（计算机科学与技术专业论文）安全强审计模型研究.pdf

西北工业大学博士学位论文摘要 摘要 本文以国家8 6 3 高技术研究发展计划资助项目“集成化网络安全技术研 究”( 编号：2 0 0 3 从1 4 2 0 6 0 ) 中的“网络协同安全技术研究”和国家8 6 3 高技术 研究发展计划资助项目“黑客监控技术研究”( 编号：2 0 0 1 从1 4 2 1 0 0 ) 为背景开 展研究工作。 随着计算机网络的大规模发展，网络安全越来越受到人们的重视，而网络 安全审计则是网络安全技术研究的主要内容之一。本文通过对一系列模型的研 究，试图解决网络安全审计中的两个主要问题：安全事件的准确、及时发现及 确认；多代理模式的高效、协调组织。 论文的主要创新点包括： l 、提出全方位、分布式、多层次、智能化的安全强审计模型框架。通过全 方位的信息收集( 主机、网络) ，分布式的系统部署，多层次的信息处理，该模 型框架能最终实现智能化的安全事件发现及确认。并且针对分布式的系统运行 特点提出了基于蕊l 的标准化警告信息描述方案，在保持警告信息具有良好可 视化的同时，可以灵活地与各种安全审计软件实现对接。 2 、提出了基于图论的审计域规划模型。该模型建立在对网络拓扑的数学抽 象之上，使用图论中割点、块图等概念，通过计算可得到安全审计域的规划分 布及关键节点的分布情况，从而解决了安全强审计模型框架中审计节点的动态 部署问题，还可以对模型框架的运行状态起到一定的监控作用。 3 、提出了基于机器学习的系统调用序列审计模型。该模型建立在h 0 1 l a n d 分类器框架之上，通过对其规则演化算法的改进，实现了系统调用序列审计过 程的审计规则自主学习。并且在审计规则自主学习的基础上，实现了对未知类 型攻击自动识别的目的。 4 、提出了基于模糊逻辑的安全状态评估模型。由于模糊逻辑的优点：强鲁 棒性、类似自然语言的逻辑定义等。模型使用模糊逻辑建立了警报数据间的因 果关系，分析了警告数据间的相关性问题。模型在分析的基础上使用模糊理论 对系统的安全状态进行评价。 西北工业大学博士学位论文 摘要 5 、研究了基于对抗性分析的安全强审计协同机制及网络对抗中的代理群落 协同行为。提出了基于对抗性分析的安全强审计协同机制，该机制的研究目的 在于解决在网络对抗背景下代理间高效协调工作的问题。通过软件多代理模式 与生物学中生物群落的对比分析，提出了网络对抗中的代理群落协同行为研究， 尝试使用生物群落的研究方法对软件多代理模式进行了研究，希望可以发现一 种新的软件多代理模式研究方法。 以上成果已分别应用于“黑客监控系统”及“集成化网络安全技术研究”项 目，两个系统已分别通过国家8 6 3 专家组的验收。其中，“集成化网络安全技术 研究”被8 6 3 专家组验收为优秀，“黑客监控系统”被国防科工委鉴定为国际先 进国内领先。经陕西省财政厅、陕西省招生办等多家单位试用，取得较为满意 的效果。 “黑客监控系统”获陕西省2 0 0 4 年科技成果二等奖。 关键词：安全审计审计域机器学习模糊逻辑网络对抗代理协同 西北工业大学博士学位论文 a b s n a c t a b s t r a c t t 1 l i s p a p e ri ss u p p 叫e db yn a t i o n a lh i 曲t e c h i l o l o g yd e v e i 叩m e n t8 6 3 p r o 鲫no fc h i n a ，n o 2 0 0 3 a a l 4 2 0 6 0 锄d 2 0 0 1 a a l 4 2 1 0 0 ，a b o u tc o o p e r a t i v c n e h ，o r ks e c u r i 够 w i 也t h eh i 曲一s p e e dd e v e l 叩m e n to fn 出v o r kp e o p l er c a l k et l l ei i l l p o n a n c eo f n e t w o f ks e c l l r i t y ht h er e s c a r c ho fn 咖o r ks e c l l r i 移，a u d i ti s 山em a i np a r to fi t t l l i s p 印e ra t t c m p t st l l r o u g ha 辩r i e so fm o d e ls t i l d yt os o l v e 觚op r o b l 锄s ：d i s c 0 v e r i n g a n dc o n f o m 血培o fs e c 谢t ye v e m sa c c 岫l y ，l l i g h l ye 丘b c t i v ec o o p e r a t i o no f m i l l t i 楚口n s “ t h e “i a i l lw o r ka n di n n o v a l i o no f t l l er e s e a r c ha r es h o w na sf 1 0 1 l o w s 1 a 觑i m e w o r ka _ b o m 辩c l l r i t ys 仃1 ) n ga u