IPv6環(huán)境下異常檢測系統(tǒng)的關(guān)鍵技術(shù)研究.pdf

1、新一代互聯(lián)網(wǎng)協(xié)議IPv6以其巨大的地址空間及良好的安全體系設(shè)計等優(yōu)勢正在逐漸替代已有的互聯(lián)網(wǎng)協(xié)議IPv4。然而隨著下一代互聯(lián)網(wǎng)的發(fā)展，各種新型應(yīng)用的普及，下一代互聯(lián)網(wǎng)的安全問題也越來越突出。傳統(tǒng)的異常檢測算法無法識別新的協(xié)議，也無法有效地檢測這些新的攻擊形式。必須研究一種適用于IPv6協(xié)議的，能在高帶寬下快速檢測的異常檢測算法。因此研究基于下一代互聯(lián)網(wǎng)的異常檢測算法是十分必要的，具有十分重要的理論意義和實際應(yīng)用價值，并已成為國際上亟待解

2、決的重大前沿課題。 為了保障下一代互聯(lián)網(wǎng)的安全，必須能對于其中的異常行為模式做出正確的判別和響應(yīng)。下一代互聯(lián)網(wǎng)異常檢測體系研究的目標(biāo)是開創(chuàng)新的技術(shù)，讓異常檢測系統(tǒng)能適應(yīng)高帶寬和高負荷的網(wǎng)絡(luò)環(huán)境，支持最新的Internet網(wǎng)絡(luò)協(xié)議，并有自我學(xué)習(xí)的能力。從而形成下一代互聯(lián)網(wǎng)異常檢測技術(shù)、下一代互聯(lián)網(wǎng)安全體系結(jié)構(gòu)模型和下一代互聯(lián)網(wǎng)的網(wǎng)絡(luò)安全控制平臺。 構(gòu)建IPv6環(huán)境下異常檢測系統(tǒng)，需要針對IPv6協(xié)議安全性分析、高速數(shù)據(jù)包捕

3、獲模型、基于免疫遺傳原理的異常檢測算法以及適用于IPv6環(huán)境的異常檢測系統(tǒng)等四個重要方面進行研究。 要設(shè)計和建立基于下一代互聯(lián)網(wǎng)的異常檢測體系結(jié)構(gòu)必須了解新的互聯(lián)網(wǎng)承載協(xié)議存在的安全問題。通過對協(xié)議的設(shè)計階段、協(xié)議的實現(xiàn)階段以及協(xié)議的部署階段對IPv6協(xié)議的安全性的分析，發(fā)現(xiàn)Windows、Linux等主流操作系統(tǒng)在IPv6協(xié)議的實現(xiàn)上存在著一些漏洞，特別是在鄰居發(fā)現(xiàn)協(xié)議NDP（Neighbor Discovery Protoc

4、ol）的實現(xiàn)上。根據(jù)分析結(jié)果，對協(xié)議實現(xiàn)上存在的漏洞進行了總結(jié)，并利用這些漏洞設(shè)計和實施一些全新的IPv6環(huán)境下的攻擊方式，在對所提出的異常檢測算法進行測試的同時，也對協(xié)議的設(shè)計提出了一些安全建議。 數(shù)據(jù)包的無丟失捕獲是異常檢測的基礎(chǔ)。通過分析現(xiàn)有數(shù)據(jù)包捕獲模型的不足，研究并實現(xiàn)了半輪詢驅(qū)動的零拷貝報文捕獲機制（Packet Capture Mechanism based on Semi-Polling Driven Zero

5、Copy，簡稱PCMSZ），并引入內(nèi)存映像（Memory Map，簡稱MM）機制，解決了高速數(shù)據(jù)包捕獲中的瓶頸問題。將該模型的原型系統(tǒng)與傳統(tǒng)的數(shù)據(jù)包捕獲模型進行比較，實驗結(jié)果表明所提出的PCSZC在捕獲性能上有了很大的提高。 異常檢測算法的設(shè)計目標(biāo)是提高檢測的效率和準(zhǔn)確性。生物免疫和計算機安全系統(tǒng)所面臨及需要解決的問題十分類似，采用生物免疫思想的異常檢測技術(shù)可以獲得更加準(zhǔn)確、可靠的結(jié)果，大大地提高檢測性能。通過引入實數(shù)編碼，精確

6、排擠小生態(tài)算法，對遺傳算法進行改進，研究了基于背離等級的檢測算法（Deviation Levels based Detection Algorithm，簡稱DLDA），同時為了提高檢測的準(zhǔn)確性，引入了一種生成模糊檢測規(guī)則的演進算法，使用模糊異常檢測算法，對網(wǎng)絡(luò)中的異常行為進行模糊檢測。在不同數(shù)據(jù)集（DARPA1999，DARPA2000）以及實際網(wǎng)絡(luò)流量上對異常檢測原型系統(tǒng)以及開放源碼的異常檢測系統(tǒng)snort進行對比實驗，實驗結(jié)果表明所

7、提出的算法在誤報率、漏報率上都有了很大的提高。 IPv6環(huán)境下異常檢測系統(tǒng)的輸入對象為全新的協(xié)議，地址長度和數(shù)據(jù)量都有了極大的增長，使得上述算法在新環(huán)境下無法高效運轉(zhuǎn)。為此對上述算法進行了改進，進行隨機實數(shù)編碼，引入基于親和度的非我識別方法，使用分段匹配的高效匹配算法，以提高檢測效率。 上述研究成果已綜合應(yīng)用到一個面向下一代互聯(lián)網(wǎng)的異常檢測系統(tǒng)中，使用自定義的數(shù)據(jù)集（構(gòu)造攻擊數(shù)據(jù)和實際網(wǎng)絡(luò)流量的結(jié)合）以及實際IPv6網(wǎng)絡(luò)