CN110572412A - 云环境下基于入侵检测***反馈的防火墙及其实现方法 - Google Patents
云环境下基于入侵检测***反馈的防火墙及其实现方法 Download PDFInfo
- Publication number
- CN110572412A CN110572412A CN201910903978.1A CN201910903978A CN110572412A CN 110572412 A CN110572412 A CN 110572412A CN 201910903978 A CN201910903978 A CN 201910903978A CN 110572412 A CN110572412 A CN 110572412A
- Authority
- CN
- China
- Prior art keywords
- firewall
- ids
- snort
- filtering
- rule
- Prior art date
- Legal status (The legal status is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the status listed.)
- Pending
Links
- 238000001514 detection method Methods 0.000 title claims abstract description 54
- 238000000034 method Methods 0.000 title claims abstract description 30
- 238000001914 filtration Methods 0.000 claims abstract description 60
- 238000004458 analytical method Methods 0.000 claims abstract description 8
- 230000008859 change Effects 0.000 claims abstract description 4
- 238000012216 screening Methods 0.000 claims abstract description 4
- ZPUCINDJVBIVPJ-LJISPDSOSA-N ***e Chemical compound O([C@H]1C[C@@H]2CC[C@@H](N2C)[C@H]1C(=O)OC)C(=O)C1=CC=CC=C1 ZPUCINDJVBIVPJ-LJISPDSOSA-N 0.000 claims description 71
- 238000012544 monitoring process Methods 0.000 claims description 36
- 230000006870 function Effects 0.000 claims description 9
- 238000007781 pre-processing Methods 0.000 claims description 7
- 230000008569 process Effects 0.000 claims description 7
- 238000009434 installation Methods 0.000 claims description 5
- 230000000903 blocking effect Effects 0.000 claims description 4
- 238000007405 data analysis Methods 0.000 claims description 4
- 230000007246 mechanism Effects 0.000 claims description 4
- 238000004891 communication Methods 0.000 claims description 3
- 238000010223 real-time analysis Methods 0.000 claims description 2
- 230000007123 defense Effects 0.000 abstract description 20
- 230000004044 response Effects 0.000 abstract description 3
- 230000008901 benefit Effects 0.000 description 5
- 238000011161 development Methods 0.000 description 4
- 238000002955 isolation Methods 0.000 description 4
- 230000002265 prevention Effects 0.000 description 4
- 238000012545 processing Methods 0.000 description 3
- 238000013459 approach Methods 0.000 description 2
- 238000010586 diagram Methods 0.000 description 2
- 230000006872 improvement Effects 0.000 description 2
- 238000012986 modification Methods 0.000 description 2
- 230000004048 modification Effects 0.000 description 2
- 238000012806 monitoring device Methods 0.000 description 2
- 238000005215 recombination Methods 0.000 description 2
- 230000006798 recombination Effects 0.000 description 2
- 239000000523 sample Substances 0.000 description 2
- 238000004454 trace mineral analysis Methods 0.000 description 2
- 230000002159 abnormal effect Effects 0.000 description 1
- 230000009471 action Effects 0.000 description 1
- 230000009286 beneficial effect Effects 0.000 description 1
- 230000001010 compromised effect Effects 0.000 description 1
- 230000008878 coupling Effects 0.000 description 1
