基于虚拟蜜网的入侵检测系统的研究

论文摘要

当前计算机与网络应用被广泛普及,网络安全问题日益凸显,防火墙加杀毒软件等被动防御模式已经不能满足目前的网络安全需要。入侵检测系统是一种动态的防御系统[1],相比以往的安全技术手段它具有主动防御的优势。传统的入侵检测系统的四个关键问题是:如何降低漏报率和误报率、全面的收集信息、发现未知的入侵手段、确保系统自身的隐蔽性。本文通过对传统入侵检测系统应用功能的分析,针对系统隐蔽性、分布式蜜罐部署、数据控制、数据捕获、蜜罐管理、数据分析等核心需求,提出了一种基于虚拟蜜网的入侵检测系统。系统采用网桥和旁路侦听,使入侵检测系统对攻击者不可见;在数据控制方面采用IPtables、Snort、Raw Socket和分路器的反向数据注入,实现拦截、阻断向外攻击数据包;利用tcpdump和Sebek分别采集网络通讯数据和蜜罐主机系统日志,结合数据控制模块的拦截记录,实现数据捕获功能;采用VMware ESX Server虚拟机技术构造一个分布式部署的高交互蜜罐网络,降低漏、误报率并减少蜜罐恢复成本;使用数据抽取函数将采集到的日志聚合归纳,通过中央控制台的报表功能分析新的攻击手段。最后通过在某企业网络中的应用案例,验证了该方案的可行性与实用性。本文研究工作的成果和意义在于,本文设计的入侵检测系统具有很好的隐蔽性,支持在多个网段内分布式部署蜜罐从而加强了入侵信息收集完整度,大幅度降低误报率、漏报率,在提高蜜罐可控性的同时降低了蜜罐部署、恢复的成本。

论文目录

• 摘要
• ABSTRACT
• 符号说明
• 第一章 引言
• 1.1 背景及问题的提出
• 1.2 国内外研究现状
• 1.2.1 入侵检测分析方法
• 1.2.2 入侵检测主要产品
• 1.3 本文研究的目标及其内容
• 1.4 本文的组织结构及其章节编排
• 第二章 HONEYPOT 入侵检测系统
• 2.1 蜜罐的定义
• 2.2 蜜罐入侵检测模型
• 2.2.1 伪造服务
• 2.2.2 地址填充
• 2.2.3 第一代蜜网
• 2.2.4 第二代蜜网
• 2.2.5 集中式虚拟蜜网
• 2.2.6 蜜场与动态蜜罐
• 2.3 蜜罐网络部署模式
• 2.4 旁路侦听
• 2.5 网桥
• 2.6 分布式部署蜜罐的入侵检测系统模型
• 2.7 本章小结
• 第三章 虚拟蜜罐及其相关蜜网技术
• 3.1 虚拟蜜罐
• 3.1.1 虚拟机技术
• 3.1.2 VMWARE 网络连接工作模式
• 3.1.3 VMWARE ESX SERVER
• 3.2 防火墙
• 3.3 网络嗅探和网络防御
• 3.3.1 TCPDUMP
• 3.3.2 SNORT
• 3.4 系统日志采集
• 3.5 原始套接字
• 3.5.1 旁路阻断
• 3.5.2 DMZ 蜜罐系统日志转发
• 3.6 本章小结
• 第四章 基于虚拟蜜网的入侵检测系统功能模块设计
• 4.1 硬件及网络拓扑
• 4.2 数据控制
• 4.3 数据捕获
• 4.4 蜜罐管理
• 4.4.1 虚拟蜜罐的创建和部署
• 4.4.2 虚拟蜜罐的安全控制
• 4.5 数据分析处理
• 4.6 本章小结
• 第五章 基于虚拟蜜网的入侵检测系统实现与验证
• 5.1 系统软硬件需求
• 5.2 系统实现
• 5.3 系统集成的应用案例
• 5.4 本章小结
• 第六章 总结与展望
• 6.1 本文工作的回顾
• 6.2 成果及意义
• 6.3 存在的问题及进一步工作
• 参考文献
• 致谢
• 作者攻读学位期间发表的论文