新型分布式入侵檢測系統(tǒng)模型研究

【摘要】針對傳統(tǒng)分布式入侵檢測系統(tǒng)的缺陷,文章提出了一種適用于無線網(wǎng)絡(luò)通信環(huán)境的新型分布式入侵檢測系統(tǒng)模型,詳細(xì)介紹了其組成部分:邏輯檢測域、中心分析器、全局?jǐn)?shù)據(jù)庫和用戶接口。新模型提高了系統(tǒng)的整體檢測效率,有效地避免了中心分析器單點(diǎn)失效的問題。

【關(guān)鍵詞】入侵檢測 LDD 分布式攻擊 中心分析器 自舉

1 引言

隨著計算機(jī)技術(shù)的發(fā)展,入侵檢測系統(tǒng)(IDS,Intrusion Detection System)已經(jīng)作為網(wǎng)絡(luò)安全系統(tǒng)中的一個重要組成而受到業(yè)內(nèi)關(guān)注。現(xiàn)有IDS系統(tǒng)的缺陷有三:一是IDS系統(tǒng)檢測能力局限在單一網(wǎng)絡(luò)架構(gòu),與其他IDS系統(tǒng)的協(xié)作能力低;二是檢測手段和數(shù)據(jù)的來源單一;三是無法檢測大規(guī)模分布式攻擊。分布式入侵檢測系統(tǒng)(DIDS,Distributed Intrusion Detection System)[1]由此應(yīng)運(yùn)而生。

DIDS主要檢測信息的協(xié)同處理與入侵攻擊的全局信息提取。AAFID[2]是一種分布式入侵檢測系統(tǒng)的高效框架,與早期的DIDS相比,它解決了負(fù)載平衡問題,且采用分層結(jié)構(gòu),不同層次處理抽象程度不同的數(shù)據(jù),使得在系統(tǒng)各代理間通訊的數(shù)據(jù)量顯著減少。但AAFID也有其缺陷,如層次結(jié)構(gòu)復(fù)雜,控制較繁瑣,且沒有解決結(jié)構(gòu)上的單點(diǎn)失效問題,尤其是如果處于較上層的節(jié)點(diǎn)失效,整個系統(tǒng)就會癱瘓;另外,處于下層的節(jié)點(diǎn)不能對入侵做出獨(dú)立的反應(yīng)。對此,本文提出了一種新型的DIDS系統(tǒng)模型結(jié)構(gòu),新模型可以檢測跨越多子網(wǎng)的入侵行為和分布式攻擊,避免了中心分析器單點(diǎn)失效的問題,系統(tǒng)整體的檢測效率很高,更適用于無線網(wǎng)絡(luò)環(huán)境。

2 新型分布式入侵檢測系統(tǒng)結(jié)構(gòu)

新系統(tǒng)由邏輯檢測域(LDD)[3]、中心分析器、用戶接口、全局?jǐn)?shù)據(jù)庫[4]組成,如圖1所示。LDD是本地的入侵檢測系統(tǒng),負(fù)責(zé)監(jiān)視系統(tǒng)本身的網(wǎng)段,并能對一般的入侵行為進(jìn)行檢測,而后根據(jù)預(yù)先定義的配置給出反應(yīng)措施。

另外為了解決單點(diǎn)失效問題,NIDS設(shè)計有多個中心分析器,但最多只有一個處于活動狀態(tài),其余中心分析器則作為冗余備份;一旦活動的中心分析器失效,其余中心分析器就通過自舉策略競爭使用權(quán)。用戶接口用來查詢LDD和中心分析器的檢測結(jié)果,修改它們的檢測策略,給系統(tǒng)管理員一個可視化的圖形接口。全局?jǐn)?shù)據(jù)庫主要用來存放檢測策略和結(jié)果。

2.1 邏輯檢測域

每個LDD負(fù)責(zé)監(jiān)視各自管轄的網(wǎng)段,且均能對主機(jī)和網(wǎng)絡(luò)進(jìn)行入侵檢測。它們通過數(shù)據(jù)采集模塊從網(wǎng)絡(luò)和主機(jī)上獲取數(shù)據(jù)包,并通過分析模塊進(jìn)行分析,如果檢測出入侵行為,則立刻做出反應(yīng);對于可疑行為,則提交給中心分析器,由中心分析器根據(jù)從各個網(wǎng)段收集的信息來最終判斷是否有入侵行為。其模塊組成如圖2所示,模塊組符合通用的入侵檢測框架規(guī)范[3]。

