【文章內(nèi)容簡介】 ：通過URL重寫技術(shù)和信息掩蓋技術(shù)講URL重定向到攻擊者的主機，從而監(jiān)視、記錄訪問者的信息，同時盡量掩蓋這種欺騙行為。 8）IP欺騙：攻擊者可通過技術(shù)手段利用TCP/IP協(xié)議的缺陷，偽裝成被信任主機，試用被信任主機的源地址與目標主機進行會話，在目標主機不知的情況下實施欺騙行為。 9）口令破解：攻擊者若通過一定手段取得用戶口令，提升權(quán)限進入目標系統(tǒng)，對目標主機進行完全控制。常用的口令破解手段有暴力破解、利用協(xié)議或命令的漏洞、植入木馬等。 目前的主要網(wǎng)絡(luò)安全威脅根據(jù)互聯(lián)網(wǎng)的層次大致可分為三個層次：主干網(wǎng)絡(luò)的威脅、TCO/IP協(xié)議安全問題、Web應(yīng)用程序安全。而我們常見的多是針對于電子商務(wù)、網(wǎng)上銀行、企業(yè)協(xié)作、交易管理等網(wǎng)站的黑客攻擊，但目前絕大多數(shù)企業(yè)并沒有為自己的應(yīng)用程序、網(wǎng)站和服務(wù)器采取更加深入且有效的安全措施，如防火墻、入侵檢測等功能。3．2．3 網(wǎng)絡(luò)信息安全模型與技術(shù) 傳統(tǒng)的計算機安全模型主要作用于單機系統(tǒng)，由于網(wǎng)絡(luò)的普遍應(yīng)用和技術(shù)發(fā)展，傳統(tǒng)的模型已不足以應(yīng)對外界攻擊。而隨著網(wǎng)絡(luò)黑客惡意攻擊技術(shù)的不斷提高和更新，安全模型和技術(shù)也向更高層次發(fā)展。P2DR模型就是能適應(yīng)不斷變化的網(wǎng)絡(luò)環(huán)境、發(fā)現(xiàn)網(wǎng)絡(luò)服務(wù)器和設(shè)備中的新漏洞、不斷查明網(wǎng)絡(luò)中存在的安全隱患等問題而提出的新的網(wǎng)絡(luò)安全模型，如圖3．1所示，該模型以安全策略為核心，通過一致的檢查，流量統(tǒng)計，異常分析，模式匹配以及應(yīng)用、目標、主機、網(wǎng)絡(luò)入侵檢查等方法進行安全漏洞檢測，使系統(tǒng)從靜態(tài)防護轉(zhuǎn)化為動態(tài)防護[8]。防護響應(yīng)檢測策略圖3．1 P2DR模型 傳統(tǒng)的安全技術(shù)大致可分為靜態(tài)安全技術(shù)和動態(tài)安全技術(shù)這兩類，我們熟知的防火墻就是靜態(tài)安全技術(shù)的代表產(chǎn)品，主要用于保護系統(tǒng)抵御外部的攻擊。而動態(tài)的安全技術(shù)應(yīng)該是增強了主動的檢測能力，在于其主動性，目前采用的一些傳統(tǒng)的安全機制主要有： 1）數(shù)據(jù)加密技術(shù) 2）訪問控制技術(shù) 4）認證技術(shù) 5）數(shù)據(jù)完整性控制技術(shù) 6）安全漏洞掃描技術(shù) 7）防火墻技術(shù) 其中的防火墻技術(shù)是防范網(wǎng)絡(luò)攻擊最常用的方法，即在用戶網(wǎng)絡(luò)和因特網(wǎng)之間插入了一個中間系統(tǒng)，形成了一個安全屏障，將用戶網(wǎng)絡(luò)和因特網(wǎng)分割開。雖然防火墻提供了較強的防護能力，但它仍有著局限性。首先，防火墻不能阻止用戶網(wǎng)絡(luò)內(nèi)部對用戶網(wǎng)絡(luò)的攻擊，它只提供了網(wǎng)絡(luò)邊緣的防護；其次，防火墻不能阻止未知的惡意代碼的攻擊，如病毒、特洛依木馬等。由此可看出，作為對防火墻技術(shù)的補充，入侵檢測的動態(tài)防護特點足以成為實現(xiàn)網(wǎng)絡(luò)安全的新的解決策略。引入入侵檢測技術(shù)，相當(dāng)于在計算機系統(tǒng)中引入了一個閉環(huán)的安全策略。