專利名稱：分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)的制作方法
技術領域：
本發(fā)明屬于計算機安全領域，具體涉及一種基于分布式微防火墻和微入侵檢測的網(wǎng)絡動態(tài)安全保護系統(tǒng)。
中國網(wǎng)絡安全響應中心的技術報告指出，當前的入侵檢測系統(tǒng)面臨兩個主要挑戰(zhàn)一個是虛警率太高，美國政府利用國家科學基金會的資金資助學術界對虛警問題的研究，足見問題之嚴重；另一個是檢測速度太慢，目前大多數(shù)入侵檢測系統(tǒng)在不犧牲檢測質(zhì)量的前提下尚不能處理百兆位網(wǎng)絡滿負荷時的數(shù)據(jù)量。
1999年，S.M.Bellovin在《；login》雜志24卷第5期上發(fā)表的“DistributedFirewalls”首次提出分布式防火墻的結構，其示意圖如

圖1所示。該結構在受保護子網(wǎng)的各個節(jié)點上安裝防火墻進行數(shù)據(jù)包的訪問控制，同時中央管理臺對防火墻的安全策略進行集中管理，并由策略發(fā)布模塊將安全策略發(fā)布到各個防火墻上，發(fā)布機制采用TFTP(Trivial File Transfer Protocol，簡單文件傳輸協(xié)議)。該結構消除了傳統(tǒng)防火墻存在的一些弱點(例如依賴于網(wǎng)絡的物理拓撲結構、不能防止內(nèi)部攻擊、效率不高、故障點多、無法有效地處理許多端到端的加密協(xié)議如IPSec)。但是在該結構中，隨著受保護節(jié)點的增加，中央管理臺發(fā)布策略的任務將日趨繁重，降低了系統(tǒng)的可擴展性；另外，該結構不能防止日益嚴峻的協(xié)同式入侵行為，不能有效的實現(xiàn)動態(tài)自免疫。
從工作原理的角度可以將本系統(tǒng)分為兩大部分，一是安裝在受保護節(jié)點上的微防火墻系統(tǒng)和微入侵檢測系統(tǒng)；二是安裝在中央管理臺上的IDS匯總決策模塊和防火墻策略發(fā)布模塊。
本發(fā)明分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，網(wǎng)絡中央管理臺配置匯總決策模塊和策略發(fā)布模塊，網(wǎng)絡按照樹型結構分成N個子網(wǎng)，N≥1，各子網(wǎng)管理臺上均配置匯總決策模塊和策略發(fā)布模塊，子網(wǎng)中每個節(jié)點都安裝微入侵檢測模塊和微防火墻模塊，子網(wǎng)各節(jié)點的微防火墻模塊用于接收網(wǎng)絡數(shù)據(jù)包、丟棄非法數(shù)據(jù)包，將合法數(shù)據(jù)包傳送給同一節(jié)點的微入侵檢測模塊；入侵檢測模塊用于檢測數(shù)據(jù)包，若發(fā)生常規(guī)入侵則修改微防火墻模塊的安全策略，否則將安全事件傳送給本子網(wǎng)的微匯總決策模塊；各子網(wǎng)的匯總決策模塊根據(jù)本子網(wǎng)各節(jié)點發(fā)送的當前安全事件檢測協(xié)同入侵，并根據(jù)其嚴重程度判決是否需要傳給上級管理臺，若不傳給上級管理臺，則通知策略發(fā)布模塊，啟動子網(wǎng)移動代理系統(tǒng)，登陸到本子網(wǎng)各節(jié)點修改微防火墻模塊的安全策略；中央管理臺匯總決策模塊接收各子網(wǎng)匯總決策模塊發(fā)來的協(xié)同入侵事件，并通知策略發(fā)布模塊生成全局安全策略，策略發(fā)布模塊啟動全局移動代理系統(tǒng)，把策略發(fā)送到各子網(wǎng)管理臺的策略發(fā)布模塊，從而修改所有節(jié)點微防火墻模塊的安全策略。
所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，各個子網(wǎng)可以進一步劃分為若干級子網(wǎng)。
