分布式入侵检测系统的设计与实现

１．引言
１．１入侵检测系统分类：
入侵检测系统按功能可分为基于主机的入侵检测系统和网络入侵检测系统两大类。基于 主机的入侵检测系统通过对系统日志、审计记录进行分析采检测入侵行为，重点放在对文件 操作、进程状态改变、用户行为等系统事件的分析与处理上：网络入侵检测系统通过将截取 的网络数据包的包头或负载内容与已知的网络攻击特征进行匹配，从而实时地检测出入侵行
２．２系统组件：
２．２．１代理：
代理接受域管理器的控制请求，经过对数据源的分析将事件信息传送到域管理器，主机 入侵检测代理与网络入侵检测代理有不同的数据来源及分析过程。
主机入侵检测代理通过对系统审计记录的过滤与分析，得到相应的事件『芋列，我们可以 用一个四元组代表一个事件：（主体ＩＤ、主体，动作，对象），即主体对剥象实施动作。主 体代表用户，具有用户ＩＤ、有效ＩＤ、组ＩＤ属性；动作的属性包括动作类型、进程ＩＤ、动 作时间，动作类型可以分为系统调用与用户权限修改两类：对象属性包括对象名称、权限控 制、对象所有者、设备名、文件ＩＤ等。代理实时地将事件序列传送到域管理器，域管理器 通过对这些属性的限定来控制传送事件的类型。
●ｄ蒜旒ｌ—＋枞配置命令
一
。
中央臂’萼嚣 ｃｅｎｔｒａｌ ｍ刚Ｖ吨ｔｒ
检潞代理
ＩＤ Ａ茸ｅｎｔ
厂、
事件、警报
ｆ
如图：域管理器是该域的安全策略的实施者，它控制域内所有代理的行为，包括肩动、停止、 规则的更新、警报的配置、审计级别的营理等，域管理器还具有一定的存储功能ｔ用于记录 各代理的运行状态、事件、警报。中央管理器上运行的ＧｕＩ程序通过与各域管理器的交互 作用完成管理员对各域及域内的代理的控制与事件查询。
行通信．并在一个域内实施数据加密与身份认证的安全措旋。在某一个域内，通过加密协议、 协议公钥、协议密钥三个参数确定具体的数据加密传输方式．并通过认证协议、本地时间、 公钥、密钥四个参数确定域内各代理的身份认证方式。
检渊系统用到的数据直接涉及到主机的安全信息，利用ｓＮＭＰｖ２作为各实体问的通信 协议，不仅完成了数据传输与控制的基本功能，而且通过数据加密与认证确保了系统的安全 性。
制命令．
２．２３通信协议
域管理器与域内各代理之间的通信协议除完成数据传输与控制的基本功能外．还需具有 一定的安全性，简单网络管理协议第２版（ｓＮＭＰｖ２）对分布式网络管理以及安全性的支持很
好（地 ｃ㈣满ｎ足ｉｔ了ｙ）各、宴管体理问者通、信Ｓ协ＮＭ议Ｐ代的要理求框。架域相、对域应管。理域器管及理域器内代 通理过分ＳＮ别ＭＰ与协网议络与管检理测中代的理社进团
’
ｏｆＣａｎｆｏｍｉａ．Ｄａｖｉｓ．１９９３．
［３】Ｂ．Ｍｌ】ｌ【ｈｅ石睇，Ｌ．Ｈｅｂ刚ｅｌｌｈｌ，ａｎｄ Ｋ工ｅｖｉｎ，’，ＮｅＭｏｒｋ Ｉｎ拉ｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ，”ＩＥＥＥ Ｎｅｔ、ｖｏｒｋ
Ｍａｙ，ｊ∞．１９９４．
【４】ｓｈａｎｄｏｅｐ Ｋ眦１８ｒ ａｎｄ Ｅｕｇｅｎｅ Ｓｐａ仃ｏｒｄＡｎ Ａｐｐｌｉｃａｔｉｏｎ ｏｆ Ｐａｎｅｒｎ Ｍａｔｃｈｉｎｇ １ｍ Ｉｎ讥ｌｓｌｏｎ
参考文献
【ｌ】Ｈ叫ｙ ｓ．弛ｌｇ，ｌ（ａ如ｃｈｃＩｌ ａＩｌｄ ｓｔｅｐｈｅｎ ｃ Ｌｕ．ｓｅｃ吲１ｙ Ａｄｕｉｔ伽ｉｌ Ａｎａｌｙｓｉｓ Ｕｓｉｎｇ Ｉｎｄｕｃ６ｗｌｙ
