基于黑板的自治代理协同入侵检测系统模型

第五种代理是攻击分类代理（Ａ５），它能够识＊Ⅱ存在于网络数据中的子类攻击，因为 在入侵行为发生时，往往在一种攻击形式下下，会存在许多隐藏在该攻击下的子攻击 （ｓｕｂ．ａｔｔａｃｋ），比如．拒绝服务攻击可以被分成ＰｉｎｇＦｌｏｏｄ攻击、ＵＤＰ包Ｓｔｏｒｍ攻击、ＦＴＰＢｒｕｔｅ 攻击等。攻击分类代理从黑板向基于基因算法的分类器发送系统信息，这种分类器利用多错 误分析概念完成上述子类攻击分析功能并且将生成的结果发回到黑板，产生的结果会说明目 前存在哪类攻击以及在这些收集的数据中这类攻击存在的可能性。
当前在准确检测网络攻击方面一些研究采用了神经网络的一些方法，即将基于规则的检 测系统和神经网络结合来开发高性能入侵检测系统，采用非传统的基于人工智能技术来开发 一种高效入侵检测系统，比如使用基因算法、数据挖掘技术和模式识别技术。研究人员通常 使用不同类型的新技术来发展入侵检测系统．可是在已经得到应用的入侵检测模型中通常不 具备具有持久学习能力的功能部件，而具有学习能力的入侵检测系统是能够在网络环境中自 己调整自己并且利用增长的经验来提供高效的检测性能“１。
ｄａｔａ． Ｋｅｙｗｏｒｄｓ：Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ：Ｂｌａｃｋｂｏａｒｄ Ａｒｃｈｉｔｅｃｔｕｒｅ：Ａｕｔｏｎｏｍｏｕｓ Ａｇｅｎｔｓ：
Ａｒｔｉｆｉｃｉａｌ Ｎｅｕｒａｌ Ｎｅｔｗｏｒｋｓ
１引言 随着网络应用程序的迅速发展，针对网络系统的攻击已经成为信息技术领域中日益增长
的问题。每年由于入侵者篡改数据导致商务企业遭受大量经济损失。因此，这就需要利用可 靠、健壮、灵活的入侵检测系统来有效保护重要数据和瓷料。最近关于网络安全工作一些新 的研究领域，主要集中在以下几个方面：人工智能、数据挖掘、统计技术以及用于分布式入 侵检测的ａｇｅｎｔ结构，如自治ａｇｅｎｔ、智能ａｇｅｎｔ和移动ａｇｅｎｔ。结合这些新技术的发展并 针对传统入侵检测系统的不足，本文提出了一种基于黑板三层结构和自治学习ａｇｅｎｔ的分布 式入侵检测结车句模型，它具有学习和自适应能力，能够通过自学习特性来适应网络环境和攻
第六种代理是ＡＮＮ分析代理（Ａ６），（Ａｒｔｉｆｉｃｉａｌ Ｎｅｒｖｅ Ｎｅｔｗｏｒｋ，ＡＮＮ．人工神经网络）。 因为入侵检测系统的最终检测目的是利用某种程度的信任标准识别出受影响的网络数据。 Ａ６可以实现这个目标。Ａ６包含一组不同类型的ＡＮＮ，它通过黑板上存放信息中包含的数据， 在其中寻找不同类型的攻击并且决定这些ＡＮＮ中哪一种ＡＮＮ适合于分析这种类型攻击的工 作。如果在这些数据集中没有攻击存在，那么Ａ６将在产生的分析结果中打上标志。
－ 它的优点在于它的模块性、动态控制性、并发性、高设计效率、鲁棒性以及能够处理多 重知识资源的能力”１。黑板结构可以作为开发本文提出入侵检测模型的一种基础结构。
３．２自治ａｇｅｎｔ
除了一般自治ａｇｅｎｔ所具备的特点，本文模型中集成在基于黑板结构中的自治ａｇｅｎｔ，能 够在主机系统上完成某种安全检测功能。这－ＶＬｅａｇｅｎｔ是独立运行实体，各自性能不受其他ａｇｅｎｔ 的影响：能够持续运行而且能够有效抵制入侵并且拥有最小的系统开销。这类自治ａｇｅｎｔ是 可配置的，具备易适应性、可进行动态重新配置和灵活升级州。
行交互来完成它们各自行为动作。在这种系统中，没有控制或者管理ａｇｅｎｔ，但是在每个ａｇｅｎｔ 中内嵌了一种控制机制用来引导这些ａｇｅｎｔ的行为。