所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其進一步的特征在于(1)微防火墻模塊包括包過濾模塊和包過濾策略庫，包過濾策略庫定義當前安全策略，包過濾模塊駐留于網(wǎng)絡協(xié)議層，它根據(jù)包過濾策略庫對所有流經(jīng)網(wǎng)絡協(xié)議層的數(shù)據(jù)包進行過濾，丟棄非法數(shù)據(jù)包，將合法數(shù)據(jù)包提交微入侵檢測模塊；(2)微入侵檢測模塊包括事件采集器、常規(guī)安全事件庫、常規(guī)入侵規(guī)則庫、常規(guī)入侵分析器和常規(guī)入侵響應器，事件采集器實時采集包過濾模塊傳送的數(shù)據(jù)包，并按預定格式組合成網(wǎng)絡安全事件存入常規(guī)安全事件庫，同時發(fā)送給常規(guī)入侵分析器和匯總決策模塊，常規(guī)入侵規(guī)則庫存放描述常規(guī)入侵的規(guī)則，常規(guī)入侵分析器將這些規(guī)則轉換為規(guī)則鏈表并將發(fā)送來的網(wǎng)絡安全事件與其遍歷匹配，當產(chǎn)生一個完全匹配時，通知常規(guī)入侵響應器，同時修改包過濾策略庫；(3)匯總決策模塊包括事件接收模塊、協(xié)同安全事件生成模塊、抽象化模塊、支持度和可信度計算模塊、閾值比較模塊、協(xié)同事件數(shù)據(jù)庫、協(xié)同入侵分析器和協(xié)同入侵規(guī)則庫，事件接收模塊接收微入侵檢測模塊的事件采集器發(fā)來的網(wǎng)絡安全事件，存入?yún)f(xié)同事件數(shù)據(jù)庫，同時通過協(xié)同安全事件生成模塊產(chǎn)生協(xié)同安全事件，并傳給抽象化模塊，該模塊將協(xié)同安全事件諸字節(jié)抽象化為一個取值范圍，并作為候選的新協(xié)同入侵規(guī)則Y傳給支持度和可信度計算模塊，后一模塊遍歷協(xié)同入侵規(guī)則庫中每條安全規(guī)則X計算X與Y關聯(lián)的支持度和可信度，并將其傳給閾值比較模塊，與預先定義的最小支持度閾值和最小可信度閾值分別比較，若都有大于閾值，則將Y存入?yún)f(xié)同入侵規(guī)則庫中，協(xié)同入侵分析器根據(jù)協(xié)同事件數(shù)據(jù)庫和協(xié)同入侵規(guī)則庫判別協(xié)同入侵事件的類型并給出相應的安全策略，傳給策略發(fā)布模塊；(4)子網(wǎng)/全局移動代理系統(tǒng)由駐留于子網(wǎng)/中央管理臺的移動代理客戶端和駐留于各節(jié)點/子網(wǎng)管理臺的移動代理服務器端組成，移動代理客戶端包括用戶界面、簽名模塊、代理路線記錄模塊和客戶端代理傳輸協(xié)議棧，用戶界面定義移動代理的數(shù)字簽名算法類型并提交給簽名模塊，同時定義代理路線記錄模塊的相關內(nèi)容，簽名模塊對移動代理進行數(shù)字簽名供各節(jié)點/子網(wǎng)策略發(fā)布模塊驗證，代理路線記錄模塊保存移動代理將要周游的節(jié)點/子網(wǎng)管理臺序列，并通過客戶端代理傳輸協(xié)議棧與服務器交互；移動代理服務器端包括服務器端代理傳輸協(xié)議棧、代理資源控制模塊、合法性檢查模塊和策略解釋器，客戶端和服務器端的代理傳輸協(xié)議棧提供客戶端/服務器端的底層信息交互機制，代理資源控制模塊為移動代理提供執(zhí)行環(huán)境，合法性檢查模塊驗證移動代理的數(shù)字簽名，并把代理攜帶的安全策略傳給策略解釋器，然后將安全策略解釋為策略腳本并加載到微防火墻模塊的包過濾策略庫中。
所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其更進一步的特征在于(1)微防火墻模塊還包括策略定義用戶界面和策略沙盒模塊，策略定義用戶界面支持用戶自定義安全策略規(guī)則并將其傳給策略沙盒模塊，然后將用戶自定義安全策略規(guī)則與包過濾策略庫中的安全策略規(guī)則進行比較，若發(fā)現(xiàn)沖突則丟棄該用戶自定義的安全策略規(guī)則，否則存入包過濾策略庫中；(2)匯總決策模塊還包括規(guī)則淘汰模塊和定時器，規(guī)則淘汰模塊對新協(xié)同入侵規(guī)則Y定義使用頻度，每當Y支持一個抽象協(xié)同入侵事件，該規(guī)則的使用頻度加1，當協(xié)同入侵規(guī)則庫中生成的協(xié)同入侵規(guī)則數(shù)到達最大時，該模塊采用最近最少使用算法淘汰使用頻度低的規(guī)則；定時器定時給規(guī)則淘汰模塊發(fā)信號，以便淘汰最少使用的入侵規(guī)則。
