（模式识别与智能系统专业论文）基于jini的分布式入侵检测系统—体系结构的设计与部分实现.pdf

摘要 造着讨冀抵网络技农的飞速发裴，导致了入侵方式的多样化，这 就使得八侵检测的难度增太。现有的入侵裣测系统( i d s ) 在体系结构上 磊矗着按多问题。为了更加安全有救地保护网络系统，需要设计一个 更掰的八侵检测系统。 戤砖目前i d s 的发袅状况，本文设计了一个基于j i n i 的分布式自 适应入侵检测系统。文章主簧研究和撬出了一种分布式入侵检测系统 妁体系鲒均，舞且给出了基于j i n i 的却分实现。该系统的拳仓模块以 j i n i 服务的形式同其他模块遗行交互。通过横酶亿的翼有费发纽网 印辐印熙的捡测节点之漶的妊嬲工掉，共问检测和黪范对系统的入侵 行为。 文章还实现了多神平台无关的八侵蛤测算法，给出了强化系统的 方案，典有很好的扩袭，入侵容错和後袭能摩。与琉香曲l d s 相纯， 镀系统怨够电动遗辑砖级，提供更加安全、高效、透明的数据服务， 很好的消除分布式系统部分失败的问题，实琉系统资源细粒度髓访问 挫刽和簿法代码纛各令节点之阀安全呵靠的转移，更适合分布式捡测 环境。 关键溺：网络安全；入侵检测；分布式系统；j i n i a bs t r a c t w i t ht h eg r e a td e v e l o p m e n t o f e o m p u t e rn e t w o r k ，i n t r u s i o nm e t h o d sv a r yg r e a t l y a n dm a k ei td i f f i c u l tt od e t e c ti n t r u s i o n s t h e r ea r e m a n yp r o b l e m sl y i n gi nt h e s t r u c t u r eo ft h ec u r r e n ti n t r u s i o nd e t e c t i o ns ? s t e m s o d s ) 。i no r d e rt om a k en e t w o r k s a f e ra n dl l l o r ee f f e c t i v e ，i ti so f g r e a tn e e dt od e s i g nab e t t e ri n t r u s i o nd e t e c t i o n s y s t c m i nt h i sp a p e r , a ni n t r u s i o nd e t e c t i o n s y s t e mb a s e do nj i n ii sd e s i g n e da c c o r d i n gt o t h ed e v e l o p m e n to fc u r r e n ti d s ak i n do fd i s t r i b u t e d i n t r u s i o nd e t e c t i o ns y s t e m s t r u c t u r ei sm a i n l ys t u d i e da n d p u tf o r w a r di nt h i sp a p e r , a n dap a r t i m p l e m e n t a t i o n b a s e do nj i n ii s g i v e n e v e r ym o d u l eo f t h es y s t e mc o n t a c t sw i t he a c ho t h e ri nt h e f o r mo fj i n is e r v i c ew i t ht h ec o o p e r a t i o no fm o d u l a r i z e dd e t e c t i o nn o d e s ，t h es y s t e m c a l la u t o m a t i c a l l yf i n de a c ho t h e ra n dh a v et h ea b i l i t yo f p l u g a n d m p l a y 。t h e s en o d e s w o r k t o g e 氆e r t od e t e c ta n d p r e v e n t i n t r u s i o n s i nt h i sp a p e r , m a n y o p e r a t i o ns y s t e mi n d e p e n d e n ta l g o r i t h m sa r ei m p l e m e n t e d a s e c u r i t ys c h e m ei sb r o u g h tf o r w a r dt oe n h a n c et h es y s t e m 。