IP网络诞生至今已有半个多世纪了,对全球经济和社会的发展与进步起着十分巨大的推动作用。IP网络已成为当前信息社会的重要基础设施之一,并逐步向经济、军事、科技与教育等多个领域渗透,其基础地位和核心作用正与日俱增。随着网络规模的不断扩大和网络技术的日益改进,网络设备逐渐多样化,网络拓扑结构越来越复杂,IP网络所支撑的业务类型也持续增多,这都在某种程度上加大了网络的不安全性,因此,网络安全研究面临着巨大的挑战。进行网络异常行为检测和防御的目的是:在网络出现异常情况或遭受恶意入侵的时候,能够及时发出警报,并采取相应措施来保证网络主要业务的正常运作,比如:网络跟踪、孤立恶意节点,更新路由选择和通信恢复等措施。从传统的入侵检测系统(IDS: Intrusion Detective System)到后来改进的入侵防御系统(IPS: Intrusion Prevention System),都是在入侵发生后系统才做出反应。这时入侵者已经实现了入侵目的,被动的反应是事后反应,无法实现真正意义上的主动防御。本文探索网络安全防御新方法,企图在入侵发生、或达到某种危害程度之前预测入侵,及时发出预警,并采取安全路由策略来阻止入侵的深入,保证主要业务的运行,将被动抵御转化为主动防御。本文的创新有如下几点:第一:文中提出了基于条件信息熵(CIE: Conditional Information Entropy)的IP网络入侵预测方法,通过事前预测来减小事后检测的被动防御缺陷。该方法包括三个部分:网络性能参数处理、节点状态等级划分和基于CIE的量化过程。核心节点根据聚类算法将归一化的网络性能参数等级化;然后采用CIE公式来量化这些等级值之间的关系。根据理论推导可以得到如下结论:CIE越大,状态之间越容易跃变,即入侵发生的可能性越大。将CIE值与阈值作比较,高于阈值则预警,并启动基于预测结果的IP可信路由容侵机制(ITM: Intrusion Tolerance Mechanism),保证网络主要业务的正常运作。第二:基于预测结果,本文提出了一种新的ITM即IP可信路由实现策略(IPcrit: IP Credible Routing Implementation Tactics),它和入侵预测部分一起共同构成了整个防御体系。可信路由即是在节点之间通过是否信任彼此来作为信息投递的判断依据,而本文中节点的相互信任关系来自于两个方面:首先是入侵预测的结果,即未来时刻的预测信誉值(FCV : Forecast Credibility Value);其次是节点相互之间的信誉评估,即当前时刻的检测信誉值(DCV: Detection Credibility Value)。节点之间根据信誉值的高低来选择路由线路,最大程度地保证主要业务的安全传递。第三,为了实现IPcrit、体现节点信誉评估的全面性和可信路由的严密性,本文提出了一种改进的双向信誉评估策略(2wCAT: Two-way Credit Assessment Tactics),即发送节点和接收节点进行双向信誉评估。对发送方而言:不仅要确保目标节点的安全可信,还要确保直接投递节点的可信;对接收方而言:不仅要评估直接发送数据包给它的那个相邻节点,还要评估该数据包的源节点,在二者都可信的前提下才能投递该数据包。在信任评估过程中,同时考虑FCV和DCV,提高ITM的主动性和前瞻性。同时,本文还将减少路由开销纳入了考虑范畴,提出了在相邻节点集合中选择与已选链路中所有节点无关的、且信誉值最高的节点来投递数据包这样的路由原则,一定程度上降低了路由的资源消耗。