摘要：研究网络入侵和入侵检测系统的现状和发展趋势，将对手思维建模和意图识别技术引入入侵检测系统，提出了一个基于对手思维建模的入侵检测模型（iraids），为解决大规模、分布式、智能化入侵提供了解决方法。
关键词：思维建模;入侵检测；网络入侵
0引言
伴随着网络技术的不断发展，网络安全已经成为一个至关重要的问题，也是计算机领域的研究热点之一。为了达到当场检测出恶意的网络入侵行为并马上采取防范反击措施的目的，实时监测黑客入侵行为并以程序自动产生响应的网络入侵检测系统（intrusion detection system, ids）产生了。入侵检测被认为是防火墙之后的第二道安全闸门，可以在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护，大大提高了网络的安全性[1]。
自从1980年4月james p. anderson第一次详细阐述了入侵检测的概念以来，入侵检测系统经历了从集中式系统向分布式、智能化系统的发展历程。与此同时，高级入侵活动也变得越来越呈现出分布性和协调性的特点，具体表现在：
(1)一次入侵可能分布在网络中的多个机器上[2]。
(2)一次攻击可能只是一个更大规模入侵的一个部分，它只是使用当前被攻陷的网络作为跳板，最终的目标可能是攻击别的系统或非法得到其他资源[3]。
(3) 多次简单攻击可以组合成为一次更复杂的长时间协同入侵[4]。
这使得传统的基于分布式数据采集和集中分析的分布式入侵检测系统很难检测出大规模的分布式智能协作攻击，并且不能对这些攻击作出实时反应。Www.11665.cOM然而，agent技术的发展为解决这些问题提供了契机。一些学者提出，由于agent本身具有协同工作、智能化、自治性和移动性等特点，将其引入入侵检测系统可以弥补传统分布式入侵检测的不足，也为入侵检测技术提供了很多新的思路。文献[5]提出利用免疫学的思想设计出一个基于agent的入侵检测模型。这个模型是层状结构，能动态学习、检测出已知和未知的入侵、检测出不同层次的入侵。文献[6]提出了一种采取无控制中心的多agent 结构, 每个检测部件都是独立的检测单元, 尽量降低各检测部件间的相关性。文献[7]提出了一种层次结构的基于自治agent的入侵检测框架aafid。其中监视器是系统的单一失效点。尽管如此，入侵者出于自身利益的考虑会对检测agent有意回避甚至对关键节点agent主动攻击，而且协作入侵通常会故意采取一些行动以隐藏其意图或掩盖其行动轨迹，如：
(1)能够检测到的入侵行动可能只是一部分，甚至检测到的入侵行动可能是误导的。
(2)入侵者可能采用灵活的计划以同时完成多个目的。
(3)入侵者也许多次重复一些步骤。
这些都极大地增大了入侵检测的难度，仅仅对检测系统自身采用agent技术的分布式入侵系统很难达到实时检测复杂入侵的目标。在更高的层次上，笔者将入侵者和入侵检测方抽象为是以“局部运作、全局共享”为核心的多agent系统，对抗双方都是一组自治的agent通过协调它们的知识完成入侵和入侵检测。在求解的过程中，各agent之间达成了协作、协调、协商、理性、对抗、交互等各种关系。基于这种抽象以及入侵检测的本质（根据入侵者的行动及时推断出入侵者的意图），本文提出了以对手思维建模和对手意图识别技术为基础的多agent分布式入侵检测系统模型iraids，为解决大规模、分布式、智能化入侵提供了解决方法。
1iraids模型
1．1对手思维建模
对手思维模型的核心在于意图的识别，因为意图对应于实际的行为规划，这也正是入侵检测的目标。本文提到的意图识别包含两个层次的含义：
(1)单个对手意图的识别
在该模型中使用ta（tracer agent）针对单个对手的思维状态建模，目标是通过分析单个对手的行动序列推测其可能的入侵行为。具体请见ta部分。
(2)对手群体意图的识别
单个对手的思维建模只能检测出简单的个体入侵意图，对于大规模的分布式网络入侵就无能为力了。为了解决这个问题，笔者在模型中提出通过检测agent之间的协作方式，分析群体对手的意图以找出其入侵计划。这些工作主要是通过ba（basic agent）内部ta之间的合作以及ba之间的协作完成的。
1．2iraids模型描述
iraids模型由ta、ba、sa（supervise agent）和ma（ma－nage agent）组成，如图1所示。在一个网络中ba、sa、ma通过相互协作监督组成了一个严密安全的入侵检测系统。 其中ta是ba内根据检测到的对手主机的访问情况对对手思维建模的agent，主要用来识别单个对手的入侵及其意图。ba是执行某些检测任务的agent，它可以分布在主机或网络上，将多个可疑对手归结为一个对手群，对对手群体入侵目的进行意图识别。sa是某一逻辑网段的监督agent，它监督网段内的ba的运行状态并对网段内的流量和访问等信息进行统计。ma是整个系统的管理者，处于整个网络与internet接口处（通常是网关），对整个系统的流量、网段内的sa的状态进行监督管理。
