IPv6環(huán)境下異常檢測系統(tǒng)的關鍵技術研究.pdf

1、新一代互聯(lián)網協(xié)議IPv6以其巨大的地址空間及良好的安全體系設計等優(yōu)勢正在逐漸替代已有的互聯(lián)網協(xié)議IPv4。然而隨著下一代互聯(lián)網的發(fā)展，各種新型應用的普及，下一代互聯(lián)網的安全問題也越來越突出。傳統(tǒng)的異常檢測算法無法識別新的協(xié)議，也無法有效地檢測這些新的攻擊形式。必須研究一種適用于IPv6協(xié)議的，能在高帶寬下快速檢測的異常檢測算法。因此研究基于下一代互聯(lián)網的異常檢測算法是十分必要的，具有十分重要的理論意義和實際應用價值，并已成為國際上亟待解

2、決的重大前沿課題。 為了保障下一代互聯(lián)網的安全，必須能對于其中的異常行為模式做出正確的判別和響應。下一代互聯(lián)網異常檢測體系研究的目標是開創(chuàng)新的技術，讓異常檢測系統(tǒng)能適應高帶寬和高負荷的網絡環(huán)境，支持最新的Internet網絡協(xié)議，并有自我學習的能力。從而形成下一代互聯(lián)網異常檢測技術、下一代互聯(lián)網安全體系結構模型和下一代互聯(lián)網的網絡安全控制平臺。 構建IPv6環(huán)境下異常檢測系統(tǒng)，需要針對IPv6協(xié)議安全性分析、高速數(shù)據包捕

3、獲模型、基于免疫遺傳原理的異常檢測算法以及適用于IPv6環(huán)境的異常檢測系統(tǒng)等四個重要方面進行研究。 要設計和建立基于下一代互聯(lián)網的異常檢測體系結構必須了解新的互聯(lián)網承載協(xié)議存在的安全問題。通過對協(xié)議的設計階段、協(xié)議的實現(xiàn)階段以及協(xié)議的部署階段對IPv6協(xié)議的安全性的分析，發(fā)現(xiàn)Windows、Linux等主流操作系統(tǒng)在IPv6協(xié)議的實現(xiàn)上存在著一些漏洞，特別是在鄰居發(fā)現(xiàn)協(xié)議NDP（Neighbor Discovery Protoc

4、ol）的實現(xiàn)上。根據分析結果，對協(xié)議實現(xiàn)上存在的漏洞進行了總結，并利用這些漏洞設計和實施一些全新的IPv6環(huán)境下的攻擊方式，在對所提出的異常檢測算法進行測試的同時，也對協(xié)議的設計提出了一些安全建議。 數(shù)據包的無丟失捕獲是異常檢測的基礎。通過分析現(xiàn)有數(shù)據包捕獲模型的不足，研究并實現(xiàn)了半輪詢驅動的零拷貝報文捕獲機制（Packet Capture Mechanism based on Semi-Polling Driven Zero

5、Copy，簡稱PCMSZ），并引入內存映像（Memory Map，簡稱MM）機制，解決了高速數(shù)據包捕獲中的瓶頸問題。將該模型的原型系統(tǒng)與傳統(tǒng)的數(shù)據包捕獲模型進行比較，實驗結果表明所提出的PCSZC在捕獲性能上有了很大的提高。 異常檢測算法的設計目標是提高檢測的效率和準確性。生物免疫和計算機安全系統(tǒng)所面臨及需要解決的問題十分類似，采用生物免疫思想的異常檢測技術可以獲得更加準確、可靠的結果，大大地提高檢測性能。通過引入實數(shù)編碼，精確

6、排擠小生態(tài)算法，對遺傳算法進行改進，研究了基于背離等級的檢測算法（Deviation Levels based Detection Algorithm，簡稱DLDA），同時為了提高檢測的準確性，引入了一種生成模糊檢測規(guī)則的演進算法，使用模糊異常檢測算法，對網絡中的異常行為進行模糊檢測。在不同數(shù)據集（DARPA1999，DARPA2000）以及實際網絡流量上對異常檢測原型系統(tǒng)以及開放源碼的異常檢測系統(tǒng)snort進行對比實驗，實驗結果表明所

7、提出的算法在誤報率、漏報率上都有了很大的提高。 IPv6環(huán)境下異常檢測系統(tǒng)的輸入對象為全新的協(xié)議，地址長度和數(shù)據量都有了極大的增長，使得上述算法在新環(huán)境下無法高效運轉。為此對上述算法進行了改進，進行隨機實數(shù)編碼，引入基于親和度的非我識別方法，使用分段匹配的高效匹配算法，以提高檢測效率。 上述研究成果已綜合應用到一個面向下一代互聯(lián)網的異常檢測系統(tǒng)中，使用自定義的數(shù)據集（構造攻擊數(shù)據和實際網絡流量的結合）以及實際IPv6網絡