基于数据融合的入侵检测系统-软件工程专业论文.docxVIP

北京交通大学硕士学位论文 YS86193 摘要 信息安全己成为世界性的现实问题，入侵检测是网络安全体系 中的重要防范技术，能够及时发现并报告网络系统中未授权或合法 用户滥用特权等现象，并及时做出响应，主动保护自己免受攻击， 是对系统扫描器和防火墙这些被动策略的逻辑补充。但出于现有的 技术缺乏强壮性、适应性和扩展性等特性，不能满足网络安全的实 际需求。 本文在分析了现有入侵检测技术基础上，提出了一种分层的基 于数据融合的入侵检测系统。从而可以提供给安全管理员全局的误 报率较低的和较为综合的报警信息。 在这个系统的最底层，检测代理分析各种数据源，负 责本地网 络的检测，并将报警发送给上层的融合代理，而且这些报警是遵循 入侵检测消息交换格式标准的。 在第二层，融合代理的功能是进行融合关联从而能够识别黑客 攻击的意图。因此，为了完成这些功能我们实现了下面几个模块: 报警收集模块，收集不同检测代理发送的报警，保存在本地磁盘并 进行管理:报警融合模块，将每次攻击产生的报警识别为同 一类报 警并生成相应的全局报警。报警关联模块，将处理后的报警进行关 联，从而可以去除一些误报，同时提供给管理员一个较为综合的报 警信息。 在最高层，代理管理器进行整个网络的全局的报警融 合关联从 而获取入侵者的攻击策略和攻击的意图。 实验证明，该系统具有较高的检测率和较低的误报率，达到了 设计的目标。 关键词:入侵检测，数据融合，分布式，网络安全，报警关联 北京交通大学硕士学位论 文 ABSTRACT Information Security is the worldwide practical problem ，and intrusion detection is a technique in network security system，which can find out unauthorized access and illegitimate using by legal user s，take active actions，and protect itself from outside and inside intrusions . This technique is the complement of passive action5，5uch as system scanner or fuewa1l. But most of intrusion detection systems are not robust，adaptable，scalable，and efficient and they can not meet thé requirements of network security. Thus there is a need for a new approach so that appropriate and timely actions can be taken before service is disrupted. To do 50，this paper proposed hierarchica1如sion architecture. This system generates few false posit?ves and prov?des the security administrator with more global and synthetic information . In this system，there are three levels of data fusion. At the lower level，the Intrusion Detection Agent determines what the local intrusions are and sends alerts to the fusion agent. All these alerts are compliant with the Intrusion Detection Message Exchange Format (IDMEF). At the higher level，the objective of the Fusion Agent is to fuse and correlate alerts in order to recognìze the intrusion plan. In order to reach the objective，we ，specify the following functions : Alert Aggregation function: alerts messages ge