文档介绍：南京航空航天大学
硕士学位论文
基于分布式IDS报警的聚合关联方法的研究与实现
姓名:张洁
申请学位级别:硕士
专业:计算机科学与技术
指导教师:李俊
2010-12
南京航空航天大学硕士学位论文
摘要
在信息化高速发展的今天,信息和网络系统的安全变得越来越重要,而随着网络入侵者
水平的逐渐提高,入侵行为也在变得日益严重。入侵检测技术作为传统防御技术的补充,已
经成为学术界的研究热点。虽然入侵检测系统能提供对内部攻击、外部攻击和误操作的实时
监控,但单一的入侵检测技术已经很难满足系统的安全需求,同时各种 IDS 往往会产生大
量冗余报警和误报警,降低了系统的有效性。因此,本文在分布式 IDS 的基础上对入侵检
测报警数据的处理技术进行研究。
本文首先介绍了现有入侵检测系统的各种体系结构,分析了它们各自的特性和优缺点,
并通过深入研究目前典型的数据融合模型,设计实现了一个基于分布式 IDS 的报警数据的
处理模型。该模型对报警数据进行多层处理,在各个 IDS 的本地代理上完成报警格式的统
一,并采用一种自适应的方法合并其中的重复报警;接着对报警进行分类匹配,聚合有较高
相似程度的报警;然后,使用一种新的基于时间窗口的报警选择方法来选择适量的报警进行
关联比较,并自动构建关联知识库,挖掘元报警之间的关联关系,同时绘制报警事件关联图,
将图形界面呈现给安全管理员。
最后论文实现了基于分布式 IDS 的报警数据处理模型,并对各个模块的功能进行了测试,
验证了模型以及报警聚合关联算法的有效性。
关键词:网络安全,入侵检测,分布式,报警聚合,报警关联
I
基于分布式 IDS 报警的聚合关联方法的研究与实现
Abstract
With the rapid development of information technology, the security of information and
network system is ing more and more important. But as the level of the intruders raise
gradually, the behavior of intrusion also es increasingly serious. Intrusion detection attracts
more and more attention of academic researchers, because it may e the ing of
traditional security technology. Although the intrusion detection system can provide real-time
monitoring for the internal and external attacks, and also the incorrect operation, a single intrusion
detection technology has been very difficult to meet the safety requirements, and various IDS will
often produce a large amount of redundant alerts and false alerts, reduce the efficiency of the
system. Therefore, this paper emphasize on the alert data processing technology based on the
distributed IDS.
Firstly, the architecture of the existing intrusion detection system is introduced, and analyses
their characteristics and disadvantages, after through in-depth study at the present typical data
fusion model, this paper designed and implemented a new alert data processing model based on
the distributed IDS. This model process the alert data from multiple lay