d i ti sp r e s a i t e d t h i s e w o 矗c o l l e c t s t h ei n f o 彻a l i o n 枷d i r e c t i o n a lo l o s t ，n 咖o r k ) ，d e p l o i e st l l es y s t e md i s 仃i b u t i o i l a l ， p r 0 s s 髓位幽衄a t i o ni nm u l 蛀l e v e l ，锄df h l a l l yr ；e a l i z e s 恤m 1 1 e c t i l a l i z e d c u r i 够e v e n td i s c o v e r ya n dt h cc o n f i n i l a 虹帆t h ei n t n l s i o nd e t e c t i o ne v i d e n c e e x c l l 毒l n g cf o 彻a ti sp r e s e n t e dt oa 山锄c et 1 1 ee 斌e i l s i o no f 鼬e w o r k 2 a m o d e la b o u t a u d i td o m a i n b a s e d o n t h e t h e o r yo f 鲫l l s i s p f e s 锄t c d m o d c l c a no b t a i l lt h ea u d i td o m a i l la n d 也ee s s e m i a ln o d ed i s 砸b u t i o ns i t l l a t i o nt l l r o u g ht h e c o m p u 诅t i o n ，l v e dt h ed ”l 捌cd 印l o y m e n tp m b l e mo fa u d i tn o d ei i lt h es 缸d n g a u d i t 盘锄e w o r i 【，b u ta l s ow 勰a l l o w e dt op l a yt h ec e n a i nm o n i t 嘶n gr o l et om c 细m e w o r kn l n n i n gs 咖s 3 am o d e la b o u ts y s t 锄c a l la u d i m 培b a s e do nt l l em a c h i i l el 翩m i n gi sp r es e l l _ c e d 1 1 1 i sm o d e le s 乜i b l i s h m e ma b o v et l l eh o l l a i l d c l a s s i f i e s 触m e ，t h m u 曲t h e i m p r o v e m e mo fm l e e v o l u t i o na l g o r i t l l m ，h a sr e a l i z e dt l l es y s t 锄c a l ls e q u e n c e 锄d i t m l e s t i l d yi n d e p e n d e m l y b 鹤e do na u d i tm l e 蛐a d yi n d e p e n d 饥t l ym o d e lh 越f c a l i z e d t ot b e 幽o w n t y p ea t t a i c k 础m a t i cd i a g n o s i s 4 am o d e la t ，0 u ts c c u r ! i t ys 协t ce s t i i i l a t e db a s c do n 缸z 巧l o 舀ci sp i 它s e n t e d a sa r e 吼d to ff 也z ) ，1 0 百cm e r i t ：s 廿1 ) n gr o 吣，s i i i l i l 孤m l t l l r a ll 缸g i l a g el o 百c a ld e f i n i t i o n 锄d o 玑t h em o d e les t a _ b l i s h e sc 卸s a t i o nr e l a t i o n so fw 舭l i i l gd a t a ，a i l a l y z e st l l e r e l e v a mo fw a m i i l gd a t a 噜t h e nm o d e lc a r r yo nt h e 印p 翰i s a lf o rm es y s t e ms e c u r e s i a ：【c 5 r e s e a r c ha b o u ta u d j ts o n w a r ec o o 口e r a t i o nm e d h a i l i s mu n d e rn e l m 诎 m 西北工业大学博士学位论文 a h 啦r a c t c o u m e r w o r ka n da u d i ts o 厅w a r ec o o p e r a t