(1)數(shù)據(jù)采集模塊

解析和捕獲信道中傳送的數(shù)據(jù)包并將其格式化為事件,這是由系統(tǒng)中的NIDS數(shù)據(jù)采集模塊來實現(xiàn)的。在新系統(tǒng)中,檢測節(jié)點(diǎn)可獲取自身和相鄰部分節(jié)點(diǎn)的數(shù)據(jù)包,節(jié)點(diǎn)處理的數(shù)據(jù)量相對較小,可保證極低的丟包率并能加快分析模塊的處理速度,縮短系統(tǒng)響應(yīng)攻擊的時間。新系統(tǒng)采用這種獲取相鄰部分節(jié)點(diǎn)數(shù)據(jù)包的冗余設(shè)計,彌補(bǔ)了由于單個節(jié)點(diǎn)遭受攻擊而無法檢測到攻擊信息的缺陷。

(2)分析模塊

NIDS分析模塊使用模式匹配、統(tǒng)計分析等技術(shù)來識別攻擊行為。它以網(wǎng)絡(luò)數(shù)據(jù)包作為分析數(shù)據(jù)源,在不丟包的情況下對包進(jìn)行分析,將入侵行為的特征碼歸結(jié)為協(xié)議的不同字段的特征值,將其與特征庫的特征碼進(jìn)行模式匹配。如果匹配成功,則表示檢測到了攻擊行為,反應(yīng)模塊就做出適當(dāng)?shù)捻憫?yīng)。

協(xié)議分析方法按照網(wǎng)絡(luò)協(xié)議的層次結(jié)構(gòu)進(jìn)行分析,首先分解各協(xié)議的首部并與協(xié)議樹按次序匹配,然后用數(shù)據(jù)報文的數(shù)據(jù)部分來匹配協(xié)議的入侵特征,用來與入侵規(guī)則匹配的報文比源報文的字節(jié)數(shù)要少。協(xié)議分析方法與模式匹配的原理是一致的,采取二者相結(jié)合的入侵檢測方式可以有效提高檢測效率。

HIDS分析模塊用于分析日志事件,對重點(diǎn)監(jiān)視的主機(jī)資源建立特征庫并通過模式匹配方法即時分析日志事件來檢測入侵信息。

(3)管理模塊

管理模塊有四個方面的功能:

◆ 獲取分析模塊送來的報警信息,并將其發(fā)送到反應(yīng)模塊進(jìn)行處理;

◆ 把整個邏輯域內(nèi)檢測到的無法確定的可疑事件,提交給中心分析器來處理;

◆ 把入侵信息通過反應(yīng)模塊發(fā)送到本地數(shù)據(jù)庫服務(wù)器進(jìn)行保存;

◆ 通過通信模塊從用戶接口獲取LDD的配置信息。

(4)反應(yīng)模塊

反應(yīng)模塊按照預(yù)先配置的響應(yīng)行為來執(zhí)行反應(yīng)動作:

◆ 對可能的入侵行為預(yù)警并通知系統(tǒng)管理員;

◆ 把入侵的信息記錄到本地數(shù)據(jù)庫;

◆ 對入侵行為進(jìn)行具體處理。為了避免誤判產(chǎn)生的負(fù)面影響,根據(jù)入侵行為的危害程度,可將具體的入侵處理分為結(jié)束對應(yīng)的入侵任務(wù)、斷開連接、鎖定帳號、限制允許登陸范圍等級別。

(5)通信模塊

通信模塊是系統(tǒng)的重要組成部分。該模塊負(fù)責(zé)LDD跟活動中心分析器以及用戶接口之間的通信。通信的內(nèi)容為一個五元組[5]:

〈通信內(nèi)容〉∷=(發(fā)送者,接收者,時間,數(shù)據(jù)長度,數(shù)據(jù))

對于內(nèi)容較短的信息交互采用UDP協(xié)議包的形式,對于成塊的信息交互則采用TCP協(xié)議包的形式。

2.2 中心分析器

(1)功能

中心分析器負(fù)責(zé)從多個LAN收集數(shù)據(jù),并根據(jù)這些數(shù)據(jù)分析跨子網(wǎng)的分布式攻擊。一個單一的LAN可以根據(jù)地理位置和其他因素而分成多個子網(wǎng),并且每個子網(wǎng)都有各自的安全需求。子網(wǎng)上的LDD通過本地特征庫監(jiān)視著其上的數(shù)據(jù)信息,如果該LDD鑒別出入侵行為,則給出告警信息并寫入日志。

(2)自舉

為了解決單點(diǎn)失效的缺陷,新模型通過控制臺來制定多個中心分析器,每個中心分析器都有其優(yōu)先級數(shù)。優(yōu)先級數(shù)最大的中心分析器處于活動狀態(tài),其余處于空閑狀態(tài)。若LDD無法找到一個當(dāng)前活動的中心分析器,就會向所有的中心分析器發(fā)布一個無法找到活動中心分析器的消息。當(dāng)各中心分析器接收到消息后,空閑的中心分析器會自舉一個出來,使其成為活動的中心分析器(以下簡稱CA)。

