【文章內(nèi)容簡介】 以詳細(xì)、準(zhǔn)確地報(bào)告出攻擊類型，但是對未知攻擊 的 效果有限，而且特征庫必須不斷更新。 誤用檢測的模型如圖 22 所示。 系統(tǒng)審計(jì) 比較 用戶輪廓 是否低于閾值 正常行為 入侵行為 Y N 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 10 圖 22 誤用檢測模型 入侵檢測系統(tǒng)的分類 一般來說，入侵檢測系統(tǒng)可分為基于主機(jī)型入侵檢測系統(tǒng)、基于網(wǎng)絡(luò)型入侵檢測系統(tǒng)和基于代理型入侵檢測系統(tǒng)。 基于主機(jī)的入侵檢測系統(tǒng) 基于主機(jī)的入侵檢測系統(tǒng)通常以系統(tǒng)日志、應(yīng)用程序日志等審計(jì)記錄文件作為數(shù)據(jù)源。它是通過比較這些審計(jì)記錄文件的記錄與攻擊簽名 (Attack Signature，指用一種特定的方式來表示已知的攻擊模式 )以發(fā)現(xiàn)它們是否匹配。如果匹配，檢測系統(tǒng)向系統(tǒng)管理員發(fā)出入侵報(bào)警并采取相應(yīng)的行動(dòng)?；谥鳈C(jī)的 IDS 可以精確地判斷入侵事件，并可對入侵事件及時(shí)做出反應(yīng)。基于主機(jī)的入侵檢測系統(tǒng)對系統(tǒng)內(nèi)在的結(jié)構(gòu)卻沒有任何約束，同時(shí)可以利用操作系統(tǒng)本身提供的功能，并結(jié)合異常檢測分析，更能準(zhǔn)確的報(bào)告攻擊行為。 基于主機(jī)的入侵檢測系統(tǒng)存在的不足之處在于：會(huì)占用主機(jī)的系統(tǒng)資源，增加系統(tǒng)負(fù)荷，而且針對不同的操作平臺(tái)必須開發(fā)出不同的程序，另外所需配置的數(shù)量眾多。 基于網(wǎng)絡(luò)的入侵檢 測系統(tǒng) 基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)把原始的網(wǎng)絡(luò)數(shù)據(jù)包作為數(shù)據(jù)源。利用網(wǎng)絡(luò)適配器來實(shí)時(shí)地監(jiān)視并分析通過網(wǎng)絡(luò)進(jìn)行傳輸?shù)乃型ㄐ艠I(yè)務(wù)。它的攻擊識(shí)別模塊進(jìn)行攻擊簽名識(shí)別系統(tǒng)審計(jì) 比較 攻擊特征庫 是否匹配 正常行為 入侵行為 N Y 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 11 的方法有：模式、表達(dá)式或字節(jié)碼匹配；頻率或閾值比較；次要事件的相關(guān)性處理；統(tǒng)計(jì)異常檢測。一旦檢測到攻擊， IDS 的響應(yīng)模塊通過通知、報(bào)警以及中斷連接等方式來對攻擊行為做出反應(yīng)。然而它只能監(jiān)視通過本網(wǎng)段的活動(dòng)，并且精確度較差，在交換網(wǎng)絡(luò)環(huán)境中難于配置，防欺騙的能力也比較差。 基于代理的入侵檢測系統(tǒng) 基于代理的入侵檢測系統(tǒng)用于監(jiān)視大型網(wǎng)絡(luò)系 統(tǒng)。隨著網(wǎng)絡(luò)系統(tǒng)的復(fù)雜化和大型化，系統(tǒng)弱點(diǎn)趨于分布式，而且攻擊行為也表現(xiàn)為相互協(xié)作式特點(diǎn)，所以不同的 IDS之間需要共享信息，協(xié)同檢測。整個(gè)系統(tǒng)可以由一個(gè)中央監(jiān)視器和多個(gè)代理組成。