‘
Ｇ∞啪ｔｃｄ Ｐｒｅｄ确ｖｃ Ｒｕｌｅｓ，ＩＥＥＥ皿ＥＥ ＳｅⅣｉｃｅ Ｃ∞ｔｃｒ且虻ａｔ州ａｙ’ＮＪ，Ｍａｒｃｈ １９９０．
【２】Ｂｒａｄｆｏｆｄ Ｒｗｃｔｎｌｏｆｅ．Ｐａ糟ｄｉｇＴｎｓ ｆｏｒ ｔｈｅ ＴｃｄｕｃＩｉｏｎ ｏｆ Ａｕｄｊｔ铂越Ｍａｓｔｅ＾ｔ１１ｅｓｉｓ，Ｕｎｉｖｅ砌ｙ
分布式入侵检测系统的设计与实现
王飞李信满赵宏
（东北大学软件中心沈阳１１０００６）
摘要 入侵检测已经成为网络安全的重要组成部分，现有的入侵检测产品大多采用了单一 的体系结构，在一个结点上检测、处理所有的事件，导致在功能、性能及可扩展性方面存在 很多不足之处。本文提出了一种分布式入侵检测系统的结构，针对复杂的网络环境．将检测 工作分配到不同位置、不同功能的代理中去，并对不同代理产生的事件序列进行匹配，实现 了对于复杂入侵行为的检测。 关键字入侵检测事件序列匹配
率文提出的分布式入侵检测的体系结构能够有效地解决现有单一结构系统中的问鼯，并 且使不同类型、不同功能的系统间的协同检测成为可能。
２．系统模型
２．１系统结构
我们提出的分布式入侵检测结构采用底层的代理完成各自范围内的检测，并由域管理器 统一对该域内的代理进行管理与配置．域是由管理员针对于某一个子网或特定用户群体定义 的逻辑范匿，各域之间实施不同的安பைடு நூலகம்策略，例如可以为基于ｗｉｎｄｏｗｓ系统子网的代理定 义Ｗｉｎｄｏｗｓ系统相关的规则及事件响应机制．
Ｖｃ∈Ｓ，ａｄｄ Ｍｏｖｅ（ｅ．ａ）ｔｏ Ｓ ａ：＝ｎｅｘｔｃｈａ“）；
Ｉｆｊｅ∈ｓ ｌ Ｖｋｌ二ｋ＝Ｉ，ｃ陶ｎＦ≠巾ｔｂｅｎ
ｒｅｔｕｒｎ ｙｅｓ； ｅｎｄｉｆ ｅⅡｄ
Ｍｏｖｅ（ｓｔａＩｅ ｓ，ｉｎｐｕｌ ａ） ｛
ｒｅｔｕｒｎ
（￡－ｃ【ｏｓｕｒｅ（ｍｏｖ《ｓ［１１））ｘ¨‘ｘｓ团）…ｕ
（ｓ［１】ｘ…ｘ ｅ．ｃｌｏｓｕｒｃ（ｍｏｖｅ（ｓｆｊ］）））
网络入侵检测代理结构如下：
瓶则集 事件、警报
ｌ
事件引擎
ｔ
Ｌｉｂｃａ口包截取
千数据１
ＮＥＴＷＯＲＫ
图２网络入侵检测代理
其中，规则用来描述特定攻击的特征，事件引擎负责对规则进行解释并对网络数据包进行匹 配．最终产生事件报告或警报。 攻击特征可以体现在数据包的不同部分．事件引擎应该具备如下分析能力：
· 数据包头分析：仅对包头的各字段进行分析，如源（目的）地址、源（目的）端口， 可以检测形式较简单的攻击方式，如ＬＡＮＤ攻击。
４．结束语
日趋复杂的网络结构对入侵检测系统的可扩展性、可管理性、适应性提出了新的要求， 另外，系统的结构直接影响系统对于复杂入侵行为的检测能力。本文提出了一个分布式入侵 检测系统的结构，通过对不同类型、不同位置代理产生的事件序列进行集中的分析．提高了
●
１７ｌ
系统的检测能力．系统同时具备良好的可扩展性和可管理性，很好地满足了企业网络的安全 需求。
Ｄｅｌｅｃｄｏｎ－Ｔ∞ｈｎｉｃａｌ Ｒｅｐｏｒｔ ９４．０１３，Ｐｕｒｄｕｅ ＵｎｊＶｅｒｓｉＩｙ，Ｄｅ弘ｌｆｔｍｅｎｔ ｏｆ Ｃｏｍｐｕｔｅｒ
Ｓｃｉ∞∞ｓＭａｒｃｈ １９９４．
【５】Ａｌ船ｄ Ｖ．Ａｌｉｏ＇Ｒａｖｉ Ｓｅ龇柚ｄ Ｊｅｆ丹可 Ｄ圳ｍ旭ｃｏｍｐｉＩｅｒｓ：蹦ｎｃｊｐｌｅｓ’Ｔｃｃｈｎｉｑｕｃｓ’ａｒＩｄ
