【文章內(nèi)容簡介】 檢查數(shù)據(jù)是否正常，或顯示存在入侵。4）響應處理 當發(fā)現(xiàn)入侵時，采取措施進行防護、保留入侵證據(jù)并通知管理員。常用的措施包括切斷網(wǎng)絡連接、記錄日志、通過電子郵件或電話通知管理員等。 入侵檢測系統(tǒng)的基本工作模式入侵檢測系統(tǒng)的基本工作模式為：1）從系統(tǒng)的不同環(huán)節(jié)收集信息。2）分析該信息，試圖尋找入侵活動的特征。3）自動對檢測到的行為作出響應。4）記錄并報告檢測過程的結(jié)果。6入侵檢測系統(tǒng)的基本工作模式可以用如圖 22 所示的圖形來表示。 系統(tǒng)日記原始數(shù)據(jù)包檢測原理異常入侵檢測誤用入侵檢測報警 報警并采取相應措施周期性檢測實時檢測圖 22 入侵檢測系統(tǒng)的基本工作模式 入侵檢測系統(tǒng)的分類入侵檢測系統(tǒng)可以按不同的方法進行分類，其中，按檢測技術(shù)、數(shù)據(jù)來源、體系結(jié)構(gòu)及時效性進行分類是應用最多的分類方法。本文主要介紹前兩者的分類方法。 根據(jù)檢測技術(shù)分類根據(jù)入侵檢測系統(tǒng)所采用的技術(shù)可分為誤用入侵檢測、異常入侵檢測和協(xié)議分析三種。1）誤用入侵檢測誤用入侵檢測（misuse intrusion detection）又稱為基于特征的入侵檢測。這一檢測（signaturebased intrusion detection）假設入侵者的活動可以用一種模式來表示，系統(tǒng)的目標是檢測主體活動是否符合這些模式。它可以將已有的入侵方法檢查出來，但對新的入侵方法無能為力。其難點在于如何設計模式，既能夠表達“入侵”現(xiàn)象，又不會將正常的活動包含進來。2）異常入侵檢測異常入侵檢測（anomaly intrusion detection）假設入侵者的活動異常于正常主體的活動。根據(jù)這一假設建立主體正?；顒拥模ā盎顒雍啓n” ） ，將當前主體的活動狀況與“活動簡檔”相比較，當違反其統(tǒng)計規(guī)律時，認為改活動可能是“入侵”行為。異常入侵檢測的難題在于如何建立“活動簡檔”以及如何設計統(tǒng)計算法，從而不把正常的操作誤認為“入侵”或忽略真正的“入侵”行為。73）協(xié)議分析協(xié)議分析是在傳統(tǒng)模式匹配技術(shù)基礎(chǔ)之上發(fā)展起來的一種新的入侵檢測技術(shù)。它充分利用了網(wǎng)絡協(xié)議的高度有序性，并結(jié)合了高速數(shù)據(jù)包捕捉、協(xié)議分析和命令解析，來快速檢測某種攻擊特征是否存在。這種技術(shù)正逐漸進入成熟應用階段。協(xié)議分析大大減少了計算量，即使在高負載的高速網(wǎng)絡上，也能逐個分析所有的數(shù)據(jù)包。 根據(jù)數(shù)據(jù)來源分類根據(jù)入侵檢測數(shù)據(jù)來源的不同，可以將入侵檢測系統(tǒng)分為基于網(wǎng)絡的入侵檢測系統(tǒng)、基于主機的入侵檢測系統(tǒng)、混合式入侵檢測系統(tǒng)及文件完整性檢查式入侵檢測系統(tǒng)。1）基于主機的入侵檢測系統(tǒng)基于主機的入侵檢測系統(tǒng)（Hostbased Intrusion Detection System，HIDS ）通常是安裝在被保護的主機上，主要是對改主機的網(wǎng)絡實時連接以及對系統(tǒng)審計日記進行分析和檢查，當發(fā)現(xiàn)可疑行為和安全違規(guī)事件時，系統(tǒng)就會像管理員報警，以便采取措施。2）基于網(wǎng)絡的入侵檢測系統(tǒng)基于網(wǎng)絡的入侵檢測系統(tǒng)（Networkbased Intrusion Detection System，NIDS ）一般安裝在需要保護的網(wǎng)段中，實時監(jiān)視網(wǎng)段中傳輸?shù)母鞣N數(shù)據(jù)包，并對這些數(shù)據(jù)包進行分析和檢測，如果發(fā)現(xiàn)入侵行為或可疑事件，入侵檢測系統(tǒng)就會發(fā)出報警，甚至切斷網(wǎng)路連接。