基于Agent的防火墙与入侵检测协同防御系统

基于Agent人工智能的异构网络多重覆盖节点入侵检测系统
设计
顾正祥
【期刊名称】《计算机测量与控制》
【年(卷),期】2024(32)5
【摘要】异构网络具有结构复杂、多重覆盖面积大等特征,使得网络入侵检测较为隐蔽,威胁网络运行的安全性;为此,对基于Agent人工智能的异构网络多重覆盖节点入侵检测系统进行了研究;通过检测Agent和通信Agent装设主机Agent,以Cisco Stealthwatch流量传感器作为异构网络传感器检测攻击行为,采用
STM32L151RDT664位微控制器传输批量数据,由MAX3232芯片实现系统电平转化,实现硬件系统设计;软件部分设计入侵检测标准,采用传感器设备捕获网络实时数据,通过Agent技术解析异构网络协议并提取数据运行特征,综合考虑协议解析结果及与检测标准匹配度,实现异构网络多重覆盖节点入侵检测;经实验测试表明,基于Agent人工智能的异构网络多重覆盖节点入侵检测系统入侵行为的漏检率和入侵类型误检率的平均值仅为6%和5%,能够有效提高检测精度,减小检测误差。

【总页数】8页(P17-23)
【作者】顾正祥
【作者单位】金肯职业技术学院人工智能与信息工程学院
【正文语种】中文
【中图分类】TP393
【相关文献】
1.基于节点异构度的覆盖网络副本一致性维护方法
2.基于差分算法的异构无线传感器网络多重覆盖节点调度方案
3.无线传感器网络中基于异构节点的覆盖控制算法
4.异构无线网络节点多重覆盖调度算法
5.基于Agent人工智能技术的分布式入侵检测系统设计
因版权原因，仅展示原文概要，查看原文内容请购买。

移动Agent在入侵检测系统中的应用摘要本文主要对移动agent技术在入检测系统中的应用进行了探讨。

首先介绍了入侵检测系统的重要意义；接着对移动agent 在入侵检测系统中的应用优势进行了分析；最后，系统设计中应该注意的问题进行了剖析。

关键词移动；agent；入侵检测；防火墙中图分类号tu5 文献标识码a 文章编号 1674-6708（2012）58-0179-020 引言入侵检测技术是一种为了避免网络本身受攻击而采取的一种主动保护安全技术。

在当前的应用中，入侵检测技术是防火墙的合理补充，它位于防火墙之后，在对网络性能影响最小的情况下对整个网络进行实时的监控检测，并从整个网络系统中的关键点收集信息，进行检测分析，辅助系统采取策略应对网络攻击，这样有效的提高了系统管理员的网络安全管理能力，提高了网络系统的安全性。

因此，入侵检测已经成为当前继防火墙之后的第二道安全门。

目前，入侵检测系统也已经成为了入网络安全领域的新热点，不仅愈来愈到的收到人们的关注，而且在很多关键的环境中发挥了关键作用。

1 移动agent在入侵检测系统中应用的优势分析与现有的入侵检测系统体系结构相比，采用agent的入侵检测系统具有很多优势，包括：能够克服网络延迟、减少网络带宽以及具有自主性等功能，下面就这3个方面详细展开论述。

具体如下：1）克服网络延迟在那些对实时响应要求很强的系统中，移动agent大有用武之地，因为他们可以有一个中央处理器进行控制，并且可以派遣到相应的远程节点上去执行任务。

但是在传统的入侵接侧系统中，中央处理器会根据接收到的报警，通过与发出警报节点的信息交换来实现对异常情况的处理。

但是，在这其中存在着一定的潜在问题，比如，中央处理器在与发出警报端节点的信息处理过程中还要处理本身的一些任务，试想，如果同一时间段内系统多个节点发出警报，势必会占用中央处理器大量资源，甚至会导致异常情况处理的延迟，而有些时候这些延迟对于系统来说却是致命的。

基于多Agent的网络入侵检测系统的设计【摘要】本文将智能体（ agent）技术应用到入侵检测系统中，并在此基础上提出了一种基于多智能（multi-agent）的网络入侵检测系统（net detection system based multi-agent ，ndsma）的新体系结构。

【关键词】入侵检测；智能体本系统系统采取multi-agent结构，充分利用agent本身的独立性与自主性，尽量降低各检测部件间的相关性，避免了单个中心分析器带来的单点失效问题。

各个数据采集部件、检测部件都是独立的单元，不仅实现了数据收集的分散化，而且将入侵检测和实时响应分散化，提高了系统的健壮性。

ndsma构架，主要包括6个模块：数据收集agent，数据预处理agent，主控agent，通信agent，检测agent（主机检测agent和巡回检查agent）。

数据收集agent驻留在目标主机的数据采集agent，负责采集流经主机网络适配器端口的网络数据包并传送给数据预处理agent处理[1]。

它是高带宽网路中防止数据包丢失的关键。

作为系统的底层组件，它们之间没有合作行为，只负责处理自己所在受控主机的数据包。

数据预处理agent数据采集agent捕获的网络数据信息量非常大，如果不加任何处理的直接交给检测agent处理势必增加检测agent的工作量，导致处理“瓶颈”。

因此我们需要根据特定规则对原始数据预处理后，再以特征码的方式将数据传送到检测agent，这样处理有利于检测agent检测有效的部分，从而提高检测效率。

[2]此外，将数据采集agent和数据预处理agent分离有利于从不同的数据源重复、同步的采集数据，提高系统的整体性能，数据预处理agent对收集到的数据包进行数据包解密和数据表逐层分解，然后把已经被逐层分解的数据包依据相应的规则生成可以被检测agent可以识别的特征码。

主控agent它本入侵检测系统中最高层控制单元，其主要功能是对系统中各节点上agent进行管理是用户与系统交互的接口，为用户提供一个管理入侵检测系统的界面。