最新移动网络入侵检测机制的研究

哈尔滨工业大学硕士学位论文开题报告题目：移动网络入侵检测机制的研究院、系、部学科、专业导师研究生年级开题报告日期研究生院培养处制年月1 课题来源及研究的目的和意义近年来，随着网络和通信技术的飞速发展以及人们对网络通信需求的不断提高，固定的网络通信技术已经不能满足人们对网络资源的需求，于是，出现了移动网络，移动网络中最典型的是移动AdHoc网络。

移动AdHoc 网络的自组织、自维护能力较强。

而且该网络不需要基础设施支持，通过自动配置使无线移动节点互相连接，具有自由、灵活、方便、功能强大等特点，因此这种网络的应用的范围较广。

移动AdHoc网络和其他移动网络一样存在着较多的安全问题。

除了网络自身的安全措施之外，需要使用入侵检测作为网络安全防范的第二道屏障。

因而研究移动AdHoc网络的入侵检测技术具有关键性意义。

对于有线网络的入侵检测的研究已经较为成熟，也取得了成功的应用，但是由于移动AdHoc网络的网络拓扑结构不断变化、媒介开放等特点，使得移动AdHoc网络的入侵检测不能照搬有线网络的原理和技术这也给移动AdHoc网络中的安全设计提出了一系列更为复杂艰难的挑战。

移动AdHoc网络安全的研究仍然处于起始阶段，国内对此方面的探索更是刚刚起步，很多技术都尚处于雏形阶段，相关方面的知识函待进一步深入研究。

由此可见，对移动AdHoc网络入侵检测技术的研究具有十分重要的理论和现实意义。

2国内外研究现状从上世纪90年代末开始，对于移动AdHoc网络入侵检测技术的研究在世界范围内逐渐兴起，主要集中在入侵检测方法的研究和系统架构的研究两大方面。

入侵检测方法就是数据分析方法，解决入侵检测系统如何根据日志等相关信息判断系统是否遭受入侵，包括检测模型的建立和告警技术。

检测算法被配置在入侵检测系统中，它可以独立于入侵检测系统结构或网络环境，因此，有线网络中的检测方法的思想可以应用到移动AdHoc网络。

系统结构相对检测方法是一个广义概念，它包括检测引擎等多个部分。

当前移动AdHoc网络入侵检测系统结构的研究主要解决功能部件的划分和功能部件间协作检测关系的设计问题。

入侵检测研究历程表明，入侵检测系统结构的优劣直接影响入侵检测的性能，因此对入侵检测系统结构的研究具有重要的意义。

国内外很多研究机构和学者开展了对移动AdHoc网络中入侵检测系统结构的研究，提出了大量初步设想，在总结该领域当前主要研究工作的基础上进行了分类研究，大致分为单节点IDS、协作式IDS和应用移动代理的IDS。

单节点IDS是移动AdHoc网络入侵检测系统研究早期的主要研究内容。

基本思想是在网络的每个节点上独立完成入侵检测。

文献[1]比较了有线和无线网络中应用入侵检测技术的不同，指出在移动AdHoc网络中的入侵检测技术应该是基于异常的，而且系统结构应该是分布式的，并提出了一种单节点入侵检测系统结构。

加州大学网络实验室的研究人员提出了单节点的有限状态机的入侵检测系统结构[2]，针对路由协议对移动AdHoc网络进行保护。

文献[3]在使用“看门狗”(watchdog)机制的基础上，提出了一种单节点入侵检测系统结构。

根据移动AdHoc网络的路由和自动配置等方面的特性，研究者开始考虑分布的协作式的入侵检测系统结构。

当入侵检测及响应不仅由节点单独执行，而且需要与邻居信息交互来协作完成时，统称为协作式IDS。

Yongg。

angZhang和WenkeLee在移动AdHoc网络入侵检测的研究方面颇有建树[4][5]，在业界首先提出了基于移动AdHoc网络的IDs研究标准: 分布性(distributed)和协作性(cooperative)。

基于分布性的要求，提出在移动Ad Hoc网络每个节点上实行路径分析和异常检测;基于协作性的要求，提出利用工DS代理进行本地检测和协同检测[6]。

在其基础上，很多研究者进行了改进和拓展研究。

文献[4]提出的入侵检测系统结构，实现了相邻节点之间联合检测。

BoSun等提出一种基于不重叠域的移动Ad Hoc网络的入侵检测系统(ZB功S)框架[7]，为节点间联合检测提供了协作机制，并且使系统结构具有良好的可扩展性。

F.H.wai等人设计了分层提取检测数据的入侵检测系统结构[8]，并且论述了在移动AdHoc网络IDS中应用分簇算法的必要性。

Yongguang Zhang等继续深入研究移动AdHoc网络中应用异常检测方法后，分析了分簇算法的设计要求，提出了一种新的分簇算法，并在此基础上设计了具有良好扩展性的分布式协作入侵检测系统[9]。