3）混合式入侵檢測系統(tǒng)基于網(wǎng)絡的入侵檢測系統(tǒng)和基于主機的入侵檢測系統(tǒng)都有不足之處，單純使用其中一種系統(tǒng)的主動防御體系都不夠強大。但是它們的缺憾是互補的。如果這兩種系統(tǒng)能夠無縫地結(jié)合起來部署在網(wǎng)絡內(nèi)，這會構(gòu)架一套強大的、立體的主動防御體系。4）文件完整性檢查式入侵檢測系統(tǒng)文件完整性檢查式入侵檢測系統(tǒng)檢查計算機中自上次檢查后文件的變化情況。文件完整性檢查式入侵檢測系統(tǒng)保存有每個文件的數(shù)字文摘數(shù)據(jù)庫，每次檢查時，它重新計算文件的數(shù)字文摘并將它與數(shù)據(jù)庫中的值相比較，如不同，則文件已被修改，若相同，則文件未發(fā)生變化 [5]。 入侵檢測目前存在的局限性和不足在入侵檢測領(lǐng)域內(nèi)應用最為廣泛，同時也是最成熟的技術(shù)仍然是基于專家系統(tǒng)的規(guī)則8化檢測技術(shù)。典型的入侵檢測系統(tǒng)，如IDES和NIDES系統(tǒng)等，都很好的實現(xiàn)了專家系統(tǒng)基于規(guī)則檢測的概念，并在實際應用中取得了較好的效果。但是，隨著系統(tǒng)安全環(huán)境特別是網(wǎng)絡系統(tǒng)安全形式的變化，傳統(tǒng)的基于專家系統(tǒng)的檢測技術(shù)暴露出若干局限性和不足。首先，傳統(tǒng)的專家檢測技術(shù)需要維護一個復雜而龐大的規(guī)則庫。面對不斷變化的攻擊手段和多樣復雜的變種情況，該規(guī)則庫需要進行隨時隨地的更新升級。因為專家系統(tǒng)檢測技術(shù)完全依賴于準確的規(guī)則庫匹配方式進行入侵檢測工作，所以一個陳舊的檢測規(guī)則庫帶來的后果可能就是漏檢大量的入侵檢測活動。更為嚴重的后果是造成安全管理員虛假的安全表象，導致重大的安全漏洞和隱患。其次，基于專家系統(tǒng)的檢測方法缺乏足夠的靈活性來檢測已知入侵方式的變種情況。通常的規(guī)則推導過程是在精確匹配的基礎(chǔ)上進行的，如果某種攻擊手段的執(zhí)行過程發(fā)生某些細微的改變，對于專家系統(tǒng)而言，如果沒有找到對應的更新規(guī)則，就會被認定為合法行為，產(chǎn)生漏檢情況。另一方面，如果采用更為通用的檢測規(guī)則，則有可能發(fā)生將合法用戶行為錯誤認定為非法行為的虛假現(xiàn)象，更進一步分析可知，專家系統(tǒng)的檢測方法對在時間上分散的攻擊活動，或者是由多用戶發(fā)起的協(xié)同攻擊行為，也是很難奏效的。因為它只關(guān)注單個異常事件的出現(xiàn)與否，而對事件狀態(tài)隨時間發(fā)生的變化情況無法處理。近年來，大量不同于傳統(tǒng)專家系統(tǒng)技術(shù)的入侵檢測方法紛紛涌現(xiàn)，其中基于人工神經(jīng)網(wǎng)絡檢測技術(shù)的發(fā)展尤為突出。 基于神經(jīng)網(wǎng)絡的入侵檢測技術(shù)的發(fā)展近年來，大量不同于傳統(tǒng)專家系統(tǒng)技術(shù)的入侵檢測方法紛紛涌現(xiàn)，其中基于人工神經(jīng)網(wǎng)絡檢測技術(shù)的發(fā)展尤為突出。人工神經(jīng)網(wǎng)絡是模擬人腦加工、存儲和處理信息機制而提出的一種智能化信息處理技術(shù)，它是由大量簡單的處理單元（神經(jīng)元）進行高度互連而形成的復雜網(wǎng)絡系統(tǒng)。從本質(zhì)上講，人工神經(jīng)網(wǎng)絡實現(xiàn)的是一種從輸入到輸出的映射關(guān)系，其輸出值由輸入樣本、神經(jīng)元間的互連權(quán)值以及傳遞函數(shù)所決定。神經(jīng)網(wǎng)絡具備高度的學習和自適應能力，通過學習能夠識別全新入侵行為特征的能力，可以克服基于專家系統(tǒng)檢測技術(shù)的局限性。入侵檢測技術(shù)主要分成兩類，即基于異常和基于誤用的入侵檢測技術(shù)。但無論是單純采用異常入侵檢測技術(shù)，還是單純采用誤用入侵檢測技術(shù)，其檢測性能的理論上限都9不會超過混合采用兩種技術(shù)思路方法的性能上限。從而肯定了具備學習能力的神經(jīng)網(wǎng)絡在入侵檢測中的光明應用前景。