一种校园网入侵检测系统模型的设计

维普资讯 http://www.cqvip.com 科技情报开发与经济　文章编号：１００５－６０３３（２００７）２４－０２３５—０３　ＳＣＩ－ＴＥＣＨ　ＩＮＦＯＲＭＡ￣ＯＮ　ＤＥＶＥＬＯＰＭＥＮＴ＆ＥＣＯＮＯＭＹ　２００７年第１７卷第２４期　收稿日期：２００７—０５—１０　种枝园网入侵检测系统模型的设计　术　一韩凌云，王再见　（安徽师范大学物电学院，安徽芜湖，２４１０００）　摘要：分析了入侵检测系统及其通用框架，提出了一个使用代理技术的分布式入侵　检测系统模型。　关键词：校园网；入侵检测系统；分布式模型　中图分类号：ＴＰ３９３．８　文献标识码：Ａ　大学校园网作为一个局域网，由于其面对的使用群体的特殊性（拥　全解决方案，能够给予网络极高的安全性，是一个非常全面的校园网整　有一定的网络知识、具有强烈的好奇心和求知欲、安全意识却相对淡　体安全解决方案。本文据此提出了一种使用代理技术的分布式人侵检测　薄），加上校园网相对企业网而言较粗放的安全管理体制和较开放的网　系统模型。　络使用环境，面临一系列的安全问题，如容易受到来自外部和内部的攻　击、病毒困扰、非授权访问等，还有很多学校存在多个分校区，它们之间　１入侵检测系统综述　的安全连接通信也是个问题。　顾国飞『ｌ　等提出一套完整的网络安全解决方案需要从物理安全、链　１．１入侵检测系统　路安全、网络级安全、信息安全、应用安全和用户安全等６个方面综合考　人侵检测就是通过对系统数据的分析，发现非授权的网络访问和攻　虑。物理安全主要防止物理通路的损坏、物理通路的窃听、对物理通路的　击行为，然后采取报警、切断人侵线路等对抗措施。为此目的而设计的系　攻击或干扰等。链路安全需要保证通过网络链路传送的数据不被窃听，　统称为人侵检测系统（ＩＤＳ）。一个简单的人侵检测系统一般使用三类信　主要对抗通信链路上的窃听、篡改、重放、流量分析等攻击。网络级的安　息：与检测人侵技术有关的长期信息（如攻击的知识库等）、与系统当前　全需要从网络架构、网络访问控制、漏洞扫盲、网络监控与人侵检测等多　工作状态有关的配置信息以及描述系统出现事件的审计信息『２］。根据获　方面加以保证。信息安全涉及信息传输安全、信息存储安全与信息审计　得原始数据的方法，人侵检测系统可以分为基于主机的人侵检测系统和　等问题。应用安全包括应用平台、应用程序的安全。用户安全考虑的是用　基于网络的人侵检测系统『３］。　户的合法性，主要是用户的身份认证和访问控制。该方案覆盖了从底层　基于主机的人侵检测系统位于目标系统中，用于保护关键应用的服　到高层，从静态被动防御到动态主动防御，从人侵事前、事中到事后，从　务器。这类系统可以精确地判断人侵事件，并可对人侵事件立即进行反　系统到桌面，从主机到网络的多方位防护，多层次、全方位、分布式的安　应。它还可针对不同操作系统的特点判断应用层的人侵事件。　基于网络的人侵检测系统使用原始网络包作为数据源，通常利用一　Ｓｕｂ＝Ｒｅｃｏｄ．Ｓｕｂｓｔｒｉｎｇ（Ｄａｔａ＿Ａｄｄｒ＋Ａｄｄｒｅｓｓ—ｔｅｓｔ。Ｌｅｎ）；　系型数据，为在Ｗｅｂ上使用关系型数据库的技术特性做进一步的处理　ｉｆ（Ｓｕｂ．ＩｎｄｅｘＯｆ（ｔｅｍｐ２）一１）　提供了可能，算法在本人开发的图书联合检索系统中得到较好的应用。　ｒｅｔｕｒｎ　Ｓｕｂ．Ｓｕｂｓｔｒｉｎｇ（０，Ｓｕｂ．Ｌｅｎｇｔｈ一１）：　ＳｕｂＭｂｒｌｎｄｅｘ＝Ｓｕｂ．ＩｎｄｅｘＯｆ（ＳｕｂＭｅｍｂｅｒ）＋ＳｕｂＭｅｍｂｅｒ．