[發(fā)明專(zhuān)利]一種基于相關(guān)性的層次型分布式入侵檢測(cè)系統(tǒng)

有效

• 申請(qǐng)?zhí)枺?/td>: 202110994634.3
• 申請(qǐng)日: 2021-08-27
• 公開(kāi)（公告）號(hào): CN113965339B
• 公開(kāi)（公告）日: 2022-10-04
• 發(fā)明（設(shè)計(jì)）人: 盛郁;白夢(mèng)瑩;趙文宇;于潼
• 申請(qǐng)（專(zhuān)利權(quán)）人: 天津七所精密機(jī)電技術(shù)有限公司
• 主分類(lèi)號(hào): H04L9/40
• 分類(lèi)號(hào): H04L9/40;H04L67/1001;H04L41/14
• 代理公司: 天津盛理知識(shí)產(chǎn)權(quán)代理有限公司 12209
• 代理人: 王利文

本發(fā)明涉及一種基于相關(guān)性的層次型分布式入侵檢測(cè)系統(tǒng)，其技術(shù)特點(diǎn)是：包括多個(gè)入侵檢測(cè)系統(tǒng)，每個(gè)入侵檢測(cè)系統(tǒng)均由檢測(cè)代理子系統(tǒng)、分布式協(xié)作子系統(tǒng)及IDXP通信協(xié)議模塊組成，檢測(cè)代理子系統(tǒng)與分布式協(xié)作子系統(tǒng)之間以及各個(gè)入侵檢測(cè)系統(tǒng)之間均通過(guò)IDXP通信協(xié)議模塊進(jìn)行入侵檢測(cè)信息的交互；所述布式協(xié)作子系統(tǒng)內(nèi)置有基于相關(guān)性的分布式協(xié)作模型。本發(fā)明設(shè)計(jì)合理，其采用基于代理間的相關(guān)性構(gòu)建協(xié)作模型，使用入侵檢測(cè)標(biāo)準(zhǔn)化中的IDXP通信協(xié)議，能夠有效對(duì)抗越來(lái)越復(fù)雜的攻擊手段，在保證系統(tǒng)檢測(cè)準(zhǔn)確率的同時(shí)，有效降低了系統(tǒng)分布式協(xié)作代價(jià)，具有容錯(cuò)能力強(qiáng)、系統(tǒng)易于擴(kuò)展且檢測(cè)范圍廣泛等特點(diǎn)。

技術(shù)領(lǐng)域

本發(fā)明屬于網(wǎng)絡(luò)通信領(lǐng)域，涉及網(wǎng)絡(luò)入侵檢測(cè)技術(shù)，尤其是一種基于相關(guān)性的層次型分布式入侵檢測(cè)系統(tǒng)。

背景技術(shù)

網(wǎng)絡(luò)入侵是指任何試圖破壞資源完整性、機(jī)密性和可用性的行為，包括用戶(hù)對(duì)系統(tǒng)資源的誤用等。隨著互聯(lián)網(wǎng)覆蓋范圍的擴(kuò)大，使用人數(shù)的快速增長(zhǎng)，網(wǎng)絡(luò)技術(shù)的不斷發(fā)展，對(duì)網(wǎng)絡(luò)的各類(lèi)攻擊與破壞也日趨嚴(yán)重，作為防火墻之后第二道防線(xiàn)，入侵檢測(cè)已成為現(xiàn)代網(wǎng)絡(luò)安全技術(shù)的重要組成部分。

目前，解決網(wǎng)絡(luò)安全問(wèn)題所釆用的方案一般包括防火墻、數(shù)據(jù)加密、認(rèn)證等，這些措施對(duì)于那些企圖通過(guò)正常途徑攻擊系統(tǒng)的行為，具有較好的防范作用，但對(duì)那些采用非常規(guī)手段或利用系統(tǒng)軟件的錯(cuò)誤或缺陷，甚至利用合法的身份進(jìn)行危害系統(tǒng)安全的行為卻顯得無(wú)能為力。因此，如何及時(shí)準(zhǔn)確地檢測(cè)入侵行為的技術(shù)，即入侵檢測(cè)技術(shù)，已經(jīng)是網(wǎng)絡(luò)安全中極為重要的一個(gè)課題。

隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大和入侵方式復(fù)雜性的增加，單一入侵檢測(cè)系統(tǒng)(IDS)很難有效抵御入侵攻擊。而不同廠商的間無(wú)法相互協(xié)作，導(dǎo)致大型的異構(gòu)網(wǎng)絡(luò)環(huán)境，不可避免存在安全漏洞。在高速網(wǎng)絡(luò)環(huán)境下，面對(duì)越來(lái)越復(fù)雜的攻擊手段，單個(gè)入侵檢測(cè)系統(tǒng)已經(jīng)很難勝任。

發(fā)明內(nèi)容

本發(fā)明的目的在于克服現(xiàn)有技術(shù)的不足，提供一種容錯(cuò)能力強(qiáng)、檢測(cè)范圍廣且能夠降低通信成本的基于相關(guān)性的層次型分布式入侵檢測(cè)系統(tǒng)。

本發(fā)明解決現(xiàn)有的技術(shù)問(wèn)題是采取以下技術(shù)方案實(shí)現(xiàn)的：

一種基于相關(guān)性的層次型分布式入侵檢測(cè)系統(tǒng)，包括多個(gè)入侵檢測(cè)系統(tǒng)，每個(gè)入侵檢測(cè)系統(tǒng)均由檢測(cè)代理子系統(tǒng)、分布式協(xié)作子系統(tǒng)及IDXP通信協(xié)議模塊組成，檢測(cè)代理子系統(tǒng)與分布式協(xié)作子系統(tǒng)之間以及各個(gè)入侵檢測(cè)系統(tǒng)之間均通過(guò)IDXP通信協(xié)議模塊進(jìn)行入侵檢測(cè)信息的交互；所述布式協(xié)作子系統(tǒng)內(nèi)置有基于相關(guān)性的分布式協(xié)作模型。

而且，所述檢測(cè)代理子系統(tǒng)包括傳感器模塊和分析者模塊；

傳感器模塊：用于在多種網(wǎng)絡(luò)環(huán)境下，收集網(wǎng)卡上的網(wǎng)絡(luò)數(shù)據(jù)包，為分析者提供數(shù)據(jù)來(lái)源；

分析者模塊：用于分析傳感器模塊發(fā)送過(guò)來(lái)的網(wǎng)絡(luò)數(shù)據(jù)包，生成檢測(cè)信息，并將檢測(cè)信息發(fā)送給分布式協(xié)作子系統(tǒng)。

而且，所述傳感器模塊還響應(yīng)負(fù)載均衡模塊的請(qǐng)求，幫助其他比較繁忙的入侵檢測(cè)系統(tǒng)檢測(cè)網(wǎng)絡(luò)數(shù)據(jù)包，或轉(zhuǎn)發(fā)一部分網(wǎng)絡(luò)數(shù)據(jù)包給其他較空閑的入侵檢測(cè)系統(tǒng)進(jìn)行協(xié)同檢測(cè)。

而且，所述分布式協(xié)作子系統(tǒng)包括分布式協(xié)作模塊、負(fù)載均衡模塊及數(shù)據(jù)融合模塊；

分布式協(xié)作模塊：用于根據(jù)實(shí)際場(chǎng)景初始化模型的各個(gè)參數(shù)，計(jì)算相關(guān)性矩陣，然后構(gòu)建一個(gè)基于相關(guān)性的分布式協(xié)作模型，同時(shí)處理成員的變更和信息的同步機(jī)制；

負(fù)載均衡模塊：用于獲取、更新當(dāng)前系統(tǒng)的負(fù)載情況，并且實(shí)現(xiàn)根據(jù)當(dāng)前檢測(cè)代理和整個(gè)系統(tǒng)負(fù)載信息，實(shí)施負(fù)載均衡；

數(shù)據(jù)融合模塊：用于對(duì)各個(gè)檢測(cè)代理子系統(tǒng)的檢測(cè)結(jié)果進(jìn)行二次檢測(cè)、分析，并生成最終的檢測(cè)結(jié)果。

而且，所述分布式協(xié)作模塊采用如下兩種方式方式進(jìn)行信息交互：一個(gè)是內(nèi)圈中完全分布式的信息交互，另一個(gè)是內(nèi)圈間中心節(jié)點(diǎn)間的信息交互。