CN101090334A - 一种解决入侵检测系统中海量报警的方法 - Google Patents

Abstract

本发明涉及网络入侵检测(NIDS)技术领域，具体涉及一种解决入侵检测系统中海量报警的方法。本发明要克服现有入侵检测系统存在的报警洪灾、误报率高和孤立报警的问题。本发明的方法分为两个阶段：(1)预处理阶段：将网卡设置为混杂模式，通过Libpcap进行循环抓包，Libpcap采用零拷贝技术把用户内存映射到内核中，抓取到的数据包通过链路层解码，协议层处理和流重组，进行规则匹配，产生一个告警事件，这个事件存储到一个hash链表中，使f(x)＝a[x]，用数组下表作索引以提高查找的效率。(2)统计阶段：根据链表的属性值，对产生的事件进行统计，即根据设定选项来决定是否报警。

Description

一种解决入侵检测系统中海量报警的方法

技术领域：

本发明涉及网络入侵检测(NIDS)技术领域，具体涉及一种解决入侵检测系统中海量报警的方法。

背景技术：

随着计算机网络技术的发展，网络安全问题已成为最令人关注的问题之一。入侵检测技术是动态网络安全技术的核心技术之一，它从网络系统中的若干关键点收集信息并对其进行分析，从中发现网络系统中是否有违反安全策略的行为和遭到袭击的迹象。在实际网络环境中，入侵检测系统常常遇到大量的报警信息，缺乏经验的管理员，难以从纷繁芜杂的报警中准确识别出真正的攻击，无法确定实际的攻击行为和来源。出现上述现象是因为目前的入侵检测系统存在报警洪灾、误报率高和孤立报警等问题，主要表现在以下几个方面：

(1)报警信息洪灾

在实际网络环境中，各种邮件病毒、网络广播、网络状态探测数据包众多，为了保证网络入侵事件记录的完整性，IDS会记录所有探测到的相关信息，往往会掩盖相对为数较少的真正发起攻击的报警信息。

(2)报警信息重复

IDS收集入侵信息时，会针对每一条信息进行记录，一次长时间的DoS攻击会引发检测器发送多个报警信息，这些报警信息具有同样的攻击方式、同样的源IP和目的IP。一方面会淹没其他攻击信息，使报警信息没有任何可读性，另一方面数据库有可能因为短时间记录大量信息而无法提供正常服务，最终可能导致日志数据库崩溃。

针对以上的问题，发明一种解决网络入侵检测系统海量报警的方法。

发明内容：

本发明要提供一种解决入侵检测系统中海量报警的方法，以克服现有入侵检测系统存在报警洪灾、误报率高和孤立报警的问题。

本发明基于统计的思想，提出一种解决入侵检测系统中海量报警的方法。主要分为两个阶段：预处理阶段和统计阶段。

第一阶段：预处理阶段：

将网卡设置为混杂模式，通过Libpcap进行循环抓包，Libpcap采用零拷贝技术把用户内存映射到内核中，抓取到的数据包通过链路层解码，协议层处理和流重组，进行规则匹配，产生一个告警事件，这个事件存储到一个hash链表中，使f(x)＝a[x]，用数组下表作索引以提高查找的效率。