103 神經(jīng)網(wǎng)絡簡介神經(jīng)網(wǎng)絡的全稱是人工神經(jīng)網(wǎng)絡（artificial neural work，ANN）是在現(xiàn)代神經(jīng)生物學研究成果的基礎(chǔ)上發(fā)展起來的一種模擬人腦信息處理機制的網(wǎng)絡系統(tǒng)，他不但具有處理數(shù)值數(shù)據(jù)的一般計算能力，而且還具有處理知識的思維、學習和記憶能力 [6]。人工神經(jīng)網(wǎng)絡模仿人腦神經(jīng)的活動，力圖建立腦神經(jīng)活動的數(shù)學模型。人工神經(jīng)網(wǎng)絡由于其大規(guī)模并行處理、容錯性、自組織和自適應能力以及聯(lián)想功能等特點，已成為解決問題的有力工具，對突破現(xiàn)有科學技術(shù)的瓶頸，更深入的探索非線性等復雜現(xiàn)象起到了重大的作用，并廣泛應用于許多科學領(lǐng)域。從控制理論的觀點來看，神經(jīng)網(wǎng)絡處理非線性的能力是最有意義的；從系統(tǒng)辨識和模式識別的角度考慮，神經(jīng)網(wǎng)絡跟蹤和識別非線性的能力是其最大的優(yōu)勢。 神經(jīng)網(wǎng)絡模型 生物神經(jīng)元模型正常人腦是由大約 1011~1012 個神經(jīng)元組成的，神經(jīng)元是腦組織的基本單元。每個神經(jīng)元具有 102104 個突觸與其它神經(jīng)元相連接，形成了錯綜復雜而又靈活多變的神經(jīng)網(wǎng)絡。神經(jīng)元有胞體、樹突和軸突構(gòu)成。胞體是神經(jīng)元的代謝中心，每個細胞體有大量的樹突（輸入端）和軸突（輸出端） ，不同神經(jīng)元的軸突和樹突互連的結(jié)合部為突觸，突觸決定神經(jīng)元之間的連接強度和作用性質(zhì)，而每個神經(jīng)元胞體本身則是一非線性輸入、輸出單元。一個神經(jīng)元的模型示意圖如下圖 31 所示。圖 31 典型的生物神經(jīng)元由圖 31 可見，神經(jīng)元有胞體、樹突和軸突構(gòu)成。胞體是神經(jīng)元的袋子額中心，它本身又由細胞核、內(nèi)質(zhì)網(wǎng)和高爾基體組成。胞體一般生成有許多樹狀突起物，稱之為樹突，11它是神經(jīng)元的主要接收器。胞體還延伸出一條管狀纖維組織，稱之為軸突，軸突外面包有一層較厚的絕緣組織，稱之為髓鞘（梅林鞘） 。髓鞘規(guī)則地分為許多短段，段與段之間的部位被稱為郎飛節(jié)。軸突的作用是傳導信息，通常軸突的末端分出很多末梢，他們與后一個神經(jīng)元的樹突構(gòu)成一種稱為突觸的機構(gòu)。前一神經(jīng)元的信息經(jīng)由起軸突傳到末梢之后，通過突觸對后面各個神經(jīng)元產(chǎn)生影響。從生物控制論的觀點看，神經(jīng)元作為控制和信息處理的單元，具有常規(guī)的兩種工作狀態(tài)，興奮和抑制狀態(tài)，神經(jīng)沖動眼神經(jīng)傳導的速度在 1~150m/s 之間，在相鄰兩次沖動之間需要一個時間間隔，即為不應期。由于神經(jīng)元結(jié)構(gòu)的可塑性，突觸的傳遞作用可增強、減弱和飽和，因此細胞具有相應的學習功能、遺忘和疲勞效應（飽和效應） 。隨著生物控制論的發(fā)展，人們對神經(jīng)元的結(jié)構(gòu)和功能有了進一步的了解，神經(jīng)元不僅僅是一簡單的雙穩(wěn)態(tài)邏輯元件，而且是超級的微型生物信息處理機或控制單元 [7]。 人工神經(jīng)元模型根據(jù)生物神經(jīng)元的結(jié)構(gòu)和功能，從 20 世紀 40 年代開始，人們提出了大量的人工神經(jīng)元模型，其中影響較大的是 1943 年美國心理學家 McCulloch 和數(shù)學家 Pitts 共同提出的形式神經(jīng)元模型通常稱之為 MP 模型。設有 N 個神經(jīng)元互聯(lián)，每個神經(jīng)元的活化狀態(tài) （ i=1，2，3，…，N ）取 0 或 1，ix分別代表抑制和興奮。每一個神經(jīng)元的狀態(tài)按下述規(guī)則受其它神經(jīng)元的制約 （31 ）ixwfxNjjii ?????,1),(1?