所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其特征還可以在于所述協(xié)同安全事件為一組彼此相關的網(wǎng)絡安全事件集，它們可以在時間上相關，即按發(fā)生時間排序，相鄰兩個事件間隔不超過規(guī)定單位時間；也可以在空間上相關，即構成此協(xié)同安全事件的網(wǎng)絡安全事件的源網(wǎng)絡協(xié)議地址來自同一子網(wǎng)。
本發(fā)明的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)具有以下優(yōu)點及效果。1)雙重的安全保護本系統(tǒng)包含兩個相互平行的子系統(tǒng)分布式微入侵檢測模塊(DM-IDS)可以提供應用層的安全保護；分布式微防火墻模塊(DM-Firewall)提供內(nèi)核級網(wǎng)絡層的安全保護，從而提供雙重的安全保護。2)細粒度安全保護本系統(tǒng)不僅以網(wǎng)段為保護單位，而且還以單個節(jié)點機為保護對象，從而實現(xiàn)細粒度的安全保護。在各節(jié)點機上安裝的微入侵檢測系統(tǒng)(M-IDS)和微防火墻系統(tǒng)(M-Firewall)可以獨立的檢測和響應入侵，不僅消除了單一失效點，而且可以同時檢測內(nèi)部和外部攻擊。3)樹型可擴展架構分層的樹型管理模式使維護和管理易于擴展；移動代理自主移動的優(yōu)點能夠有效的節(jié)約網(wǎng)絡帶寬，從而使系統(tǒng)效率不會隨受保護節(jié)點數(shù)目的增多而下降，達到系統(tǒng)效率的可擴展性；采用JAVA作為開發(fā)工具實現(xiàn)了平臺無關性；4)動態(tài)自免疫本系統(tǒng)將入侵行為分為常規(guī)入侵和協(xié)同入侵兩種。微入侵檢測收集各種安全事件，如果發(fā)現(xiàn)常規(guī)入侵，微入侵檢測立即修改本節(jié)點微防火墻的策略，阻止入侵數(shù)據(jù)包的進一步涌入(常規(guī)入侵響應)；如果發(fā)現(xiàn)協(xié)同入侵，匯總決策模塊通知策略發(fā)布機構向所有微防火墻發(fā)布更新策略(協(xié)同入侵響應)。兩種響應使系統(tǒng)具有動態(tài)自免疫的功能；5)防御協(xié)同入侵分布環(huán)境下的協(xié)同攻擊與日俱增，傳統(tǒng)的入侵檢測技術已經(jīng)不能滿足應用需求。本系統(tǒng)采用匯總決策技術對時間上和空間上分布的協(xié)同入侵行為進行匯總、關聯(lián)和檢測，并更新所有微防火墻的安全策略進行動態(tài)防御。
圖2基于分布式微防火墻和微入侵檢測的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)的體系結構。
圖3本發(fā)明分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)流程示意圖。
圖4分布式微防火墻模塊的結構及軟件示意圖。
圖5分布式微入侵檢測模塊的結構及軟件示意圖。
圖6匯總決策模塊的結構及軟件示意圖。
圖7移動代理模塊的結構及軟件示意圖。
結合附圖，對整個系統(tǒng)的配置說明如下1)包過濾策略庫(8)該策略庫共6個字段，其示例如表2和表3。
對Web組各節(jié)點(以17.0.0.1為例)的微防火墻具有類似表2的配置，對FTP組各節(jié)點(以17.0.0.2為例)的微防火墻具有類似表3的配置。

表2 Web組各節(jié)點的配置示例(以17.0.0.1為例)