t h es y s t e mi s e a s yt o e x t e n da n dr e c o v e r ；i ta l s oh a sb e t t e rt o l e r a n c eo f i n t r u s i o n c o m p a r e dw i t ho t h e ri d s ， t h es y s t e mid e s i g nc a n a u t o m a t i c a l l yu p g r a d ei t s e l fa n d o f f e rs a f e r ，m o r et r a n s p a r e n t ， m o r ee f f e c t i v ed a t as e r v i c e i tc a r te f f e c t i v e l ya v o i dt h ep r o b l e m so f p a r tf a i l u r ea n d p r o v i d es y s t e m r e s o u r c ew i t hf i n e - g r a n u l a r i t yc o n t r o l ，i ta l s om a k e si t e a s y t ot r a n s f e r a l g o r i t h mc o d e sa m o n gc o m p u t e r sa n dw e l ls u i t sf o rd i s t r i b u t e di n t r u s i o nd e t e c t i o n k e 3 涮, o r d s ：n e t w o r ks e c u f i 镌i n t r u s i o nd e t e c t i o n ，d i s t r i b u t e ds y s t e m ，j i n i 中国科学技术丈学硕士学位论文 致谢 首先，我要向我的导师奚宏生教授致以最真诚的感谢! 八年来，无论在举习 上还是生活上，奚老师耐心的教导和光微不至的关怀始终让我如冰春风。奚老师 不搜有广麟的翘识，还蠢 # 掌严谨的治掌态瘦，诲人不倦豹糖孝枣，是我涤深受麓， 也不仅教爵了我知识，熨教导了我许多做人为学瀚遴理。尤其怒在傲毕业论文麓 间，奚老师给予了我很多指导和意见，不厌其烦的帮助我审查和修改论文，让我 明白了如何抓住问题的癸点，如何拓袋自己的思维。我所取得的每一点进步都离 不瑟奚老黪熬指导蟊蘩驹，感爨瞧对羧戆鼓聚蠢髂任。 我要特别感谢孙忱，感谢她一直陪伴在我身边，在我进展顺利的时候与我共 享欢欣，在我遇到困难耐倍感沮丧韵时候替我分忧、给我鼓励，她是我精神上的 支撵。在我 鼗华翌论文约鼙重候，楚还蘩蘩我查我瓷麓，蘩我检套翻修改论文，我 的论文的完成是离不开她的帮助的。 衷心感澎我的父母和兄长! 我是他们的希望蹶程。他们对我的爱，永远怒我 生活嚣力纛：毡们霹我懿支持帮鼓聚，永运是我不鞭遂取酶动力。 感谢实验室的同学们，他们也给予了我很多的帮助。 巾商辩攀袋术丈学额 j 擎托论文 绪论 魃黄计算机和翘燎技术的飞遗发展，计算机巷统已缀从独立的主机发展到复 杂的、舞放式五联翡鼹络系统，为醚黄嚣络熹琵摸的幂龌扩大和躏络搜薅毒骢增多， 针对计嚣机主机和髑络系统的入靛已经成为一个严峻的问题。在计算机安全的发 展中，系统安全模型在逐步的实践中发生变化。由一开始的静态的系统安全模型 逐渐过渡到动态的安全模型。入馒检测作为一种积极主动地安奎防护技术，提供 了霹农部凌丧、， 帮攻击务 曩豫谗蟪实酵保护，在蘸络系统受嚣危害之前拦藏争 响应入饺。鼠网络安全立体缎深、多层次跨静的角瘦盎发，八经检测理应爱耍人 们的离缀重橇，这蚨辫盼入镁检测声品事场她蕊渤发展魏可以孝出；八经捡测被 认为是豁欠墙之后的第二遂安全黼门，在不影响网络挫能旗愤魄下能对网络进行 簋瓣，飘嚣疆嵇对内部攻击、夕 部攻击务误撩谗辑实跨撩护。 丧圈内，随着上阔的关键部门，关键业务越来越多，迫切需要具有自主知识 产权的入侵检测产品。但目前入侵检测还不够成熟，仍旧处于发展阶段。 霹前，i d s ( i n t r u s i o nd e t e c t i o ns y s t e m ，八校检测系统) 存在蛰蠡逶应性蔗、诿 鞭争漏扳溺题、捡澄 速度慢、可扩竞性蓑、五动性麓等缺点。霞诧，为了证t d s 系统能够真正酌得到使用，必须黠密静静i d s 系统的架萄傲密大翡璃整，使之稔 够适应鑫髓飞速发筑瓣计算机网络。 i d s 酶研究方向将是i d s 舔系结捷砖霹究，安奎逮信枫巷研究，入镁捡澳 援 拳霹究，响应篆略孝恢复的研究和协伟式八缦检测技术酌磺究等。t d s 将从管理、 嘲络结构、加密通道、防火墙、躺毒防护、入侵检测等多方位全面对所关注的网 络做出全面译估，然朦提出可行的全面解决方絮。 拳史箭对这垫趁势，捉窭了一葶孛萋5 - j i n i 技豢穗分毒式入矮捡涮系统，并且 给出了蕊于j i n i 的部分安现。本文中所设计的分布式自适应入侵检测及响庶系统 ( d a i d r s ) 具有准确穗、襄时憾、智能性、开被性、分布式协作、可靠穗和安 全性等特点。该系统能够交发纽觏，帮插即筠，崩溃恢复，可以稂好的漓徐部分 失藏酶影确，巽有毒庭鼹跨乎告髓力暇及盎婚鼹检磷瞧力等经雏。謇检测模块土， 采用动杰加载方式，在需要的时谈砖启动或孝在线下载争升级妆测程序，太大提 燕了系统妁检测效搴。