王飞，硕士研究生，主要方向为网络安全。李信满，博士研究生．主要方向为网络管理与网络安全． 赵宏－教授，博士生导师．ｃＥＲＮＥＴ专家组成员，主要研究方向为计算机网络与分布式系统。
１日７
网络的扩展速度，即使采用分布式数据采集的结构也会加重网络负载，导致系统不 能完全完成其功能． · 缺乏有效的升级手段，当出现新的攻击行为时。系统需要重新配置启动后才能对新 的入侵进行捡测，缺乏动态升级的能力． · 无论是基于主机还是网络的入侵检测系统．由于遵循单一的体系结构．系统要考虑 到所有可能的情况．这使得系统本身复杂．有些检测对于某种特定的环境是冗余的． 而且，这种设计思想没有考虑到与其他系统进行协同检测的能力，在对上下文相关 的事件进行检测时显得能力不足。
改变、在网络数据包内发现某类木马程序韵端口号等。
． 某一事件序列的出现才能证明入侵（攻击）的发生．有时事件序列限定在某一时间范
围之内．如某用户反复进行登录尝试的行为可表示为
：＝＝＝Ｉ，笔＝：二＝芝＝ ＾ｘ ｆ％衰登录失破，Ｔｘ代衰事件＾寰发生的时阃．
ｆ｝
解决该类问曩的算法比较蔺单，善定义好前摹停痔列中每个事件在收集到的用户事件
２．２．２域管理嚣
域管理器负责管理该域内的所有代理，可以运行在专门的机器上或与代理位于同一主 机之上，它具有如下功能：
· 管理控制：负责域内各代理的启动、停止、配置、状态监控． · 事件处理：包括事件的接收与分析，将接收到的事件根据不同类型进行存储、匹配来
发现入侵行为，并将结果通知给中央管理器。
·ＧＵ【接口；响应中央控制台的ＧＵ管理程序发出的请求．如：查询、数据传送、控
ｆ
——…——百可丽砸薹１７０－——————————＿ｊｉ
序列中顺序出现，且时间间隔符合要求，就可以判断出该类行为的发生。
· 某两个或多个事件序列出现，但出现的顺序并不重要，例如有如下攻击行为：
丑 ｃｐ，ｂｉ“ｓｈ ，ｕｓ“ｓｐｏｏＶｍｉｖｒｏｏｔ ｂ ｃｈｍｏｄ ４７５５舳“ｓｐｏＯｌ，ｒｎａｉｕｒｏｏｔ
ｃ ｔｏｕｃｈｘ
ｄ ｍａｉｌ ｒｏｏｔ＜ｘ
ｅ，ｕｓ咖００ｌ／ｍａｉｌ，ｍｏｔ
’
其中事件ｃ在事件ｄ之前发生且与事件ａ、ｂ的次序无关，就是说该攻击行为对应的事
件序列是非线性的．如ａｂｃｄｅ、ｃａｂｄｅ都可认为与该＾侵行为匹配。我们可以采用［５】中
的算法来对事件进行处理：
ｓ：＝｛（￡·ｃ【ｏｓｕｒｅ（｛Ｉｏ｝）ｘ…×ｅ－ｃｌｏｓｕｒ《｛ｎ｝）｝ ａ：＝ｎｃｘＩｃｈａ“）； ｗｈｕｅ ａ≠ｅｏｆｄｏ ｂｅｇｉｎ
为。
基于主机的入侵检测系统主要监视系统的活动，能精确地报告入侵行为的结果，与具体 的操作系统相关，而与主机的物理位置无关。网络入侵检测系统针对网络数据包的某些属｜生， 如ＩＰ地址、端口号、ＳＹＮ标志等进行分析匹配，必要时在ＴｃＰ层或ＩＰ层对数据包进行还 原．与具体的操作系统无关，一般情况下，一个网络入侵检测系统能够对整个子网上的网络 数据包进行实时的检测．而且入侵的记录不会被入侵者删除。两类系统具有很强的互补性， 例如：基于主机的入侵捡测系统能够检测出系统核心文件的更改或覆盖，以及特洛依木马的 安装、运行，而这对于网络入侵检测系统来说是很困难的。但是对于网络扫描、拒绝服务（ＤＯｓｌ 等基本的网络入侵手段，主机系统就无能为力了。