基于IDMEF和分类的报警聚合

如何聚合来自不同IDS的报警以减少重复报警是分布式IDS研究的重要问题。设计了一种入侵检测消息交换格式(IDMEF)报警消息格式规范,通过对IDMEF数据模型中的Alert类扩展而成,可统一描述不同IDS上报的报警信息。为有效聚合IDMEF报警,对基于分类和相似度的原始报警聚合算法进行了改进,并在Snort平台上实现了报警聚合模块原型和IDMEF报警生成模块原型。在DARPA99数据集上的实验结果证明了该方案的有效性。

基于IDMEF的大规模协同IDS架构

为了实现IDS系统的分布化、协同化和标准化,入侵检测消息交换格式(IDMEF)相关标准已被广泛地应用到IDS领域中。该文讨论了一种基于IDMEF标准的大规模协同IDS构架,对基于Prelude框架和开发包的IDS协同系统进行了分析、设计和实现,并研究了该架构在CERNET网络中的部署和应用方法。经初步应用证明,该系统可以基本满足需求,达到了IDS的分布化、协同化和标准化的要求。

混合型分布式入侵检测系统模型

在分析入侵检测研究现状的基础上,对分布式入侵检测系统广泛采用的基于组件和基于代理的两种分布式入侵检测模型进行了深入的研究。结合两种模型设计了一种基于网络入侵检测系统和基于主机入侵检测系统的混合型分布式入侵检测系统,并对系统各部分的功能、工作流程、消息格式、通信方法展开了讨论。最后给出了系统的部署方案以及实验过程。实验结果表明:该系统可以准确地检测出以上多种类型的攻击行为,并及时地采取相应措施,阻断攻击者的网络连接。

一种支持异构Sensor的分布式IDS的通信机制

提出了一种新的支持分布式入侵检测通信需求的通信机制。给出了通信机制的体系结构及其实现流程,提出了一种基于XML进行异构Sensor事件一致描述的方法,有效地解决了IDS之间数据共享的问题。针对IDS控制台和检测传感器之间安全数据交换的问题,提出了一种基于SSL和RSA算法相结合的安全通信解决方法。对本通信机制的性能进行了量化分析。

网络安全组件间协同响应机制研究

为解决由于组件间缺乏协同机制而无法充分发挥网络安全系统整体优势的问题,提出了一种基于策略的协同响应机制。基于策略驱动模型设计安全组件间的协同响应过程,通过对入侵检测消息交换格式(IDMEF)的扩展实现协同消息,采用块可扩展交换协议(BEEP)框架实现用于组件通信的入侵检测交换协议(IDXP),编程实现协同模块实施协同操作。运用该机制对网络安全组件的协同响应进行评估实验,获得各个阶段的时间开销。实验结果表明该机制能有效地实现网络安全组件的协同响应。

基于XML的网络安全信息描述

为了解决来自不同厂商的网络安全产品之间由于网络安全信息描述不一致而导致难以沟通和协作等问题，文章提出并设计了一套基于XML的网络安全信息描述机制，改善和解决了由于分布式网络安全设备相互孤立而产生的功能重复和安全盲点等问题。

分布式入侵检测系统安全通信机制研究

现有的IDS多采用集中统一收集和分析数据的体系结构,这种体系结构的入侵检测系统存在单点失效和可扩展性问题。论文在分析现有分布式入侵检测系统结构基础上,提出了一个基于任务分发机制的分布式入侵检测系统体系架构。同时为了保证各Agent通信的信息保密性和完整性,重点研究设计了基于XML的信息交换格式,并进而设计了一个基于PKI基础设施,ECC和DES对称、非对称加密技术的安全信息交互协议框架,可以有效地保证各Agent通信安全。

入侵检测中的报文交换

阐述了入侵检测中报文交换的产生背景与功能要求,探讨并分析了此领域中的相关技术与进展,包括通用入侵检测框架中的通用事件描述语言,以及IETF入侵检测工作组在这方面的工作:入侵检测报文交换格式(IDMEF)、入侵警报协议、入侵检测交换协议(IDXP).最后就报文交换方面的未来趋势作出预测.

分布式入侵检测系统的协作交互研究

组件之间的信息交互及协作分析是分布式入侵检测系统的关键问题 ,在基于层次化协作模型分布式入侵检测系统的基础上 ,分析了检测组件的信息交互需求 ,从静态分析的角度提出了扩展入侵检测消息交互格式 ,针对不同类型攻击行为的组件交互及协作流程 ,进行了动态的流程分析 ,为检测系统实现高效的入侵事件通报、审计数据收集、入侵事件协作检测和入侵行为分布式响应提供了标准的表述格式和流程定义 .

一种分布式入侵检测系统的通信机制设计

基于关联和代理的分布式入侵检测模型,提出了一种分布式入侵检测系统的通信机制设计方案。其中通信Agent间的消息交换格式参照IDMEF标准,给出其消息内容详细设计,并根据需求扩充了警报数据XML描述;汇聚点通信Agent中使用基于subscription通信模式减少了系统的通信开销,具体描述了subscription的逻辑结构实现;还在通信机制中采用SSL技术较好解决了数据传输的安全问题。

一种基于协同调度的入侵检测框架

分析了现有入侵检测系统的不足,讨论了协作的必要性,介绍了一种多主体协同入侵检测框架。本框架采用分布检测和集中处理的结构、通用的警报格式和安全通信协议,由控制中心的调度引擎对协同请求、关联数据收集、警报和新规则的分发进行统一的调度管理。经过测试和应用,能够很好地实现多主体间的信息共享,完成协同检测。

基于对等网的分布式入侵检测系统

分析了当前入侵检测分布化的特点,通过对等网原理的阐述、以及它和C/S模式之间差别的分析,同时为了实现入侵检测信息的共享,在各个分布式的入侵检测系统各独立的子系统之间进行了对等的网络连接,并在现有通用的入侵检测系统的框架的基础上提出了基于P2P协同的分布式入侵检测系统,从整个入侵系统框架角度,给出了分布式入侵检测系统各个组成模块的实现方法,尤其是对系统的数据通信模块进行了详细的阐述,并进行了功能分析。

基于扩展的消息交换格式的HCIDS研究

论文提出了层次化协作式IDS的体系结构和适应这种体系结构的扩展的入侵检测消息交换格式(EIDMEF),设计实现了入侵检测控制信息交换格式模块和控制器与控制器间消息交换格式模块。部署方案和性能分析表明层次化协作式IDS部署方便、实用性好,消除了中心控制器引起的瓶颈问题。