ｅＬｎｇｔｈ；　参考文献　ｂｏｏｌ　ＩｓＥｎｄ＝（Ｓｕｂ．ＩｎｄｅｘＯｆ（ｔｅｍｐ２，ＳｕｂＭｂｒＩｎｄｅｘ）＋２＝＝一１）：　［１］王继成．基于元数据与ｚ３９．５０的分布协作式Ｗｅｂ信息检索Ｉ－Ｊ］．软　ｉｆ（！ＩｓＥｎｄ）　件学报，２００１，１２（４）：６２０－６２７．　｛ＳｕｂＭｂｒｅＬｎ＝Ｓｕｂ．ＩｎｄｅｘＯｆ（ｔｅｍｐ２，ＳｕｂＭｂｒｌｎｄｅｘ）一ＳｕｂＭｂｒＩｎｄｅｘ；　［２］杨晓江．ＪＳＤａｔａＣｅｎｔｅｒ：基于Ｚ３９．５０的联机联合编目系统Ｉ－Ｊ］．情报学　Ｅｌｓｅ　报，２００４（４）：５９５—５９９．　ＳｕｂＭｂｒｅＬｎ＝Ｓｕｂ．ＩｎｄｅｘＯｆ（ｔｅｍｐ１，ＳｕｂＭｂｒｌｎｄｅｘ）一ＳｕｂＭｂｒｌｎｄｅｘ；　［３］Ｊｏｈｎ　Ｋａｕｆｍａｎ．Ｔｈｉｒｕ　Ｔｈａｎｇａｒａｔｈｉｎａｍ，ＡＳＰ．ＮＥＴ　２．０数据库人门经典　ｉｎｔ　Ｎｅｘｔｌｎｄｅｘ＝Ｓｕｂ．ＩｎｄｅｘＯｆ（ｔｅｍｐ２，ＳｕｂＭｂｒｌｎｄｅｘ＋１）：　［Ｍ］．４版．清华大学出版社，２００６：２２０－３７３．　ｉｆ（Ｎｅｘｔｌｎｄｅｘ＝一１）ｂｒｅａｋ；　［４］孙伟．Ｗｅｂ　Ｓｅｒｖｉｃｅ系统集成技术在图书联合检索中的应用［Ｊ］．连　ｅｌｓｅ　云港高等师范专科学校学报，２００６（９）：１０２—１０４．　ＳｕｂＭｂｒＤａｔａ＝Ｓｕｂ．Ｓｕｂｓｔｒｉｎｇ（ＳｕｂＭｂｒＩｎｄｅｘ，ＳｕｂＭｂｒＬｅｎ）；Ｉ｛　（责任编辑：戚米莎）　ｒｅｔｕｒｎ　ＳｕｂＭｂｒＤａｔａ；｝　３结语　大学薹　墓　墓　利用本文中提供的算法可方便快捷地将传统ＭＡＲＣ数据转换成关　苏省连云港市，２２２００６・　Ｔｈｅ　ＭＡＲＣ　Ｄａｔａ　Ｔｒａｎｓｌａｔｉｏｎ　Ａｌｇｏｒｉｔｈｍ　Ｂａｓｅｄ　ｏｎ　Ｗｅｂ　ＳＵＮＷｅｉ　ＡＢＳＴＲＡＣＴ：Ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｚｅｓ　ｔｈｅ　ｔｒａｄｉｔｉｏｎａｌ　ＭＡＲＣ　ｆｏｒｍａｔ，ａｎｄ　ｄｅｓｉｇｎｓ　ａ　ｔｒａｎｓｌａｔｉｏｎ　ｃｏｒｅ　ａｌｇｏｒｉｈｔｍ　ｆｒｏｍ　ＭＡＲＣ　ｔｏ　ｒｅｌａｔｉｏｎ　ｄａｔａ。　ＫＥＹ　ＷＯＲＤＳ：ＭＡＲＣ；ｒｅｌａｔｉｏｎ　ｄａｔａ；ｔｒａｎｓｌａｔｉｏｎ　ａｌｇｏｒｉｔｈｍ　２３５　维普资讯 http://www.cqvip.com 韩凌云，王再见一种校园网入侵检测系统模型的设计　个运行在随机模式下的网络适配器来实时监控并分析通过网络的所有　通信业务。一旦检测到了攻击行为，入侵检测系统的响应模块就提供多　种选项以通知、报警并对攻击采取相应的反应。　１．２入侵检测系统的结构及标准化　目前，对ＩＤＳ进行标准化的工作有两个组织：ＩＥＴＦ的入侵检测工作　组（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｗｏｒｋｉｎｇ　Ｇｒｏｕｐ，ＩＤＧＷ）和通用入侵检测架构工作　组ＣｏｍｍｏｎＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ　Ｆｒａｍｅｗｏｒｋ，ＣＩＤＦ），它们从各自的角度进　行标准化工作。　ＣＩＤＦ提出了一个通用的入侵检测系统框架，然后进行这个框架中　各个部件之间通信的协议和ＡＰＩ的标准化，以达到不同ＩＤＳ组件的通信　和管理。ＣＩＤＦ阐述的入侵检测系统的通用模型见图１。该入侵检测系统　分为４个组件：事件产生器、事件分析器、响应单元和事件数据库。