在该系统的设计过程申述充分考虑到了将来i d s 的发展趋 势，融合了多秘最新的技术，使臻这个设计既馥颛又实用。 下蕊螽、露一下拳论交的结构： 第l 露介绍了网络安全和i d s 的发展过程以及当前的最新技术，筒时i 纛介绍 了i d s 的分类、优缺点、标准化、部署、测试以及发展方向。 集2 誊氽绍了j i n i 技术( 实统本文霹设诗的i d s 铱系结掏砖基疆) ，健斌j i n i 可以穰好的克黢耋薷 d s 的一璺缺点。 第3 章讨论在异秘环境中岛滚应分布式入侵检测系统螃搭建以及基于j i n i 矗 中国科学技术入学硕士学位论史 的部分实现，包括其体系结构、各个功能模块间的协同工作，以及系统实现申的 一些关键问题。本章的蚤点是研究如何设计i d s 的体系结构，使之能够适应目前 婚检测要求。 第4 审讨论了实王晃过程孛的一鎏荧键技末藏题，包括数强采集蓑略，基于 j a v a s p a c e 的分布式共享存储技术，通讯策略和安全性，另外还给出了几种检测 算法的设计和实现，最胎给出了负载均衡的设计，这一章特别提出了一种新型的 基于神经网络玉适应共振理论a r t 2 的分布式检测算法，以及基于j p c a p 的协议 分斩箕法及流程，大大加强了检测的速度争精度。 第5 露对总结了本文所设计的系统的性能，介绍了已经完成和正在研究的模 块，说明了在后续研究鼹完成的工作。 中国科学拽米火学硕士学位论文 第1 章入侵检测技术的概述 本章介姑了勰络安全和i d s 的发鼹过程以及墨蒋秘最新援拳，茂对还介龆了 i d s 的分类、优缺点、标准化、部罾、测试以及发展方向。 1 1 亏f 言 建蓑计葬橇蠡霹络技术懿飞速笈袋，耄卡翼瓤系统岂羟瓿疆立靛至提发展到复 杂静、开放式互联麓网络系统，两随藩瓣络援模的不凝扩大帮网络使蔫者酶增多， 针对计算机主机和网络系统的入侵已经成为一个严峻的问题。计算机操作系统和 网络通信披术的不断复融化，也导致了入侵方式的多样化，这就使得入侵检测的 难褒蹙大。诗葵惑爱瓣络系统涉及戮翟家翡致密、琴筝、文教等港多赣域，难受 会吸弓 来自世界各地的番稀人为攻击。计算枫犯罪案率的逐逮蹭糯，使各国鹩计 算机系统特别是网络系统面临着很大的威胁，并成为严重的社会问题之一。因此， 进行计算机系统安全方蕊钓研究是十分必要豹i i j 。 传缝瀚瓣终安全辊潮( 如舞炙墙) 无法嚣蕊针对大蔑搂露绦熬畜蜜绥酌攻毒 行为，也冤法防范内部人员进行的入缆或误操作。八十年代裙，a n d e r s o n 撮诲社f d d e n n i n g 的论文口】引发了入侵检测系统( i n t r u s i o n d e t e c t i o ns y s t e m ，简称i d s ) 懿疆究和开发。 入 受检溅系统发展至今胃隧分为遥个除段：基予主橇( h o s tb a s e d ) ，燕i d e s 衅 ； 基于多主机( m u l t i h o s tb a s e d ) ，如a i d 5 1 ：基于网络( n e t w o r kb a s e d ) ，如n s m 睁： 和分布式( d l s t r i b u t e d ) ，知d i d s 引。 丸疆稔溺( i n t r u s i o n d e t e c t i o n ) ；壤名愚殳，是对入 曼 亍为鼹捡瓣。它通过收 集帮分褥计簿棍丽络箴计算税系统中菪干关毽点瓣谊患，检查灏络或系统中燕否 存在违反囊全策略的行为和被攻击的避象j 。 1 2 入侵检测技术的分类 灭镘检溺( t n t r m s i o nd e t e c t i o n ) 跫透过对诗算嘏系统孛麴一些系统运行绩惑 耱系统中用户的一些行必信患进行分褥寒检测出对系统费入侵，入疆控溅技术露 以分为误用检测( m i s u s ed e t e c t i o n ) 年口异常检测( a n o m a l yd e t e c t i o n ) 两大濑a 误用枪测是基于已搜集到的关于入侵或攻击的知识来检测入侵。即首先利用 攀先掌握韵芙予基氯入橙或攻击麴知议，对蓦一静入爱或玫毒都建立一个或多个 6 中禹科学技术大学鞭士学位论史 模式( p a t t e r n ) ，即建立个模式库，利用它来和系统及用户行为作比较，如粜能 找到相匹配的模式，即认为是入侵或攻击。但是这类检测方法有一些共同的缺点； 对掰的入馒方法躐一些入侵方法的变异难以捡测出来； 捂入 壹矮动爰搂式寒描述j 鬻瓣难； 很难检测出内部用户的攻击或误用： 其性能和模式库的大小和体系结构有关。 异常检测是基于对一个正常状态下系统豹观察结栗来检察当翦状态对币鬻 状态豹镶离。通过分褫系统或瑗户静状态或行为与j ： ；：常行为或期蹩行为的稿麓来 检测入侵的方法称为异常检测方法。假是这类检测方法也有一终共同的缺点：误 报率( f a l s ep o s i t i v er a t e ) 和漏报率( f a l s en e g a t i v e sr a t e ) 都可能会比较高。在异常检测 方瑟，它豹谈爨率夔摄嘉臻大程度蘩羧予统计分耨方法懿逶一步渡遴。磊兹舅警 检测的主要问题就是误报率太高，在本系统内静解决方案就楚将异常检测和 h o n e y p o t 技术相结合，可以大大降低议报率。 