论文部分内容阅读
【摘 要】入侵检测系统最关心的两个技术指标是检测率和检测速度。检测系统内部安全组件之间的互动性对于检测率和检测速度也有很大的影响，出此考虑，本文提出基于CORBA的入侵检测技术。技术的多元性和系统的互动性，不但提高了检测率和检测速度，而且降低了误检率。
【关键词】分布式入侵检测；CORBA；联动技术
1、引言
入侵检测技术（Intrusion Detection Technology），在信息安全领域中得到了飞速的发展。由网络安全的“木桶理论”知，单一的安全产品是无法全面防御外界的攻击，同样单一的检测技术，也无法做到有效保护系统的安全性，只有采用多种检测技术，且多种技术相结合，取长补短，才能有效保证系统安全性。本文提出的基于CORBA技术的入侵检测系统（简称SCIDS），采用了分布式异常检测方式，采用CORBA代理服务技术设计内网入侵检测系统。该系统各成员安全检测系统分布式地独立工作，主机和IDS代理之间，及代理和边缘网络的IDS之间的数据库的异常规则互相学习更新，通过代理服务单元使多个安全检测组件有机结合，有效提高检测率和检测速度。
2、基于CORBA入侵检测设计思想
面对分布式网络攻击而提出的分布式入侵检测技术是今后入侵检测技术的发展方向。CORBA是由OMG（Object Management Group， 对象管理组）推出，旨在为计算机网络中互相通信的双方间提供互操作的功能。基于CORBA技术的入侵检测系统为主机和服务器提供了可视化的用户操作界面。系统结构如图2.1所示。客户端审计系统日志和监听数据，数据分析器根据规则数据库分析数据的安全性，并由响应控制器完成发生攻击时的响应措施，根据设计的时间控制器，定时地向服务器端发送汇总信息。服务端主机是CORBA代理服务中心。代理服务单元授权的数据采集器把采集到的数据分类加工后，经分析器分析，做出响应，当需要响应边缘网络IDS信息时，则把信息发送给外网IDS，并把用户安全信息显示在管理界面上，并且分析同时还具有代理服务单元的生成和注销。
图2.1 基于CORBA入侵检测系统结构
3、基于CORBA入侵检测关键技术
多元技术的融合，包括基于半监督主动学习方法和IDS技术的融合，网络IDS和防火墙技术的融合，CORBA代理服务器和网络IDS之间技术的融合。因此，多元融合技术是一个复杂的多方面的技术，此技术的检测互动性高。强多元融合技术的实现，才能使网络有较高的互动性，才能使网络中独立的安全检测部分紧紧相连。
IDS代理技术采用基于CORBA的分布式入侵检测系统（简称CSCIDS）模型设计的。信息汇总格式为：源主机地址+目的主机地址+协议+数据报类型+数据报长度+其它信息。由此CSCIDS服务中心掌握在线所有用户的信息。该体系统结构有CORBA 服务端（IDS代理）和CORBA 客户端两部分组成。
1）内网主机间通信 当主机A与B要建立通信时，A向服务器端注册通信，服务器为A开辟了代理服务单元，专门用来接听A发来的信息汇总数据。在通信中若客户端A的CORBA检测失效时，服务端时间控制器在规定时间内关掉为A开设的代理服务单元。当B仍不断收到A的数据时，代理服务端将收到来自B的信息来访者信息，并进行分析判断A是否为合法用户，启动响应控制器对A作出相应的反应。
2）内网外网主机间通信 当内网主机A要和外网某一主机 C通信时，数据包首先经过基于半监督主动学習方法设计的网络IDS，快速分析处理，如果数据正常，则通过，如果判断数据为入侵行为时，则启动联动控制台启动防火墙进行拦截控制。当发现包发送方为A有异常时，IDS代理就主动地和NIDS通信分析数据的安全性，通知NIDS预警A主机。当IDS不断收到A发送的被访问的反馈信息时发现了异常，则也会主动启动代理服务单元与NIDS联系分析判断A接收数据的安全性。
4、总结
基于半监督学习与CORBA技术相结合的入侵检测系统，实现了技术上的多元，是多种技术的融合，具有很强的安全设备间互动性。因此，正是其强互动性决定了其高网络的检测率，低误检率的优势。
参考文献：
[1] 潘秀琴等. 一种基于半监督主动学习的动态贝叶斯网络算法[M]，信息与控制，2007
[2] 尹清波. 基于机器学习的入侵检测方法研究[D].哈尔滨工程大学博士学位论文. 2007
[3] 阳 波. 分布式入侵检测系统的研究与设计[D]. 重庆大学硕士学位论文. 2007.4： 6-56.