表3 FTP組各節(jié)點的配置示例(以17.0.0.2為例)各字段解釋如下協(xié)議號分為TCP、UDP、ICMP、ANY，其中ANY指代任何協(xié)議；源IP數(shù)據(jù)包的源IP地址；源端口數(shù)據(jù)包的源端口；目的IP數(shù)據(jù)包的源IP地址；目的端口數(shù)據(jù)包的目的端口；措施指對匹配的數(shù)據(jù)包將存取何種措施，分為ACCEPT(接收)和DROP(拒絕)兩種。2)常規(guī)安全事件庫(10)該事件庫共6個字段，其示例如表4。

表4 常規(guī)安全事件庫示例各字段的說明如下協(xié)議號入侵事件的協(xié)議類型，分為TCP、UDP、ICMP；源IP入侵事件的源IP地址；源端口入侵事件的源端口；目的IP入侵事件的源IP地址；目的端口入侵事件的目的端口；時間入侵事件發(fā)生的時間。3)常規(guī)入侵規(guī)則庫(11)該常規(guī)規(guī)則庫共5個字段，其示例如表5。

表5常規(guī)入侵規(guī)則庫示例各字段的說明如下規(guī)則編號一條規(guī)則紀錄的數(shù)字編號；攻擊類型分為Dictionary Attack(字典攻擊)、Scan(端口掃描)、DoS(拒絕服務攻擊)三種；攻擊服務各種眾所周知的服務(如Web、FTP等)，ANY表示任意服務；攻擊特征碼表示代表一次攻擊的標志性特征碼；入侵危害程度指入侵事件的危害程度，該程度可分為最嚴重(0級)、較嚴重(1級)和次嚴重(2級)。4)閾值比較器(18)MinSupp和MinConf的取值范圍是大于0的整數(shù)。本實例中兩個閾值設定如下MinSupp＝10，MinConf＝10；5)協(xié)同事件數(shù)據(jù)庫(19)該數(shù)據(jù)庫共7個字段，其示例如表6。

表6協(xié)同事件數(shù)據(jù)庫的配置示例各字段解釋如下協(xié)同入侵事件編號指一組協(xié)同入侵事件的編號；相關性分為空間相關(S)和時間相關(T)；入侵類型分為Dictionary Attack(字典攻擊)、Scan(端口掃描)、DoS(拒絕服務攻擊)三種；源IP指入侵行為的源IP地址；
目的IP指被攻擊的IP地址；入侵時間指入侵事件的發(fā)生時間；入侵危害程度指入侵事件的危害程度，該程度可分為最嚴重(0級)、較嚴重(1級)和次嚴重(2級)。6)協(xié)同入侵規(guī)則庫(21)該數(shù)據(jù)庫共6個字段，其示例如表7。

表7協(xié)同入侵規(guī)則庫的配置示例各字段解釋如下相關性分為空間相關(S)和時間相關(T)；入侵類型分為Dictionary Attack(字典攻擊)、Scan(端口掃描)、DoS(拒絕服務攻擊)三種；空間相關度當“相關性”字段為S時，此處為構成一次空間上分布的入侵行為的相關度范圍；時間相關度當“相關性”字段為T時，此處為時間上分布的入侵行為的相關度；入侵危害程度指入侵事件的危害程度，該程度可分為最嚴重(0級)、較嚴重(1級)和次嚴重(2級)；響應策略針對某一協(xié)同入侵行為的全局響應策略。7)代理路線紀錄(26)該記錄庫共2個字段，保存代理的周游路線，該路線紀錄以鏈表的形式保存在代理客戶端的內(nèi)存中，其初始值如表8所示。

表8代理路線紀錄示例該紀錄表明移動代理將周游Web組的2到8節(jié)點和FTP組的9到16節(jié)點。
權利要求
1.一種分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，網(wǎng)絡中央管理臺配置匯總決策模塊和策略發(fā)布模塊，網(wǎng)絡按照樹型結構分成N個子網(wǎng)，N≥1，各子網(wǎng)管理臺上均配置匯總決策模塊和策略發(fā)布模塊，子網(wǎng)中每個節(jié)點都安裝微入侵檢測模塊和微防火墻模塊，子網(wǎng)各節(jié)點的微防火墻模塊用于接收網(wǎng)絡數(shù)據(jù)包、丟棄非法數(shù)據(jù)包，將合法數(shù)據(jù)包傳送給同一節