- 238000010168 coupling process Methods 0.000 description 1
- 238000005859 coupling reaction Methods 0.000 description 1
- 238000013500 data storage Methods 0.000 description 1
- 238000013461 design Methods 0.000 description 1
- 230000000694 effects Effects 0.000 description 1
- 238000005516 engineering process Methods 0.000 description 1
- 238000002474 experimental method Methods 0.000 description 1
- 230000036039 immunity Effects 0.000 description 1
- 238000007726 management method Methods 0.000 description 1
- 238000010606 normalization Methods 0.000 description 1
- 238000007639 printing Methods 0.000 description 1
- 238000011160 research Methods 0.000 description 1
- 238000013515 script Methods 0.000 description 1
- 230000001360 synchronised effect Effects 0.000 description 1
- 230000001960 triggered effect Effects 0.000 description 1
Classifications
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0236—Filtering by address, protocol, port number or service, e.g. IP-address or URL
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/02—Network architectures or network communication protocols for network security for separating internal from external traffic, e.g. firewalls
- H04L63/0227—Filtering policies
- H04L63/0263—Rule management
-
- H—ELECTRICITY
- H04—ELECTRIC COMMUNICATION TECHNIQUE
- H04L—TRANSMISSION OF DIGITAL INFORMATION, e.g. TELEGRAPHIC COMMUNICATION
- H04L63/00—Network architectures or network communication protocols for network security
- H04L63/14—Network architectures or network communication protocols for network security for detecting or protecting against malicious traffic
- H04L63/1441—Countermeasures against malicious traffic
Landscapes
- Engineering & Computer Science (AREA)
- Computer Security & Cryptography (AREA)
- Computer Hardware Design (AREA)
- Computing Systems (AREA)
- General Engineering & Computer Science (AREA)
- Computer Networks & Wireless Communication (AREA)
- Signal Processing (AREA)
- Business, Economics & Management (AREA)
- General Business, Economics & Management (AREA)
- Data Exchanges In Wide-Area Networks (AREA)
- Computer And Data Communications (AREA)
Abstract
本发明公开了一种云环境下基于入侵检测***反馈的防火墙及其实现方法，包括防火墙部分和IDS部分；防火墙部分根据过滤规则首次过滤网络数据；IDS部分进一步过滤通过防火墙的数据，筛选基于IDS过滤规则；防火墙部分的过滤策略通过***中IDS部分的反馈信息更新。本发明结合了防火墙和入侵检测***(IDS)，通过IDS与防火墙实施联锁，攻击的防御分为两部分，防御工作自然分为两部分。防火墙部分用于粗粒度防御，IDS部分用于细粒度分析分组信息，双层防御更加有效和准确，防御攻击与云服务服务器分离，不影响云服务的质量，减少云服务的响应延迟；采用基于IDS的反馈改变规则，能够灵活地检测攻击。
Description
技术领域
本发明属于云环境及防火墙技术领域，涉及云环境下基于入侵检测***反馈的防火墙及其实现方法。
背景技术
随着云计算的快速发展，越来越多的云计算公司开始关注云安全的重要性。作为云安全的一部分，“如何防御来自互联网的攻击”正成为热点。在讨论这个主题时，我们需要建立一个***，通过物理网卡监控网络流量，对其进行分析，并对不同类型的网络协议进行分类。通过IDS的反馈，防火墙的规则得到更新。在IDS的帮助下，防火墙的有效性变得更好。云***架构由五部分组成：消费者，云服务提供商，云代理，审计员和云运营商。我们将重点关注云服务提供商在云安全中的作用。云部署方法分为现场和非现场。现场意味着提供商和消费者在同一网络上，通常都属于同一公司。场外意味着提供者和消费者处于具有特定物理距离的不同网络中，并且消费者远程请求该服务。
虽然云计算的体系结构是多样的，但作为最基本的体系结构-基础设施层，用户通过网络连接到云服务，以实现对云服务的访问，这是云服务的主要服务模式。攻击分为多种中等方式，分为内部攻击和外部攻击。在本发明中，讨论了外部攻击。在外部攻击中，最分散的是拒绝访问攻击。由于云服务供应商(CSP)通常具有较大的带宽容量，传统的分布式拒绝访问攻击方法因DDoS攻击而无用。原理是使用各种***同时向目标***发送数据或服务请求，以了解目标***无法响应请求甚至崩溃；从而达到了攻击的目的。但是，我们已经看到有许多其他方法可以拒绝访问位于云平台中的目标***。