另外，入侵检测技术还可以根据数据来源来进行分类，这样可以将入侵检测 技术分为鲡下足类j ： 主机入侵检测( h i d s ) 安装予被保护的主机中，主要分析主机内部活动。例如系统f j 志、系统调用、 文件完整性稔查。需要占粥一定的系绫资源 网络入侵检测( n l d s ) 安装在被保护的网段中，使用混杂模式监听，分析网段中所有的数据包，并 且做出实时检测和响应，它具有操作系统无关性，不会增加网络中主机的负载。 网络萤点入侵捡测( n n i d s ) 这荦牵系绞连称为s t a c k b a s e di d s ，它是安装在瓣络节点麓主税中，结合了 n i d s 和h i d s 的技术，适用于高速交换环境和加密数据。 本文搭建的系统主骚是采用n n i d s 的方式，这样可以检测离速和经过加密 翡鼹络。 在基于网络的入侵梭测中采用了蕊自主视的网络检溅，每一台主杌只检测发 向自己的数据包，这样就可以大大减少数据量。在个实际的入侵检测系统中， 应该把这毖检测技术综合锼用，这样才能对计算机主机或网络系统进行全面的检 溅。 1 ，3 入侵检测系统的必要憾和发展现状 入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击 靼误操作的实时保护，在网络系统受剿危害之前拦截和响应入侵。从网络安全立 钵鳜深、多溪次茨臻豹麓发窭发，入侵捡溺理应受剩入嚣l 戆毫黢鬟褪，这获潮辩 中国科学技术九学碳i 学位论义 入侵检测产品市场的蓬勃发展就可以辫出。i d s 可以弥补其他网络安全软件的不 足，例如防火墙。防火墙不能阻止通向站点的后门，一般不摁供对内网的保护， 黪交墙无法耢范数据驱动鍪的攻击，不戆疆止弱户从i n t o r n e t 土下簸不安全软馋， 瞧不麓陵止鼹户穗不安全较律藏在舔转溱辞中篱送i l 。j 。 i d s 发艘至u 现在尽管取得了巨大的进步，但愚目前的i d s 襻在着如下问题： 自髓应性差 嚣络上的数撂是薅麓鼹络盎臻豹变他磊薮交熊，嚣特征捡测是基子颈先寇义 静模式，这靛懑睬羞它不_ i 虿能穰据网络数裙豹交健寝适应绝謦改捡溺模式，觳魏， 对于现有攻击手段的简帮变种，特征捡测是无能为力的，更不用说新型的攻击技 术了。 误援器瀑援翔题 误报警怒入侵检测誉统亟待解决游阀蘧之一。出于事先定义的模式缀蕊精确 地划分正常行为和入侵行为之间的界限，因此入侵枪测系统的谈报率一直居简不 下，它使得安全管理员疲于应付，增擞了管理员的负担，并降低对真正报警的敬 慧度；露撵，将入霞嚣势露其荛委察嚣为戆嚣援繁愤嚣篷会严嚣影馥太囊蔽测系 统的可用性。 检测速度慢 嚣翦大多数i d s 产品的捡潮速度漫，不能捡测辫子1 0 0 m 以太斛( e t h e r n e t ) 懿速囊。戳诧，应爰在黼终a 曼兹实躐梭溅土静算法必须是镑莰，至少座熊蕊浆 目前一般的网络速度。并且入侵检测系统事后反应的本质决定了将入侵检测的延 迟最小化对于入侵检测繇统来说是至关重要的，而入侵检测延迟又取决于处理数 霪茨效率。随蓍臻络藏掰豹营爱，网络数据滚量念剃增麴，一个网站每天可糍会 产生上吾万条戆事 聿记滚，嚣对魏就瘴大的数据，入侵裣溅系绞颤俘毒效逸完成 数据审计阻便做出及时反应成为一个难题。 可扩充性差 驮实蕊髂焦痊看，检测磐弦还必矮荔子扩充，傻褥在耨豁玻意方法警魏潜， 麓够方便避速逑更新检测手段，检测到新豁或末豁形式静攻击。劳置，捡溺系统 的各个模块出应该具有定的可扩充性，能实现蕊统功能的扩充和系统的灵活醚 鼹。 互舔毪差。“ 在大型网络中，网络的不丽部分可能使展了雾释i d s ，甚歪还有防火瓣、漏 洞扫描等熟它类别的安全设备，这些i d s 之间以殿i d s 和其它安全组件之删， 妇舅交换信息，共网协 乍来发现攻毒，筹殂止攻击，是关系整个系统安全性的薰 要透素。 因此，为了让i d s 系统能够真正的得到使用，必须对当前的i d s 系统的架树做 出大的调撼，使之能够邋应当前飞遴发展的计算机网络。在建立入侵检测标准和 接蟊靛弱瓣，霹强弱蹋多点分撬和关联技末提高硷浏蕊精确度，筹到定出与葵宅 安全设备麓互动梳涮，将建个垒蘸憝、实爵静、动态戆安全系统。奉交援凄黪 中嗣科学技术太学硕士学位论奠： 一种新的i d s 的架构就是希望能够解决目前i d s 存在的一些问题。 。4 入侵检j 黉 | 的标准亿 为了应付有组织和大范围的网络攻击，入侵检测系统之间分攀信息和协同响 应豹轻力交得憨寒越重要。虽然透篓年入霞捡溺鼓零有了豢获逮鹣发震，毽怒稳 应的入侵检测标准化工作的进展则比较缓慢。目前有两个阑际组织分别是 c o m m o ni n t r u s i o nd e t e c t i o nf r a m e w o r k ( c i d f ) 和i n t e r n e te n g i n e e r i n gt a s kf o r c e ( 疆t f ) 下属的i n t r u s i o nd e t e c t i o nw o f k i n gg r o u p ( | d w g ) 弼在进行这一工僚， 并虽盘有了一定的进展，键是毪饲强调了入侵硷测的不同方嚣，努蘩觚各叁鹣凳 度进行标准化工作。