i o ns c h e m e 谢t l l i na g e mc o m m l l i l i t ) rh a s c 硎e do n p r o p o s e ds e c u r i t ys 仃o n ga u d i tc o o r d i n a t i o nm e c 蜥s mb 鹤e do nt h e a n t a g o n i s ma | l a l y s i s ，t h i sm e c h a i l i s m sg o a ll i e si nt l l es o l u t i o nt 0a c tt h e1 1 i g i l l y e 丘t i v ec o o r d i n a t e dw o r kl l l l d e rt l l en o r kc o 岫t e r w o r kb a c k g m 衄d n o u 曲t l l e c o n n 砸ta 1 1 a l y s i sb c t w e e ns o f t 、 ，a r em u l t i a g e n t sp a n e ma i l dt 1 1 eb i o l o g yc o m m 咖j 吼 p r o p o s e d t l l ec o o r d i n a t i o nb e k r v i o rr e s e a r c ho f 枷l t i - a g e n t sc o m m i 】i l i t yi i lt 1 1 e c o l l i l t c 删o r kb a c k 伊o u n d ，t 1 1 er e s e a r c ht c c l l i l i q u ew 1 1 i c ht l l ea t t 锄p tu c 伽m l l f l i t y h 雒c o n d l l c t e dt 1 1 er e s e a r c ht ot h es o f c 、眦m l l l t i - a g e n t sp a t t e r i l ，h 叩e dt on e ww a yo f s o f i 、v a r em u l t i a g e n t sp a t t e mr e a r c h 1 1 l ea b o v ca c l l i e v e m e n t sh a v eb e e na p p l i e dr e s p e c t i v e l yi n “h a c k e rm o i l i t o 血g s y s t e i n ，a i l d n e 咖r kc o o 邮t i v es e c u r i 妒n l et 、v op r o j e c t sl l a v eb e e na p p r o v c d b y 8 6 3 e x p e n 掣唧s ，踟da p p l i e d i l lf i n a n c cd 印a m n e n to fs h 肋n x i 觚d e x 鲫妇i o n sd e p a m n e mo fs 1 1 咖x i ，谢协s a t i s f 砬t o r ) re 髓c 协 ”h a c k e rm o r d t o r i n gs y s t c m ”a t t a i n sm et e c h n i c a la c h i e v e m e ms e c o n dp 订z eo f s h 锄n x ip r o v i n c ei n2 0 0 4 k 码哪o r d s ：s e c u r i 够a u d i t ，a u d i td o m a i n ，m a c l l i n el e 锄i n g ，f u z 巧l o 百c ， n 咖o r kc o u n t a m o r k ，a g e n t ，c o o p e r a t i o n 西北工业大学 学位论文知识产权声明书 本人完全了解学校有关保护知识产权的规定，即：研究生在校攻读 学位期间论文工作韵知识产权单位属于西北工业大学。学校有权保留并 向国家有关部门或机构送交论文的复印件和电子版。本人允许论文被套 阅和借阅。学校可以：翳本学位论文的全部或部分内容编入有关数据库进 行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。 同时本人保证，毕业后结合学位论文研究课题再撰写的文章一律注明怍 者单位为西北工业大学。 保密论文待解密后适用本声明。 学盥论文作者签名： 矽磊 宴等镘 口月目 指导撕躲鳓 形年，护月日 西北工业大学 学位论文原创性声明 秉承学校严谨的学风和优良的科学道德，本人郑重声明：所呈交的 学位论文，是本人在导师的指导下进行研究工作所取得的成果。尽我所 知，除文中已经注明引用的内容和致谢的地方外，本论文不包含任何其 他个人或集体已经公开发表或撰写过的研究成果，不包含本人或他人已 申请学位或其它用途使用过的成果。对本文的研究做出重要贡献的个人 和集体，均己在文中以明确方式标明。 本入学位论文与资料若有不实，愿意承担一切相关的法律责任。 