组件　之间的交互数据称为ＧＩＤＯ（ｇｅｎｅｒａｌｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｏｂｊｅｃｔ）对象，被封　装到ＣＩＤＦ消息中进行传递。消息是用ＣＩＳＬ（Ｃｏｍｍｏｎ　Ｉｎｔｒｕｓｉｏｎ　Ｓｐｅｃｉｉｆｃａｔｉｏｎ　Ｌａｎｇｕａｇｅ，通用人侵描述语言）来描述的。　事件的存储　图１　ＣＩＤＦ的体系结构图　２入侵检测系统模型的设计　校园网中不仅有需要保护的内部网络，更有需要保护的重要应用服　务器，为此，校园网入侵检测系统必须采取基于主机的和基于网络相结　合的分布式入侵检测系统。本文在ＣＩＤＦ的基础上提出了一个采用代理　技术的分布式入侵检测系统模型。模型框图见图２。　∞数据流　——控制流　图２系统功能框图　该模型主要由控制台系统、响应系统、网络引擎、主机代理、数据存　储系统和ＣＡ认证系统组成。　网络引擎和主机代理属于ＣＩＤＦ中的事件产生器。网络引擎截获网络　中的原始数据包，并从其中寻找可能的入侵信息或其他敏感信息。主机代　理在所在主机以各种方法收集信息，包括分析日志、监视用户行为、分析系　统调用、分析该主机的网络通信等。但它们也具有数据分析功能，对于已知　的攻击，在这些部件中用模式匹配的方法来检测可以大大提高系统的处理　速度，也可以减少事件分析器的工作量及减少受网络传输的影响。　存储系统的作用是用来存储事件产生器捕获的原始数据、分析结果　等重要数据。储存的原始数据在对发现入侵者进行法律制裁时提供确凿　的证据。存储系统也是不同部件之间数据处理的共享数据库，为系统不　同部件提供各自感兴趣的数据。因此，存储系统应该提供灵活的数据维　护、处理和查询服务，同时也是一个安全的日志系统。　响应系统是对确认的入侵行为采取相应措施的子系统。响应包括消　２３６　本刊Ｅ－ｍａｉｌ：ｂｊｂ＠ｍａｉｌ．ｓｘｉｎｆｏ．ｎｅｔ　信息技术　极的措施，如给管理员发电子邮件、消息、传呼等；也可以采取保护性措　施，如切断入侵者的ＴＣＰ连接、修改路由器的访问控制策略等；还可以采　取主动的反击策略，如对攻击者进行如ＤＯＳ攻击等，但这种以毒攻毒的　方法在法律上是不许可的。　控制台是整个人侵检测系统与用户交互的界面。用户可以通过控制　台配置系统改变控制台的各个部件，也可通过控制台了解各部件的运行　情况。　ＣＡ认证系统负责整个入侵检测系统的安全通信及各模块的认证。　由于系统的各模块分散于校园网中各个不同的地方，为了保证系统自身　的安全性和完整性，它们之间的通信必须在一个安全的环境中进行。有　了专门的认证系统，就可以有效地防止仿冒和插入攻击。　系统中的各功能模块是具有特定功能的独立的应用程序、小型的系　统或是一个非独立的应用程序的功能模块。在部署时，这些模块可能各　自分布在校园网的各个不同的网点，也可以在同一台计算机上。一个典　型的部署见图３。　图３系统在校园网中的部署图　根据需要，在受保护的主机或服务器上分布有主机代理，网络代理　分布在受保护的网络中，根据网络范围大小设置一个或者多个网络代　理。因为网络代理能够检测到网络范围内的数据，所以它能够监测到涉　及多个主机的攻击。根据网络范围大小的区别，网络代理也可以组织出　层次结构，下一层的网络代理向上一层的网络代理上报。此外，主机代理　可以向多个网络代理上报，这样可以避免因为某个网络代理失效而影响　整个系统，提高可靠性。　每一个主机代理中有许多个检测代理，不同的检测代理用来监视本　机上的不同事件，在同一个主机上的所有检测代理把它们的检测结果上　报给一个主机代理。