通常，云服务是构建在虚拟机上的服务。虚拟设备被虚拟化以实现多路复用的目的。云平台的本质是虚拟化物理计算资源，然后按需分配虚拟化计算资源；因此，减少了物理资源的闲置，提高了资源的利用率。基于内核的虚拟机(KVM)虚拟化底层硬件资源。例如，云平台上的所有虚拟机共享物理网络接口控制器(NIC)。然后，所有云平台上的数据流量都流经物理网卡。对NIC的监控可以实现对云平台中网络流量的监控。如果要实施云安全检测，可以侦听物理设备的网卡。
IDS布局中的矛盾：一方面，直接检查受监控***的状态可提供更好的可见性，增加可分析事件的范围，降低错误查看***状态的风险，减少不受监控的攻击数量，以及高能见度使逃生变得更加困难。另一方面，增加目标***对IDS的可见性通常是以IDS和攻击者之间较弱的隔离为代价的。这增加了直接攻击IDS的风险。
入侵检测***有两种，一种是基于主机的入侵检测***(HIDS)，另一种是网络入侵检测***(NIDS)。NIDS是这个***的重点，对于云架构的特性，通过物理网卡的多路复用，只需通过监听它，并分析通过它来检测攻击的网络流量。此外，为了突出防火墙的重要性，IDS监控数据被分析并自动添加到防火墙的防御策略中。
在比较主要的IDS架构时，这种权衡更为明显：基于网络的入侵检测***(NIDS)以可见性为代价提供高攻击免疫力，基于主机的入侵检测***(HIDS)，提供高可见性但牺牲了攻击。基于主机的体系结构提供的出色可见性导致开发了各种有效的技术来检测攻击者的影响，从称为跟踪分析的复杂***到完整性检查和日志文件。
HIDS是一种基于主机的入侵检测***，可以作为应用程序或作为操作***的一部分集成到其受监视的主机中，从而提供高可见性。基于主机的体系结构提供的出色可见性使得能够开发各种有效的技术来检测攻击者的影响，从复杂的***调用跟踪分析到完整性检查和日志文件分析。NIDS引领基于网络的入侵检测***的可见性，并且显着减少，无法监控内部主机状态或事件，并且必须从进出主机的网络流量中收集所有信息。有限的可见性为攻击者提供了更多操纵IDS监控的空间，攻击者还可以有目的地制定网络流量，从而难以推断或推断其对主机的影响。NIDS的优势在于即使主机受到威胁也能保持可见性。
发明内容
为解决上述问题，本发明公开了一种云环境下基于入侵检测***反馈的防火墙及其实现方法，结合了防火墙和入侵检测***(IDS)，使用入侵检测***，可以检测ICMP，TCP，UDP攻击。
为了达到上述目的，本发明提供如下技术方案：
一种云环境下基于入侵检测***反馈的防火墙，包括防火墙部分和IDS部分；所述防火墙部分根据过滤规则首次过滤网络数据；所述IDS部分进一步过滤通过防火墙的数据，筛选基于IDS过滤规则；所述防火墙部分的过滤策略通过***中IDS部分的反馈信息更新。
进一步的，所述防火墙部分功能如下：
首先，在***中使用包过滤防火墙，并在网络层选择数据包；选择基于***中设置的过滤逻辑，称为访问控制表；通过检查数据流中每个数据包的源地址和目标地址，使用的端口号和协议状态或它们的组合来确定是否允许数据包通过；
在随后从IDS到防火墙的反馈中，访问控制列表被更新；未检测到的数据包由IDS和IDS检测到的威胁数据包进行过滤；数据包的原始地址和目的地址，使用的端口号以及协议状态等信息将反馈给防火墙；防火墙将反馈信息写入过滤规则，并更改访问控制列表以实现访问控制更新的目的；
防火墙阻止攻击功能如下：
防火墙查询***中设置的过滤逻辑，检测数据包的源IP地址，目的IP地址，端口号和协议类型，并匹配过滤逻辑；如果有匹配项，则直接丢弃；如果不匹配，则接受；
防火墙更新政策如下：
由配置文件组成，设置配置文件能够更改过滤规则；它主要与查询模块和IDS通信，与查询模块通信实现过滤，并通过IDS通信实现过滤规则更新。
进一步的，所述IDS部分与Snort开源项目一起实现，所述Snort开源项目包括本地规则库和在线实时规则库；所述本地规则库根据特定的云服务类型编写，针对不同的协议规定了不同的过滤规则；所述在线规则库由Snort开源项目团队维护，并更新为最新的过滤规则。
进一步的，所述IDS的实现包括两个部分：Snort和barnyard；所述Snort负责嗅探和数据分析，所述Barnyard负责存储嗅探的警告信息；所述警告信息存储在MySQL中；
所述数据分析功能包括如下过程：
通过配置Snort的local.rules文件为IDS监控的特定云服务实现包过滤，在线规则库与最新的规则库匹配；通过实时数据流量分析和记录IP网络数据包，进行协议分析，匹配网络数据包内容，检测各种攻击模式，并对攻击进行实时告警。
IDS更新规则如下：
规则更新与防火墙通信，以及时提供防火墙过滤规则的反馈，Guardian实现了对防火墙过滤机制，访问控制列表更新和IP地址释放的更改。
进一步的，所述Snort包括下述软件模块：
数据包嗅探模块，用于监听网络数据包并分析网络；
预处理模块，用于使用相应的插件检查原始数据包，预处理原始数据包，读取数据包信息；
检测模块，用于在从预处理器发送数据包之后，根据规则检查数据包，并且一旦发现数据匹配，就通知警报模块。
警报模块，用于在检测模块检测后，将数据输出到MySQL。
进一步的，Guardian运行步骤如下：
(1)Guardian的执行文件guardian.pl
(2)Guardian封锁IP所要调用的外部程序scripts/iptalbes_block.sh
(3)Guardian解除对某一IP封锁时，调用外部程序scripts/iptalbes_unblock.sh。
本发明还提供了一种云环境下基于入侵检测***反馈的防火墙的实现方法，包括如下步骤：
步骤一、安装阶段启用KVM虚拟机的防火墙，并初始化防火墙配置文件，在虚拟机上安装Snort，并对其进行配置，包括了在线规则库的下载，以及数据库的安装配置；
添加数据库MySQL；
步骤二、运行阶段，基于Snort的IDS将在线规则库下载到本地，并结合本地配置的local规则库进行过滤；
其中具体操作包括：
防火墙过滤后的网络数据包，通过Snort的重新包装，将其包装成Snort数据包，方便Snort进行数据包的拆解，并利用规则来匹配数据包进行实时分析；
IDS在拦截到网络威胁之后，通过将output database相关项注释掉，将日志输出设置到MySQL数据库中，在MySQL数据库中建立一个Snort数据库，并建立一个Snort用户来管理这个数据库；
步骤三、通过停止IDS运行进程结束检测。
进一步的，Snort的运行模式包括三种，对应不同的控制模式，具体包含：
模式1：sniffer
模式2：packet logger
模式3：network intrusion detection system。
sniffer模式简单地从网络上抓取数据包并在终端显示出来；packet logger模式能把数据包保存在磁盘中；network intrusion detection能使Snort根据用户定义的规则分析网络流量，并作出反应。