学位论文作者签名：窒兰丝 纠口年扫月f 目 西北工业大学博士学位论文 第一章绪论 第一章绪论 本章主要介绍本文的研究背景和意义，分析了国内外相关研究的现状，列举 了本文要解决的问题及取得的主要成果，最后给出了全文的内容组织结构。 1 1 论文研究背景及目的、意义 随着网络的不断发展，大量各种类型的攻击工具在网上随处可见。这些攻击 工具多具有较高程度的自动化攻击功能。基于这种现象，攻击者所必须要求具备 的技术水平越来越低，即使普通网民均可以使用高度自动化的攻击工具对某一目 标发起攻击。通过对各种类型攻击的研究、分析发现，一些类型的攻击对于系统 安全具有很大的威胁，如针对网络拓扑发动的攻击和针对软件缺陷的缓冲区溢出 攻击等。 网络拓扑攻击主要包括，阴c p 攻击【”、路由器攻击【2 】、d n s 攻击【3 】、a r p 欺骗 【4 】以及最近造成巨大损失的f i s h i n g 【5 】欺骗等。这些攻击的共性是针对现有的网 络拓扑结构，使正常的网络数据流向发生改变从而达到其攻击的目的。这一类攻 击具有两个特点：( 1 ) 很强的隐蔽性，因为它并不是直接攻击用户主机，所以只 有当用户的最终利益受到伤害时，才能够发现；( 2 ) 很大的危害性，因为数据流 的正常流向被改变，所以其中包含的信息将无法保证其独占性和隐密性。 缓冲区溢出攻击1 6 l 出现已经较长时间，但是由于至今为止并没有非常有效的 手段来阻止，所以这一类攻击行为没有因为时间的原因而减少，相反是因为网络 程序的越来越多样化而呈现上升的趋势。其中危害最大，造成损失最为严重的就 是近年来屡屡出现的各种蠕虫病毒。蠕虫病毒的攻击方式主要可以分为软件漏洞 利用、邮件传播和缓冲区溢出三类。前两种攻击方式通过软件人员的努力和时下 各种网络垃圾邮件防护程序的努力已经大大减少。但是对于第三类蠕虫病毒则屡 屡无法阻止其蔓延的趋势，如2 0 0 1 年7 月爆发的“红色代码”【”、2 0 0 3 年爆发 的“蠕虫王”【s 1 和“冲击波”【9 】等造成的直接经济损失可达数十亿美元【1 0 1 。而其 变种病毒现在依然在网络中四处肆虐。 西北工业大学博士学位论文 第一章绪论 由于网络攻击所显现出的复杂性、多样性特点，对网络安全提出了巨大的挑 战。而随着大量网络攻击工具被滥用，往往少量起作用的攻击行为被大量无效的 攻击数据所掩盖，只有有经验的网络安全专家凭借手工才能将其分离出来。为此 大量的时间被耗费在劳动强度较大的手工日志分析之中。 随着网络安全工具的发展，多代理体系已经渐渐的成为以后安全工具的发展 方向。随着多代理体系的出现，如何使多个代理协调、高效的工作，以及代理之 间的软件行为模式分析，将成为今后重要的研究方向。 针对以上这些现状，本文通过对安全强审计模型的研究，试图建立一个立体 交叉的安全审计模型框架。该模型框架通过各种作用不同的代理尽可能全面的收 集审计相关信息，各代理均带一定的审计功能。当多源审计结果汇总后，模型对 各代理返回的审计结果进行相关分析，并对当前网络安全态势做出评估。经过相 关分析可以得到具有较高准确性的安全事件分析结果，即便对于未知的攻击模式 或方法，也可以对其危害性做出初步的评估。通过对警告信息的标准化表示，可 以使模型框架纳入各种单源审计工具。这样，模型框架的灵活性和可扩展性就得 到了充分保障，使的模型框架的实用性大大提高，从而具有广泛的应用前景和推 广意义。 1 2 国内外研究现状 虽然目前各种网络安全工具层出不穷，国内外各种网络安全的研究也有很 多，但是大多只是传统意义上的安全审计而真正在强审计方面的研究成果则比较 少。 1 2 1 国外研究现状 目前国外有一些机构正进行着相关技术的研究。 美国哥伦比亚大学的i d s 项刚“】。该项目的主要内容是研究基于数据挖掘 的入侵检测技术，该研究通过事先搜集的大量系统信息来建立用户正常使用情况 下和入侵发生情况下的系统运行模式。然后通过这些已经建立好的运行模式对系 统进行实时的入侵检测。这个项目中还包含名为w b m i n a t o r 的检测传感器研究 项引1 2 】，和名为d n a d 的分布式的网络异常检测项卧1 3 1 。 2 西北工业大学博士学位论文 第一章绪论 美国p u r d 大学提出的基于a g e n t 的入侵检测原型a a f i d ( a u t o n o m o l l s a g e i l t sf o ri n n l l s i o nd e t e c t i o n ) 【1 4 1 。该项目有别于传统的单独入侵检测系统，而 是建立一个分布式多代理的入侵检测体系框架，它的主要优点在于其高可扩展 性、检测高效性、高错误容忍性等。该项目的现在已经进入第二个版本a a f i d 2 的研发阶段，a a f i d 2 将完全使用p e r l 5 来实现。所以a a f i d 2 将更加容易安装 和使用。 l i n u xh l t n l s i o n d e o e c t i o n s y s t c = m ( u d s ) 是一种基于内核的访问控制系纠”】， 是以内核补丁的形式发行的。它对所有用户实行强制性访问控制管理，即使是根 用户也只能在允许的范围内访问一些设备。