[4] 马福强等 基于CORBA的分布式入侵检测模型的设计与实现[J]. 计算机工程与设计
【关键词】分布式入侵检测；CORBA；联动技术
1、引言
入侵检测技术（Intrusion Detection Technology），在信息安全领域中得到了飞速的发展。由网络安全的“木桶理论”知，单一的安全产品是无法全面防御外界的攻击，同样单一的检测技术，也无法做到有效保护系统的安全性，只有采用多种检测技术，且多种技术相结合，取长补短，才能有效保证系统安全性。本文提出的基于CORBA技术的入侵检测系统（简称SCIDS），采用了分布式异常检测方式，采用CORBA代理服务技术设计内网入侵检测系统。该系统各成员安全检测系统分布式地独立工作，主机和IDS代理之间，及代理和边缘网络的IDS之间的数据库的异常规则互相学习更新，通过代理服务单元使多个安全检测组件有机结合，有效提高检测率和检测速度。
2、基于CORBA入侵检测设计思想
面对分布式网络攻击而提出的分布式入侵检测技术是今后入侵检测技术的发展方向。CORBA是由OMG（Object Management Group， 对象管理组）推出，旨在为计算机网络中互相通信的双方间提供互操作的功能。基于CORBA技术的入侵检测系统为主机和服务器提供了可视化的用户操作界面。系统结构如图2.1所示。客户端审计系统日志和监听数据，数据分析器根据规则数据库分析数据的安全性，并由响应控制器完成发生攻击时的响应措施，根据设计的时间控制器，定时地向服务器端发送汇总信息。服务端主机是CORBA代理服务中心。代理服务单元授权的数据采集器把采集到的数据分类加工后，经分析器分析，做出响应，当需要响应边缘网络IDS信息时，则把信息发送给外网IDS，并把用户安全信息显示在管理界面上，并且分析同时还具有代理服务单元的生成和注销。
图2.1 基于CORBA入侵检测系统结构
3、基于CORBA入侵检测关键技术
多元技术的融合，包括基于半监督主动学习方法和IDS技术的融合，网络IDS和防火墙技术的融合，CORBA代理服务器和网络IDS之间技术的融合。因此，多元融合技术是一个复杂的多方面的技术，此技术的检测互动性高。强多元融合技术的实现，才能使网络有较高的互动性，才能使网络中独立的安全检测部分紧紧相连。
IDS代理技术采用基于CORBA的分布式入侵检测系统（简称CSCIDS）模型设计的。信息汇总格式为：源主机地址+目的主机地址+协议+数据报类型+数据报长度+其它信息。由此CSCIDS服务中心掌握在线所有用户的信息。该体系统结构有CORBA 服务端（IDS代理）和CORBA 客户端两部分组成。
1）内网主机间通信 当主机A与B要建立通信时，A向服务器端注册通信，服务器为A开辟了代理服务单元，专门用来接听A发来的信息汇总数据。在通信中若客户端A的CORBA检测失效时，服务端时间控制器在规定时间内关掉为A开设的代理服务单元。当B仍不断收到A的数据时，代理服务端将收到来自B的信息来访者信息，并进行分析判断A是否为合法用户，启动响应控制器对A作出相应的反应。
2）内网外网主机间通信 当内网主机A要和外网某一主机 C通信时，数据包首先经过基于半监督主动学習方法设计的网络IDS，快速分析处理，如果数据正常，则通过，如果判断数据为入侵行为时，则启动联动控制台启动防火墙进行拦截控制。当发现包发送方为A有异常时，IDS代理就主动地和NIDS通信分析数据的安全性，通知NIDS预警A主机。当IDS不断收到A发送的被访问的反馈信息时发现了异常，则也会主动启动代理服务单元与NIDS联系分析判断A接收数据的安全性。
4、总结
基于半监督学习与CORBA技术相结合的入侵检测系统，实现了技术上的多元，是多种技术的融合，具有很强的安全设备间互动性。因此，正是其强互动性决定了其高网络的检测率，低误检率的优势。
参考文献：
[1] 潘秀琴等. 一种基于半监督主动学习的动态贝叶斯网络算法[M]，信息与控制，2007
[2] 尹清波. 基于机器学习的入侵检测方法研究[D].哈尔滨工程大学博士学位论文. 2007
[3] 阳 波. 分布式入侵检测系统的研究与设计[D]. 重庆大学硕士学位论文. 2007.4： 6-56.
[4] 马福强等 基于CORBA的分布式入侵检测模型的设计与实现[J]. 计算机工程与设计