每一个主机有一个主机代理，用来检查在这个主机　上所有检测代理的运行情况，并能启动、停止和向检测代理发送命令，还　能对检测代理发来的数据进行精简处理。主机代理做出响应后，把它的　检测结果上报给一个或者多个网络代理。网络代理同时也侦听通过该网　段的报文，对信息进行综合分析，做出响应，并上报给ＩＤＳ中心服务器。　３模型的特点　（１）采用分布式思想，系统具有很好的伸缩性和灵活性，适用于校园网　网络变化频繁的环境。而且，由代理的特性可知，运行和停止某个代理时，　不必重新启动系统，如果我们需要检测一种新的入侵，只需要添加并启动　能检测到它的特定代理就可以了，真正实现了入侵检测系统的动态配置。　（２）校园网中存在多种计算机平台和设备，应用代理技术可以对它　们实现应用层互操作，而且，基于代理的入侵检测系统依靠代理问的协　作可以实现多点检测跨越基于主机和基于网络的入侵检测系统的边界，　代理的移动特性也为人侵检测提供了许多新的思路。　（３）代理可以较好地应用在异构环境下，代理分布在受保护信息系　统的各个主机或服务器上，不需要为人侵检测系统构建专用网络，充分　发挥分布式系统在平衡计算和增加系统整体处理能力上的优势。　（４）代理具有自治性，使得各个代理之间的依赖性很小，单个代理实　效并不影响系统的整体工作。　４结语　当前分布式入侵检测系统日益受到人们的重视，上述模型是结合代　理技术和分布式思想的一点探索。该模型有效地解决了当前入侵检测系统　维普资讯 http://www.cqvip.com 科技情报开发与经济　文章编号：１００５—６０３３（２００７）２４—０２３７—０３　ＳＣＩ—ＴＥＣＨ　ＩＮＦＯＲＭＡＴＩＯＮ　ＤＥｖＥＬ０ＰＭＥＮＴ＆ＥＣＯＮＯＭＹ　２００７年第１７卷第２４期　收稿日期：２００７—０５—１４　基于ＡＳＰ技术的馆际互借信息登记系统的实现　赵晓玲１，２　（１．武汉大学信息管理学院，湖北武汉，４３００７２；２．暨南大学图书馆，广东广州，５１０６３２）　摘要：针对广州石牌地区６校图书馆馆际互借过程中存在的某些问题，探讨了基于　ＡＳＰ技术的馆际互借信息登记系统的实现。　关键词：馆际互借；Ｂ／Ｓ结构；ＡＳＰ；信息登记系统　中图分类号：Ｇ２５０．７　文献标识码：Ａ　采用成熟开放的Ｏｒａｃｌｅ数据库系统，所有的数据全部保存在数据库中；　三是系统应具有一定的开放性、可扩展性、可移植性，要随着应用的增加　而随时拓展其功能；四是系统操作上应简洁、方便，易学易用，帮助文档　要完善、易懂，并随时可见；五是操作界面要友好，系统要易于维护。　２．２系统总体功能需求　１问题的提出　在协调采访、统筹规范、合理收藏、资源共建共享的文献资源建设方　针的指引下，馆际互借已经成为各图书馆实现文献保障、满足读者文献　信息需求的重要手段。以广州石牌地区华南理工大学、华南农业大学、华　南师范大学、暨南大学、广东职业技术师范学院、广东工业大学６所高校　图书馆为例。自１９９４年６月始就开展了馆际协作项目，并通过发放“通　用借书证”和“通用阅览证”的办法，实现了６校馆藏文献资源的共享，在　为教学和科研提供文献保障的同时，得到了６校师生的高度认可。据不　完全统计，至２００４年底，６校图书馆共发放“通用借书证”和“通用阅览　证”６　５００余个，馆际互借量达到２０　３９３人次，同时统计结果亦表明，６校　师生对馆际互借的需求呈现逐年增加的趋势。　然而这种馆际借阅量与其他地区或国家相比还远远不够，６校的资　源仍没有得到充分利用。