針對無線網(wǎng)絡(luò)的入侵檢測系統(tǒng)設(shè)計方法研究
隨著筆記本電腦、個人數(shù)字代理(PDA) 以及3G 通信等技術(shù)的發(fā)展, 人們使用信息技術(shù)進行通信聯(lián)系和交流的空間、靈活性得到不斷拓展。無線網(wǎng)絡(luò)尤其是3G 網(wǎng)絡(luò)成為技術(shù)發(fā)展和社會應(yīng)用的新寵。各種類型的移動數(shù)據(jù)終端以及多媒體終端得到廣泛應(yīng)用, 促使傳統(tǒng)網(wǎng)絡(luò)由有線向無線、由固定向移動、由單一業(yè)務(wù)向多媒體的發(fā)展。然而, 這種擴展給用戶帶來了更大的自由度的同時,也帶來了安全上的挑戰(zhàn)。由于無線信道的開放性和移動設(shè)備在存儲能力、計算能力和供電方面的局限性, 無線網(wǎng)絡(luò)面臨著更復(fù)雜的安全威脅和隱患。如何構(gòu)造一個安全可靠的無線局域網(wǎng)已經(jīng)成為一個迫切需要解決的問題。
1 IDS 基本原理
入侵檢測系統(tǒng)(IDS) 是一種主動保護自己免受攻擊的網(wǎng)絡(luò)安全系統(tǒng)。入侵檢測系統(tǒng)對網(wǎng)絡(luò)行為進行實時檢測, 可以記錄和阻止某些網(wǎng)絡(luò)行為, 被認為是防火墻之后的第二道安全閘門, 可與防火墻配合工作。
IDS 掃描當前網(wǎng)絡(luò)的活動, 監(jiān)視和記錄網(wǎng)絡(luò)的流量, 根據(jù)定義好的規(guī)則來過濾經(jīng)主機網(wǎng)卡的流量, 并提供實時報警。入侵檢測系統(tǒng)至少應(yīng)包括3 個功能模塊:
提供事件記錄流的信息源、發(fā)現(xiàn)入侵跡象的分析引擎和基于分析引擎的響應(yīng)部件。公共入侵檢測框架CIDF 闡述了一個入侵檢測系統(tǒng)的通用模型, 即入侵檢測系統(tǒng)的四個組件: 事件產(chǎn)生器、事件分析器、響應(yīng)單元和事件數(shù)據(jù)庫, 共通用模型如圖1 所示。CIDF 將需要分析的數(shù)據(jù)統(tǒng)稱為事件。
2 無線網(wǎng)絡(luò)入侵檢測系統(tǒng)架構(gòu)
2.1 入侵檢測體系結(jié)構(gòu)
目前比較成熟的入侵檢測方法是異常檢測和誤用檢測兩種類型。異常檢測是根據(jù)使用者的行為或資源使用狀況的正常程度來判斷是否入侵。異常檢測與系統(tǒng)相對無關(guān), 通用性較強, 其主要缺陷是誤檢率較高。誤用檢測有時也稱為特征分析或基于知識的檢測, 根據(jù)已定義的入侵模式, 判斷在實際的安全審計數(shù)據(jù)中是否出現(xiàn)這些入侵模式, 這種檢測準確度較高, 檢測結(jié)果有明確的參照性, 便于決策響應(yīng), 缺陷是無法檢測未知的攻擊類型。無線網(wǎng)絡(luò)的IDS 系統(tǒng), 必須考慮兩者的互補性結(jié)合使用, 如圖2 所示。
信息獲取和預(yù)處理層主要由主機探頭(HSeNSor) 和網(wǎng)絡(luò)探頭(NSensor) 組成。綜合分析決策層包含分析器(AnalysisSvr) 和數(shù)據(jù)庫(DB) , 在獲取數(shù)據(jù)進行預(yù)處理后,進一步詳細分析和最后的決策融合, 從而制訂響應(yīng)策略和方式。控制管理層則是進行人機交互、控制管理、報警融合以及態(tài)勢分析。
2.2 入侵單元檢測模型
為滿足無線網(wǎng)絡(luò)的需要, 入侵檢測與響應(yīng)系統(tǒng)應(yīng)采用分布式結(jié)構(gòu), 且協(xié)同工作。網(wǎng)絡(luò)中的每個節(jié)點都參與入侵檢測與響應(yīng), 每個節(jié)點檢測本地入侵, 鄰近節(jié)點進行協(xié)作檢測。在系統(tǒng)的每個節(jié)點都有獨立的入侵檢測單元, 每個單元能夠獨立運行, 監(jiān)測本地行為( 包括用戶和系統(tǒng)的行為、節(jié)點間的通信行為), 檢測來自本地的入侵, 并發(fā)起響應(yīng)。這些入侵檢測單元共同組成無線網(wǎng)絡(luò)的入侵檢測系統(tǒng), 如圖3 所示。
數(shù)據(jù)采集模塊采集實時審計數(shù)據(jù), 這些數(shù)據(jù)包含系統(tǒng)和用戶在節(jié)點內(nèi)部的操作行為、通過該節(jié)點的通信行為以及在通信范圍內(nèi)、通過該節(jié)點可觀察到的其他通信行為。協(xié)作檢測模塊的作用是傳送鄰近節(jié)點之間的入侵檢測狀態(tài)信息, 利用最近接收到的其他節(jié)點的狀態(tài)信息, 計算出本節(jié)點的入侵檢測狀態(tài)。協(xié)作檢測的步驟如圖4 所示。
2.3 分析器概念模型與系統(tǒng)部署
分析器概念模型如圖5 所示。首先獲取來自主機探頭和網(wǎng)絡(luò)探頭的數(shù)據(jù)信息, 然后采用特征檢測、異常檢測、統(tǒng)計分析、拒絕服務(wù)檢測等多種方法進行并行分析,把分析的結(jié)果采用特定的融合算法進行融合, 從而得出分析結(jié)果。分析結(jié)果一方面通知控制管理層, 另一方面通知響應(yīng)決策部分, 驅(qū)動響應(yīng)決策, 并進行物理定位。
IDS 系統(tǒng)部署時, 主機探頭安裝在客戶端操作系統(tǒng)上, 而網(wǎng)絡(luò)探頭則根據(jù)其地理環(huán)境情況適當布置, 分析機盡可能地放在用戶內(nèi)部網(wǎng)絡(luò), 降低分析機的風險, 系統(tǒng)應(yīng)該部署在電磁波干擾小的地方, 避免由于輻射信號不穩(wěn)定而帶來的影響。
3 無線網(wǎng)絡(luò)入侵檢測系統(tǒng)核心模塊實現(xiàn)
分布式入侵檢測系統(tǒng)分為3 個部件,(1) 探測器。對應(yīng)信息采集和預(yù)警層, 下設(shè)探頭和數(shù)據(jù)采集模塊;(2) 分析器對應(yīng)綜合分析決策層, 下設(shè)協(xié)議解碼模塊、預(yù)處理模塊和檢測分析模塊; ( 3 ) 控制管理器。對應(yīng)控制管理層, 下設(shè)規(guī)則解析模塊、日志模塊和響應(yīng)報警模塊。本文將重點介紹數(shù)據(jù)預(yù)處理、數(shù)據(jù)檢測與分析和規(guī)則解析三個模塊。
評論