由于移动代理与移动Ad Hoc网络中移动节点具有相似的特点，研究者开始探索采用移动代理代替本地代理进行检测，解决移动AdHoc网络安全方面的问题。

因为移动AdHoc网络无集中式管理，一些入侵检测处理过程要求分布式和协作式方式执行，Kachirski和Guha在文献[10]的基础上，首次提出了一种基于移动代理的入侵检测系统结构[11]。

他们认为每个节点都有代理，过于占用网络资源，为了节省资源，只是在某些节点上驻留监视网络的代理，并且代理的数量可按要求进行增减。

随后法国的Albers和Camp提出了另一种应用移动代理技术的入侵检测系统框架[12]。

德国的Puttini和Percher也提出了一种入侵检测系统框架[13]。

这些应用移动代理的IDS系统结构灵活，能够在一定程度上节省资源。

总之，针对移动Ad Hoc网络入侵检测的研究，国内的相关研究工作刚刚启动，发表的相关论文数量较少，国外的研究工作也还处于仿真和实验的起步阶段。

3主要研究的内容(l)研究移动Ad Hoc网络，主要包括：网络特性、应用领域、网络拓扑结构、网络面临的安全威胁与安全性能标准等。

(2)研究入侵检测技术，包括入侵检测类型、入侵检测系统基本模型。

(3)对入侵检测技术在移动Ad Hoc中的应用进行研究，分析移动Ad Hoc 的入侵检测模型，设计基于分簇的分布式IDS模型。

4研究方案及进度安排，预期达到的目的1、研究方案：本文首先介绍了移动Ad Hoc网络、入侵检测技术和分簇算法的相关知识，通过对移动Ad Hoc网络入侵检测模型的研究，提出了基于簇的分布式入侵检测模型。

主要研究方案如下：(1）对Ad Hoc网络的拓扑结构进行分析按照组网方式的不同，移动Ad Hoc网络的拓扑结构可以分为两种[14]：平面结构，分簇结构。

在平面结构中，每个节点没有层次与等级的差别，具有平等的地位。

其优点在于：网络构建相对简便，且不需要另外的开销来维护层次结构，LBF性能较好，如图1所示。

但是，平面式移动Ad Hoc网络可拓展性较差。

如果网络规模扩大，每个节点所需要存储和计算的信息量会迅速增长，这无疑会给节点造成更大的负担，影响网络性能。

图1 平面结构分簇结构又称为分级结构。

所谓簇，即指网络结构中拥有某种关系的节点所构成的集合。

簇首节点由选举产生，担负着管理簇的责任；簇首之外的其他簇内节点称作该簇的成员节点。

各簇首可以看作更高一级的网络，某些特别情况下簇首还能够再次分簇，形成多级结构，如图2所示。

图2 分簇结构(2)入侵检测种类的分析入侵检测分为异常检测和特征检测。

异常检测(Abnormal Detection)主要来源于此种思想:每个人的正常行为都是呈现一定规律的，并且可以建立这些行为的活动日志，如CPU利用率等。

然后将当前行为与活动日志做比较，当发现违背其正常规律、与正常行为产生较大差别时，便认为该行为可能是“入侵”行为，除此之外，不是入侵的非正常用户行为(比如滥用自己职权)也可以被发现。

特征检测(Signature-based Detection)又称误用检测(Misuse Detection)，主要是通过某种方式预定义入侵行为，然后对网络系统的活动进行监视，并从中发现与预定义模式匹配的入侵行为，系统检测的目标就是看主体行为是不是符合这些预定义模式。

由于根据入侵模式库来进行甄别，因而检测准确度非常高，但是对于新的入侵方式束手无策。

(3) 基于分簇的分布式IDS模型基于对现有入侵检测模型存在的缺点分析，结合Ad Hoc网络自身特性，本文提出了一种基于簇的分布式入侵检测模型CDIDS。

CDIDS的模型如图3所示：图3 CDIDS模型图CDIDS模型以移动自组网为依托，充分兼顾到移动自组网的特性(如动态拓扑)以及网络资源能耗等各个方面，将移动Ad Hoc网络划分成簇，实现分布式协作入侵检测。

本文的CDIDS模型包括数据采集模块、本地入侵检测模块、全局协作检测模块、邻居节点检测模块、本地入侵响应模块、全局入侵响应模块、数据通信模块、分簇模块八个主要部分，如图4所：图4 基于分簇的移动Ad Hoc网络IDS单元整体框架结构图全局协作检测模块是移动Ad Hoc网络入侵检测模型的又一个核心组成部分，该功能只在簇首运行。