不过，c i d f 的桥准已经过时。i d w g 主要负责制定入侵检 测晌应系统之问共享信息的数据格式和交换信息的方式，以及满足系统管理的需 要。i d w g 黔任务是，对手入侵捡测系统、响应系统葶霹它们需要交互豹管理系统 之间的共享倍患，定义数箍格式和交换程序。i d w g 提出酶建议肇案包括三部分 内容：入侵检测消息交换格式( i d m e f ) 、入侵检测交换协议( i d x p ) 以及隧道 模型( t u t m e lp r o f i l e ) 。i d m e f 描述了一种表示入侵检测系统输出消息的数据模 墅，荠虽熬黪了使趣这个模型魏基本鞭理。l d m e f 数据模型畈嚣淘对象豹形式 表示分析器发送给管理器的警报数锅。数据模型的设计目标是用稀明确的方式 提供了对警报的标准表示法，并描述简单警报和复杂警报之间的关系。该数据模 型用x m l ( 可扩展的标识语言) 实现。自动的入 璺检测系统能够使用i d m e f 据供筑蠹臻数瑟捂式，来对可疑事箨袭窭警掇。这耪标准疆式懿获震蒋镬褥在蓊 业、开放资源和研究系统之间实现协同工作的能力，同时允许使用者根据他们的 强点和弱点获得最佳的实现设备。实现i d m e f 最邋合的地方是入侵检测分析器 ( 或称为“探测器”) 和接收警报的管理器( 或称为“控制台”) 之间的数据信道i l “。 i d x p 巯一个嗣予入疆检测实嚣之闲交换数攒的应震屡秘议，蕤够实至羹 i d m e f 消息、非结构文本和二进制数据之间的交换，并提供面向连接协议之上 的双方认证、完整性和保密性等安全特征。i d x p 模型为建立逡按、传输数搬和 凝开连接。 d a r p a 提出的建议魑通用入侵稔溯框架( c i d f ) ，最早| 蠡撩翊大学戴维颓分 校安全实验容主持起草工作。c i d f 主要介绍了一种通用入侵说明语言( c i s l ) ， 用来表示系镜事件、分析结果和响应措施。为了把i d s 从逻辑二分为面向任务的 缍 孛，c i d f 试蚕趣范一静逶蠲熬语蠢穆式和绫羁方式以表示在缎 睾边器传遂豹 数据。c i d f 所傲的工作主要包括圈部分：i d s 的体系结梅、通信体制、擒述语 言和应用编程接口( a p i ) 。 c t d f 根据i d s 系统通用的需求以及现有的i d s 系统的结构，将i d s 系统的 鹅威分为五类缓 每：事 孛组舞、分援缝待、数援蓐经舞、确疲缝孛 窝嚣录缀务 中国科学技术大学硕士学位论文 组件。从功熊的角度，这种划分体现了入侵检测系统所必须具有的体系结构：数 据获取、数据管理、数据分析、行为响应，因此具有通用性。这些组件以g i d o ( 统一入 受捻测对象) 格式进行数据交换。g i d o 怒对事件进行编码的标准遘瑁 格式( 凄c i d f 撵述语富c i s l 定义) 。这量静缱 串只楚逻辑实体，一个缝 孛可能 是某台计算机上的一个谶程甚至线程，也可能是多个计算机上的多个进程。 虽然目前入侵检测技术还没有一个国际统一的标准，但是由于c i d f 和i d w g 主要强调了入疆捡翊的不丽方瑟，并黩还在很多方蕊j # 黉耀近，霹藏许多豹实际 入侵检测系统也都或多袋少建遵循这龋个标准，为了能实现各入後检测系统之闽 的协同工作，在本系统的设计和实现中，我们也尽量满足这两个标准。 1 5 入侵检测系统传感器的部署问题 h i d s 静铸感器不存在部署闻题，它魏安装在狻僳护豹主枫上，需要收集终 数据就仅限于被益控主褫盼信怠。n i d s 静传感器的部署会影响铡整个系统豹往 能，所以它的部署问题怒非常重要的。n i d s 的传感器的部署位鬣必须要看到所 有数据包，在不同的环境下传感器的位置是不样的。本节的分布式部署，仅仅 糖露感器熬粒鬈方案，秘“分毒式入缓捡测系统”中浆“分布式”粒意义是不一 样的，分布式入侵检测系统的范围更加广泛，它的“分布式”覆箍了传感器，检 测节点，数据共享和协作等等。它的部署环境主要有一下几种： 。5 。 共享媒贫瓣国 幽l ，1 共霉h u b 的n i d s 9 ) 在这章孛 齑猛下，采蔫的方式蟊鹜1 1 所示，i d s 佟感器只要滚辫h u b 彳壬俺 一生曼型兰垫娄杰雯堡主兰些堡塞 个端日就可以得到所有静数据包。不过，目前随蓿计算机网络技术的飞速发媵 使用这种方式的网络已缝越来越少了。 1 5 2 交换环境 在这种环境下的部署如下图所示，对数据包的捕获邋过端口镜像 ( s p a n m o n i t o r ) 寒实褒。交换秘匏孩，0 芯片上一般菇一个矮子溺试豹褒珏 事务是j i n i 使包古多个服务的计算到达一个“安全”状态的机制。这罩的意 思是，调用者可以得到保证，计算要么全部完成，臻么都没有邀行，无论哪种情 况，系统都副达一个确躲熬状态。j i n i 的事务模型可以消除分布式系统中部分失 效所带来豹恁害，觚焉繇决了部分失效瓣题，极大改善了服务匏健轻洼，壤黻务 对网络故障有更大弹性。 2 3j i n i 的工作机制 j i n i 技术的即捶即鼷的基础结构主要由三组执议组成：查找( l o o k u p ) 、发现 f d i s c o v e 嘲稻加入( j o i n ) 。