2模型结构分析
2．1ta的结构
由于网络中需要检测的对方主机的数量可能会很多，实现对手agent要求所占资源必须足够小，在模型上就需要足够精简。本文对对手建立一个简洁的轻型agent模型，如图2所示。对手思维模型由三层组成，分别是： (1)交互层。当某个ba判断网络中某台主机的行为超过了可能入侵的阈值时，就根据下面的模型对对手建立一个轻型agent，以后获取的这个对手的行为就交由该agent处理，由ta对对手的操作进行匹配、识别其入侵意图。交互层主要与产生它的ba进行交流，由ba将它所“关心”的对手情况传送给它，处理后由交互层反馈给ba。
(2）处理层。利用所归属的ba检测数据库对交互层传来的信息进行入侵规则匹配与意图识别，在单个对手的层次上检测可能的入侵。
(3）存储层用来存放处理层的中间过程和结果。
2．2ba的主要功能和结构
ba是运用对手群意图识别技术，通过相互协商方式进行入侵检测的agent。每个ba负责一定的检测任务，检测入侵的某个方面。ba由下面几个部分组成：db（数据库）、通信单元、加/解密单元、数据采集单元、数据预处理单元、分析引擎、状态分析引擎、入侵处理单元、用户接口和对对手思维建模的agent（ta），如图3所示。
下面按照分类详细介绍各部分的功能：
（1）通信单元。提供ba与逻辑网段内其他ba以及上层sa进行加密通信的能力，也是ba的数据来源之一。
（2）加/解密单元。为了保障agent之间通信的安全化而设立的一个对消息进行加密和解密的单元，是维护系统安全运行的重要单元之一。
（3）数据采集单元。系统数据的另一来源，从系统日志、审计文件以及网络数据包中获取检测需要的数据。
（4）数据预处理单元。对从采集单元获得的数据进行过滤、抽象化和标准化操作，便于分析引擎对数据进行分析。
（5）分析引擎。ba的核心单元，利用内部ta反馈的可疑入侵信息，对可疑入侵群体进行意图识别，同时与逻辑网段内其他ba协作检测并向上层sa报告。
本文原文
（6）状态分析引擎。它是系统进行自我状态进行监督以及对上层sa观察的单元，一旦发现sa存在问题将及时发动一次选举，保证系统运行的完整性。
（7）入侵处理单元。发现入侵时的处理模块，通常的做法是向用户报警并根据其危害性采取限制登录范围、锁定用户账号甚至切断网络连接等措施。
（8）用户接口。它是用户与ba交互的单元，用户可以向ba中添加新的检测模型、规则等信息，也可以对可疑入侵进行判断分析并给出结论。
（9）db。数据库是ba存储系统信息、检测模型、经预处理后的数据和中间数据的单元。数据库中的内容主要有下面三部分：
①网络的拓扑信息，包括当前ba所处网络的其他ba的地址、上层sa的地址、ma地址等描述网络拓扑结构的信息。
②知识库，主要包括入侵检测方法、单个对手意图识别算法、对手群体意图识别算法。其中检测方法数据库包括正常模式库和异常模式库（分别用于异常检测和误用检测方法）。这两种数据库可以根据数据来源分为不同类别子数据库。这样，异常数据可以根据其来源在相应的子数据库中得到迅速的匹配。
③经预处理的数据。所有经过预处理得到的标准化和格式化的数据都保存在数据库中，用来保存对手的入侵证据。
2．3sa的主要功能和结构
sa的主要作用是对所在逻辑网段内其他ba的状态进行监督管理、接收ba发送的可疑报告、同其他sa协商以及向上层ma提交入侵和可疑入侵情况。由于sa是从一个逻辑网段的所有ba中选举出来的，与ba的结构基本相同。不同的是，sa数据库中的网络拓扑结构除了包括本逻辑网段内的其他主机的地/址信息外，还保存其他网段的sa和部分ba（便于发现某个sa失效时可以通知其网段内的ba）的地址信息。
2．4ma的主要功能和结构
ma是处于整个网络与internet接口处，是对整个网络进行监控和检测入侵的核心单元，常常处于与internet接口的网络设备中，对全网的数据流量进行统计跟踪。ma可以通过大量的学习，统计正常和异常情况下网络中的数据流量、各个局域网段的流量以及正常和异常的访问信息等知识。通过ma在高层监控，一旦发现流向某个网段或者整个系统的流量发生剧烈变化，可以通过学习的结果判断是否出现入侵，并及时向可能发生的入侵网段的sa发出警告。
ma的结构与ba、sa十分相似，但是它只需要对网络中的数据包进行分析，在数据采集单元中只接收通信单元和网络中的数据包的信息。其他部分类似，需要详细解释的是ma的数据库。ma的数据库中存放着下面三种数据：
(1)整个网络主机和agent位置的实时信息，尤其是网络中sa的实时位置信息。这个目标主要通过定期检测和接收更新的方式达到。
(2)知识库，其中包括了ma、sa、ba检测需要使用的所有知识。也就是说，ma的数据库中存放了整个系统需要的知识的总和。
（3) ma从网络中获取的数据流量和统计信息，以及入侵检测的中间信息都存储在数据库中，便于进一步的统计学习。