計算機的多種安全策略，如：防火墻、身份認證、訪問控制、數(shù)據(jù)加密等，通過入侵檢測系統(tǒng)進行安全策略的反饋，從而進行及時的修正，大大提高了系統(tǒng)的安全性。3．2．4 Linux系統(tǒng)安全性 Linux 操作系統(tǒng)是一套開放的由Unix發(fā)展起來的多用戶、多任務(wù)的網(wǎng)絡(luò)操作系統(tǒng)。它具有穩(wěn)定性強、高可靠性等系統(tǒng)性能，容易建構(gòu)網(wǎng)絡(luò)sever，又由于Linux有免費、開放源代碼的特性，目前越來越多的Internet應(yīng)用服務(wù)器和主機采用了Linux系統(tǒng)。由此，Linux系統(tǒng)的安全問題也日益成為人們關(guān)注的焦點。 開放的源代碼為實現(xiàn)Linux 主機安全系統(tǒng)提供了極大的方便———能夠獲得系統(tǒng)調(diào)用的充分信息。可以通過修改主機系統(tǒng)函數(shù)庫中的相關(guān)系統(tǒng)調(diào)用，引入安全控制機制，從而將防火墻對于網(wǎng)絡(luò)信息的處理和操作系統(tǒng)中用戶使用資源的訪問控制緊密結(jié)合起來，讓防火墻模塊和操作系統(tǒng)配合起來協(xié)同工作。但開放的源代碼也為黑客攻擊提供了方便，攻擊者可以利用Linux系統(tǒng)的安全漏洞而獲得超級用戶權(quán)限，從而達到控制root 系統(tǒng)的目的，這些攻擊者利用系統(tǒng)的漏洞侵入以后，通常都是通過非法執(zhí)行一些敏感的系統(tǒng)調(diào)用來完成攻擊[9]。3．3網(wǎng)絡(luò)入侵異常檢測3．3．1入侵檢測基礎(chǔ) 目前通常說的入侵就是指對系統(tǒng)資源的非授權(quán)操作，可造成系統(tǒng)數(shù)據(jù)的丟失和破話、甚至?xí)斐上到y(tǒng)拒絕對合法用戶服務(wù)等問題。從分類的角度可以將入侵描述成嘗試性闖入、偽裝攻擊、安全控制系統(tǒng)滲透、泄露、拒絕服務(wù)、惡意使用等六類。入侵者通?？煞譃橥獠咳肭终?，例如黑客等系統(tǒng)的非法用戶，和內(nèi)部入侵者，即越權(quán)使用系統(tǒng)資源的用戶。 入侵檢測技術(shù)是近年來飛速發(fā)展起來的一種動態(tài)的集監(jiān)控、預(yù)防和抵御系統(tǒng)入侵行為為一體的新型安全機制。作為傳統(tǒng)安全機制的補充，入侵檢測技術(shù)不再是被動的對入侵行為進行識別和防護，而是能夠提出預(yù)警并實行相應(yīng)反應(yīng)動作。美國國際計算機安全協(xié)會（ICSA）將入侵檢測定義為：通過從計算機網(wǎng)絡(luò)或計算機系統(tǒng)中的若干關(guān)鍵點收集信息并對其進行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象的一種安全技術(shù)。違反安全策略的行為有入侵和濫用。通常來說入侵檢測是對計算機和網(wǎng)絡(luò)資源上的惡意使用行為進行識別和相應(yīng)處理的過程，具有智能監(jiān)控、實時探測、動態(tài)響應(yīng)、易于配置等特點。入侵檢測的目標就是通過檢查操作系統(tǒng)的安全日志或網(wǎng)絡(luò)數(shù)據(jù)包信息來檢測系統(tǒng)中違背安全策略或危及系統(tǒng)安全的行為或活動，從而保護信息系統(tǒng)的資源免受拒絕服務(wù)攻擊、防止系統(tǒng)數(shù)據(jù)的泄漏、篡改和破壞。傳統(tǒng)安全機制大多針對的是外部入侵者，而入侵檢測不僅可以檢測來自外部的攻擊，同時也可以監(jiān)控內(nèi)部用戶的非授權(quán)行為。