CA執(zhí)行競爭協(xié)調(diào)者算法進(jìn)行自舉,過程如下:

◆CAi向所有優(yōu)先級數(shù)高于自己的CA發(fā)送要做協(xié)調(diào)者的消息。它將面臨兩種情況:一是在規(guī)定時間內(nèi)無回復(fù),那么CAi將自己作為協(xié)調(diào)者的消息發(fā)送給LDD和控制臺。二是CAi在規(guī)定時間內(nèi)收到反對回復(fù),則繼續(xù)等待一個時間T,如果沒收到消息,則認(rèn)為回復(fù)錯誤,CAi重新開始執(zhí)行競爭協(xié)調(diào)者算法;如果收到消息“CAj是新的協(xié)調(diào)者”,CAi記下當(dāng)前的活動CA是CAj。

◆如果CAi接到一個優(yōu)先級比它低的CA競爭協(xié)調(diào)者的消息,則給對方一個適當(dāng)?shù)幕貜?fù),自己開始執(zhí)行競爭協(xié)調(diào)者算法。

◆當(dāng)一個擁有較高優(yōu)先級的CA排除故障恢復(fù)運(yùn)行時,它可以重新執(zhí)行競爭協(xié)調(diào)者算法,剝奪較低優(yōu)先級CA的協(xié)調(diào)者資格。

2.3 用戶接口

控制臺提供了一個友好的人機(jī)交互界面,讓系統(tǒng)管理員能方便地管理系統(tǒng)。用戶接口的功能包括四個方面:

(1)指定各LDD和中心分析器的配置庫;

(2)從LDD和中心分析器獲得檢測日志;

(3)指定系統(tǒng)中活動的中心分析器;

(4)顯示告警信息和圖形化的分析報告。

2.4 全局?jǐn)?shù)據(jù)庫

全局?jǐn)?shù)據(jù)庫保存各LDD和中心分析器的配置信息以及運(yùn)行中產(chǎn)生的日志。

3 結(jié)束語

本文提出了一種基于邏輯檢測域的入侵檢測系統(tǒng)模型。新模型的LDD分布在各受保護(hù)的子網(wǎng)段上,能通過分析模塊對本地主機(jī)和網(wǎng)絡(luò)進(jìn)行入侵檢測,并能獨(dú)立做出處理。對于一些分布在各個子網(wǎng)上的分布式攻擊,新系統(tǒng)中的每個單獨(dú)的LDD只能檢測整個入侵行為的一部分,這時各個LDD會將其檢測到的可疑事件提交給中心分析器處理,中心分析器將會正確地判斷是否存在入侵行為。新模型中存在多個中心分析器,中心分析器通過自舉算法競爭成為協(xié)調(diào)者,避免了單個中心分析器帶來的單點(diǎn)失效問題,提高了整個系統(tǒng)的容錯性,能夠更有效地檢測多種入侵攻擊,更適于無線網(wǎng)絡(luò)通信環(huán)境。

參考文獻(xiàn)

[1]薛靜鋒,寧宇鵬,閻慧. 入侵檢測技術(shù)[M]. 北京: 機(jī)械工業(yè)出版社,2004.

[2]Eugene H Spafford, Diego Zamboni. Intrusion Detection Using Autonomous Agents[J]. Computer Networks, 2000(34): 547-570.

[3]Porras P, Schnackenberg D, Staniford Chen S, et al. The Common Intrusion Detection Framework Architecture[EB/OL]. 2005. http://www.isi.edu/gost/cidf/drafts/architecture.txt.25(15): 1374-1391.

[4]Peng Ning, Sushil Jajodia, Xiaoyang Sean Wang. Design and Implementation of Decentralized Prototype System for Detecting Distributed Attacks[J]. Computer Communications,2002.

[5]P Ning, X S Wang, S Jajodia. Modeling Requests Among Cooperating Intrusion Detection Systems[J]. Computer Communications, 2000,23(17): 1702-1715.

[6]林昭文,趙毅德,馬嚴(yán). 基于Agent的分布式協(xié)作入侵檢測系統(tǒng)[J]. 計算機(jī)工程,2008,34(5): 150-152.★

【作者簡介】

鐘再淳:碩士畢業(yè)于中山大學(xué)電子學(xué)系無線電物理專業(yè)。現(xiàn)任職于中國電子科技集團(tuán)公司第七研究所,曾從事信道編碼及嵌入式硬件的研發(fā)工作,目前從事網(wǎng)絡(luò)信息安全管理及研究工作。