(jié)點的微入侵檢測模塊；入侵檢測模塊用于檢測數(shù)據(jù)包，若發(fā)生常規(guī)入侵則修改微防火墻模塊的安全策略，否則將安全事件傳送給本子網(wǎng)的微匯總決策模塊；各子網(wǎng)的匯總決策模塊根據(jù)本子網(wǎng)各節(jié)點發(fā)送的當前安全事件檢測協(xié)同入侵，并根據(jù)其嚴重程度判決是否需要傳給上級管理臺，若不傳給上級管理臺，則通知策略發(fā)布模塊，啟動子網(wǎng)移動代理系統(tǒng)，登陸到本子網(wǎng)各節(jié)點修改微防火墻模塊的安全策略；中央管理臺匯總決策模塊接收各子網(wǎng)匯總決策模塊發(fā)來的協(xié)同入侵事件，并通知策略發(fā)布模塊生成全局安全策略，策略發(fā)布模塊啟動全局移動代理系統(tǒng)，把策略發(fā)送到各子網(wǎng)管理臺的策略發(fā)布模塊，從而修改所有節(jié)點微防火墻模塊的安全策略。
2.如權利要求1所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其特征在于各個子網(wǎng)可以進一步劃分為若干次級子網(wǎng)。
3.如權利要求1或2所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其特征在于(1)微防火墻模塊包括包過濾模塊和包過濾策略庫，包過濾策略庫定義當前安全策略，包過濾模塊駐留于網(wǎng)絡協(xié)議層，它根據(jù)包過濾策略庫對所有流經(jīng)網(wǎng)絡協(xié)議層的數(shù)據(jù)包進行過濾，丟棄非法數(shù)據(jù)包，將合法數(shù)據(jù)包提交微入侵檢測模塊；(2)微入侵檢測模塊包括事件采集器、常規(guī)安全事件庫、常規(guī)入侵規(guī)則庫、常規(guī)入侵分析器和常規(guī)入侵響應器，事件采集器實時采集包過濾模塊傳送的數(shù)據(jù)包，并按預定格式組合成網(wǎng)絡安全事件存入常規(guī)安全事件庫，同時發(fā)送給常規(guī)入侵分析器和匯總決策模塊，常規(guī)入侵規(guī)則庫存放描述常規(guī)入侵的規(guī)則，常規(guī)入侵分析器將這些規(guī)則轉換為規(guī)則鏈表并將發(fā)送來的網(wǎng)絡安全事件與其遍歷匹配，當產(chǎn)生一個完全匹配時，通知常規(guī)入侵響應器，同時修改包過濾策略庫；(3)匯總決策模塊包括事件接收模塊、協(xié)同安全事件生成模塊、抽象化模塊、支持度和可信度計算模塊、閾值比較模塊、協(xié)同事件數(shù)據(jù)庫、協(xié)同入侵分析器和協(xié)同入侵規(guī)則庫，事件接收模塊接收微入侵檢測模塊的事件采集器發(fā)來的網(wǎng)絡安全事件，存入?yún)f(xié)同事件數(shù)據(jù)庫，同時通過協(xié)同安全事件生成模塊產(chǎn)生協(xié)同安全事件，并傳給抽象化模塊，該模塊將協(xié)同安全事件諸字節(jié)抽象化為一個取值范圍，并作為候選的新協(xié)同入侵規(guī)則Y傳給支持度和可信度計算模塊，后一模塊遍歷協(xié)同入侵規(guī)則庫中每條安全規(guī)則X計算X與Y關聯(lián)的支持度和可信度，并將其傳給閾值比較模塊，與預先定義的最小支持度閾值和最小可信度閾值分別比較，若都有大于閾值，則將Y存入?yún)f(xié)同入侵規(guī)則庫中，協(xié)同入侵分析器根據(jù)協(xié)同事件數(shù)據(jù)庫和協(xié)同入侵規(guī)則庫判別協(xié)同入侵事件的類型并給出相應的安全策略，傳給策略發(fā)布模塊；(4)子網(wǎng)/全局移動代理系統(tǒng)由駐留于子網(wǎng)/中央管理臺的移動代理客戶端和駐留于各節(jié)點/子網(wǎng)管理臺的移動代理服務器端組成，移動代理客戶端包括用戶界面、簽名模塊、代理路線記錄模塊和客戶端代理傳輸協(xié)議棧，用戶界面定義移動代理的數(shù)字簽名算法類型并提交