４．２系统分析和工作流程
图１中第一种自治代理称为弼络数据读代理（Ａ１）。它主要通Ｊ吐Ｔｅｐｄｕｍｐ（Ｌｉｎｕｘ环境下 网络数据采集分析工具）采集网络数据。Ｔｃｐｄｕｍｐ用特定格式记录网络数据。Ａｌ以１０００个数
３系统采用的主要技术 ３．１黑板结构
黑板结构是人工智能领域中的一种常用手段，在多数具有灵活知识系统结构中用于建立 基于决策应用的一种结构。黑板结构可以通过对知识源的引用对设计活动进行控制，可以在
代理结构中作为协调手段。它主要包括： ｆｎ接口：对交互信息按消息协议进行封装后发送给其它代理，其它代理发来的消息经
在网络环境中，数据流的不定向对检测系统的灵活性有着明显影响，Ｂａｌａｓｕｂｒａｍａｎｉｙａｎ 曾经使用基于规则的自治ａｇｅｎｔ入侵检测系统与单纯基于规则的入侵检测系统对同一种入 侵行为进行检测，结果表明单纯基于规则的入侵检测系统在面对网络数据流时缺乏识别新型 攻击的灵活性，只有通过经常性的更新才能保证系统能够包括攻击者发起的一些新的攻击模 式‘２’”。
须数据。Ａ１将需要分析的数据发送到黑板上后，Ａ２一旦发现这些数据，它就进行分析工作。 Ａ２中包含基于规则的分类分析器，它向黑板通告Ａｌ发送的这些数据是否是合法数据。如果 在这些数据发现了问题并具有攻击踪迹，那么Ａ２会提示这是何种攻击。
第三种自治代理是输出代理（Ａ３），它向安全审计器或者系统管理员提示早期警报信
ｌｅａｒｎｉｎｇ，ｗｈｉｃｈ ｍａｙ ｒｅｓｕｌｔ ｉｎ ｂｅｔｔｅｒ ｐｅｒｆｏｒｍａｎｃｅ ｔｈａｎ ｐｒｅｓｅｎｔ ｓｙｓｔｅｍｓ．Ｔｈｉｓ ｆｅａｔｕｒｅ ｅｎａｂｌｅｓ ｔｈｅ ｓｙｓｔｅｍ ｔ。ａｄａｐｔ ｔｏ ｃｈａｎｇｅｓ ｉｎ ｔｈｅ ｎｅｔｗｏｒｋ ｅｎｖｉｒｏｎｍｅｎｔ ａｓ ｉｔ ａｓｓｉｍｉｌａｔｅｓ ｍｏｌ＂ｅ ｎｅｔｗｏｒｋ
据包
罔络羲据境
初始分析代 理（Ａ２）
攻击分＿赉代 理（Ａ５）
网络数据读代理（Ａ１） 系统数据读代理（Ａ４）
黑板结构
裂
。气；虿ｉ暑。１。。。
ＡＮＮ分析代 理（Ａ６）Fra bibliotek学习代瑾
（Ａ７）
图１ 系统模型示意图
（网络活动信息）为一组来采集数据并且将这些数据粘贴在黑板上。 第二种自治代理叫做初始分析代理（Ａ２），它的职责是不间断地观察黑板并且获得必
２．１网络入侵典型类型：
常见的入侵主要有以下几种类型： （１）拒绝服务攻击。这是～种严重的网络攻击形式，能够拒绝用户正常服务访问，破 坏组织的正常运行，最终使部分Ｉｎｔｅｒｎｅｔ连接和网络系统失效。而导致网络使用者大量的 经济损失。尽管拒绝服务攻击原理非常简单，即利用合理的服务请求来占用过多的服务资源 从而使合法用户无法得到服务，但在这种典型攻击下，攻击者最终会使带宽资源耗尽，导致 网络资源变得不可访问而影响正常用户的使用。 （２）猜测远程登录攻击。这种攻击主要采用猜测保护网络资源口令的方式并获得对资 源的控制权。 （３）扫描攻击。这种攻击是攻击者通过扫描被攻击系统的不同端口，找出某些易受攻 击漏洞，通过这些漏洞，攻击者可以发动其他形式的攻击。
关键词：入侵检测｛黑板结构；自治代理；人工神经网络
Ｍｏｄｅｌ ｏｆ ｌｅａｒｎｉｎｇ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ ｂａｓｅｄ ｏｎ
ａｕｔｏｎｏｍｏｕｓ ａｇｅｎｔ
ＣＨＥＮ Ｊｉ，ＬＩＫａｉ，ＺＨＯＵ Ｊｉａｎ