中央監(jiān)視器負(fù)責(zé)對整個(gè)監(jiān)視系統(tǒng)的管理，它應(yīng)該處于一個(gè)相對安全的地方。代理則被安放在被監(jiān)視的主機(jī)上 (如服務(wù)器、交換機(jī)、路由器等 )。代理負(fù)責(zé)對某一主機(jī)的活動(dòng)進(jìn)行監(jiān)視，如收集主機(jī)運(yùn)行時(shí)的審計(jì)數(shù)據(jù)和操作系統(tǒng)的數(shù)據(jù)信息，然后將這些數(shù)據(jù)傳送到中央監(jiān)視器。代理也可以接受中央監(jiān)控器的指令。這種系統(tǒng)的優(yōu)點(diǎn)是可以對大型分布式網(wǎng)絡(luò)進(jìn)行檢測。 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 12 第 3 章 入侵檢測的功能和關(guān)鍵技術(shù) 入侵檢測的功能 一個(gè)入侵檢測系統(tǒng)的功能結(jié)構(gòu)至少包含事件提取、入侵分析、入侵響應(yīng)和遠(yuǎn)程管理四部分功能。 事件提取功能負(fù)責(zé)提取與被保護(hù)系統(tǒng)相關(guān)的運(yùn)行數(shù)據(jù)或記錄，并負(fù)責(zé)對數(shù)據(jù)進(jìn)行簡單的過濾。 入侵分析的任務(wù)就是在提取到的運(yùn)行數(shù)據(jù)中找出入侵的痕跡，將授權(quán)的正常訪問行為和非授權(quán)的不正常訪問行為區(qū)分開，分析出入侵行為并對入侵者進(jìn)行定位。 入侵響應(yīng)功能在分析出入侵行為后被觸發(fā)，根據(jù)入侵行為產(chǎn)生響應(yīng)。 由于單個(gè)入侵檢測系統(tǒng)的檢測能力和檢測范圍的限制，入侵檢測系統(tǒng)一般采用分布監(jiān)視集中 管理的結(jié)構(gòu)，多個(gè)檢測單元運(yùn)行于網(wǎng)絡(luò)中的各個(gè)網(wǎng)段或系統(tǒng)上，通過遠(yuǎn)程管理功能在一臺(tái)管理站點(diǎn)上實(shí)現(xiàn)統(tǒng)一的管理和監(jiān)控。 入侵檢測的作用 防火墻是 Inter 網(wǎng)絡(luò)上最有效的安全保護(hù)屏障，防火墻在網(wǎng)絡(luò)安全中起到大門警衛(wèi)的作用，對進(jìn)出的數(shù)據(jù)依照預(yù)先設(shè)定的規(guī)則進(jìn)行匹配，符合規(guī)則的就予以放行，起到訪問控制的作用，是網(wǎng)絡(luò)安全的第一道閘門。但防火墻的功能也有局限性，防火墻只能對進(jìn)出網(wǎng)絡(luò)的數(shù)據(jù)進(jìn)行分析，對網(wǎng)絡(luò)內(nèi)部發(fā)生的事件完全無能為力。它是盡量阻止攻擊或延緩攻擊。在網(wǎng)絡(luò)環(huán)境下不但攻擊手段層出不窮，而且操作系統(tǒng)、安全系統(tǒng) 也可能存在未知的漏洞，這就需要引入主動(dòng)防御技術(shù)對系統(tǒng)安全加以補(bǔ)充，目前主動(dòng)防御技術(shù)主要就是入侵檢測技術(shù)。 同時(shí)，由于防火墻處于網(wǎng)關(guān)的位置，不可能對進(jìn)出攻擊作太多判斷，否則會(huì)嚴(yán)重影響網(wǎng)絡(luò)性能。如果把防火墻比作大門警衛(wèi)的話，入侵檢測就是網(wǎng)絡(luò)中不間斷的攝像機(jī)，入侵檢測通過旁路監(jiān)聽的方式不間斷的收取網(wǎng)絡(luò)數(shù)據(jù)，對網(wǎng)絡(luò)的運(yùn)行和性能無任何影響，同時(shí)判斷其中是否含有攻擊的企圖，通過各種手段向管理員報(bào)警。 