[發(fā)明專利]基于M/M/n/m混合制模型的DIDS理論建模方法

有效

• 申請?zhí)枺?/td>: 202011069578.4
• 申請日: 2020-09-30
• 公開（公告）號: CN112153073B
• 公開（公告）日: 2022-10-28
• 發(fā)明（設(shè)計）人: 趙旭;薛濤;江晉;李艷
• 申請（專利權(quán)）人: 西安工程大學
• 主分類號: H04L9/40
• 分類號: H04L9/40
• 代理公司: 西安弘理專利事務(wù)所 61214
• 代理人: 張皎

本發(fā)明公開了一種基于M/M/n/m混合制模型的DIDS理論建模方法，具體包括如下步驟：步驟1，對分布式入侵檢測系統(tǒng)進行模型分析和參數(shù)設(shè)定步驟2，對分布式入侵檢測系統(tǒng)進行狀態(tài)空間分析；步驟3，建立生滅過程；步驟4，確定分布式入侵檢測系統(tǒng)平衡狀態(tài)下的平穩(wěn)分布；步驟5，計算分布式入侵檢測系統(tǒng)中的相關(guān)技術(shù)指標。采用該方法建立模型有利于掌握系統(tǒng)在運行過程中諸如損失概率、檢測概率以及數(shù)據(jù)包在系統(tǒng)中平均逗留時間等必要參數(shù)，利于在此基礎(chǔ)上進行決策和優(yōu)化。

技術(shù)領(lǐng)域

本發(fā)明屬于信息安全技術(shù)領(lǐng)域，涉及一種基于M/M/n/m混合制模型的DIDS理論建模方法。

背景技術(shù)

分布式入侵檢測系統(tǒng)((Distributed Intrusion Detection System,DIDS)由調(diào)度器和多個檢測引擎組成，由調(diào)度器將捕獲的網(wǎng)絡(luò)流量分配給檢測引擎進行檢測。M/M/n/m混合制模型是排隊模型中的一種，表示能同時處理多個對象但是系統(tǒng)容量有限的一種模型。本發(fā)明通過M/M/n/m混合制模型對各檢測引擎處理能力相同的分布式入侵檢測系統(tǒng)建立數(shù)學模型，有利于掌握系統(tǒng)運行過程中的必要參數(shù)，利于在此基礎(chǔ)上進行決策和優(yōu)化。

發(fā)明內(nèi)容

本發(fā)明的目的是提供一種基于M/M/n/m混合制模型的(各檢測引擎處理能力相同的)DIDS理論建模方法，采用該方法建立模型有利于掌握系統(tǒng)在運行過程中諸如損失概率、檢測概率以及數(shù)據(jù)包在系統(tǒng)中平均逗留時間等必要參數(shù)，利于在此基礎(chǔ)上進行決策和優(yōu)化。

本發(fā)明所采用的技術(shù)方案是，基于M/M/n/m混合制模型的DIDS理論建模方法，具體包括如下步驟：

步驟1，對分布式入侵檢測系統(tǒng)進行模型分析和參數(shù)設(shè)定

步驟2，對分布式入侵檢測系統(tǒng)進行狀態(tài)空間分析；

步驟3，建立生滅過程；

步驟4，確定分布式入侵檢測系統(tǒng)平衡狀態(tài)下的平穩(wěn)分布；

步驟5，計算分布式入侵檢測系統(tǒng)中的相關(guān)技術(shù)指標。

本發(fā)明的特點還在于，

步驟1的具體過程為：

設(shè)分布式入侵檢測系統(tǒng)內(nèi)有n個檢測引擎，流量按泊松流到達分布式入侵檢測系統(tǒng)，單位時間內(nèi)數(shù)據(jù)包的平均到達數(shù)為λ；各檢測引擎獨立工作，檢測時間均為負指數(shù)分布，單位時間內(nèi)各檢測引擎的檢測能力相同，對數(shù)據(jù)包的檢測數(shù)都為μ；設(shè)定分布式入侵檢測系統(tǒng)的各個檢測引擎以及待檢隊列對數(shù)據(jù)包的容量總和為m，其中，m＞n＞1，如果有k個檢測引擎被占用，那么待檢隊列中就有能容納m-kμ個數(shù)據(jù)包的空間，新到的數(shù)據(jù)包將進入待檢隊列等待；若待檢隊列已滿，則新來到數(shù)據(jù)包將被丟棄，不進行模式匹配。

步驟2的具體過程為：

將分布式入侵檢測系統(tǒng)的狀態(tài)空間可定義為E＝{0,1,2,...,m}。對于狀態(tài)k，可分3種情況：

當0＜k＜nμ時，表示DIDS中已有k/μ個檢測引擎被占用，剩余n-k/μ個檢測引擎空閑，系統(tǒng)剩余容量為m-kμ，因為每個檢測引擎單位時間內(nèi)數(shù)據(jù)包的檢測數(shù)為μ，所以此時DIDS的總檢測數(shù)為kμ；

當nμ≤k≤m時，則表示所有的n個檢測引擎都被占用，新到的數(shù)據(jù)包需要在待檢隊列中等待，系統(tǒng)剩余容量為m-kμ，此時DIDS的總檢測數(shù)為nμ；

當k＞m時，表示所有檢測引擎都被占用，待檢隊列全滿，后續(xù)到達的數(shù)據(jù)包只能丟棄，系統(tǒng)剩余容量為0，此時DIDS的總檢測數(shù)為nμ。

步驟3的具體過程為：

當μ＝1時，即每個檢測引擎單位時間內(nèi)只處理1個數(shù)據(jù)包，對于狀態(tài)k，其中，0＜k＜n，如果有新到的處理任務(wù)，可以轉(zhuǎn)移到狀態(tài)k+1；如果狀態(tài)k完成當前一個處理任務(wù)，可以回到狀態(tài)k-1；那么從k轉(zhuǎn)移到k-1的轉(zhuǎn)移強度是kμ；