

7、正嵩5攻击1攻击2攻击3攻击4攻击5传统方法异常指数OO．43OO．1O0．5544．59．5211．4315．7520．13本文所提方法异常指数OO．330．090．46040．138．5610．2313．6718．58表2被测体系的误报次数与检测率关系阈值>45>20>15>10>9>0．55>0．43>0传统误报次数OO000125传统检测率04O％60％8O％100％1O0％100％10O％本文误报次数0O000015本文检测率020％4O％80％80％10O％10O％100％该模型的基于真实的局域网和基于网络的入侵检测(NIS)到的误报次数与检测率关系