进一步的，所述IDS使用模式3。
与现有技术相比，本发明具有如下优点和有益效果：
通过IDS与防火墙实施联锁，攻击的防御分为两部分，防御工作自然分为两部分。防火墙部分用于粗粒度防御，IDS部分用于细粒度分析分组信息，双层防御更加有效和准确，防御攻击与云服务服务器分离，不影响云服务的质量，减少云服务的响应延迟；采用基于IDS的反馈改变规则，能够灵活地检测攻击。
附图说明
图1为云环境下的架构图。
图2为具体的虚拟机防火墙架构图。
具体实施方式
以下将结合具体实施例对本发明提供的技术方案进行详细说明，应理解下述具体实施方式仅用于说明本发明而不用于限制本发明的范围。另外，在附图的流程图示出的步骤可以在诸如一组计算机可执行指令的计算机***中执行，并且，虽然在流程图中示出了逻辑顺序，但是在某些情况下，可以以不同于此处的顺序执行所示出或描述的步骤。
虚拟化监控的研究很多，分为两类：内部监控和外部监控，云环境下基于入侵检测***反馈的防火墙设计，主要针对的是外部监控，阻隔外部网络对内部云平台的攻击。
由于虚拟机的隔离，内部监视是一种非透明的监视方法。内部监控涉及操作***级别，以及需要植入的一些辅助监控模块，这些模块对受监控***有要求。对于云平台，没有通用的方法。在部署内部监控的***中，监控***通常部署在管理域中，利用虚拟化技术的隔离来保证监控***的安全性。为了达到监视目标***的目的，将事件捕获模块植入目标***中。监控需要监控的操作。内部监控的优点是它可以涉及特定的目标***，并且可以使用目标***的语义。监控过程的开销很低。缺点还在于监控***和目标***之间的紧密耦合，使得监控过程不透明，并且在监控部署中也不通用。另一种是外部监测，这也是本发明使用的监测方法。外部监测是一种透明的监测方法。它也是一种使用虚拟机的隔离机制。监视虚拟机外部的虚拟机内部不需要修改目标***。以下进一步概述了在***中部署该监视方法的方式以及一些变化。
本发明环境整体架构如图1所示，防火墙系架构如图2所示，分为两部分：一部分是防火墙部分，另一部分是IDS部分。在防火墙部分，根据过滤规则首次过滤网络数据。IDS部分进一步过滤通过防火墙的数据，筛选基于IDS过滤规则。其中，通过***中IDS部分的反馈信息，去更新防火墙的过滤策略。
在本发明的体系结构中，防火墙的整体架构没有改变。它分为两部分：拦截攻击和安全策略更新。在拦截攻击方面，类似于传统的防火墙，根据防火墙配置文件过滤网络流量，过滤数据包，并确定数据包是否符合规则，它通过规则，如果是，则将其丢弃不匹配。
在安全策略更新部分，防火墙过滤规则是在***的初始状态下修复的。在本发明中，与传统的防火墙过滤规则不同，它是动态变化的。通过IDS的反馈，实现了更有效的过滤。
IDS部分与Snort开源项目一起实现，该项目包括本地规则库和在线实时规则库。
(1)本地规则库是根据特定的云服务类型编写的。针对不同的协议规定了不同的过滤规则，例如DDoS的ICMP协议过滤。
(2)在线规则库由Snort开源项目团队维护，并更新为最新的过滤规则。
IDS部分是***的重点，它实现了攻击监控和数据反馈。IDS包括Snort，barnyard和MySQL，其中Snort实现攻击监控并通过barnyard将攻击记录存储在MySQL中。
入侵检测***是一种主动防御保护***，最初作为传统的网络监控工具出现。随着云计算的快速发展，它被用于云服务安全领域。对于大型云服务***，它可以监控流入云的网络流量，即使检测到异常流量以及即使发出预警也是如此。它与防火墙不同。它是一种监控设备，可实时监控流量数据并发出警报。
与一般的IDS不同，在本发明中，IDS结合了防火墙的防御功能。通过与防火墙的实施联锁，攻击的防御分为两部分，防御工作自然分为两部分。防火墙部分用于粗粒度防御，IDS部分用于细粒度分析分组信息。IDS的优势在于双层防御更加有效和准确，防御攻击与云服务服务器分离，不影响云服务的质量，减少云服务的响应延迟。
本发明中的IDS基于Snort，Snort是优秀IDS的核心，它抓取IP层上的数据进行分析，嗅探各种格式的数据包，然后根据自己的规则重新组装。虽然Snort的功能并不完美，但它的优势在于它能够与许多安全组件协同工作，以实现安全监控的多种要求，另外结合数据库也可以将异常处理的结果进行持久化。
Snort主要包含以下三类预处理器：
1)包重组预处理器：
2)协议规范化预处理器：
3)异常检测预处理器：
Snort使用简单的规则描述语言，易于扩展且功能强大。Snort规则是基于文本的，规则文件根据不同的组进行分类。例如，文件ftp.rules包含FTP攻击内容。Snort的每个规则可以分为两个逻辑部分：规则头和规则体。规则头由四部分组成：规则行为，协议，源信息和目标信息。
规则体的作用是进一步分析规则头信息，并可用于确认复杂攻击。Snort的规则定义中没有规则体。规则主体由几个单独的段组成，每个段定义一个选项和相应的选项值。
本***具体架构包括：
1)防火墙
作为该***的第一防御级别，防火墙在后续的IDS过滤中起着至关重要的作用。首先，在***中使用包过滤防火墙，并在网络层选择数据包。选择基于***中设置的过滤逻辑，称为访问控制表(ACL)。通过检查数据流中每个数据包的源地址和目标地址，使用的端口号和协议状态或它们的组合来确定是否允许数据包通过。
在随后从IDS到防火墙的反馈中，访问控制列表被更新，因为防火墙无法抵御所有攻击。未检测到的数据包由IDS和IDS检测到的威胁数据包进行过滤。数据包的原始地址和目的地址，使用的端口号以及协议状态等信息将反馈给防火墙。防火墙将反馈信息写入过滤规则，并更改访问控制列表以实现访问控制更新的目的。
·阻止攻击
防火墙查询***中设置的过滤逻辑，检测数据包的源IP地址，目的IP地址，端口号和协议类型，并匹配过滤逻辑。如果有匹配项，则直接丢弃；如果不匹配，则接受。
·更新政策
过滤规则是防火墙过滤的主要依据。它通常由配置文件组成。设置配置文件可以更改过滤规则。它主要与查询模块和IDS通信，与查询模块通信实现过滤，并通过IDS通信实现过滤规则更新。
2)入侵检测***
IDS是整个***的重要组成部分，也是实现精确攻击防御的重要因素。此***中的IDS是基于开源项目Snort构建的。在IDS中，主要有两个规则库，一个是本地配置的规则库，另一个是在线规则库。本地规则库旨在适应特定的云服务，并随云服务而变化；在线规则库是实时的，与最新的攻击防范信息同步。通过这两个规则库，您可以有效抵御来自外部网络的攻击。
IDS的实现主要由两个部分实现：Snort和barnyard。Snort负责嗅探和分析数据包。
Barnyard负责存储嗅探的警告信息。在该***中，警告信息存储在MySQL中。便于分析和处理安全工作取证过程的数据和数据保护。
·数据分析
数据包主要由Snort实现。通过配置Snort的local.rules文件为IDS监控的特定云服务实现包过滤，在线规则库与最新的规则库匹配。通过实时数据流量分析和记录IP网络数据包，进行协议分析，匹配网络数据包内容，检测各种攻击模式，并对攻击进行实时告警。