套我疆务是分奄式j i n i 系统的基奉缝蔽部分，援 共了在 分布式j i n i 系统中服务的中央注册机制。在j i n i 系统中，程序找至服务的酋选方 法是通过齑找服务，而且查找服务也是提供给管理员和用户各种访问接口的基 础。强2 4 绘密了一个搜瑗了r m i 嬲j i n i 静工作模型，这是j i n i 鲍2 1 2 乍模型中 最为灵活的一； 孛，它也怒在设诗d a i d r s 中所弱到静模型。 中国科学技术人学碳士学位论文 图2 4 带有r m i 的j i n ii 。作模型 2 3 1 使用r m i 的j in i 的模型的工作原理 以一个时削服务的例子来说明这个模型。时间服务就是可以让客户 端通过调用g e t t i m e m i l l i s ( ) 方法，获得一个以毫秒表示的服务器端的当前 时阳j 与1 9 7 0 年1 月1 日零点的差值。 图2 4 中的“r m i 接口”定义了客户机与远程对象进行交互的协议， 比如下面的t i m e r e m o t e 接口： p u b l i ci n t e r f a c et i m e r e m o t ee x t e n d sr e m o t e p u b l i cl o n gg e t t i m e m i l l i s ( ) t h r o w sr e m o t e e x c e p t i o n ； ) 图2 4 中的“执行远程服务”就是一个实现了“r m i 接口”的类，该类用于 实际执行远程服务，它也可以拥有额外的函数，但只有远程接口中的函数才可以 为客户端取用，因为客户端只知道远程接口，而不知道其具体的实现类。l t f 2 h t 面的类t i m e r e m o t e i m p l ： p u b l i cc l a s st i m e r e m o t e i m p le x t e n d su n i c a s t r e m o t e o b j e c t i m p l e m e n t st i m e r e m o t e p u b l i cl o n gg e t t i m e m i l l i s ( ) t h r o w sr e m o t e e x c e p t i o n r e t u r ns y s t e m c u r r e n t t i m e m i l l i s 0 ； ) ) 一个简单的时间服务的“j i n i 服务接口”可以如下： ! 望型兰垫查点兰堡圭兰竺鎏苎 p u b l i ci n t e r f a c et i m e s e r v i c e p u b l i cl o n gg e t t i m e 0 ； ； 这个绶鞘定义淘协议蹩客户可以获嘏当蔫薅麓。实现这令接翻豹类要弱弱遗 程调用，这样爿能让计算在远程服务器上完成，而不是在本地主机上实现。这个 实现j i n i 服务接v i 的类就是“服务代理”： p u b l i cc l a s st i m e s e r v i c e p r o x yi m p l e m e n t st i m e s e r v i c e p r o t e c t e dt i m e r e m o t eb a c k e n d ； p u b l i ct i m e s e r v i c e p r o x y ( t i m e r e m o t eb a c k e n d ) t h i s b a c k e n d = b a c k e n d ； p u b l i cl o n gg e t t i m e o t r y r e t u r nb a c k e n d ，g e t t i m e m i l l i s 0 ； c a t c h ( r e m o t e e x c e p t i o ne ) e ，p r i n t s t a c k t r a c e ( ) ； r e t u m 一1 ； 我们从上面的代码中可以看到，在方法g e t t i m e 0 的实现当中，调用了邀程 服务器上的g e t t i m e m i l l i s 0 ，这就是j i n i 与r m i 棚结合的机制。 麓荦麴淡，匿2 4 豹模鳖捂述懿祝髑藏是： 服务器端启动服务，使用“发现”找到查找服务的位鼹，注册自己并将 自己的服务代理提交给查找服务。 查找黢务记录各个向自己注爨豹服务的属憾著镙存其服务代理。 客户端使滔“发现”与查找服务联系上磊，使用“奁投”通过鼹务藏餐 找到自己需要的服务，然后下载该服务的代理。 客户端调用服务代理上面的方法，服务代理执行远程调用，完成远程计 簦。 2 3 2 发现 个j i n i 实俸( 藏秀或应壤) 在饺耀其谴j i n i 驻务之蘸，必须先我蜀一个藏 多个j i n i 菇冈体，途径魑寻找跟踪该共同体中共享资源的查找服务。这个寻找可 用的查找服务的过程称为发现。这也遐d a i d r s 自发组织共用体的所用到的服 务。 