由于它实施如此严厉的访问控制管 理，所以一些针对根用户权限的入侵行为将完全失去意义。它的版本现在已经发 行到了u d s 一2 2 1 。 p r c l u d eh 州d i o nd e t e c t i o ns y s t e m 口r e l u d e - i d s ) 是一种混合式的网络 入侵检测系统阍。它的核心在于使用了i d m e f ( i 曲1 l s i o nd e t e c t i m e s s a g e e x c h a n g ef o m i a t ) ，从而可以兼容多个现有的入侵检测系统，然后将其审计结果 汇总融合处理。该系统具有很大的可扩展性，但是由于其只是针对网络数据进行 审计，所以在一定程度上与现有网络入侵检测系统没有很大的差别。 从收集来的文献中发现，虽然国外一些相关研究中已经渐渐注意到了强审计 的一些特性。这些研究的注意力大都集中在对于原始数据的审计技术和多代理体 系结构中。但是截止论文收集的丑期，还没有十分出色的强审计研究成果被发表 出来。 1 2 2 国内研究现状 通过对各种中文文献的检索发现，国内的安全审计类研究主要集中在入侵检 测和入侵防御方面。这些研究大都使用数据挖掘【1 7 ，1 8 1 9 1 、神经网络f 2 0 2 1 2 2 1 、人 工免疫批2 5 】和数据融合瞵2 7 冽等方法对数据进行处理，采取多代理体系结构 使用分布式的运行模式。但是采集数据类型较为单一，只针对一种数据源进行审 计。其中很少见到强审计方面的研究成果。 由国内外的研究可以看出，安全强审计模型的研究具有一定的理论依据和创 新性。国内外均没有发现十分完整的理论体系和产品，因此本文的研究内容具有 西北工业大学博士学位论文第一章绪论 十分重要的理论意义。基于该模型框架的安全系统，对于加强网络安全，应对潜 在、未知的网络威胁具有极为重要的实际应用价值。 1 3 课题来源及研究内容 1 3 1 课题来源 本论文先后得到了国家8 6 3 课题“黑客监控系统( h a c k e rm o n i t 耐n gs y s t e m h m s ) ”( 编号：2 0 0 l a a l 4 2 1 0 0 ) 、国家8 6 3 课题“集成化网络安全技术研究”的子课 题“网络协同安全技术研究( n 咖o r kc o o 衄t i v es e c 面t y ，n c s ) ”( 编号： 2 0 0 3 a a l 4 2 0 6 0 ) 的支持。两个项目分别于2 0 0 3 年2 月2 2 日和2 0 0 5 年1 1 月2 4 日通过8 6 3 专家组验收。其中，“集成化网络安全技术研究”被8 6 3 专家组验收 为优秀，“黑客监控系统”于2 0 0 3 年1 0 月1 2 日顺利通过了由国防科工委组织的 成果鉴定，结论为国际先进国内领先，并获陕西省2 0 0 4 年科技成果二等奖。 1 3 2 研究内容 本文主要研究内容包括：安全强审计模型框架，审计域规划模型，系统调用 序列审计模型，安全状态评估模型，多代理安全协同机制研究。各部分关系如下 图所示： 图1 1 模型各部分关系图 1 安全强审计模型框架 现代意义上的安全强审计是指全方位、分布式、多层次、智能化的安全数据 4 西北工业大学博士学位论文 第一章绪论 审计。为防御当前主流及以后可能出现的网络攻击模式，本文提出了基于多代理 的安全强审计模型框架。该框架首先将被监视网络细化为多个关联较弱的审计区 域，被称为审计域。各种代理被分布在审计域中，全面的收集各种安全相关信息。 各种代理可以被灵活配置为对不同安全事件发出警告信息。各种代理提交的警告 信息经过多层次的处理，来达到对于网络安全事件的智能化识别和确认。本框架 中还包含了基于面向对象的标准化警告信息描述方案，它的作用在于保持了警告 信息具有良好可视化的同时，可以灵活的与现有安全审计类软件实现对接以保证 模型框架具有很好的扩展性。 2 审计域规划模型 网络中的数据流向依赖于网络的物理拓扑和软件配置拓扑，正常情况下网络 的拓扑结构不会发生变化。然而当网络拓扑由于攻击的原因产生某种改变时，人 们往往回忽视这一情况直至侵害行为的最终后果显现出来。此时网络中事先部署 的审计部件可能会因为拓扑结构的变化而部分的失去审计能力，从而导致严重的 后果。针对这种情况作为安全强审计模型框架的重要组成部分之一，文章提出了 审计域的规划模型，它提供了对框架中审计节点动态部署的数据支持。该模型以 实时的网络拓扑结构为输入，将整个被监控网络细化为若干个具有较弱关联的审 计区域，称之为审计域，并对域中的重要节点进行标示。审计域的规划不仅可以 对审计节点的部署起到很大的指导作用，还可以对网络拓扑的实时变化起到监控 作用。当攻击发生时，通过前后审计域的变化情况可以迅速的明确攻击者的目的， 并提供必要的保护措施。 3 系统调用序列审计模型 如果说一个人的活动可以用空间数据来描述的话，那么一个程序的“行为” 就可以用其产生的系统调用序列来描述。当溢出攻击发生时，被攻击程序的行为 就会因为攻击而产生“异动”。如果能够捕获到这种“异动”的话，那么溢出攻 击将会地受到限制，也就是在很大程度上限制了溢出类攻击型蠕虫病毒蔓延的途 径。