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 13 異常檢測技術(shù) 統(tǒng)計(jì)學(xué)方法 統(tǒng)計(jì)模型常用于對異常行為的檢測 ,在統(tǒng)計(jì)模型中常用的測量參數(shù)包括審計(jì) 事件的數(shù)量、間隔時(shí)間、資源消耗情況等。目前提出了可用于入侵檢測的 5 種統(tǒng)計(jì)模型包括： 操作模型 :該模型假設(shè)異?？赏ㄟ^測量結(jié)果與一些固定指標(biāo)相比較得到 ,固定指標(biāo)可以根據(jù)經(jīng)驗(yàn)值或一段時(shí)間內(nèi)的統(tǒng)計(jì)平均得到 ,舉例來說 ,在短時(shí)間內(nèi)的多次失敗的登錄很可能是口令嘗試攻擊。 方差 :計(jì)算參數(shù)的方差 ,設(shè)定其置信區(qū)間 ,當(dāng)測量值超過置信區(qū)間的范圍時(shí)表明有可能是異常。 多元模型 :操作模型的擴(kuò)展 ,通過同時(shí)分析多個(gè)參數(shù)實(shí)現(xiàn)檢測。 馬爾柯夫過程模型 :將每種類型的事件定義為系統(tǒng)狀態(tài) ,用狀態(tài)轉(zhuǎn)移矩陣來表示狀態(tài)的變化 ,若對應(yīng)于發(fā)生事件的狀 態(tài)矩陣中轉(zhuǎn)移概率較小 ,則該事件可能是異常事件。 時(shí)間序列分析 :將事件計(jì)數(shù)與資源耗用根據(jù)時(shí)間排成序列 ,如果一個(gè)新事件在該時(shí)間發(fā)生的概率較低 ,則該事件可能是入侵。 入侵檢測的統(tǒng)計(jì)分析首先計(jì)算用戶會(huì)話過程的統(tǒng)計(jì)參數(shù) ,再進(jìn)行與閾值比較處理與加權(quán)處理 ,最終通過計(jì)算其 可疑 概率分析其為入侵事件的可能性。統(tǒng)計(jì)方法的最大優(yōu)點(diǎn)是它可以 學(xué)習(xí) 用戶的使用習(xí)慣 ,從而具有較高檢出率與可用性。但是它的 學(xué)習(xí) 能力也給入侵者以機(jī)會(huì)通過逐步 訓(xùn)練 使入侵事件符合正常操作的統(tǒng)計(jì)規(guī)律 ,從而透過入侵檢測系統(tǒng)。 入侵檢測的軟計(jì) 算方法 入侵檢測的方法可有多種 ,針對異常入侵行為檢測的策略與方法往往也不是固定的 ,智能計(jì)算技術(shù)在入侵檢測中的應(yīng)用將大大提高檢測的效率與準(zhǔn)確性。所謂軟計(jì)算的方法包含了神經(jīng)網(wǎng)絡(luò)、遺傳算法與模糊技術(shù)。 基于專家系統(tǒng)的入侵檢測方法 基于專家系統(tǒng)的入侵檢測方法與運(yùn)用統(tǒng)計(jì)方法與神經(jīng)網(wǎng)絡(luò)對入侵進(jìn)行檢測的方法不同 ,用專家系統(tǒng)對入侵進(jìn)行檢測 ,經(jīng)常是針對有特征的入侵行為。 所謂的規(guī)則 ,即是知識(shí)。不同的系統(tǒng)與設(shè)置具有不同的規(guī)則 ,且規(guī)則之間往往無通用 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 14 性。專家系統(tǒng)的建立依賴于知識(shí)庫的完備性 ,知識(shí)庫的完備性又取決于審 計(jì)記錄的完備性與實(shí)時(shí)性。特征入侵的特征抽取與表達(dá) ,是入侵檢測專家系統(tǒng)的關(guān)鍵。將有關(guān)入侵的知識(shí)轉(zhuǎn)化為 ifthen 結(jié)構(gòu) (也可以是復(fù)合結(jié)構(gòu) ),if 部分為入侵特征 ,then 部分是系統(tǒng)防范措施。 