在接收到从簇成员节点发来的全局协作检测请求之后，全局协作检测机制会通过号召簇内所有节点参与检测，或进一步与其他相邻簇首相互协作，对本地入侵检测模块未能做出判断的异常行为做更为全面的分析，以期最后对该行为是否是入侵行为给出较为准确的判定。

全局协作检测机制具有簇内协作检测与簇间协作检测两种功能。

如图5和图6所示：图5 簇内协作检测流程图图6 簇间协作检测流程图2、进度安排2011年9月～2011年10月研究移动Ad Hoc网络相关知识2011年11月～2012年2月研究入侵检测相关知识2012年3月～2012年4月设计分布式IDS模型2012年5月～2012年7月撰写毕业论文3、预期达到的目标1) 对移动Ad Hoc网络进行研究，对其网络特点和安全标准进行分析。

2) 对入侵检测的种类进行分析，并得出入侵检测技术在移动网络中应用的问题所在。

3) 通过上述的分析，设计出一个分布式的IDS模型。

5为完成课题已具备和所需的条件和经费已具备的条件：移动Ad Hoc网络、入侵检测技术等方面相关文献资料；已在国内外公开发表多篇学术论文。

6预计研究过程中可能遇到的困难和问题以及解决的措施1、传统的入侵检测方法是适应于有线网络的，如果直接将这些方法用到移动Ad Hoc网络中是不合适的。

因此，本文在设计的时候需要设计一种可以用于移动Ad Hoc网络的入侵检测的方法。

2、在设计基于分簇的分布式IDS模型的时候需要针对现有的移动Ad Hoc网络的入侵检测模型的缺点，进行优化。

主要参考文献[1]P.1vanov.Intrusion Detection in Fixed and Wireless Networks./-russell/eure537xf00/projeets/Ivanov.pdf [2]C.Y.Tseng, P.Balasubramanyam, K.Calvin.A Specification-Based Intrusion Detection System for AODV. Proceedings of the 1st ACM workshop on Security of ad hoc and sensor networks，ACM Press，Fairfax，Virginia，USA，2003:125-134[3]S.Marti, T.J.Giuli, i.Mitigating Routing Misbehavior in Mobile Ad Hoc Networks. Proceedings of the 6th Annual International Conference on Mobile Communication and Networking，MOBICOM，2000:255-265[4]Y.Zhang and W.Lee.Intrusion Detection in Wireless Ad Hoc Network Proe.MOBICOM 2000，Boston，ACM Press，2000:275-283[5]Z.Y.guang,L.W.ke,H.Y.an.Intrusion Detection Techniques for Mobile Wireless Networks.2003，9(5):545-556[6]Z.Y.guang,L.W.ke，H.Y.an.Security in ad hoc network: a general intrusion detection architecture enhancing trust based approaches. Mobile Networks and Applications，2001，16(1):1-16[7]S.Bo,W.Kui.Alert Aggregation in Mobile Ad Hoc Networks.Proeeedings of the 2003 ACM workshop on Wireless Security，San Diego,USA,2003:69-78 [8] F.H.Wai, Y.N.Aye, N.H.James.Intrusion Detection in Wireless Ad Hoc Networks..sg/~cs4274/ermpapers/0304-I/group4/pape r.pdf[9]5]H.Y.an,L.W.ke.A Cooperative Intrusion Detection System for Ad HocNetworks.Proeeedings of the 1st ACM workshop on Security of ad hoc and sensor networks，ACM Press，Fairfax，Virginia，2003:135-147[10] [6]Z.Y.guang,L.W.ke，H.Y.an.Security in ad hoc network: a general intrusion detection architecture enhancing trust based approaches. Mobile Networks and Applications，2001，16(1):22-26[11]O.Kaehirski,R.Guha.Intrusion Detection using mobile agents in wireless Ad Hoc networks.IEEE Workshop on Knowledge Media Networking(KMN，02)，Kyoto，JAPAN，2002:153-158[12]Albers, Patriek, and O.Camp.Security in Ad Hoc Networks: general Intrusion detection architecture enhancing trust based approaches. Proceedings of the First International Workshop on Wireless Information System，Ciudad Real，Spain，2002:142-147[13]R.S.Puttini, J.M.Pereher, L.Me.A Modula: Architecture for Distributed IDS in MANET.Proceedings of the International Conference on Computational Science and Its Applications, Canada, 2003:91-113[14]赵志峰，郑少仁.Ad Hoc网络体系结构研究[J].电信科学:2001,1:14-17[15]李勇，黄均才，王凤碧，尹峻勋。