Snort的体系结构如下：
①数据包嗅探模块-主要负责监听网络数据包，并根据TCP/IP协议解析数据包。
②预处理模块-该模块使用相应的插件检查原始数据包，预处理原始数据包，轻松读取数据包信息，如IP地址，端口等。具体的说，包括：1.包重组预处理器，它的作用是为了防止攻击信息被拆分到多个包中而逃避了Snort的检测；2.协议编码预处理器，它的功能是把数据包协议解码成一个统一的格式，再传送给检测模块；3.协议异常检测预处器。
③检测引擎模块-该模块是Snort的核心模块。当预处理器把数据包送过来后，检测引擎将这些数据包与三维链表形式的检测规则进行匹配，一旦发现数据包中的内容和某条规则相匹配，就通知报警模块。
④报警/日志模块-检测引擎检查后将数据包传送给报警模块后，报警模块会根据规则定义(alert，log..)对其进行不同的处理(数据库，日志)，将数据输出到MySQL。
由于解码模块和预处理模块功能类似，都是在规则检测引擎之前对数据包的处理，所以两个模块一并介绍。解码模块主要是将从监控网络当中抓取的原始网络数据包，按照各个网络协议栈从下至上进行解码，并将解码数据保存到各个对应的数据结构当中，最后交由预处理模块进行处理。
解码后的数据包经过预处理之后才能被主探测引擎进行规则匹配。预处理器主要用来应对一些IDS攻击手段。其作用包括：
(1)针对可疑行为检查包或修改包，以便探测引擎能对其正确解释。
(2)负责对流量标准化，以便探测引擎能精确匹配特征。
·更新规则
规则更新与防火墙通信，以及时提供防火墙过滤规则的反馈，从而使防火墙能够更有效地防御攻击。Guardian实现了对防火墙过滤机制，访问控制列表更新和IP地址释放的更改。
·Guardian
上面谈到防火墙的更新，我们是由Guardian实现的，它是一个安全程序，与Snort一起使用。它有更多由Snort生成的警报，以及统计信息，并自动更新防火墙规则。在Snort中，我们之前讨论过警报问题。Guardian可以将生成警报的IP地址反馈给防火墙。更新的防火墙规则通过ACL拦截来自IP的所有流量数据；此外，还有一些逻辑可以阻止重要的机器，如DNS服务器，网关和任何你想要的东西。具体的运行步骤如下：
(1)Guardian的执行文件guardian.pl
(2)Guardian封锁IP所要调用的外部程序scripts/iptalbes_block.sh
(3)Guardian解除对某一IP封锁时，所需要调用的外部程序scripts/iptalbes_unblock.sh
***布施的具体步骤如下：
步骤一、安装阶段启用KVM虚拟机的防火墙，并初始化防火墙配置文件，包括ACL等，在虚拟机上安装Snort，并对其进行配置，包括了在线规则库的下载，以及数据库的安装配置。
为了进行告警信息的存储，本***中添加了数据库MySQL，也是将告警信息发布到base页面的基础。
步骤二、运行阶段，基于Snort的IDS会将在线规则库下载到本地，并结合本地配置的local规则库进行过滤。
其中的具体操作是，防火墙过滤后的网络数据包，通过Snort的重新包装，将其包装成Snort数据包，方便Snort进行数据包的拆解，并进行分析网络协议，并作出反应。
Snort的规则模型示例：
alert tcp 202.110.8.1any->122.111.90.880(msg:”Web Access”；sid:1)
·alert：表示如果此条规则被触发则告警
·tcp：协议类型
·ip地址：源/目的IP地址
·any/80：端口号
·->：方向操作符，还有<>双向。
·msg：在告警和包日志中打印消息
·sid：Snort规则id…
这条规则看字面意思就很容易理解。Snort就是利用规则来匹配数据包进行实时流量分析，网络数据包记录的网络入侵检测/防御***(Network Intrusion Detection/Prevention System),也就是NIDS/NIPS。
IDS在拦截到网络威胁之后，通过将output database相关项注释掉，将日志输出设置到MySQL数据库中，在MySQL数据库中建立一个Snort数据库，并建立一个Snort用户来管理这个数据库。
步骤三、通过停止IDS运行进程来结束检测。
作为***中最重要的部分，Snort负责拦截和预警。在此***中，Snort在入侵检测模式下工作。我们可以让Snort分析网络数据流以匹配一些用户定义的规则，并根据检测结果采取某些行动。
IDS作为本***的核心，Snort的运行模式分为三种，包含3种不同的运行模式，对应不同的控制模式，具体包含：
模式1：sniffer
模式2：packet logger
模式3：network intrusion detection system。
sniffer模式只是简单地从网络上抓取数据包并在终端显示出来；packet logger模式可把数据包保存在磁盘中；network intrusion detection模式是最复杂，具有高可配置性。它可使Snort根据用户定义的规则分析网络流量，并作出反应。本***中使用的是模式3，能够实现更加丰富的检测方式。
我们的实验在阿里云平台上实施，用于构建基于CentOS-7-x86_64-Minimal-1511的虚拟机***。实验工具是Snort-2.9.9.0，用于监控攻击行为；barnyard2-1.9是一种数据存储工具；MySQL将Snort警告存储为数据库。DDoS攻击由不同的主机发起并记录在数据库中，通过分析数据来评估***的性能。
本发明方案所公开的技术手段不仅限于上述实施方式所公开的技术手段，还包括由以上技术特征任意组合所组成的技术方案。应当指出，对于本技术领域的普通技术人员来说，在不脱离本发明原理的前提下，还可以做出若干改进和润饰，这些改进和润饰也视为本发明的保护范围。
Claims (9)
1.一种云环境下基于入侵检测***反馈的防火墙，其特征在于：包括防火墙部分和IDS部分；所述防火墙部分根据过滤规则首次过滤网络数据；所述IDS部分进一步过滤通过防火墙的数据，筛选基于IDS过滤规则；所述防火墙部分的过滤策略通过***中IDS部分的反馈信息更新。
2.根据权利要求1所述的云环境下基于入侵检测***反馈的防火墙，其特征在于：所述防火墙部分功能如下：
首先，在***中使用包过滤防火墙，并在网络层选择数据包；选择基于***中设置的过滤逻辑，称为访问控制表；通过检查数据流中每个数据包的源地址和目标地址，使用的端口号和协议状态或它们的组合来确定是否允许数据包通过；
在随后从IDS到防火墙的反馈中，访问控制列表被更新；未检测到的数据包由IDS和IDS检测到的威胁数据包进行过滤；数据包的原始地址和目的地址，使用的端口号以及协议状态等信息将反馈给防火墙；防火墙将反馈信息写入过滤规则，并更改访问控制列表以实现访问控制更新的目的；
防火墙阻止攻击功能如下：
防火墙查询***中设置的过滤逻辑，检测数据包的源IP地址，目的IP地址，端口号和协议类型，并匹配过滤逻辑；如果有匹配项，则直接丢弃；如果不匹配，则接受；