ma为用户提供了观测整个系统的运行状态、网络中的数据流量以及动态配置系统的功能。更重要的是为用户提供了一个向系统添加修改检测模式的入口，可以随时更新系统的检测模式库，增强了系统检测入侵的能力。
2．5系统运行流程
系统工作的流程主要包括两部分，即自底向上过程和自顶向下过程。
2．5．1自底向上处理过程
(1)ba获取系统日志、审计数据以及抓取网络中的需要检测数据包，经过预处理后根据源ip地址进行以下分类处理:
①对未建立的对手模型的数据包通过定义的疑似度函数度量入侵的可能性，对超过阈值的包建立对手思维追踪agent即ta，并将数据交给ta处理。 ②对已经建立起ta的对手直接将数据传给ta。
(2)获取数据后的ta进行误用检测、异常检测、意图识别等一系列操作，如检测到可疑入侵则根据异常检测设定的关联阈值判断是否需要向ba报告，若发现入侵则立即报告。
（3）ba接收到ta发送的关联检测报告时，将其内部ta的关联阈值合并起来，看其是否超过联合攻击阈值，一旦超过立即进行联合入侵检测和群体意图识别，即将各个ta在数据库中存储的数据合并起来，先检测是否为已知的联合攻击，再对对手群体意图进行识别。对于对手群的行动不符合任意已知的联合入侵方式但入侵可疑度很高的，将利用数据挖掘技术从存储的数据中挖掘出新的入侵模式并向系统中其他agent广播。
（4）当ba没有发现大量可疑入侵，但sa监测网段内的数据流量等信息反映入侵可能发生时，ba之间通过相互协作检测入侵。
（5）当ma根据统计分析判断系统可能被入侵时，sa之间相互协作，完成共同检测复杂入侵的任务。
2．5．2自顶向下处理过程
（1）用户通过ma提供的接口向全局数据库中添加能检测新的入侵方式的模型，随后ma将模型发送到下层的sa中。sa接收到新的检测模型后，根据网络情况选择要扩充此类检测类型的ba，并将模型发送到ba的数据库中。
（2）ba接收到新的入侵检查模型后，立即更新ta的检测方式，即ta在检测时对这个新模型的规则也进行匹配。
3关键技术
3．1检测方法
文献[8]中提到了用ip陷阱的方式，利用ip 陷阱和流量标本不仅能够识别已知的异常行为, 还能够不断地学习和积累。文献[9]中提到了一种追踪可疑用户入侵链的方式获取入侵者的访问信息。在检测方法中，不管是误用检测还是异常检测，基于主机型或是基于网络型，各种检测方法和技术手段都各有利弊。目前还没有通用的检测方法出现。比较恰当的做法是：综合分析各种检测方法的利弊以及最优使用场所，在复杂的网络环境中根据各个网段的情况，在每个网段中部署多个最优检测方法的agent，这些agent之间相互合作共同完成检测任务。这样做的好处是可以利用多种检测方法的优点，避免其缺点，增强系统的检测能力和检测效率。
使用误用检测和异常检测相结合的方法进行入侵检测，即首先对于获取的数据进行误用检测；如不能判断是否为入侵（有可能是未曾识别出的入侵类型）再使用异常检测方法获取一个可疑度，将此可疑度与阈值相比判断是否为入侵。
3．2agent状态监测及恢复策略
系统中的ba、sa、ma均存在状态分析引擎，用于监控自身所处的状态（如负载重、轻、没有负载、是否被入侵等）、检测其他agent的状态和回复其他agent发送的询问请求。agent之间状态的监督包括下面几种：ba内的监督、sa内的监督、ba与sa之间相互监督，以及ma与sa之间相互监督。其中，ba每隔一定时间检测所在网段的sa是否正常工作，并在需要时报告入侵检测情况，sa也采用同样的方法检测ba的状态；ba内、sa内采用被动监督方式，即在需要协同工作时才检测对方状态；ma与sa的监督方式和ba与sa的相似。
状态监督可以保证系统整体的正常运行，当系统中某些agent出现问题时按照下面的恢复策略进行恢复：
(1)如果sa发现ba没有响应状态请求，判定失效后立即调整网内其他ba的检测工作，让其他ba合作完成失效ba的检测任务。如果在一定时间段内失效的ba仍没有恢复，在确定所在主机正常工作的情况下复制一个新的ba重新开始检测。
(2)如果ba发现sa停止响应，则立即发动一次选举，从网络中正常工作的ba中选举一个负载最轻的担任sa任务；被选中的sa向ma报告网段内sa的更换信息，确保ma的及时更新。
（3）如果ma或sa发现sa停止工作，则发送消息给同网段的其他ba发动一次选举。具体的选举算法可以使用bully或者是ring算法。
此外，agent之间还存在着相互协作的关系。具体而言，这些协作包括单个ba内ta之间的协作、ba之间的协作、sa之间的协作。
3．3agent安全问题
