入侵检测代理消息机制的研究.pdfVIP

维普资讯 电子科技 2004年第 11期 (总第 182期) 入侵检测代理消息机制的研究 曹建春 ，孙宏莉 (1．黄河水利职业技术学院，河南 开封 475004； 2．河南高速公路发展有限责任公司 开封公司，河南 开封 475004) 摘 要 在网络中系统之间消息的交换十分重要。文中研究了在入侵检测代理之间消息传输的相关机制，采 用层次编码方式对消息类编码，在消息传输时使用消息的编码和相应的参数，确保语义的惟一性。 关键词 入侵检测：代理；消息 中图分类号 TP309 1 引 言 (1)满足了消息类型多样化的需求。系统中传 递的消息不仅包括警报消息，还有请求消息和心跳 入侵检测是保障网络安全的重要手段之一，为 消息等其他一些消息，并且将来可能还要增加新的 了适应高速交换式局域网，可以使用分布式的代理 消息类型。通过扩展子类的方法能很好地解决消息 构建入侵检测系统。 的表示和扩充问题。 代理之间需要交换消息来相互协作。代理能够 (2)满足了消息结构多样化的需求，避免了消 利用消息对其怀疑的事件发出警报，通知受到的攻 息内容的重复定义。一些消息只包含很少的信息， 击，也可以定期通知自己的状态，甚至要求其他代 如源地址、目的地址、事件名称和事件的时间。而 理提供代理所在计算机上的相应信息等。 另一些消息则含有很多信息，如服务或端口、进程 消息的传输被封装在TCP包里，消息数据包的 和用户信息等。而且这些消息可能都含有相同的信 格式如图1所示。 息 (如发送消息的时间)，面向对象的模型可以避 免重复定义，并且能自然地通过扩展子类来适应消 息结构的变化和消息内容的增加。 图1 消息数据包格式 3 消息的类型 从图中可以看出为了识别不同类型的消息必 须对消息类型进行编号。 代理之间交换的消息使用面向对象的方法构 2 消息的构建方法 建。我们总结了已知的和将来有可能会出现的消息类 型，将消息类型分为三个层次，消息的继承关系如图2 消息的类型很多，不同类型的结构差别很大。 所示。 如果将所有消息的结构统一，势必造成浪费。如果不 这样做，将带来复杂的管理。因此，一般情况下消息 的类型在设计之初就被确定下来，不能增加也不能修 改。 本文提出了采用面向对象的方法构建代理的 消息。面向对象的方法提供了继承机制， ． 子类可以 继承父类属性并扩展 自己特有的属性。利用面向对 象的方法有以下优点： 收稿日期：2004—09—13 图2 消息类