防火墙更新政策如下：
由配置文件组成，设置配置文件能够更改过滤规则；它主要与查询模块和IDS通信，与查询模块通信实现过滤，并通过IDS通信实现过滤规则更新。
3.根据权利要求1所述的云环境下基于入侵检测***反馈的防火墙，其特征在于：所述IDS部分与Snort开源项目一起实现，所述Snort开源项目包括本地规则库和在线实时规则库；所述本地规则库根据特定的云服务类型编写，针对不同的协议规定了不同的过滤规则；所述在线规则库由Snort开源项目团队维护，并更新为最新的过滤规则。
4.根据权利要求3所述的云环境下基于入侵检测***反馈的防火墙，其特征在于：所述IDS的实现包括两个部分：Snort和barnyard；所述Snort负责嗅探和数据分析，所述Barnyard负责存储嗅探的警告信息；所述警告信息存储在MySQL中；
所述数据分析功能包括如下过程：
通过配置Snort的local.rules文件为IDS监控的特定云服务实现包过滤，在线规则库与最新的规则库匹配；通过实时数据流量分析和记录IP网络数据包，进行协议分析，匹配网络数据包内容，检测各种攻击模式，并对攻击进行实时告警；
IDS更新规则如下：
规则更新与防火墙通信，以及时提供防火墙过滤规则的反馈，Guardian实现了对防火墙过滤机制，访问控制列表更新和IP地址释放的更改。
5.根据权利要求4所述的云环境下基于入侵检测***反馈的防火墙，其特征在于：所述Snort包括下述软件模块：
数据包嗅探模块，用于监听网络数据包并分析网络；
预处理模块，用于使用相应的插件检查原始数据包，预处理原始数据包，读取数据包信息；
检测模块，用于在从预处理器发送数据包之后，根据规则检查数据包，并且一旦发现数据匹配，就通知警报模块。
警报模块，用于在检测模块检测后，将数据输出到MySQL。
6.根据权利要求4所述的云环境下基于入侵检测***反馈的防火墙，其特征在于：所述Guardian运行步骤如下：
(1)Guardian的执行文件guardian.pl
(2)Guardian封锁IP所要调用的外部程序scripts/iptalbes_block.sh
(3)Guardian解除对某一IP封锁时，调用外部程序scripts/iptalbes_unblock.sh。
7.一种云环境下基于入侵检测***反馈的防火墙的实现方法，其特征在于，包括如下步骤：
步骤一、安装阶段启用KVM虚拟机的防火墙，并初始化防火墙配置文件，在虚拟机上安装Snort，并对其进行配置，包括了在线规则库的下载，以及数据库的安装配置；
添加数据库MySQL；
步骤二、运行阶段，基于Snort的IDS将在线规则库下载到本地，并结合本地配置的local规则库进行过滤；
其中具体操作包括：
防火墙过滤后的网络数据包，通过Snort的重新包装，将其包装成Snort数据包，方便Snort进行数据包的拆解，并利用规则来匹配数据包进行实时分析；
IDS在拦截到网络威胁之后，通过将output database相关项注释掉，将日志输出设置到MySQL数据库中，在MySQL数据库中建立一个Snort数据库，并建立一个Snort用户来管理这个数据库；
步骤三、通过停止IDS运行进程结束检测。
8.根据权利要求7所述的云环境下基于入侵检测***反馈的防火墙的实现方法，其特征在于，Snort的运行模式包括三种，对应不同的控制模式，具体包含：
模式1：sniffer
模式2：packet logger
模式3：network intrusion detection system。
sniffer模式简单地从网络上抓取数据包并在终端显示出来；packet logger模式能把数据包保存在磁盘中；network intrusion detection能使Snort根据用户定义的规则分析网络流量，并作出反应。
9.根据权利要求8所述的云环境下基于入侵检测***反馈的防火墙的实现方法，其特征在于：所述IDS使用模式3。
Priority Applications (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910903978.1A CN110572412A (zh) | 2019-09-24 | 2019-09-24 | 云环境下基于入侵检测***反馈的防火墙及其实现方法 |
Applications Claiming Priority (1)
| Application Number | Priority Date | Filing Date | Title |
|---|---|---|---|
| CN201910903978.1A CN110572412A (zh) | 2019-09-24 | 2019-09-24 | 云环境下基于入侵检测***反馈的防火墙及其实现方法 |
Publications (1)
| Publication Number | Publication Date |
|---|---|
| CN110572412A true CN110572412A (zh) | 2019-12-13 |
Family
ID=68782162
Family Applications (1)
| Application Number | Title | Priority Date | Filing Date |
|---|---|---|---|
| CN201910903978.1A Pending CN110572412A (zh) | 2019-09-24 | 2019-09-24 | 云环境下基于入侵检测***反馈的防火墙及其实现方法 |
Country Status (1)
| Country | Link |
|---|---|
| CN (1) | CN110572412A (zh) |
Cited By (12)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN111431864A (zh) * | 2020-02-28 | 2020-07-17 | 深圳开源互联网安全技术有限公司 | 车联网监控***、方法、装置及可读存储介质 |
| CN111669371A (zh) * | 2020-05-18 | 2020-09-15 | 深圳供电局有限公司 | 一种适用于电力网络的网络攻击还原***及方法 |
| CN111726364A (zh) * | 2020-06-29 | 2020-09-29 | 浙江军盾信息科技有限公司 | 一种主机入侵防范方法、***及相关装置 |
| CN112118248A (zh) * | 2020-09-11 | 2020-12-22 | 苏州浪潮智能科技有限公司 | 云平台虚拟机异常流量检测方法、装置、虚拟机及*** |
| CN112995174A (zh) * | 2021-02-24 | 2021-06-18 | 紫光云技术有限公司 | 基于snort的入侵防御*** |
| CN113014571A (zh) * | 2021-02-22 | 2021-06-22 | 腾讯科技（深圳）有限公司 | 一种访问请求处理的方法、装置及存储介质 |