究其原因，除各馆资源重复建设率较高、借阅证　发放范围较小等因素限制了馆际互借活动外，馆际互借手段原始则是一　系统总体功能需求见图１。　个重要因素。虽然在ＯＰＡＣ系统中能同时检索到６校图书馆的馆藏信　息，但由于图书馆自动化集成系统各不相同，亦没有一个通用的系统平　台进行馆际互借请求及登记，从而使得馆际互借过程中出现催还难、查　询难、统计难、分析难等诸多问题。基于上述问题，我馆在注重实用性、易　用性原则及充分分析系统功能需求的基础上，开发了一个简洁、易操作　的馆际互借信息登记系统。　２－３　系统详细功能需求分析　系统详细功能需求分析具体如下：　（１）系统分系统管理员、管理员、操作员三级用户管理，权限越来越　低，管理员只能管理本单位的操作员，操作员只能管理来本校借书的其　他５校读者，所用用户必须凭密码登录系统。　（２）管理员登录时，系统要提供增加操作员、查询操作员及统计历史　记录三项功能。　２系统需求分析描述　２．１　系统总体性能需求　（３）增加操作员时，输入相应的内容即能方便地添加操作员的信息，　包括：操作员账号、姓名、密码、学校、联系电话、Ｅ—ｍａｉｌ等。注意：本校管　理员只能增加本校的操作员。　系统总体性能应具备如下需求：一是系统应具有高度的安全性、可　靠性、稳定性、高效性，采用流行的Ｂ／Ｓ系统架构；二是数据应安全可靠，　存在的单点失效、难以实现系统的动态配置、系统自身的安全性不高等问　题。并在６层安全体系下，和防火墙、网络病毒防护工具等共同协作，提供　对内部攻击、外部攻击和误操作的实时防护，构建和谐的校园网络。　本文为安徽省教育厅自然科学基金项目（Ｎｏ．２００６ｋｊ０７７Ｂ）的阶段　性成果。　（４）查询操作员时，通过选择学校名称可查询本校的操作员信息，并　可修改或删除相应的内容，亦可查询其他学校的操作员信息，但不可作　［２］何明耘，戴冠中．分布式入侵检测体系结构研究［Ｊ］．计算机工程与　应用，２００１（１５）：５—８．　［３］蒋建春，马恒太，任党恩，等　网络安全入侵检测研究综述［Ｊ］－软件　学报，２０００（１１）：１６—２３．　（责任编辑：胡建平）　第一作者简介：韩凌云，女，１９８３年９月生，２００６年毕业于东北大学　参考文献　［１］顾国飞，沈建莉，王鹏，等．基于六层安全体系的校园网络整体安全　通信与信息系统专业（硕士），安徽师范大学物电学院，安徽省芜湖市，　２４１０００．　解决方案ｆ　Ｊ］－计算机工程，２００２（８）：２９４—２９９．　Ｔｈｅ　Ｄｅｓｉｇｎ　ｏｆ　ａ　Ｋｉｎｄ　ｏｆ　ｔｈｅ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ　Ｍｏｄｅｌ　ｏｆ　Ｃａｍｐｕｓ　Ｎｅｔｗｏｒｋ　ＨＡＮ　Ｌｉｎｇ－ｙｕｎ，ＷＡＮＧ　Ｚａｉ－ｊｉａｎ　ＡＢＳＴＲＡＣＴ：Ｔｈｉｓ　ｐａｐｅｒ　ａｎａｌｙｚｅｓ　ｔｈｅ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ａｎｄ　ｉｔｓ　ｇｅｎｅｒａｌ　ｆｒａｍｅｗｏｒｋ，ａｎｄ　ａｄｖａｎｃｅｓ　ｔｈｅ　ｄｉｓｔｒｉｂｕｔｅｄ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ｍｏｄｅｌ　ｂｙ　ｕｓｉｎｇ　ａｇｅｎｔ　ｔｅｃｈｎｏｌｏｇｙ．　ＫＥＹ　ＷＯＲＤＳ：ｃａｍｐｕｓ　ｎｅｔｗｏｒｋ；ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ；ｄｉｓｔｒｉｂｕｔｅｄ　ｍｏｄｅｌ　２３７