[發明專利]基于排隊論的分布式入侵檢測系統成本優化方法

有效

• 申請號: 202011058276.7
• 申請日: 2020-09-30
• 公開（公告）號: CN112165492B
• 公開（公告）日: 2022-11-01
• 發明（設計）人: 趙旭;江晉;趙子江
• 申請（專利權）人: 西安工程大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 西安弘理專利事務所 61214
• 代理人: 張皎

1.基于排隊論的分布式入侵檢測系統成本優化方法，其特征在于：具體包括如下步驟：

步驟1，對分布式入侵檢測系統進行模型分析和參數設定；

所述步驟1的具體過程為：

設分布式入侵檢測系統內有n個檢測引擎，流量按泊松流到達分布式入侵檢測系統，單位時間內數據包的平均到達數為λ；各檢測引擎獨立工作，檢測時間均為負指數分布，單位時間內各檢測引擎的檢測能力相同，對數據包的檢測數都為μ；設定分布式入侵檢測系統的各個檢測引擎以及待檢隊列對數據包的容量總和為m，其中，m＞n＞1，如果有k個檢測引擎被占用，那么待檢隊列中就有能容納m-kμ個數據包的空間，新到的數據包將進入待檢隊列等待；若待檢隊列已滿，則新來到數據包將被丟棄，不進行模式匹配；

步驟2，對分布式入侵檢測系統進行狀態空間分析；

所述步驟2的具體過程為：

將分布式入侵檢測系統的狀態空間可定義為E＝{0,1,2,...,m}，對于狀態k，可分3種情況：

當0＜k＜nμ時，表示DIDS中已有k/μ個檢測引擎被占用，剩余n-k/μ個檢測引擎空閑，系統剩余容量為m-kμ，因為每個檢測引擎單位時間內數據包的檢測數為μ，所以此時DIDS的總檢測數為kμ；

當nμ≤k≤m時，則表示所有的n個檢測引擎都被占用，新到的數據包需要在待檢隊列中等待，系統剩余容量為m-kμ，此時DIDS的總檢測數為nμ；

當km時，表示所有檢測引擎都被占用，待檢隊列全滿，后續到達的數據包只能丟棄，系統剩余容量為0，此時DIDS的總檢測數為nμ；

步驟3，建立生滅過程；

所述步驟3的具體過程為：

當μ＝1時，即每個檢測引擎單位時間內只處理1個數據包，對于狀態k，其中，0＜k＜n，如果有新到的處理任務，可以轉移到狀態k+1；如果狀態k完成當前一個處理任務，可以回到狀態k-1；那么從k轉移到k-1的轉移強度是kμ；

設ρ_k＝λ/kμ為狀態k下DIDS的負荷強度，則ρ＝λ/nμ表示所有檢測引擎都被占用時的負荷強度，并且ρ₁＝λ/μ,ρ＝ρ₁/n；

當DIDS的運行到達平衡狀態后，對任一狀態，單位時間內進入和離開該狀態的平均次數應該相等；

步驟4，確定分布式入侵檢測系統平衡狀態下的平穩分布；

所述步驟4的具體過程為：

設p_k為當DIDS到達平衡后的狀態為k的概率，其中，k＝0,1,……,那么可得出DIDS平衡狀態下的平穩分布：

對狀態0，因為λp₀＝μp₁，所以p₁＝ρ₁p₀；

對狀態n，因為λp_n＝nμp_n+1，所以

對狀態m-1，因為λp_m-1＝nμp_m，所以

這樣可得出，對任何狀態k，

步驟5，計算分布式入侵檢測系統中的相關技術指標；

所述步驟5的具體過程為：

步驟5.1，計算損失概率與檢測概率，具體為：

損失概率即超過DIDS最大容量m的概率P_l，計算過程如下公式(2)所示：

檢測概率Q_d的計算公式為：

步驟5.2，基于步驟5.1所得結果計算單位時間內數據包的丟包數量和檢測的數量，具體為：

單位時間內數據包的丟包數量λ_l和檢測的數量λ_d的計算公式分別是：

λ_d＝λ(1-p_m)＝λQ_d (5)；

步驟5.3，根據步驟5.2所得結果計算被占用的檢測引擎個數L₀，具體為，采用如下公式(6)進行計算：

步驟5.4，根據步驟5.3所得結果計算等待隊列平均長度L_W和平均數據包到達數L_r；

L_r＝L_w+λ_d (8)；

步驟5.5，基于步驟5.4所得結果計算數據包在系統中平均逗留時間W_s和平均排隊等待時間W_q，具體計算過程如下：

步驟6，基于步驟5的計算結果進行運行成本分析及優化；

所述步驟6的具體過程為：

步驟6.1，基于步驟5所得結果計算系統整體的運行成本，具體為：

將模型的運行成本分為檢測成本和內存占用成本，分布式入侵檢測系統整體的運行成本計算方法為：設a為每個數據包在等待隊列的內存占用成本，b為每個數據包的檢測成本，那么分布式入侵檢測系統整體的運行成本計算方法如下式所示：

步驟6.2，基于步驟5所得結果計算被占用的檢測引擎的檢測成本，具體為：

設c為每個檢測引擎每單位時間內的檢測成本，被占用的檢測引擎的檢測成本計算方法如下式所示

步驟6.3，基于步驟5、步驟6.1和步驟6.2所得結果計算實現最低的運行成本的檢測引擎個數，具體為：

設d為每個數據包在分布式入侵檢測系統內滯留期間所造成的成本，得出，運行成本如下式所示

f(n)＝cn+dL_r (13)；

采用邊際分析法來求得最優設備數n^*，即n^*需要滿足

將公式L_r＝L_w+λ_d代入公式(11)后，有了下式

化簡可得

由于c、d都是常量，代入不同的n值，因此，只要c/d的值在(L_r(n^*)-L_r(n^*+1))和(L_r(n^*-1)-L_r(n^*))區間內就可以確定使運行成本最低的檢測引擎數量L_r；

所述步驟6.3計算運行成本最低的檢測引擎數量L_r的簡化過程為：

采用如下公式(17)計算L_r：

根據概率分布，可以得出：

將公式(18)代入公式(17)中，即得L_r。