| CN114079576A (zh) * | 2020-08-18 | 2022-02-22 | 奇安信科技集团股份有限公司 | 安全防御方法、装置、电子设备及介质 |
| WO2022100002A1 (zh) * | 2020-11-10 | 2022-05-19 | 华为技术有限公司 | 网络安全防护方法以及防护设备 |
| CN114553448A (zh) * | 2020-11-18 | 2022-05-27 | 上海汽车集团股份有限公司 | 一种车载网络信息安全*** |
| CN114900347A (zh) * | 2022-04-28 | 2022-08-12 | 重庆长安汽车股份有限公司 | 一种基于以太网的入侵检测方法及数据包分发方法 |
| WO2023184303A1 (zh) * | 2022-03-31 | 2023-10-05 | 华为技术有限公司 | 一种安全检测方法、装置和车辆 |
| GB2621629A (en) * | 2022-08-19 | 2024-02-21 | British Telecomm | Intrusion prevention system |
Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101299760A (zh) * | 2008-05-28 | 2008-11-05 | 北京星网锐捷网络技术有限公司 | 信息安全处理方法与信息安全处理***、通信设备 |
| CN101610264A (zh) * | 2009-07-24 | 2009-12-23 | 深圳市永达电子股份有限公司 | 一种防火墙***、安全服务平台及防火墙***的管理方法 |
| CN101714990A (zh) * | 2009-10-30 | 2010-05-26 | 清华大学 | 一种网络安全防护集成***及其控制方法 |
| CN102111420A (zh) * | 2011-03-16 | 2011-06-29 | 上海电机学院 | 基于动态云火墙联动的智能nips架构 |
| CN102164129A (zh) * | 2011-03-19 | 2011-08-24 | 东北电力大学 | 防火墙与入侵检测***的联动方法 |
| CN104660554A (zh) * | 2013-11-19 | 2015-05-27 | 北京天地超云科技有限公司 | 一种虚拟机通信数据安全的实现方法 |
-
2019
- 2019-09-24 CN CN201910903978.1A patent/CN110572412A/zh active Pending
Patent Citations (6)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN101299760A (zh) * | 2008-05-28 | 2008-11-05 | 北京星网锐捷网络技术有限公司 | 信息安全处理方法与信息安全处理***、通信设备 |
| CN101610264A (zh) * | 2009-07-24 | 2009-12-23 | 深圳市永达电子股份有限公司 | 一种防火墙***、安全服务平台及防火墙***的管理方法 |
| CN101714990A (zh) * | 2009-10-30 | 2010-05-26 | 清华大学 | 一种网络安全防护集成***及其控制方法 |
| CN102111420A (zh) * | 2011-03-16 | 2011-06-29 | 上海电机学院 | 基于动态云火墙联动的智能nips架构 |
| CN102164129A (zh) * | 2011-03-19 | 2011-08-24 | 东北电力大学 | 防火墙与入侵检测***的联动方法 |
| CN104660554A (zh) * | 2013-11-19 | 2015-05-27 | 北京天地超云科技有限公司 | 一种虚拟机通信数据安全的实现方法 |
Non-Patent Citations (4)
| Title |
|---|
| 张晶: "防火墙中嵌入式入侵检测方法的研究", 《中国优秀硕士学位论文全文数据库信息科技辑》 * |
| 杜敏: "结合入侵检测机制的Netfilter防火墙的研究", 《中国优秀硕士学位论文全文数据库信息科技辑》 * |
| 杨光明子: "基于入侵检测的APT防御平台的设计与实现", 《中国优秀硕士学位论文全文数据库信息科技辑》 * |
| 蔺德军: "关于IDS和防火墙有机整合的探讨", 《青岛大学学报(工程技术版)》 * |
Cited By (19)
| Publication number | Priority date | Publication date | Assignee | Title |
|---|---|---|---|---|
| CN111431864A (zh) * | 2020-02-28 | 2020-07-17 | 深圳开源互联网安全技术有限公司 | 车联网监控***、方法、装置及可读存储介质 |
| CN111669371A (zh) * | 2020-05-18 | 2020-09-15 | 深圳供电局有限公司 | 一种适用于电力网络的网络攻击还原***及方法 |
| CN111669371B (zh) * | 2020-05-18 | 2022-09-30 | 深圳供电局有限公司 | 一种适用于电力网络的网络攻击还原***及方法 |
| CN111726364A (zh) * | 2020-06-29 | 2020-09-29 | 浙江军盾信息科技有限公司 | 一种主机入侵防范方法、***及相关装置 |
| CN111726364B (zh) * | 2020-06-29 | 2023-04-07 | 杭州安恒信息安全技术有限公司 | 一种主机入侵防范方法、***及相关装置 |
| CN114079576B (zh) * | 2020-08-18 | 2024-06-11 | 奇安信科技集团股份有限公司 | 安全防御方法、装置、电子设备及介质 |
| CN114079576A (zh) * | 2020-08-18 | 2022-02-22 | 奇安信科技集团股份有限公司 | 安全防御方法、装置、电子设备及介质 |
| CN112118248B (zh) * | 2020-09-11 | 2022-06-14 | 苏州浪潮智能科技有限公司 | 云平台虚拟机异常流量检测方法、装置、虚拟机及*** |
| CN112118248A (zh) * | 2020-09-11 | 2020-12-22 | 苏州浪潮智能科技有限公司 | 云平台虚拟机异常流量检测方法、装置、虚拟机及*** |
| WO2022100002A1 (zh) * | 2020-11-10 | 2022-05-19 | 华为技术有限公司 | 网络安全防护方法以及防护设备 |