中国科学技术人学硕士学位论义 发现协议不止一个， j i n i 支持多个发现协议，分别用于不同的环境下。 组播请求协议( m u l t i c a s tr e q u e s tp r o t o c 0 1 ) 当一个应用或服务越次被激活，需要寻找附蛾活跃的查找服务时使用此协 议。每个套找耀务都会簸辑将定酶缀撵建蛙( 缺键敬臻遣篷为2 2 4 。0 1 8 5 ，谣1 5 1 号为4 1 6 0 ) ，发现者使用组播请求协议时就会向这个地址发送请求消息，收到请 求消息的黄找服务将使用单播协议发送应答。不过f l | 于组播不能跨越网络，所以 使用组播谤浆游议只能发现冠一霹段内趵查找鼹务。 缀播遂告协议( m u l t i c a s t a r m o u n c e m e n tp r o t o c 0 1 ) 查找服务用此协议声明自己的存在，当已存在的群体中启动个新的查找服 务时，其他相关的参与糟都可通过组播通告协议被通知。 蕈攒发觋蛰议( u n i c a s td i s c o v e r yp r o t o c 0 1 ) 在一个应用或服务融经知道了袋迄接的特定囊拽服务隧，使精诧协议。荦接 协议用于赢接连向某连接服务，可能此服务并不在本地网络，只怒知道它的名称。 查找服务以j i n i 开头的u r l 格式来命名，作为协议的唯一标识( 如 ；i n i ：2 0 2 + 3 8 。7 3 。6 6 是豢运行予l p 趣蛙为2 0 2 3 8 。7 3 6 6 匏主觐土壤耀缺省璇嚣4 l 的查找服务) 。当需要在服务和查找雅务之间建立静态连接、或者服务与套拽服 务不在同一网段时，可以使用单播发现协议。 2 3 3 涟掰 j i n i 发现协议是j i n i 程序寻找j i n i 共同体的途径。一旦找到黎个共同体，j i n i 实俸裁会按照霸入凌议熬系列缎菠麴入裂浚共溺转中，荠在浚共弱 奉中公奄照 务，其途径觏是在查我躯务中注船鑫已。 可以把查找服务抽浆地想象为在维护一个“服务项目”列袭，每个服务项目 中包含一个服务i d 、一个服务代理对象和一组用予描述服务的属性，图2 5 显 示了一令镕霄3 令颈基豹查技羧务静缮橡： 图2 5 森找服务结构图 服务i d 是一令长这1 2 8 位骢标识麓，每个鞭务都有一个鹾一摭识巍己熬i d ，以送剃 一! 璺! ! 兰茎苎盔兰堡主兰堡整壅 子其他服务a 服务在第次运行时没有服务i d ，警它第一次潦到查找服务时， 查找服务就为它分配一个服务i d ，服务必须记住此i d ，以便将辩龟在所有的谢找 鼹务注怒黠郝使弼它。 服务藩缝 描述了必于服务的些详细信息，释户可以通过阅读服务属性来找到自已需 要的服务。 照努代理 驻务代理祷鼓客户下载，然后遥过撬嚣运覆潺雳来完残远程攮俸。 一个服务在查找服务中注册就媳在查找服务的服务项目列寝中增加一个表 埙，填入诚服务的i d 、属性以及代理。 2 3 4 裔找 奎我提供了寻找一个莛月蒋中已皴缀务熬功能。 主淤搜寻蔟努 j i n i 掇供了多种搜译的方法，可以根据每个服静项目中所觏含的可下裁代理 对象的类型进行搜寻，也可以根据服务的特有标识符( 如果知邋的话) ，或糟还 耳疆稷豢簿拿辍务瑗鑫中瞧喜弱嚣热送行蓑寻。 钛缆我服务请求攀件 通过搜寻可以查到哪些服务已经在个特定的谶找服务中注册，另外客户：i 丕 可以请求凌找服务在有新的服务出现时向自己发送事件。j i n i 鹰找服务可以产，生 事舞，这襻在查援骚务状态交纯嚣客户可接收到遴舞，嚣不必谤漓查我鼹务以轮 询它的变化。事件是客户感知查找勰务状态交亿游爨身匪有效静途径，蘸因是只耷 变化真币靛生时消息才被发送。 要求褒技服务向客户发送事件的过程称为请求( s o l i c i t i n g ) 搿件，j i n i 的霉 律请求功髓十分丰富，不仅在薪魏鼹务窭瑗霹客户可褥翼逶鲡，在已有魏服务遗 出或者服务上的属性寨发生变化时，客户都可以被通知。客户不只是请求套我服 务在这些变化发生时发遴事件，它们还可以说明希魍哪些变化出现时才被邋知。 2 3 5 远程事件 上一小节中提到了客户可以从蜜找服务请求零件，那里的碜件不同于本地成 鬻爨事释模墅，宅是远橙褰斧。 远程褰件之所以不同于本地事件，是因为在分奄式环境下设计的事终添统必 须考虑很彩因素，其中最重要的是； 秃序传送 本建攀 串发送瓠魏一般使薅集中敲陵魏，它将强爨事箨蔹攀行矮序发送；然 ! 璺! ! 堂垫鲞杰兰塑主兰些婆苎 而在分布式系统中，由于缺少集中事 牛管理器，加t 事件在网络上传输存在的问 题，很难做到保持顺序。 部分失败 羞在围一虚羧辊孛蠢菜缝成零分发送本缝事佟，一般霹认瓷只要事件发滋藏 将完成传送，任何使接收方停止工作的崩溃或失败几乎肯定也可以使发送方停止 工作，导致成用的全部失败；然而在远程环境中，发送方产生的攀件可能由于接 收方的失败霞不能完戒传送，也就鸯可能发生部分失败。 廷逐釉计算懿权鬻 在本地情况下，事件可被快速地产生、发出和传送：但在远程环境中，枣件 的传送包括序列化事件中的信息，将搴件发送到网络，然后在另端去除序列化。 宠袋这些任务辑零静时阏可能毙本地黪送大几个数鬟级。因此，遂程环境下誊 争 的发送通常爱跎本地情城下少许多，并最事俘将雹含尽可齄多的信患以使应爝在 处理事件时不需另外的网络往返行程。 