（Ｃｏｍｐｕｔｅｒ Ｉｎｆｏｒｍａｔｉｏｎ Ｓｃｈｏｏｌ，Ｈｅｆｅｉ Ｕｎｉｖｅｒｓｉｔｙ ｏｆＴｅｃｈｎｏ［ｏｇｙ，，Ａｎｈｕｉ，Ｈｅｆｃｉ，２３０００９）
过 解析得到有意义的内容。 （２）知识库和数据库：存放与代理活动相关的本地知识和数据。 （３、黑扳：是外界的消息内容和各功能单元工作过程的中间信息的存放区，使外界的消
息内容可被各功能单元使用。各功能单元之间可以交换数据，了解其它代理的工作状态。 （４）功能组：代理的功能实现模块，可以是一个子代理，也可以包含其它功能和代理。
息。
第四种自治代理是系统数据读代理（Ａ４），Ａ４将负责收集系统中被保护系统的特定信 息并发往黑板，检测和判断由入侵攻击行为引起的损害程度．这类收集的特定信息包括可用 网络带宽、ＣＰＵ使用效率、每秒通过的网络数据包数、内存利用情况、网络连接数、连接尝 试次数、使用协议、源地址到目的端口率（指可访问端口的变化速率）和数据包长度等。
４系统基本结构
本模型使用黑板技术和自治ａｇｅｎｔ，来有助予检测入侵行为。如图ｌ所示，系统采用多层 格式结构。
４．１系统主要组成
该检测模型中包含三个主要部件：行为自治ａｇｅｎｔ，黑板结构和控制机制。行为自治ａｇｅｎｔ 包括八种自治ａｇｅｎｔ并且通过彼此闻的相互合作来合作完成检测任务。它们通过黑板结构进
击类型变化、丰富自身知识库适应不断出现的新型攻击类型．
２典型入侵和检测方法现状
入侵检测过程可以被定义成一种问题集来识别未经过认证使用网络资源的非法个体和 保护认证用户安全访问网络资源．在网络中，入侵既可能来自网络外部，也可以来自网络内 部发生，这就提出了两种不同类型的网络入侵检测系统：基于主机的入侵检测系统（ＨＩＤＳ） 和基于网络的入侵检测系统（ＮＩＤＳ）．ＨＩＤＳ可以被定义成一种能够检测到计算机系统中误用 的安全系统．ＮＩＤＳ系统能够识别误用操作或者来自圈络外部在没有经过认证情况下对网络 资源的未授权使用…。文章提出的模型将在ＮＩＤＳ系统基础上利用冀板和自治ａｇｅｎｔ技术实 现入侵检测。
２．２目前入侵检测方法的不足
目前入侵检测的大部分方法是利用某种形式的基于规则的分析方法。基于规则的分析方 法依赖于管理员预先定义或系统生成或二者同时产生的规则集。专家系统是基于规则入侵检 测方法中最常用的一种方法。基于规则的系统通常不能检测到那些发生在过长时问段内的攻 击情节，缺乏审计规则记录自动更新的灵活性，因此攻击者发动攻击时攻击序列的微小变化 都可能导致系统漏检或者误报，降低系统检测性能。
第七种代理是学习代理（Ａ７），该模型在被动态嵌入到检测规程中后，学习代理能够 自主了解和学习新出现的攻击形式，由于初始分析代理（Ａ２）是由基于规则分析器系统控 制的，所以这种类型的分析系统拥有一套按照事实分类的规则集。Ａ２审计由网络数据读代 理（ＡＩ）记录的网络数据并且报告这些数据是否包含攻击或者这些数据是否是合法数据。 如果Ａ２发现了一种新的网络数据模式那么Ａ２会发出入侵警告，然后系统继续保持监视这种 新模式，如果在后来的系统工作过程中发现引起警报的该模式中的数据是安全的，那么学习 代理将会更新Ａ２的规则集表明这种新的网络数据模式是安全的。因此，如果在初始分析时 Ａ２产生了错误入侵警报，或者在任何时候一种新的攻击类型被检测到但在规则集中没有支 持该类攻击的检测规则，那么学习代理（Ａ７）会根据系统出现的新的情况生成新的规则来 自动更新系统中存在的规则集用于以后类似的入侵检测处理。