文中提出的基于机器学习系统调用序列审计模型可以通过不断的“工作”以 积累经验，实现有效的区分程序行为序列中的“有害”部分。该模型在框架中作 为底层数据收集节点的一个部分存在，目的在于对当前主流攻击行为模式的检测 提供技术支持。 4 安全状态评估模型 西北工业大学博士学位论文第一章绪论 对网络系统安全状态的一个准确评估可以说是非常重要的，它是衡量网络是 否安全运行的一个重要参数。本文提出了基于模糊逻辑的安全状态评估模型。由 于模糊逻辑的很多优点，如很强的鲁棒性、类似自然语言的逻辑定义等，使得该 模型可以在很宽的论域上运行，而且具有配置方便灵活的特点。文中的安全状态 评估模型的作用不仅在于对安全状态的模糊化分析，其作用还在对于多源警告数 据的相关分析。该模型在框架中属于高层次的数据分析部分，目的在于对各种潜 在攻击行为分析及攻击可能性分析方法做出一些尝试。 5 多代理安全协同机制研究 当入侵检测系统展现出多代理的趋势时，各种攻击代理程序也一样出现在了 网络用户的眼前。今后的网络攻防不再是单个程序的较量，而是多代理攻击组织 和多代理防御组织之间的“战争”。文中对于基于对抗性分析的安全强审计协同 机制及网络对抗中的代理群落协同行为作出了一些研究。该部分涉及框架中的高 层次行为协调和底层通讯实现部分，主要目的在于解决在网络对抗背景下框架中 的代理间协调工作的问题。本文还通过对比分析引入生态学中生物群落的研究方 法，提出网络对抗中的代理群落协同行为研究，目的在于尝试使用生物群落的研 究方法对软件多代理模式进行了研究，试图可以发现一种新的软件多代理模式研 究方法。 1 4 主要创新点 论文的主要创新点包括： 1 提出全方位、分布式、多层次、智能化的安全强审计模型框架。该模型 框架通过全方位的信息收集( 主机、网络) ，分布式的系统部署，多层次的信息处 理，最终实现智能化的安全事件发现及确认。并且针对分布式的系统运行特点提 出基于) ( m l 的标准化警告信息描述方案，在保持警告信息具有良好可视化的同 时，且可以灵活的与各种安全审计软件实现对接。 2 提出基于图论的审计域规划模型。该模型建立在对网络拓扑的数学抽象 之上，使用图论中割点、块图等概念，通过计算得到安全审计域的规划分布及关 键节点分布情况，解决了安全强审计模型框架中审计节点的动态部署问题，还可 以对模型框架的运行状态起到一定的监控作用。 6 西北工业大学博士学位论文第一章绪论 3 提出基于机器学习的系统调用序列审计模型。该模型建立在h 0 1 1 a n d 分 类器框架之上，通过对其规则演化算法的改进，实现了系统调用序列审计过程的 审计规则自主学习。并且在审计规则自主学习的基础上实现了对未知类型攻击自 动识别的目的。 4 提出基于模糊逻辑的安全状态评估模型。由于模糊逻辑的优点：强的鲁 棒性、类似自然语言的逻辑定义等。模型使用模糊逻辑建立了警报数据问的因果 论关系，分析了警告数据间的相关性问题。模型在分析的基础上使用模糊理论对 系统的安全状态进行评价。 5 研究了基于对抗性分析的安全强审计协同机制及网络对抗中的代理群落 协同行为。提出基于对抗性分析的安全强审计协同机制，该机制的研究目的在于 解决在网络对抗背景下代理间高效协调工作的问题。通过软件多代理模式与生物 学中生物群落的对比分析，提出网络对抗中的代理群落协同行为研究，尝试使用 生物群落的研究方法对软件多代理模式进行了研究，希望可以发现一种新的软件 多代理模式研究方法。 1 5 论文结构与内容组织 基于以上所述研究内容，本文从结构上分为七章。 第一章对文章的各种研究相关内容进行了简要介绍。文中首先讨论了论文的 研究背景及目的意义，然后对国内外各种相关研究现状进行了分析，最后文章对 于研究的课题来源及研究内容、主要创新点等几个方面作以简要介绍。 第二章对总体模型框架进行了讨论。本中首先对模型框架内容进行了介绍， 并对框架的组成结构及各部分之间的工作关系进行了讨论。然后使用i n 讧i ，语言 对标准化警告信息描述方案i d e e f 进行了介绍。最后用若干例子对d e e f 的实 施进行了讨论。 第三章介绍了审计域规划模型。本章首先对强审计域规划模型研究的目的与 意义进行了简要介绍。然后文中对于模型中使用到的相关术语及理论进行了阐 述。最后文章介绍了审计域规划模型的主要内容并通过实例对模型的运行进行了 讨论。 第四章对系统调用序列审计模型进行了讨论。本章首先从系统调用序列审计 西北工业大学博士学位论文 第一章绪论 模型研究的目的与意义入手，然后对模型相关术语、理论及现有的序列分析技术 对比进行了阐明。最后文章对调用序列审计模型内容及模型中若干重要参数的取 值进行了讨论。 第五章讨论了安全状态评估模型。本章首先通过现有安全状态评估技术的对 比论述了安全状态评估的意义及困难。然后文中对模型相关术语及理论进行了阐 明。最后文章从安全状态评估模型内容以及模型验证等方面对该模型方法作以论 述。 第六章对安全协同机制研究进行了讨论。本章首先对机制研究的目的、意义 及研究中所使用的相关术语进行了说明。然后文中对安全强审计中协同机制的研 究内容进行了讨论。最后文章对网络对抗中的代理群落协同行为研究的内容进行 了介绍。 第七章对论文的主要研究工作和创新点进行总结，提出存在的不足以及进一 步的研究工作方向。 