作為新型的安全機制，入侵檢測技術(shù)的研究、發(fā)展和應(yīng)用加強了網(wǎng)絡(luò)與系統(tǒng)安全的保護縱深，使得網(wǎng)絡(luò)、系統(tǒng)安全性得到進一步的提高。目前在入侵檢測系統(tǒng)中常用的檢測方法有： 1） 模式匹配 Pattern Matching 2） 統(tǒng)計分析 Statistical Analysis 3） 專家系統(tǒng) Expert System 4） 神經(jīng)網(wǎng)絡(luò) ANN 5） 模糊系統(tǒng) Fuzzy Systems 6） 遺傳算法 GA 7） 免疫系統(tǒng) Immune System 8） 數(shù)據(jù)挖掘 Data Mining 9） 數(shù)據(jù)融合 Fusion 10） 協(xié)議分析 protocol Analysis3．3．2入侵檢測系統(tǒng) 入侵檢測系統(tǒng)（IDS,Intrusion Detection System）可以識別針對計算機系統(tǒng)和網(wǎng)絡(luò)系統(tǒng)，或更廣泛意義上的信息系統(tǒng)的非法攻擊，包括檢測外界非法入侵者的惡意攻擊或試探，以及內(nèi)部合法用戶的超越使用權(quán)限的非法行動。一般來講就是通過分析系統(tǒng)安全相關(guān)數(shù)據(jù)來檢測入侵活動的系統(tǒng)。入侵檢測系統(tǒng)在功能結(jié)構(gòu)上基本一致，由數(shù)據(jù)采集、數(shù)據(jù)分析及用戶界面等組成，不同的入侵檢測系統(tǒng)只是在分析采集數(shù)據(jù)方法及數(shù)據(jù)類型等方面有所不同。入侵檢測系統(tǒng)的研究最早可追溯到1980年，James Aderson首先提出了入侵檢測的概念，1987年D。E。Denning首次給出了入侵檢測的抽象模型，并將入侵檢測作為一種新的安全防御措施提出[10]。早期的入侵檢測系統(tǒng)都是基于主機的系統(tǒng)，主要檢測用戶對數(shù)據(jù)庫的異常訪問等。后期隨著網(wǎng)絡(luò)的普及和發(fā)展，入侵檢測系統(tǒng)也開始向網(wǎng)絡(luò)方面發(fā)展。 作為一種主動防護技術(shù)，入侵檢測系統(tǒng)可以在攻擊發(fā)生時記錄攻擊者的行為、發(fā)出報警，必要時還可以追蹤攻擊者，可以獨立運行，也可以與防火墻等安全技術(shù)協(xié)同工作，更好地保護網(wǎng)絡(luò)安全。一個入侵檢測系統(tǒng)能夠完成監(jiān)控分析用戶和系統(tǒng)活動，發(fā)現(xiàn)入侵企圖或異常現(xiàn)象，記錄、報警和響應(yīng)等。具體來說入侵檢測系統(tǒng)的主要功能可分為： 1）檢測并分析用戶和系統(tǒng)活動。 2）核查系統(tǒng)配置和漏洞。 3）評估系統(tǒng)關(guān)鍵資源和數(shù)據(jù)文件的完整性。 4）識別已知的攻擊行為。 5）統(tǒng)計分析異常行為。 6）對操作系統(tǒng)日志進行管理，并識別違反安全策略的用戶活動。 入侵檢測系統(tǒng)的應(yīng)用，能使在入侵攻擊對系統(tǒng)發(fā)生危害前，檢測到入侵攻擊，并利用報警與防護系統(tǒng)驅(qū)逐入侵攻擊。減少入侵攻擊過程帶來損失，在入侵后收集入侵攻擊的相關(guān)信息，作為防范系統(tǒng)的知識加入知識庫，增強系統(tǒng)防范能力。從功能邏輯上講，入侵檢測系統(tǒng)由探測器（Sensor）、分析器(Analyzer)、用戶接口（User Interface）組成。目前的入侵檢測系統(tǒng)主要分為兩類： ⑴基于主機的入侵檢測系統(tǒng)：主要用于保護某一臺主機的資源不被破壞。 ⑵基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)：主要用戶保護整個網(wǎng)絡(luò)不被破壞。 