ids的引入使得系统的安全得到了一定层次上的保证，然而，处于主机或网络中的agent也有可能被对手攻破，成为操纵系统的工具。为保证agent的安全必须考虑两个问题，即agent自身的安全和agent之间的通信。文献[10]使用beep（blocks extensible exchange protocol）来进行用户验证，确保传输数据的完整性和机密性。本文设计的系统中，对agent之间的通信采取了加密的方式，这样即使对手捕获了数据包也不容易获取其中的信息；agent自身的安全是由agent内部的状态分析引擎以及其他agent完成的。状态分析引擎实时监督agent所处的状态，并在异常状态时立即向上层agent报告，同时其他agent如发现其状态异常也可以向上层agent报告。
3．4agent学习
agent具有学习能力是入侵检测系统能够适应网络环境变化的重要条件之一，也是当前对入侵检测进行研究的一个热点。在本文的系统中，agent的学习主要是通过异常检测和入侵模式挖掘的方法实现的。当agent通过异常检测或者高层的检测发现新的入侵时，通过使用数据挖掘技术从访问数据中挖掘出新的入侵规则并在检测系统中广播，使得其他agent也立即具备检测这种新的入侵方式的能力。
4结束语
本文提出了一种基于对手思维建模的多agent分布式入侵检测系统模型iraids，可以识别单个对手的意图和对手的群体意图，适用于检测大规模的分布式协作攻击。另外，系统还具备了学习能力，可以识别并检测出未知的入侵方式。本模型没有采用集中式的控制方式，主要通过agent之间的协作完成检测任务，但考虑到集中式控制方式的优点，iraids模型中设计了处于中上层的sa和ma，用于统计入侵情况和为用户提供扩展接口和报警措施。但是sa和ma本质上是和ba与sa相同的agent，只是分工的不同而已。
参考文献：
［1］lunt t. detecting intruders in computer systems:proceedings of the 6th annual symposium and technical displays on physical and electronic security[ed/ol].http://citeseer.ist.psu.edu/lunt93detecting.html.
[2]northcutt s.network intrusion detection:an analyst’s handbook[m]. indianapolis:new riders publishing, 1999.
[3]vigna g, kemmerer r a.netstat:a network－based intrusion detection system：proc. of the 14th annual computer security applications conference[c]. scottsdale:[s.n.],1998.
[4]tseng c y, balasubramanyam p,ko c,et al.a specification－based intrusion detection system for aodv:proc. of the 2003 acm workshop on security of ad hoc and sensor networks (sasn’03)[c].farirfax:virginia,2003:125－134.
[5] dasgupta d.immunity－based intrusion detection systems: a gene－ral framework:proceedings of the 22nd national information systems security conference (nissc)[c].[s.l.]:[s.n.], 1999:147－160.
[6]马恒太,蒋建春,陈伟锋，等.基于agent的分布式入侵检测系统模型[j].软件学报,2000,11(10):1312－1319.
[7]jai s b,jose o g, david i,et al. an architecture for intrusion detection using autonomous agents[d].[s.l.]:department of compu－ter sciences, purdue university,1998.
[8]陈硕,安常青,李学农.分布式入侵检测系统及其认知能力[j].软件学报,2001,12(2):225－232.
[9]张勇,张德运,李胜磊.基于分布协作式代理的网络入侵检测技术的研究与实现[j].计算机学报,2001,24(7):736－741.
[10]shi zhicai, ji zhenzhou, hu mingzeng. a novel distributed intrusion detection model based on mobile agent[j].acm sigops ope－rating systems review,2003,37(1): 46－53.