西北工业大学博士学位论文第二章安全强审计模型框架 第二章安全强审计模型框架 随着计算机安全技术的发展，网络攻击手段呈现出越发复杂的趋势。单一的 安全审计技术已经无法适应网络用户的需要，所以全方位、分布式、多层次、智 能化的安全数据审计已经成为网络安全的发展方向。 本文在对各种网络入侵模式及安全软件弱点分析的基础上，提出了安全强审 计模型框架。该框架通过审计域的划分将被监视网络细化为多个关联较弱的审计 区域，各种代理被分布在审计域中，全面地收集各种安全相关信息，并提交以供 综合审计。 本框架中还包含了基于面向对象的标准化警告信息描述方案，它的作用在于 保持了警告信息具有良好可视化的同时，可以灵活的与现有安全审计类软件实现 对接以保证模型框架具有很好的扩展性。 2 1 模型框架相关术语 为了叙述中不会产生歧义，首先对网络安全领域的部分术语和模型中的一些 概念进行定义。 网络安全领域的部分术语定义如下f 捌： 1 攻击试图绕过或突破计算机安全控制的行为。攻击者可能访问其无权访 问的数据。攻击成功与否取决于计算机系统的漏洞及已存在安全策略的有效性。 2 。攻击目标指攻击者实施攻击行为所针对的目标，可以是软件如操作系 统、应用软件等，也可以是某种机制如加密算法、安全协议等。 3 扫描通常是攻击行为的前奏，攻击者通过向攻击目标发送特定的数据， 通过对反馈数据的分析攻击者可以得到攻击目标的某些特征信息如系统类型、开 放端口甚至软件漏洞等。在这些信息的基础上攻击者可以对攻击目标发动非常有 针对性的攻击行为，以提高攻击的成功率。 4 入侵试图损害资源完整性、机密性、可用性的行动的集合。 模型中使用到的概念定义如下： 9 西北工业大学博士学位论文第二章安全强审计模型框架 1 审计域【3 0 】它是指审计单元所能覆盖网络拓扑的最小单元，模型的监控区 域为一系列审计域的组合，各个审计域之间具有边界。 2 状态评估使用模型收集到的安全相关信息来对受保护对象如网络、主机 等的安全运行情况进行衡量，通过衡量结果来得到攻击对受保护对象的影响程 度。系统管理人员可以参考衡量结果采取必要的手段来确保系统的正常运行。 3 验证机制模型对于从不同节点反馈的警告信息进行处理。通过对多源数 据进行相关性分析，以验证警告数据的可靠性。通过该机制管理人员可以迅速从 众多的警告信息中提取出可靠度较高的攻击警告信息，并作出应对。 4 协同机制模型对多种代理节点的管理方式，该机制对代理的归属、层次 和通讯等方面进行控制，以实现模型在分布式状态下有序、高效、安全的运行。 5 安全传输链路为保证模型所有代理的安全通讯，模型中各代理相互通讯 将使用的一系列安全通讯接口，增强模型中通讯部分的抗攻击性能。 6 信息收集指用来收集与安全相关信息的代理，该代理收集多种安全相关 信息如网络数据、用户登陆信息、关键文件完整性信息、软件的系统调用序列信 息等，代理对这些信息进行初步审计。 7 表示层指模型中标准化的警告描述方案，该方案以皿【3 1 】为表示载体 将信息收集中提交的警告信息进行标准化包装，通过该方案的包装可以使模型中 的警告信息保持可视化的同时，方便的与现有的审计工具实现连接，以增强模型 的可扩展性。 8 审计控制代理模型中的高层次控制代理，负责对信息收集提交的警告信 息进行二次处理，并对其分管区域的各审计区域进行安全状态评估。与其他审计 控制代理进行数据共享、低级代理管理等工作，实现大范围网络区域的无中心安 全监控。 9 信息收集代理信息收集软件与表示层的集合，被称为信息收集代理。当 信息收集软件为现有安全审计类工具如s n o n 【3 2 j 等时，需要有专有的表示层软件 来实现对其警告信息的包装和传输。 1 0 拓扑探测代理模型中的种特殊信息收集代理，它对网络的拓扑状态 进行实时检测，其结果将对审计区域的划分和检测拓扑攻击提供数据基础。 1 1 控制代理节点指运行审计控制代理的主机，该主机可以不具备显示能 力，管理人员可以通过模型提供的人机界面接口与其进行连接。 1 0 西北工业大学博士学位论文 第二章安全强审计模型框架 1 2 拓扑探测节点运行拓扑探测代理软件的主机。 1 3 信息收集节点运行信息收集代理软件的主机。 2 2 安全强审计模型体系结构 安全强审计模型体系结构由三个主要部分组成：信息收集部分，信息综合处 理部分，节点协同控制部分。信息收集部分的主要功能为全面收集各种审计和安 全相关信息( 如第四章系统调用序列审计模型) ，其具体单元包括各种基本审计节 点和拓扑探测节点。信息综合处理部分的主要功能为对收集到的各种信息进行多 层次的分析( 第五章安全状态评估模型) ，其具体单元为审计控制代理。节点协同 控制部分的主要功能是对各种节点的部署及相互关系进行管理( 第三章强审计域 规划模型、第六章安全协同机制研究) ，其具体单元为审计控制代理。 从具体的执行单元来讲，安全强审计模型是由审计控制代理、信息收集代理 和拓扑探测代理三种代理构成，其中信息收集代理和拓扑探测代理在一个区域中 可以有多个，以保证信息收集的全面性。模型的体系结构如2 1 图所示： ? 一1 ! 三：! ! ! i 竺j i ； j j ：j 图2 1 安全强审计模型体系结构 西北工业大学博士学位论文 第二章安全强审计模型框架 当信息收集代理对安全信息进行初步审计后，其警告信息经过表示层的包装 通过安全传输链路传送到审计控制代理的协同机制等候处理。