運(yùn)用專家系統(tǒng)防范有特征入侵行為的有效性完全取決于專家系統(tǒng)知識(shí)庫的完備性 ,建立一個(gè)完備的知識(shí)庫對于一個(gè)大型網(wǎng)絡(luò)系統(tǒng)往往是不可能的 ,且如何根據(jù)審計(jì)記錄中的事件 ,提取狀態(tài)行為與語言環(huán)境也是較困難的。例如 ,ISS 公司為了建立比較完備的專家系統(tǒng) ,一方面與地下組織建立良好關(guān)系 ,并成立由許多工作人員與專家組成的XForce 組織來進(jìn)行 這一工作。 由于專家系統(tǒng)的不可移植性與規(guī)則的不完備性?，F(xiàn)已不宜單獨(dú)用于入侵檢測 ,或單獨(dú)形成商品軟件。較適用的方法是將專家系統(tǒng)與采用軟計(jì)算方法技術(shù)的入侵檢測系統(tǒng)結(jié)合在一起 ,構(gòu)成一個(gè)以已知的入侵規(guī)則為基礎(chǔ) ,可擴(kuò)展的動(dòng)態(tài)入侵事件檢測系統(tǒng) ,自適應(yīng)地進(jìn)行特征與異常檢測 ,實(shí)現(xiàn)高效的入侵檢測及其防御。 誤用檢測技術(shù) 又稱為基于知識(shí)的檢測。其基本前提是：假定所有可能的入侵行為都能被識(shí)別和表示。首先， 對已知的攻擊方法進(jìn)行攻擊簽名 (攻擊簽名是指用一種特定的方式來表示已知的攻擊模式 )表示，然后根據(jù)已經(jīng)定義好的攻擊簽名 ，通過判斷這些攻擊簽名是否出現(xiàn)來判斷入侵行為的發(fā)生與否。這種方法是依據(jù)是否出現(xiàn)攻擊簽名來判斷入侵行為，是一種直接的方法。 基于專家系統(tǒng)的誤用入侵檢測 專家系統(tǒng)是基于知識(shí)的檢測中運(yùn)用最多的一種方法。該方法將有關(guān)入侵的知識(shí)轉(zhuǎn)化成 ifthen 結(jié)構(gòu)的規(guī)則，即將構(gòu)成入侵所要求的條件轉(zhuǎn)化為 if 部分，將發(fā)現(xiàn)入侵后采取的相應(yīng)措施轉(zhuǎn)化成 then 部分。當(dāng)其中某個(gè)或某部分條件滿足時(shí)，系統(tǒng)就判斷為入侵行為發(fā)生。其中的 ifthen 結(jié)構(gòu)構(gòu)成了描述具體攻擊的規(guī)則庫。條件部分，即 if 后的規(guī)則化描述，可根據(jù)審計(jì)事件得到，然后 根據(jù)規(guī)則和行為進(jìn)行判斷，執(zhí)行 then 后的動(dòng)作。 在具體實(shí)現(xiàn)中，專家系統(tǒng)需要從各種入侵手段中抽象出全面的規(guī)則化知識(shí)，需處理大量數(shù)據(jù)，在大型系統(tǒng)上尤為明顯。因此，大多運(yùn)用與專家系統(tǒng)類似的特征分析法。特 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 15 征分析不是將攻擊方法的語義描述轉(zhuǎn)化為檢測規(guī)則，而是在審計(jì)記錄中能直接找到的信息形式。這樣大大提高了檢測效率。這種方法的缺陷也和所有基于知識(shí)的檢測方法一樣，即需要經(jīng)常為新發(fā)現(xiàn)的系統(tǒng)漏洞更新知識(shí)庫，而且由于對不同操作系統(tǒng)平臺(tái)的具體攻擊方法和審計(jì)方式可能不同，特征分析檢測系統(tǒng)必須能適應(yīng)這些不同。 基于模型推理 的誤用入侵檢測 模型推理是指結(jié)合攻擊腳本來推斷入侵行為是否出現(xiàn)。其中有關(guān)攻擊者行為的知識(shí)被描述為：攻擊目的，攻擊者為達(dá)到此目的可能的行為步驟，以及對系統(tǒng)的特殊使用等?