給簽名模塊，同時定義代理路線記錄模塊的相關內(nèi)容，簽名模塊對移動代理進行數(shù)字簽名供各節(jié)點/子網(wǎng)策略發(fā)布模塊驗證，代理路線記錄模塊保存移動代理將要周游的節(jié)點/子網(wǎng)管理臺序列，并通過客戶端代理傳輸協(xié)議棧與服務器交互；移動代理服務器端包括服務器端代理傳輸協(xié)議棧、代理資源控制模塊、合法性檢查模塊和策略解釋器，客戶端和服務器端的代理傳輸協(xié)議棧提供客戶端/服務器端的底層信息交互機制，代理資源控制模塊為移動代理提供執(zhí)行環(huán)境，合法性檢查模塊驗證移動代理的數(shù)字簽名，并把代理攜帶的安全策略傳給策略解釋器，然后將安全策略解釋為策略腳本并加載到微防火墻模塊的包過濾策略庫中。
4.如權利要求3所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其特征在于(1)微防火墻模塊還包括策略定義用戶界面和策略沙盒模塊，策略定義用戶界面支持用戶自定義安全策略規(guī)則并將其傳給策略沙盒模塊，然后將用戶自定義安全策略規(guī)則與包過濾策略庫中的安全策略規(guī)則進行比較，若發(fā)現(xiàn)沖突則丟棄該用戶自定義的安全策略規(guī)則，否則存入包過濾策略庫中；(2)匯總決策模塊還包括規(guī)則淘汰模塊和定時器，規(guī)則淘汰模塊對新協(xié)同入侵規(guī)則Y定義使用頻度，每當Y支持一個抽象協(xié)同入侵事件，該規(guī)則的使用頻度加1，當協(xié)同入侵規(guī)則庫中生成的協(xié)同入侵規(guī)則數(shù)到達最大時，該模塊采用最近最少使用算法淘汰使用頻度低的規(guī)則；定時器定時給規(guī)則淘汰模塊發(fā)信號，以便淘汰最少使用的入侵規(guī)則。
5.如權利要求3所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其特征在于所述協(xié)同安全事件為一組彼此相關的網(wǎng)絡安全事件集，它們可以在時間上相關，即按發(fā)生時間排序，相鄰兩個事件間隔不超過規(guī)定單位時間；也可以在空間上相關，即構成此協(xié)同安全事件的網(wǎng)絡安全事件的源網(wǎng)絡協(xié)議地址來自同一子網(wǎng)。
6.如權利要求4所述的分布式網(wǎng)絡動態(tài)安全保護系統(tǒng)，其特征在于所述協(xié)同安全事件為一組彼此相關的網(wǎng)絡安全事件集，它們可以在時間上相關，即按發(fā)生時間排序，相鄰兩個事件間隔不超過規(guī)定單位時間；也可以在空間上相關，即構成此協(xié)同安全事件的網(wǎng)絡安全事件的源網(wǎng)絡協(xié)議地址來自同一子網(wǎng)。
全文摘要
本發(fā)明的分布式網(wǎng)絡安全保護系統(tǒng),網(wǎng)絡中央管理臺配置匯總決策模塊和策略發(fā)布模塊,網(wǎng)絡按照樹型結構分為N個子網(wǎng),各子網(wǎng)管理臺上均配置匯總決策模塊和策略發(fā)布模塊,子網(wǎng)中每個節(jié)點都安裝微入侵檢測模塊和微防火墻模塊,策略發(fā)布模塊采用移動代理技術;本系統(tǒng)的分布式微入侵檢測模塊可提供應用層的安全保護,分布式微防火墻模塊提供內(nèi)核級的網(wǎng)絡層安全保護,不僅以網(wǎng)段為保護單位,而且還以單個節(jié)點機為保護對象,從而實現(xiàn)雙重細粒度的安全保護;該系統(tǒng)與傳統(tǒng)的入侵檢測和防火墻產(chǎn)品相比,具有防止外部和內(nèi)部攻擊、可擴展性強、防單失效點、防范協(xié)同入侵、實時安全保護及動態(tài)自免疫等優(yōu)點。
文檔編號H04L9/00GK1384639SQ0211595
公開日2002年12月11日 申請日期2002年6月11日 優(yōu)先權日2002年6月11日
發(fā)明者韓宗芬, 金海 , 劉科, 鮮豐, 易川江, 孫建華, 郭立 申請人:華中科技大學