計(jì)算機(jī)網(wǎng)絡(luò)入侵檢測(cè)技術(shù)探討-文庫吧
2025-07-17 10:59 本頁面
【正文】 程序執(zhí)行中的不期望行為、物理形式的入侵信息。 (2)根據(jù)收集到的信息進(jìn)行分析 常用的分析方法有模式匹配、統(tǒng)計(jì)分析、完整性分析。模式匹配是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進(jìn)行比較，從而發(fā)現(xiàn)違背安全策略的行為。 統(tǒng)計(jì)分析方法首先給系統(tǒng)對(duì)象 (如 用戶、文件、目錄和設(shè)備等 )創(chuàng)建一個(gè)統(tǒng)計(jì)描述，統(tǒng)計(jì)正常使用時(shí)的一些測(cè)量屬性。測(cè)量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較。當(dāng)觀察值超出正常值范圍時(shí)，就有可能發(fā)生入侵行為。該方法的難點(diǎn)是閾值的選擇，閾值太小可能產(chǎn)生錯(cuò)誤的入侵報(bào)告，閾值太大可能漏報(bào)一些入侵事件。 完整性分析主要關(guān)注某個(gè)文件或?qū)ο笫欠癖桓?，包括文件和目錄的?nèi)容及屬性。該方法能有效地防范特洛伊木馬的攻擊。 3 分類及存在的問題 入侵檢測(cè)通過對(duì)入侵和攻擊行為的檢測(cè)，查出系統(tǒng)的入侵者或合法用戶對(duì)系統(tǒng)資源的濫用和誤用。代寫工作 總結(jié) 根據(jù)不同的檢測(cè)方法，將入侵檢測(cè)分為異常入侵檢測(cè) (Anomaly Detection)和誤用人侵檢測(cè) (Misuse Detection)。 3． 1 異常檢測(cè) 又稱為基于行為的檢測(cè)。其基本前提是：假定所有的入侵行為都是異常的。首先建立系統(tǒng)或用戶的 “正常 ”行為特征輪廓，通過比較當(dāng)前的系統(tǒng)或用戶的行為是否偏離正常的行為特征輪廓來判斷是否發(fā)生了入侵。此方法不依賴于是否表現(xiàn)出具體行為來進(jìn)行檢測(cè)，是一種間接的方法。 常用的具體方法有：統(tǒng)計(jì)異常檢測(cè)方法、 基于特征選擇異常檢測(cè)方法、基于貝葉斯推理異常檢測(cè)方法、基于貝葉斯網(wǎng)絡(luò)異常檢測(cè)方法、基于模式預(yù)測(cè)異常檢測(cè)方法、基于神經(jīng)網(wǎng)絡(luò)異常檢測(cè)方法、基于機(jī)器學(xué)習(xí)異常檢測(cè)方法、基于數(shù)據(jù)采掘異常檢測(cè)方法等。 采用異常檢測(cè)的關(guān)鍵問題有如下兩個(gè)方面： (1)特征量的選擇 在建立系統(tǒng)或用戶的行為特征輪廓的正常模型時(shí)，選取的特征量既要能準(zhǔn)確地體現(xiàn)系統(tǒng)或用戶的行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋系統(tǒng)或用戶的行為特征。 2)參考 閾值的選定 由于異 常檢測(cè)是以正常的特征輪廓作為比較的參考基準(zhǔn)，因此，參考閾值的選定是非常關(guān)鍵的。 閾值設(shè)定得過大，那漏警率會(huì)很高；閾值設(shè)定的過小，則虛警率就會(huì)提高。合適的參考閾值的選定是決定這一檢測(cè)方法準(zhǔn)確率的至關(guān)重要的因素。 由此可見，異常檢測(cè)技術(shù)難點(diǎn)是 “正常 ”行為特征輪廓的確定、特征量的選取、特征輪廓的更新。由于這幾個(gè)因素的制約，異常檢測(cè)的虛警率很高，但對(duì)于未知的入侵行為的檢測(cè)非常有效。此外，由于需要實(shí)時(shí)地建立和更新系統(tǒng)或用戶的特征輪廓，這樣所需的 計(jì)算 量很大，對(duì)系統(tǒng)的處理性能要求很高。 3． 2 誤用檢測(cè) 又稱為基于知識(shí)的檢測(cè)。其基本前提是：假定所有可能的入侵行為都能被識(shí)別和表示。首先，代寫留學(xué)生 論文 對(duì)已知的攻擊方法進(jìn)行攻擊簽名 (攻擊簽名是指用一種特定的方式來表示已知的攻擊模式 )表示，然后根據(jù)已經(jīng)定義好的攻擊簽名，通過判斷這些攻擊簽名是否出現(xiàn)來判斷入侵行為的發(fā)生與否。這種方法是依據(jù)是否出現(xiàn)攻擊簽名來判斷入侵行為，是一種直接的方法。 常用的具體方法有：基于條件概率誤用入 侵檢測(cè)方法、基于專家系統(tǒng)誤用入侵檢測(cè)方法、基于狀態(tài)遷移分析誤用入侵檢測(cè)方法、基于鍵盤監(jiān)控誤用入侵檢測(cè)方法、基于模型誤用入侵檢測(cè)方法。誤用檢測(cè)的關(guān)鍵問題是攻擊簽名的正確表示。 誤用檢測(cè)是根據(jù)攻擊簽名來判斷入侵的，根據(jù)對(duì)已知的攻擊方法的了解，用特定的模式語言來表示這種攻擊，使得攻擊簽名能夠準(zhǔn)確地表示入侵行為及其所有可能的變種，同時(shí)又不會(huì)把非入侵行為包含進(jìn)來。由于多數(shù)入侵行為是利用系統(tǒng)的漏洞和應(yīng)用程序的缺陷，因此，通過分析攻擊過程的特征、條件、排列以及事件間的關(guān)系，就可具體描述入侵行為的跡象。這些跡象不僅對(duì)分析已 經(jīng)發(fā)生的入侵行為有幫助，而且對(duì)即將發(fā)生的入侵也有預(yù)警作用。 誤用檢測(cè)將收集到的信息與已知的攻擊簽名模式庫進(jìn)行比較，從中發(fā)現(xiàn)違背安全策略的行為。由于只需要收集相關(guān)的數(shù)據(jù)，這樣系統(tǒng)的負(fù)擔(dān)明顯減少。該方法類似于病毒檢測(cè)系統(tǒng)，其檢測(cè)的準(zhǔn)確率和效率都比較高
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號(hào)-1