（计算机应用技术专业论文）基于移动agent的分布式入侵检测系统研究(1).pdf

基于咎动a r g e n t 的分布式入侵检蔫系绕研究 摘要 随着网络技术的迅速发展和广泛应用，网络安全问题交得越来越重要 加密技术和防火墙等传统的安全技术已经无法满足网络安全的需要，入侵检 测技术应运而生。入侵检测技术能够动态和实时的检测，并且具有响应功能。 入侵检测系统是脚r ( p o h c yp r o t e c t i o nd e t e c t i o nr e s p o n s e ) 动态安全 模型的一个重要组成部分。 本文将移动a g e n t 技术应用予入侵检测，在对入侵检测技术以及a g e n t 技术深入分析的基础上提出了一种基于移动a g e n t 的分布式入侵检测系统模 型- - d i d s b m a 。d i d s b m a 利用a g e n t 的自治性，协作性、移动性等特点，有效 的提高了入侵检测系统的可扩展性、检测速度以及检测的准确率。 d i d s b 舭的代理体系由数据收集代理、移动检测代理、状态检测代理组 成。代理之间即相互独立又相互协作。合作完成入侵检测的任务。代理体系 的引入。将基于主机的入侵检测和基于网络的入侵检测灵活的融为一体，形 成一个统一的入侵检测系统。 论文实现了d i d s b m 模型的部分具体功能，并对网卡的混杂模式进行了 介绍详细叙述了a g e n t 之间的协作并提出了一个新的协作实现模型一意 向模型。最后对本文进行了总结。 关键词：网络安全；移动a g e n t l 入侵检测 基于移动a v g c n t 的分布式入侵检测系统研究 a b s t r a c t w i t ht h er a p i dd e v e l o p m e n ta n da b r o a da p p l i c a t i o no fn e t w o r kt e c h n o l o g y , n e t w o r k s e c u r i t y b e c o m e sm o r ea n dm o r ei m p o r t a n t t r a d i t i o n a l s e c u r i t y t e c h n o l o g ys u c ha se n c r y p t i o na n df i r e w a l ld o e s n ts a t i s f yp r o p o s e d ，w h i c hi s d y n a m i ca n dr e a l - t i m ep r o c e s s i n g ，a n dh a sr e s p o n s ef u n c t i o n , i n t r u s i o nd e t e c t i o n s y s t e mi st h ep a r to fp o l i c yp r o t e c t i o nd e t e c t i o nr e s p o n s e d r ) s e c u r i t y m o d e l t h et h e s i sa p p l i e dt h em o b i l ea g e n tt e c h n o l o g yt ot h ef i e l do fi n t r u s i o n d e t e c t i o n b e i n gb a s e do nt h ei n - d e p t ha n a l y s i so fi n t r u s i o nd e t e c t i o ns y s t e m m o d e l d i d s b m a d i d s b m aa c h i e v e si n c l u d i n gf l e x i b i l i t y , h i g hs p 刚a n d a c c u r a c yb yu s i n gt h ea u t o n o m y , c o l l a b o r a t i o na n dm o t i o no f a g e n tt e c h n o l o g y t h ea g e n ts y s t e mo fd i d s b m ac o n s i s t so fm o b i l ed e t e c t i o na g e n t ，d a t a c o l l e c t i o na g e n ta n ds a t ed e t e c t i o na g e n t e v e r ya g e n tw o r k si n d e p e n d e n t l y a n d t o g e t h e r t o a c c o m p l i s hi n t r u s i o nd e t e c t i o n d u e t ot h e a g e n ts y s t e m d i d s b m ac o m e si n t ob e i n gau n i f o r mi n t r u s i o nd e t e c t i o n s y s t e mt h a ti s c o m p e t e n tf o rt h et a s ko f h o s t - b a s e da n dn e t w o r k b a s e di n t r u s i o nd e t e c t i o n t h ep o r t i o nf u n c t i o no f d i d s b m ai ss t a t e di nt h et h e s i s ，a n di n t r o d u c e dt h e m o t l e yo fn e t w o r kc a r d t h e np a r t i c u l a r l ys t a t e dt h ec o o p e r a t i o no fa g e n t s ，a n d b r i n gf o r w a r dan e wc o o p e r a t i o nm o d e l i n t e n tm o d e l l a s t l y , g e n e r a l i z e da l lt h e t h e s i s k e yw o r d s ：n e t w o r ks e c u r i t y ；m o b i l ea g e n t ：i n t r u s i o nd e t e c t i o n 第一章绪论 1 i 课题背景 近几年i n t e m e t 在世界和国内都得到了突飞猛进的发展。但是伴随着它 的飞速发展，信息的处理和传递完全突破了时间和地域的限制，网络化与全 球化成为不可抗拒的世界潮流。电子商务、公用网站、金融电子等新兴事物 的出现极大地改变了人们传统的生活和学习方式。随着社会化网络程度的增 加，开放式网络体系的一个潜在弊端，即安全性隐患日益明显地开始暴露出 来。计算机网络和信息资源已经成为犯罪分子和敌对势力的攻击目标。