式中 ———神經(jīng)元 i 和神經(jīng)元 j 之間突觸連接強度，或稱權(quán)值；ijw———神經(jīng)元 i 的閥值；i?在這里取階躍函數(shù) step ，有)(f? )(?Step(a)= ????????0a1式（31 ）也可理解為神經(jīng)元 i 的輸入輸出關(guān)系。Xj 為第 j 個神經(jīng)元向第 i 個神經(jīng)元的輸入；xi 為第 i 個神經(jīng)元的輸出； 為第 i 個神經(jīng)元凈輸入。若將閥值也看作)(1???Njijixw?12一個權(quán)值，則式（31）可改寫為 （32 ）NixwfxNjjii ，????,21),(0此時有 ， =1，這就是最初的 MP ??00但是，這種簡單的 MP 模型沒有考慮時間整合、不應期、延時和數(shù)模轉(zhuǎn)換等作用。若考慮這些作用則可以發(fā)展出 MP 模型的許多變種。它們在細節(jié)上（即并行分布處理思想上）有所不同，但有許多共性，提取這些共性可以給出相當一般化模型，它的數(shù)學表達式為 (33))(1iNjijii sxwf?????? (34))(iifu (35)iiihgy??式中 ， ， 的含義和式（31）一樣；jiWjXi?——第 i 個神經(jīng)元的凈輸入 ——第 i 個神經(jīng)元外部輸入i? iS——第 i 個神經(jīng)元的活化狀態(tài) ——第 i 個神經(jīng)元的輸出iu iy——神經(jīng)元的活化規(guī)則（活化函數(shù)） ——神經(jīng)元的輸出規(guī)則（轉(zhuǎn)換函)(?f )(?g數(shù)）在某些模型中，假設神經(jīng)元沒有內(nèi)部狀態(tài)，可以令 f=1（恒等映射） ，此時。不同的系統(tǒng)對活化值作了不同的假設，它可以是連續(xù)的，也可以是)(giiiuy??離散的。若是連續(xù)的，它可以取任意實數(shù)（無界的） ，也可以取某個最大值與最小值之間的數(shù)（有界的） ；若是離散的，則可取二值、三值或一個小的有限數(shù)集。下圖 32 給出了一般化 MP 模型 [8]。13圖 32 一般化 MP 模型 神經(jīng)網(wǎng)絡模型 神經(jīng)網(wǎng)絡是在對人腦思維方式研究的基礎(chǔ)上，用數(shù)學方法將其簡化并抽象模擬反映人腦基本功能的一種并行處理連接網(wǎng)絡。一個神經(jīng)網(wǎng)絡由多個互連的神經(jīng)元組成，神經(jīng)元是神經(jīng)網(wǎng)絡的基本處理單元。神經(jīng)網(wǎng)絡在目前已有幾十種不同的模型。通常，人們較多地考慮神經(jīng)網(wǎng)絡的互連結(jié)構(gòu)，包括四種典型結(jié)構(gòu)如圖 33 所是，分別是1）前饋網(wǎng)絡。神經(jīng)元分層排列，組成輸入層、隱含層和輸出層，每層只能夠接受前一層神經(jīng)元的輸入；2）反饋網(wǎng)絡。在輸入層到輸出層存在反饋；3）相互結(jié)合型網(wǎng)絡。相互結(jié)合網(wǎng)絡屬于網(wǎng)絡結(jié)構(gòu)，任意兩個神經(jīng)元之間可能有連接；4）混合型網(wǎng)絡。層次型網(wǎng)絡和網(wǎng)狀結(jié)構(gòu)網(wǎng)絡的一種結(jié)合。圖 33 神經(jīng)網(wǎng)絡的 4 種典型拓撲結(jié)構(gòu) 神經(jīng)網(wǎng)絡的工作方式神經(jīng)網(wǎng)絡的工作過程主要由兩個階段組成：一是工作期，此時各連接權(quán)值固定，計算單元的狀態(tài)變化，以求達到穩(wěn)定狀態(tài)；二是學習期（自適應期或設計期） ，此時各計算單元狀態(tài)不變，各連接權(quán)值可修改。前一階段較快，各單元的狀態(tài)也稱短期記憶，后一階段慢得多，權(quán)值及連接方式也稱長期記憶。14學習是神經(jīng)網(wǎng)絡最重要的一個能力，學習算法是神經(jīng)網(wǎng)絡的核心問題之一。通常它也是一個強非線性系統(tǒng)，學習功能反映在神經(jīng)網(wǎng)絡模型中，就是突觸