美國國防部高級研究計劃署（DARPA）提出了CIDF（公共入侵檢測框架），闡述了一個入侵檢測系統(tǒng)的通用模型，可將入侵檢測系統(tǒng)分為四個組件：事件產(chǎn)生器、事件分析器、響應(yīng)單元、事件數(shù)據(jù)庫。他們在入侵檢測系統(tǒng)中的位置和相互關(guān)系如圖3．2所示?，F(xiàn)在的入侵檢測系統(tǒng)多采用分布式體系結(jié)構(gòu)，使用代理和移動代理技術(shù)[10]。響應(yīng)單元事件分析器事件數(shù)據(jù)庫事件產(chǎn)生器來自Network上的數(shù)據(jù)ju據(jù)據(jù)包 圖3．2 入侵檢測系統(tǒng)通用模型 事件產(chǎn)生器負責(zé)原始數(shù)據(jù)采集，對數(shù)據(jù)流和日志文件進行追蹤，將搜集到的原始數(shù)據(jù)轉(zhuǎn)換為事件，提供給系統(tǒng)其他部分。事件分析器接收事件并進行分析，判斷為入侵行為或異?，F(xiàn)象后轉(zhuǎn)換為警告信息。事件數(shù)據(jù)庫存放各種中間和最終數(shù)據(jù)，響應(yīng)單元根據(jù)警告信息做出反應(yīng)，是入侵檢測系統(tǒng)中的主動武器。4 典型的入侵檢測工具SnortSnort是一個免費的、開放源代碼的基于網(wǎng)絡(luò)的輕量級網(wǎng)絡(luò)入侵檢測系統(tǒng)，具有很好的配置型和可移植性。另外，它也可以用來截獲網(wǎng)絡(luò)中的數(shù)據(jù)包并記錄數(shù)據(jù)包日志。Snort多適用于小網(wǎng)絡(luò)段使用，最初設(shè)計用于Linux/Unix操作系統(tǒng)，且其設(shè)計得易于插入和擴充進新的規(guī)則以對付各種新出現(xiàn)的威脅。4．1 Snort的相關(guān)特性 ⑴Snort具有實時數(shù)據(jù)流量分析和檢測IP網(wǎng)絡(luò)數(shù)據(jù)包的能力，能夠進行協(xié)議分析，對內(nèi)容進行搜索/匹配。 ⑵Snort的報警機制很豐富，如syslog、用戶指定的文件、一個Unix套接字，以及使用SAMBA協(xié)議向客戶程序發(fā)出警告消息。 ⑶Snort能夠進行協(xié)議分析，內(nèi)容的搜索和匹配，目前Snort可以對多種協(xié)議進行解析能檢測多種方式的攻擊和探測，如緩沖區(qū)溢出、端口掃描CGI攻擊、SMB探測、探測操作系統(tǒng)指紋特征的企圖等。 ⑷Snort的日志格式可以是tcp dump式的二進制格式，也可以解碼成ASCⅡ字符形式，便于用戶尤其是新手檢查。 ⑸Snort有很好的擴展性，由于其規(guī)則描述語言簡單，能夠快速對新的網(wǎng)絡(luò)攻擊作出反應(yīng)。 ⑹Snort支持插件，可以使用具有特定功能的報告、檢測子系統(tǒng)插件對其功能進行擴展。 ⑺Snort的可移植性好，它有極佳的跨平臺性，支持Linux, Solaris, BSD, IRIX, HPUX, Windows系列，ScoOpenserver, Unixware等[9]。 ⑻Snort遵循公共通用許可證GPL。Snort遵循GPL，所以任何企業(yè)、個人、組織都可以免費使用它作為自己的NIDS。4．2 Snort的功能架構(gòu) Snort可提供協(xié)議分析、內(nèi)容查找和匹配，可以用來檢測各種攻擊和探測，如緩沖區(qū)溢出、隱蔽端口掃描、CGI攻擊、SMB探測、操作系統(tǒng)指紋識別嘗試等。其中的包嗅探、數(shù)據(jù)包記錄和入侵檢測是其重要功能。Snort的架構(gòu)決定了它的各種功能，構(gòu)架圖見圖41所示。而Snort架構(gòu)由以下4個基本模塊構(gòu)成： ⑴嗅探器 ⑵預(yù)處理器 ⑶檢測引擎 ⑷輸出模塊