分布式入侵检测系统的数据采集技术-复旦大学软件工程试验室.PDF

28 2 第 卷　第 期 计　算　机　工　程 2002 2 年 月 Vol.28 № 2 Computer Engineering February 2002 ·安全技术· 文章编号：1000—3428(2002)02 —0165—03 文献标识码：A 中图分类号： TP393.08 分布式入侵检测系统的数据采集技术 张铭来，金成飚，赵文耘 (复旦大学计算机科学系，上海200433) 摘 要：讨论了分布式入侵检测系统中的数据采集子系统，通过对几种不同的数据采集技术的优势和局限的分析，提出了分布式入侵检测系 统的数据采集子系统的实现方法。 关键词：入侵检测；分布式入侵检测系统；数据采集 Data Collection Technology for Distributed Intrusion Detection System ZHANG Minglai，JIN Chenbiao，ZHAO Wenyun (Computer Science Department of Fudan University, Shanghai 200433) 【Abstract 】This paper discusses the data collection sub-system of distributed IDS, analyzes different kinds of data collection technology, and claims a method to implement it in distributed IDS. 【Key words】Intrusion detection；Distributed IDS；Data collection 1 背景 一部分出故障不会造成所有的模块全部瘫痪。 1.1 入侵监测系统概念的提出 1.2.2 基于网络和基于主机的数据采集 入侵检测，顾名思义，便是对入侵行为的发觉。它通过 入侵监测系统(IDS)按照数据采集的方式不同可以分为 IDS IDS IDS 对计算机网络或计算机系统中的若干关键点收集信息并对其 基于网络的 和基于主机的 。基于网络的 的数据源 IDS 进行分析，从中发现网络或系统中是否有违反安全策略的行 通常是侦听网络上的数据包，而基于主机的 的数据源通 为和被攻击的迹象。 常是系统日志或系统调用。 IDS IDS 现有的 发现的入侵中大部分是在主机上发生的：执 一个良好的 系统应该具备以下特征： (1)必须在管理人员很少干预的时候也能持续稳定运行。 行一个命令，向一个服务提供不合适的数据，等等。虽然攻 (2) 必须在系统崩溃后能保存当时的状态并自动恢复，继续对 击可能是通过