第二阶段：统计阶段

根据链表的属性值，对产生的事件进行统计，即根据设定选项来决定是否报警。

上述统计阶段中的设定选项包括：

1.设定时间间隔：根据链表中事件的第一次触发时间与最后一次产生事件的时间间隔来决定是否向管理员发送报警信息；

2.设定事件个数：根据链表中计数器的值，决定是否向管理员发送报警信息；

3.设定事件密度：计算事件个数与间隔时间的比值，如果超过设定事件密度的阈值，则向管理员发送报警信息；

4.设定持续时间：根据链表中事件的第一次触发时间与当前时间的间隔来决定是否向管理员发送报警信息；

5.设定源IP地址：根据选定的源IP地址向管理员发送报警信息；

6.设定目的IP地址：管理员根据网络中不同服务器的重要程度，来设定相应的目的IP地址，根据选定的目的IP地址向管理员发送报警信息，

上述六个选项可以单独使用也可以联合使用，在联合使用的过程中管理员可以根据网络实际情况给这六种选项分配不同的优先级，只要满足条件就发送报警信息。

与现有技术相比，通过本发明，管理员可以方便地从纷繁芜杂的报警中准确识别出真正的攻击，确定实际的攻击行为以及来源。

附图说明：

附图为本发明解决入侵检测系统中海量报警方法的流程图。

具体实施方式：

本发明可以部属于IDS设备中。下面将通过在IDS设备中实施本发明进行详细描述。

本发明的步骤是：

第一阶段：预处理阶段：

(一)以旁路侦听方式捕获网络上的数据包；

(二)规则匹配，假设当IDS规则有9000条时，建立一个数组为a[9000]，数组中存放指向不同链表的地址，对于每一条规则的统计信息存放在一个数据元素指向的链表中，这样触发事件时匹配非常快，a[id]就能直接找到需要统计的链表首地址(也就是hash查找)，用id作为索引，链表的每一个结点存放了触发这条规则的一个连接上的统计信息，其中包括：源地址(SrcIP)、目的地址(DstIP)、源端口(SrcPort)、目的端口(DstPort)、开始时间(Starttime)、结束时间(Endtime)、次数(Count)以及各告警阈值等。

第二阶段：统计阶段：

根据链表的属性值，对产生的事件进行统计，根据用户对六个选项的综合选择来产生报警，并且可以给选项设置优先级，检测引擎把检测结果写到这个hash链表中，发送引擎定时根据用户要求把结果进行上报，下面给出了不同的例子来说明

例子1：设定目的IP为192.168.1.8，并且设置这个选项的优先级最高，又设定了事件个数为10次(即该选项的阈值为10)，当产生事件的目的IP是192.168.1.8时，直接发送报警给管理员，而当产生事件的目的IP不是192.168.1.8时，需满足事件个数累计10次后才发送报警。

例子2：设定了时间间隔为五分钟(这相当于是一个时间窗)，源IP为192.168.1.8，事件个数为10，目的IP是192.168.1.18，当同时满足这四个条件时发送一个报警给管理员。

例子3：设定某个规则的产生事件密度为100个/秒，当这个规则被触发的密度满足条件时，则给管理员发送一个报警。

最后所应说明的是：以上实施方式仅用以说明而非限制本发明的技术方案，尽管参照上述实施方式对本发明进行了详细的说明，本领域的普通技术人员应当理解：依然可以对本发明进行修改或者等同替换，而不脱离本发明的精神和范围的任何修改与局部替换，其均应涵盖在本发明的权利要求范围内。

Claims (2)

1、一种解决入侵检测系统中海量报警的方法，分为下述两个阶段

第一阶段：预处理阶段

将网卡设置为混杂模式，通过Libpcap进行循环抓包，Libpcap采用零拷贝技术把用户内存映射到内核中，抓取到的数据包通过链路层解码，协议层处理和流重组，进行规则匹配，产生一个告警事件，这个事件存储到一个hash链表中，使f(x)＝a[x]，用数组下表作索引以提高查找的效率。

第二阶段：统计阶段

根据链表的属性值，对产生的事件进行统计，即根据设定选项来决定是否报警。

2、如权利要求1所述的一种解决入侵检测系统中海量报警的方法，其特征在于：所述统计阶段中的设定选项包括

①设定时间间隔：根据链表中事件的第一次触发时间与最后一次产生事件的时间间隔来决定是否向管理员发送报警信息；

②设定事件个数：根据链表中计数器的值，决定是否向管理员发送报警信息；

③设定事件密度：计算事件个数与间隔时间的比值，如果超过设定事件密度的阈值，则向管理员发送报警信息；

④设定持续时间：根据链表中事件的第一次触发时间与当前时间的间隔来决定是否向管理员发送报警信息；

⑤设定源IP地址：根据选定的源IP地址向管理员发送报警信息；

⑥设定目的IP地址：管理员根据网络中不同服务器的重要程度，来设定相应的目的IP地址，根据选定的目的IP地址向管理员发送报警信息，

上述六个选项可以单独使用也可以联合使用，在联合使用的过程中管理员可以根据网络实际情况给这六种选项分配不同的优先级，只要满足条件就发送报警信息。

Images