基于主動(dòng)網(wǎng)的自適應(yīng)入侵響應(yīng)系統(tǒng)的研究和實(shí)現(xiàn).pdf

1、隨著Internet的蓬勃發(fā)展，網(wǎng)絡(luò)攻擊事件也呈現(xiàn)增長(zhǎng)的趨勢(shì)。目前對(duì)入侵防范的研究主要偏重于入侵檢測(cè)。眾所周知，入侵檢測(cè)系統(tǒng)(Intrusion Detection System，簡(jiǎn)稱(chēng)IDS)的誤報(bào)和漏報(bào)不可避免，尤其是在大規(guī)模網(wǎng)絡(luò)環(huán)境中，往往使安全管理員淹沒(méi)在大量的警報(bào)中。對(duì)用戶(hù)而言，網(wǎng)絡(luò)安全體系中檢測(cè)和響應(yīng)同樣重要。但是，長(zhǎng)期以來(lái)響應(yīng)技術(shù)的研究未受到重視，主要依賴(lài)于人工響應(yīng)，由于響應(yīng)及時(shí)性不夠并且無(wú)法處理大規(guī)模高速網(wǎng)絡(luò)中大量的安全事

2、件，使得該方法已經(jīng)不能夠滿(mǎn)足目前對(duì)入侵響應(yīng)的需求。自動(dòng)入侵響應(yīng)系統(tǒng)(Intrusion Response System，簡(jiǎn)稱(chēng)IRS)的研究尚處于初期階段，響應(yīng)決策大都使用傳統(tǒng)的基于分類(lèi)的決策模型，響應(yīng)的合理性和適應(yīng)能力不夠理想。 本文在分析了網(wǎng)絡(luò)攻擊的特征后，提出在已有成熟IDS的基礎(chǔ)上建立一個(gè)面向大規(guī)模網(wǎng)絡(luò)的自適應(yīng)入侵檢測(cè)和響應(yīng)系統(tǒng)AN-AIDRS(Active-Network based Adaptive Intrusion

3、 Detection and Response System)，該系統(tǒng)以主動(dòng)網(wǎng)為平臺(tái)，由多個(gè)分布式入侵檢測(cè)代理IDA(Intrusion Detection Agent)和中央處理節(jié)點(diǎn)AIRS(Adaptive Intrusion：Response System)組成。IDA對(duì)本地。IDS的報(bào)警進(jìn)行簡(jiǎn)單的預(yù)處理，AIRS的主要功能是實(shí)時(shí)匯聚分布在大規(guī)模網(wǎng)絡(luò)中IDA的入侵警報(bào)，在此基礎(chǔ)上實(shí)現(xiàn)報(bào)警事件的全局分析和自動(dòng)響應(yīng)。本文的研究主要是圍

4、繞著AIRS中涉及到的關(guān)鍵技術(shù)展開(kāi)的，AIRS的關(guān)鍵技術(shù)包括全局事件關(guān)聯(lián)和基于代價(jià)的自適應(yīng)響應(yīng)決策。 全局事件關(guān)聯(lián)的主要目的是對(duì)IDS輸出的報(bào)警進(jìn)行處理，使得對(duì)應(yīng)每次攻擊的發(fā)生僅產(chǎn)生一個(gè)報(bào)警事件，從而避免響應(yīng)系統(tǒng)做出多余的響應(yīng)。本文提出一個(gè)多步全局事件分析模型MS-GACM(Multi-Step GlobalAlert Correlation Model)，該模型包括冗余消除、事件合并、事件聚集以及復(fù)合攻擊識(shí)別四個(gè)串聯(lián)子算法。其

5、中冗余消除模塊位于本地IDA，其主要目的是對(duì)單個(gè)IDS的重復(fù)報(bào)警進(jìn)行消除，位于中央節(jié)點(diǎn)的事件合并子模塊首先對(duì)多個(gè)IDA傳遞過(guò)來(lái)的重復(fù)報(bào)警進(jìn)行合并，然后交由事件聚集子模塊，該模塊根據(jù)攻擊屬性對(duì)報(bào)警進(jìn)行聚集，以發(fā)現(xiàn)大規(guī)模的單步攻擊，最后復(fù)合攻擊關(guān)聯(lián)子模塊根據(jù)攻擊的因果關(guān)系對(duì)報(bào)警進(jìn)行關(guān)聯(lián)，實(shí)現(xiàn)對(duì)網(wǎng)絡(luò)復(fù)合攻擊的識(shí)別。 目前的自動(dòng)入侵響應(yīng)系統(tǒng)均采用基于分類(lèi)的響應(yīng)決策模型，該模型的主要缺點(diǎn)在于沒(méi)有統(tǒng)一的響應(yīng)目標(biāo)，且響應(yīng)策略對(duì)環(huán)境變化的適應(yīng)性

6、不理想。本文借鑒Wenke Lee的成本敏感模型的思想，提出基于代價(jià)的自適應(yīng)響應(yīng)決策模型。該模型綜合考慮攻擊的危害和響應(yīng)的付出，同時(shí)參考響應(yīng)的歷史成功率對(duì)攻擊選擇最優(yōu)的響應(yīng)措施。該模型涉及兩種代價(jià)：響應(yīng)操作代價(jià)和殘留損失代價(jià)，其中殘留損失代價(jià)又包括攻擊已經(jīng)造成的損失和響應(yīng)可能給正常用戶(hù)帶來(lái)的負(fù)面代價(jià)。本文給出了攻擊殘留損失代價(jià)的具體量化方法，并通過(guò)將代價(jià)轉(zhuǎn)換為攻擊損失代價(jià)的計(jì)算從而實(shí)現(xiàn)代價(jià)的統(tǒng)一量化。為提高響應(yīng)的自適應(yīng)性，響應(yīng)執(zhí)行后系統(tǒng)