据统 计，在全球范围内，由于信息系统的脆弱性而导致的经济损失，每年达数亿 美元，并且逐年上升。据美国 ”) ； o u t p u t p r i n t ( ( ( i pp a c k e op a c k e t ) d s ti p g e th o s ta d d r e s s o ) ； 锝到数据包目的地址 o u t p u t p r i n t ( “n ； o u t p u t p r i n t ( ( ( t c pp a c k e t ) p a c k e t ) s r cp o r t ) ； ，得到源端口 o u t p u t p r i n t ( “： ) ； o u t p u t p r i n t ( ( ( t c pp a c k e t ) p a c k e t ) 凼l p o t o ； 得到目的端口 基于移动a g e a t 的分布式入侵检铡系统研究 o u t p u t p r i n t l l l ( i t c p t 麓 e l s ei f ( p a c k e ti n s t a n c eo f u d pp a c k e t ) 截获u d p 数据包 o u t p u t p r i n t ( n e wd a t e ( p a c k e t s 1 0 0 0 + p a c k e t u s c c 1 0 0 0 ) ) ； o u t p u t p r i n t ( i ”) ： o u t p u t p r i n t ( ( ( i pp a c k e t ) p a c k e t ) s r c _ i p g e th o s ta d d r e s s o ) ； ，得到数据包的源地址 o u t p u t p r i n t ( - ) ； o u t p u t p r i n t ( ( ( i pp a c k e t ) p a c k e t ) d s t _ i p g e th o s ta d d r c s s o ) ； ，得到数据包的目的地址 o u t p u t p r i n t ( i ) ； o u t p u t p r i n t ( ( ( u d pp a c k e t ) p a c k e t ) s r c _ l x m ) ； ，得到源端口 o u t p u t p r i n t ( “：， ) ； o u t p u t p r i n t ( ( ( u d pp a c k e t ) p a c k e t ) d s l p o r t ) ； 得到目的端口 o u t p u t p r i n t i nc i u d p i ”) ； e l s ei f ( p a c k e ti n s t a n c eo f l c m pp a c k e t ) 截获i c m p 数据包 o u t p u t p r i n t ( n e wd a t e ( p a c k e t s c c + 1 0 0 0 + p a c k v t u s c c 1 0 0 0 ) ) ； o u t p u t p r i n t ( “j ，) ； o u t p u t p r i n t ( ( ( i pp a c k e op a c k e t ) s r c _ i p g e th o s ta d d r e s s o ) ； 得到数据包源地址 o u t p u t p r i n t ( - ”) ； o u t p u t p r i n t ( ( ( 1 pp a c k e t ) p a c k e t ) d s t _ i p g e th o s ta d d r e s s 0 ) ； ，得到数据包的目的地址 o u t p u t p r i n t ( i ，) ； o u t p u t p r i n t ( ( ( i c m pp a c k e t ) p a c k e t ) s r c _ p o r t ) ； ，得到源端口 4 1 基于移动a g e n t 的分布式入侵检测系统研究 o u t p u t p r i n t ( “： ) ； o u t p u t p r i n t ( ( ( i c m pp p a c k e t ) p a c k e t ) d s t _ p o r t ) ； 得到目的端口 o u t p u t p r i l l t l l l ( i i c m p i ) ； ) c a t c h ( i o e x p t i o ne ) 5 1 3 测试结果 数据采集模块的测试主要是测试截获数据包时是否顺利准确，测试此 模块的环境由两台主机组成，一台作为攻击主机，一台作为主控主机，操作 系统是w i n x p ，c p u 是p 41 7 9 g h z ，网卡是1 0 0 m 以太网，内存是2 5 6 m 。 经过测试部分结果如下： 协议类型源地址源端口目的地址目的端口 数据数据内容 t c p2 1 9 2 1 8 3 0 1 3 88 01 9 2 1 6 8 0 52 8 6 7o t c p 2 1 9 2 1 8 3 0 1 3 98 01 9 2 1 6 8 o 52 8 6 7 o t c p2 1 9 2 1 8 3 0 1 3 78 0 1 9 2 1 6 8 o 52 8 6 65 6 8 t c p2 1 9 2 1 8 3 0 j s 68 0 1 9 2 1 6 8 0 52 8 6 75 6 8 h 兀甲，1 0 2 o k d a t e ：j a , 2 2 t c p 2 1 9 2 1 8 3 0 6 78 01 9 2 1 6 8 0 52 8 6 72 t c p 2 1 9 2 1 8 3 0 6 88 01 9 2 1 6 8 0 52 8 6 7 8 实验结果证明此模块能够准确的进行数据包的截获。 基于移动a g e n t 的分布式入侵检测系统研究 图5 3网络数据采集实现的流程图 基于移动a g e n t 的分布式入侵检舅系统研究 5 2 响应模块 响应是入侵检测系统必须的一部分，是检测a g e n t 检测结果，对外界环 境进行反馈的模块。在本模型中采用了被动响应和主动响应相结合的方法。 主动响应是指入侵检测系统发现异常行为或入侵的时候按预定的策略主动 采取有效的方式来保护所检测的资源；而被动响应则是指入侵检溺系统知识 报告和记录所发生的情况。 一种比较主动的响应是阻止正在进行的攻击，使得攻击者不能继续访 问。还有一种就是探测到攻击时发起对攻击者的反击。但这个方法并不安全。 反而很危险，会影响网络中其他的用户。主动响应比较便宜，而且简单，如 果小心使用，也是很方便的。 被动响应一般都是将入侵检测系统与路由器或防火墙结合起来，用这些 设备来实现系统的响应功能。 被动响应的过程： ( 1 ) 当检测a g e n t 发现可疑行为时，通过人机界面提醒管理员。并让 管理员作好日志记录，以备管理员日后查询，发现攻击行为。评价系统安全 策略设簧等。 ( 2 ) 根据预先设定的策略，只有在发现入侵的时候，响应模块可