审计控制代理将多 个信息收集代理提交的警告信息在验证机制中进行交叉验证得到各警告的可信 度，并依据可信程度对警告进行排列。此时管理人员可以通过人机界面接口对警 告的具体内容及其可信度进行查询。 当警告处理结束后，模型中的状态评估部分将根据审计域的划分和警告的可 信度，将警告信息重新分类并对各审计域的安全状态进行评估。对于安全度过低 的安全域模型将产生高优先级的警告信息对管理人员进行报告。管理人员可以在 任何时候通过人机界面接口对各审计域的安全状态进行查询。 管理人员在查询各种警告信息的同时，可以通过人机界面接口对模型的协同 机制部分进行配置。从而实行对下级各代理的分布进行控制。 模型的审计域规划部分可以定期向模型的协同机制部分发送拓扑探测请求， 协同机制部分将视具体情况定位拓扑探测代理的位置，并通过安全传输链路向其 发出探测请求。拓扑探测代理返回的数据和其网络位置数据由协同机制部分反馈 回审计域规划部分，由规划部分对某一区域的审计域进行重新规划，并将结果反 馈这一区域的审计控制代理，由其对规划结果与先前的结果进行对比。当发现审 计域发生变化时，首先产生警告信息传递给验证机制进行处理，同时协同机制部 分将根据变化情况与其他区域的审计控制代理协商某些信息收集代理的归属，以 确保审计工作的正常进行。模型的运行状况如图2 2 所示。 当模型的运行规模较小( 只有一个最高审计控制代理) 时，审计控制代理节点 可以被看作是审计控制的中心，此时模型可以被看作是有中心模式运行。当模型 运行在大规模网络中时，模型是以分布式无中心状态运行的。多个审计控制代理 通过协同机制协商信息收集代理的归属，以及运行时的通讯状态等信息。此时模 型将具有较高的错误容忍能力，既当少数审计控制代理失效时，协同机制可以灵 活的扩大某些为失效审计控制代理的管理区域。同时也可以通过人工干预的手段 来实现这一目的。 由于拓扑探测的相关成果比较多口3 删，所以本文中将不对该主题进行讨论。 审计域的规划、调用序列审计、状态评估和协同机制将在第三、四、五、六章中 进行阐述。本章的后面将对基于】( h i l 的审计信息描述机制进行讨论。 1 2 西北工业大学博士学位论文第二章安全强审计模型框架 图2 2 安全强审计模型分布式运行状况 2 3 基于) ( m l 的审计信息描述 由前面对模型总体框架的描述可以看出，模型框架一个很重要的特点就在于 审计数据的共享，所以在本节将对审计信息的描述机制进行讨论。 通过对国内外相关文献的研究发现，i d m e f ( t h ei n t r u s i o nd e t e c t i o n m e s s a g ee x c h a n g ef o r m t ) 【4 5 】以其所独具的特点为大家所信赖：( 1 ) 以面向对象 技术为基础，使得其具有很好的把握性；( 2 ) 它的信息交换格式定义与具体系统 无关，使得系统具有很好的扩展性：( 3 ) 其内容优良的扩充性，使得系统具有很 好的延展性；( 4 ) 使用) ( i l 作为其描述语言，使得信息具有很好的可读性。 对于传统的单源审计数据而言，i d m e f 所具有的以上种种优点已经能够很好 的满足要求，但对于多源相关数据它则显现出不足。因为模型框架不仅要处理单 个的审计警告信息，而且需要对已经确认的安全事件及其支持证据进行处理，所 以对i d m e f 进行有针对性的修改后，提出了i d e e f ( t h ei n t r u s i o nd e t e c t i o n 西北工业大学博士学位论文 第二章安全强审计模型框架 e v i d e n c ee x c h a n g ef o r m a t ) 以满足模型框架的需要。 2 3 1i d e e f 数据模型 2 3 1 1 总体数据模型 i d e e f 的总体数据模型如图2 3 所示。 图2 3i d e e f 数据模型 即一个i d e e f 描述可以由一个或多个警告描述和最多只能一个的安全事件 描述组成，当i d e e f 中没有安全事件描述时，i d e e f 则可以退化为标准的i d m e f 描述以方便和任何支持i d m e f 的审计单元相连接。在模型中将单个的审计警告信 息表示为：t h ei n t r u s i o nd e t e c t i o nm e s s a g e ( i d m ) 。下面将对i d e e f 中的各种 数据模型进行描述。 2 3 1 2 i i l 缸u s i o n t a g 数据模型 图2 4i n t r u s i o n t a g 数据模型 i n t r u s i o n t a g 类中有以下六个成员变量：a n a l y z e r 、c r e a t e t i m e 、 c l a s s i f i c a t i o n 、a s s e s s m e n t 、a d d i t i o n a l d a t a 和d i s c r i b e l a b e l 。这六个成员 变量对该安全事件从分析、时间、分