因此，j i n i 的远程豢件模型也不同于普通的j a v a 事件模型，主要表现在以 下嚣令方瑟： 最主要，也是最容翁理解的差别在于，j i n i 中希望接收远程事件的对象所使 用的基本接口r e m o t e e v e n t l i s t e n e r 是个r m ir e m o t e 接口，遮意味着接口中的 唯一方法n o t i f y ( ) 可以幽另外地址空间中的对象邋过r m i 进行调用，并有可能 产生r e m o t e e x c e p t i o n 舅鬻。 其次，在酱通的j a v a 事件模型中，对所有事物的状态变化，龟括鼠标、键盘、 显示窗口的状态改变，都有许多专门的事件类，而且每种事件类型都有自己支持 懿接收器接口昶适配嚣类。可是j i n i 模型中的事件则十分“有限”，它只提供个 事件粪r e m o t e e v e n t ，所有摹望搂浚远程事 孛鹣对象氇只娶实王羹一个接嚣 r e m o t e e v e n t l i s t e n e r ，而且此接口中只有一个方法n o t i f y ( ) 。使用如此简单的事 件模型f 悬为了适应分柑式系统的复杂性，因为j i n i 方案的下层搴件结构不可能 遗蠲到可支持所有应弱鬻援的事件发送策略，酴 # 使翅一个庞大两笨重的方案。 j i n i 事件模懋给了霞户足够的灵活萑涞通过代管程序或在事 宰警道中热入瘦弼行 为来获得需要的控制性能。 2 3 。6 穰借 一个j i n i 系统要想长时间运行，希望几个月甚至几年都不出现中断时，可靠 瞧j # 誊重要。j i n i 中，对于绦迁实现共同诲的稳定瞧、壹修复黢力，以及面对网 络失败、穰器翁溃稻软件错误时静弹穆豹辊裁就燕穰借。 j i n i 秘借与现实生活中的租借十分相似，j i n i 租借可能被借出者所拒绝，租 约持有者可以续订。除非是续订，否则一段确定的时间之后租约就会到期；飘约 邈可以提藏敬滇。疆约可以通过谈判确定，不过褪缮提供方在提供租约的细节土 中霜科学拽术大学硕士学位谂_ 文= 拥有最后的发言权。 租借的蕊要作用表观为以下3 点： 提供了释救j i n i 中未_ 秘l 或不辫要的资源的办法。 一个骚务邋击嚣蕊瓣，不誊是有意静还是无意鳃，它耋琶不必渍理资添，其 租约最终会到期，有关腋务的记忆也被清除。 使局部的错误不会破坏整个艨统。 如果在瞧痔中忘记了管理租约，蠛耆程序错误健毯魏褥不剩续订，类似鼬不 胃靠程穿会使鑫己退出荚爨薅，对藜她部分不会造残损舞。j i n i 统一了程序镣误 ( 租约续订失败除外) 和网络错误、机器故障的处溅方式，资源的提供者所精到 的只是服务的租期已经过期，不可再用。 蕊攥j i n i 荚鞫然辫戚受嚣搜臻静固定存鼹警潮不需要缭护。 系绫蛰理虽永远不必再费蘩篼捡套睡志， 三 确定噼些骚务滔跃，哪塑照努嚣 活跃，哪螅服务在系统中遗留了很多废弃数据。一定时间以后，群体能够识别出 那些未使用的资源并释放它们，就像反病毒的系绒对付病毒一榉。 一一 曼璺型兰墼查查兰堡! ：兰堡笪壅 第3 章分布式入侵检测及晌应系统的设计与实琥 奉章讨论在并构环境中自适应分布式入侵检测系统的搭建以及基于j i n l 的部 分实现，包括其体系结梭、各个功能模琰闻的协霞王作，以及系统蜜瑗审的一些 美键溺题；本章砖重点是研究如何设甘i d s 髓捧系鳃构，健之能够逸应辩兹终捡 测要求。 3 。1 设计豳标 为了克服1 3 提到的入侵检测系统的缺点，提高整个系统的安全等级，通过 综合分析了一些实际的入侵检测系统的优缺点，并考虑到一个实际的入侵检测系 统应该具有的功能和特点，提出了下面的系统设计两标l l j ： 1 ) 能稔测出针对计算机及网络系统的入 羹、入侵企图、误操作等，并对这登 行为送行记录，供以后分析。供入侵检溺系统分析静分桥数兹( 鼯审诗溅 录) 为主祝信惫帮网络数撼，只鸯对整个系统的各嵇数据进行分板，名熊 得& 正确静捡溅结果；八授检测方法搜用误用检测和毋卷检测棚结合，这 殛零孛检测方法互为 充，撼裹检测系统的梭测精度及速度。 2 ) 能对检测出的针对计算机及网络系统的入侵、入侵企图、误操作等，及时 做出智能性的报警、响应及灾难恢复工作。能和其他i d s 系统交换信息及 协调工作，并且还能和路由器、防火墙、安全管理系统结合越来，共享信 息及功能模块。不仅能对检测出的针对计算枫及网络系统的入侵、入侵企 图、误操作，还能对入侵者的入 曼位鬻进行定位和追踪，这个功能是当_ | i f 的大多数其它入侵检测系统没有的。 3 ) 是个分布式的动态系统，在必要的条件下，检测节点可随时加入和退出。 为了提高系统的性能和反应速度，系统还具有动态负裁平衡能力，能自适 应地将计算任务分配到各个检测节点。本系统还舆有简单和灵活的配置方 法，和交互式操作界面，系统管理员可方便的介入，整个系统迸行配置和 管理，对入侵和误操作做出正确反应。所有检测络点炎要插入到t c p i p 网 络中，虢可良裔动发璃并俊需黼邋其经支持入侵检；妥l 豹节点提供静服务秘 向其他节点提供鼹务。各个节点可以矮蠲耀终土经每可用的炎源，载像患 接连到一熬或卷寇专f l 约程序控割了节点一撑。翅一个新节点添加