| CN114553448A (zh) * | 2020-11-18 | 2022-05-27 | 上海汽车集团股份有限公司 | 一种车载网络信息安全*** |
| CN114553448B (zh) * | 2020-11-18 | 2024-05-17 | 上海汽车集团股份有限公司 | 一种车载网络信息安全*** |
| CN113014571B (zh) * | 2021-02-22 | 2022-03-25 | 腾讯科技（深圳）有限公司 | 一种访问请求处理的方法、装置及存储介质 |
| CN113014571A (zh) * | 2021-02-22 | 2021-06-22 | 腾讯科技（深圳）有限公司 | 一种访问请求处理的方法、装置及存储介质 |
| CN112995174A (zh) * | 2021-02-24 | 2021-06-18 | 紫光云技术有限公司 | 基于snort的入侵防御*** |
| WO2023184303A1 (zh) * | 2022-03-31 | 2023-10-05 | 华为技术有限公司 | 一种安全检测方法、装置和车辆 |
| CN114900347A (zh) * | 2022-04-28 | 2022-08-12 | 重庆长安汽车股份有限公司 | 一种基于以太网的入侵检测方法及数据包分发方法 |
| CN114900347B (zh) * | 2022-04-28 | 2023-04-14 | 重庆长安汽车股份有限公司 | 一种基于以太网的入侵检测方法及数据包分发方法 |
| GB2621629A (en) * | 2022-08-19 | 2024-02-21 | British Telecomm | Intrusion prevention system |
Similar Documents
| Publication | Publication Date | Title |
|---|---|---|
| CN110572412A (zh) | 云环境下基于入侵检测***反馈的防火墙及其实现方法 | |
| Wang et al. | Intrusion prevention system design | |
| Corona et al. | Adversarial attacks against intrusion detection systems: Taxonomy, solutions and open issues | |
| CN101465770B (zh) | 入侵检测***部署方法 | |
| US7493659B1 (en) | Network intrusion detection and analysis system and method | |
| JP3968724B2 (ja) | ネットワーク保安システム及びその動作方法 | |
| EP2106085B1 (en) | System and method for securing a network from zero-day vulnerability exploits | |
| US20070266433A1 (en) | System and Method for Securing Information in a Virtual Computing Environment | |
| CN100435513C (zh) | 网络设备与入侵检测***联动的方法 | |
| CN112788034B (zh) | 对抗网络攻击的处理方法、装置、电子设备和存储介质 | |
| US11909761B2 (en) | Mitigating malware impact by utilizing sandbox insights | |
| CN112398844A (zh) | 基于内外网实时引流数据的流量分析实现方法 | |
| Ma et al. | A design of firewall based on feedback of intrusion detection system in cloud environment | |
| CN111464526A (zh) | 一种网络入侵检测方法、装置、设备及可读存储介质 | |
| Krishnan et al. | An adaptive distributed intrusion detection system for cloud computing framework | |
| CN102624721B (zh) | 一种特征码验证平台装置及特征码验证方法 | |
| Sequeira | Intrusion prevention systems: security's silver bullet? | |
| KR101768079B1 (ko) | 침입탐지 오탐 개선을 위한 시스템 및 방법 | |
| CN111131168A (zh) | 基于Web应用的自适应防护方法 | |
| KR101767591B1 (ko) | 침입탐지 오탐 개선을 위한 시스템 및 방법 | |
| Dressler et al. | Flow-based worm detection using correlated honeypot logs | |
| Araújo et al. | EICIDS-elastic and internal cloud-based detection system | |
| JP7172104B2 (ja) | ネットワーク監視装置，ネットワーク監視プログラム及びネットワーク監視方法 | |
| Li-Juan | Honeypot-based defense system research and design | |
| Jayan et al. | Sys-log classifier for complex event processing system in network security |
Legal Events
| Date | Code | Title | Description |
|---|---|---|---|
| PB01 | Publication | ||
| PB01 | Publication | ||
| SE01 | Entry into force of request for substantive examination | ||
| SE01 | Entry into force of request for substantive examination | ||
| RJ01 | Rejection of invention patent application after publication |
Application publication date: 20191213 |
|
| RJ01 | Rejection of invention patent application after publication |