| |
3、WLAN中的入侵檢測模型架構(gòu)
在含AP模式中，可以將多個WLAN基本服務(wù)集(BSS)擴展成擴展服務(wù)集(ESS)，甚至可以組成一個大型的WLAN。這種網(wǎng)絡(luò)需要一種分布式的檢測框架，由中心控制臺和監(jiān)測代理組成，如圖3所示。
圖3 含AP模式的分布式入侵檢測系統(tǒng)框架
網(wǎng)絡(luò)管理員中心控制臺配置檢測代理和瀏覽檢測結(jié)果，并進(jìn)行關(guān)聯(lián)分析。監(jiān)測代理的作用是監(jiān)聽無線數(shù)據(jù)包、利用檢測引擎進(jìn)行檢測、記錄警告信息，并將警告信息發(fā)送至中心控制臺。
由此可見，監(jiān)測代理是整個系統(tǒng)的核心部分，根據(jù)網(wǎng)絡(luò)布線與否，監(jiān)測代理可以采用兩種模式：一種是使用1張無線網(wǎng)卡再加1張以大網(wǎng)卡，無線網(wǎng)卡設(shè)置成“雜湊”模式，監(jiān)聽所有無線數(shù)據(jù)包，以太網(wǎng)卡則用于與中心服務(wù)器通信;另一種模式是使用2張無線網(wǎng)卡，其中一張網(wǎng)卡設(shè)置成“雜湊”模式，另一張則與中心服務(wù)器通信。
分組捕獲完成后，將信息送至檢測引擎進(jìn)行檢測，目前最常用的IDS主要采用的檢測方法是特征匹配，即把網(wǎng)絡(luò)包數(shù)據(jù)進(jìn)行匹配，看是否有預(yù)先寫在規(guī)則中的“攻擊內(nèi)容”或特征。盡管多數(shù)IDS的匹配算法沒有公開，但通常都與著名的開源入侵檢測系統(tǒng)Snort的多模檢測算法類似。另一些IDS還采用異常檢測方法(如Spade檢測引擎等)，通常作為一種補充方式。無線網(wǎng)絡(luò)傳輸?shù)氖羌用軘?shù)據(jù)，因此，該系統(tǒng)需要重點實現(xiàn)的部分由非授權(quán)AP的檢測。通常發(fā)現(xiàn)入侵之后，監(jiān)測代理會記錄攻擊特征，并通過安全通道(采用一定強度的加密算法加密，有線網(wǎng)絡(luò)通常采用安全套接層(SSL)協(xié)議，無線網(wǎng)絡(luò)通常采用無線加密協(xié)議(WEP))將告警信息發(fā)給中心控制臺進(jìn)行顯示和關(guān)聯(lián)分析等，并由控制臺自動響應(yīng)(告警和干擾等)，或由網(wǎng)絡(luò)管理員采取相應(yīng)措施。
在移動自組網(wǎng)模式中，每個節(jié)點既要收發(fā)自身數(shù)據(jù)，又要轉(zhuǎn)發(fā)其他節(jié)點的數(shù)據(jù)，而且各個節(jié)點的傳輸范圍受到限制，如果在該網(wǎng)絡(luò)中存在或加入惡意節(jié)點，網(wǎng)絡(luò)性能將受到嚴(yán)重影響。惡意節(jié)點的攻擊方式可以分為主動性攻擊和自私性攻擊。主動性攻擊是指節(jié)點通過發(fā)送錯誤的路由信息、偽造或修改路由信息等方式，對網(wǎng)絡(luò)造成干擾;自私性攻擊是指網(wǎng)絡(luò)中的部分節(jié)點可能因資源能量和計算能量等緣故，不愿承擔(dān)其他節(jié)點的轉(zhuǎn)發(fā)任務(wù)所產(chǎn)生的干擾。因此，對惡意節(jié)點的檢測并在相應(yīng)的路由選擇中避開惡意節(jié)點，也是該類型WLAN需要研究的問題。
我們的檢測模型建立在HIDS上，甚至可以實現(xiàn)路由協(xié)議中的部分安全機制，如圖4所示。
圖4 移動自組網(wǎng)模式中的入侵檢測架構(gòu)
當(dāng)數(shù)據(jù)包到達(dá)主機后，如果屬于本機數(shù)據(jù)，數(shù)據(jù)包將被解密，在將它遞交給上層之前，先送至基于主機的誤用檢測引擎進(jìn)行檢測，根據(jù)檢測結(jié)果，對正常數(shù)據(jù)包放行，對攻擊數(shù)據(jù)包則進(jìn)行記錄，并根據(jù)響應(yīng)策略進(jìn)行響應(yīng)。此外，還可以在誤用檢測模型的基礎(chǔ)上輔以異常檢測引擎，根據(jù)以往的研究成果，可以在網(wǎng)絡(luò)層或應(yīng)用層上進(jìn)行，也可以將其做入路由協(xié)議中，以便提高檢測速度和檢測效率。
4、結(jié)束語
傳統(tǒng)的入侵檢測系統(tǒng)已不能用于WLAN，而WLAN內(nèi)入侵檢測系統(tǒng)的研究和實現(xiàn)才剛剛起步。本文分析了WLAN的特點及其存在的安全問題，提出了兩種入侵檢測系統(tǒng)架構(gòu)，可以分別用于基礎(chǔ)結(jié)構(gòu)模式WLAN和移動自組網(wǎng)模式WLAN，具有實用價值�；A(chǔ)結(jié)構(gòu)模式WLAN采用分布式網(wǎng)絡(luò)入侵檢測，可用于大型網(wǎng)絡(luò);移動自組網(wǎng)中采用基于主機的入侵檢測系統(tǒng)，用于檢測異常的節(jié)點活動和發(fā)現(xiàn)惡意節(jié)點。需要進(jìn)一步研究的問題有：在框架上實現(xiàn)原型系統(tǒng)來驗證其有效性;在加密的網(wǎng)絡(luò)環(huán)境中更加有效地進(jìn)行入侵檢測。本新聞共 3頁,當(dāng)前在第 3頁 1 2 3 |
| 【收藏】【打印】【進(jìn)入論壇】 |
|
|
|
|
| |
|
|
|