；谀Ｐ屯评淼恼`用檢測方法工作過程如下： （ 1） 根據(jù)攻擊知識(shí)建立攻擊腳本庫，每一腳本都由一系列攻擊行為組成； （ 2） 用這些攻擊腳本的子集來匹配當(dāng)前行為模式，發(fā)現(xiàn)系統(tǒng)正面臨的可能攻擊； （ 3） 將當(dāng)前行為模式輸入預(yù)測器模塊，產(chǎn)生下一個(gè)需要驗(yàn)證的攻擊腳本子集，并將它傳給決策器； （ 4） 決策器根據(jù)這些假設(shè)的攻擊行為在審討記錄中的可能出現(xiàn)方式，將它們轉(zhuǎn)換成與特定系統(tǒng)匹配的審計(jì)記錄格式，然后在審計(jì)記錄中尋找相應(yīng)信息來判斷這些行為模式是否為攻擊行為。 假設(shè)的初始攻擊腳本子集應(yīng)易于在審計(jì)記錄中識(shí)別，并且出現(xiàn)頻率很高。隨著一些腳本被確認(rèn)的次數(shù)增多，另一些腳本被確認(rèn)的次數(shù)減少，從而攻擊腳本不斷地得到更新。 模型推理方法對不確定性的推理有合理的數(shù)學(xué)理論基礎(chǔ)，同時(shí)決策器使得攻擊腳本可以與審計(jì)記錄的上下文無關(guān)。另外，這種檢測方法減少了需要處理的數(shù)據(jù)量。但其創(chuàng)建入侵檢 測模型的工作量比較大，并且決策器轉(zhuǎn)換攻擊腳本比較復(fù)雜。 基于狀態(tài)轉(zhuǎn)換分析的誤用入侵檢測 狀態(tài)轉(zhuǎn) 換分析是將狀態(tài)轉(zhuǎn)換圖應(yīng)用于入侵行為分析，它最早由 R． Kemmerer 提出。狀態(tài)轉(zhuǎn)換法將入侵過程看作一個(gè)行為序列，這個(gè)行為序列導(dǎo)致系統(tǒng)從初始狀態(tài)轉(zhuǎn)到被入侵狀態(tài)。 分析時(shí)首先針對每一種入侵方法確定系統(tǒng)的初始狀態(tài)和被入侵狀態(tài)，以及導(dǎo)致狀態(tài)轉(zhuǎn)換的轉(zhuǎn)換條件，即導(dǎo)致系統(tǒng)進(jìn)人被入侵狀態(tài)必須執(zhí)行的操作 (特征事件 )；然后用狀態(tài)轉(zhuǎn)換 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 16 圖來表示每一個(gè)狀態(tài)和特征事件，這些事件被集成于模型中，所以檢測時(shí)不需要一個(gè)個(gè)地查找審計(jì)記錄。但是，狀態(tài)轉(zhuǎn)換是針對事件序列分析，所以不宜于分析十分復(fù)雜的事件，而且不能檢測與系統(tǒng)狀態(tài)無關(guān)的入侵。 基于條件概率的誤用入侵檢測 基于條件概率的誤用入侵檢測方法將入侵方式對應(yīng)于一個(gè)事件序列，然后通過觀測事件發(fā)生的情況來推測入侵的出現(xiàn)。這種方法的依據(jù)是外部事件序列，根據(jù)貝葉斯定理進(jìn)行推理。 基于條件概率的誤用入侵檢測方法是在概率理論基礎(chǔ)上的一個(gè)普遍方法。它是對貝葉斯方法的改進(jìn)，其缺點(diǎn)是先驗(yàn)概率難以給出，而且事件的獨(dú)立性難以滿足。 基于鍵盤監(jiān)控的誤用入侵檢測 該方法假設(shè)入侵對應(yīng)特定的擊鍵序列模式，然后監(jiān)測用戶擊鍵模式，并將這一模式與入侵模式匹配，即能檢測入侵。這種方法在沒有操作系統(tǒng)支持的情況下 ，缺少捕獲用戶擊鍵的 可靠方法，而且同一種攻擊存在無數(shù)擊鍵方式表示。另外，假如沒有擊鍵語義分析，用戶使用別名命令很容易欺騙這種檢測技術(shù)。例如，用戶注冊的 SHELL 提供了簡寫命令序列工具，可以產(chǎn)生所謂的別名，類似宏定義。因?yàn)檫@種技術(shù)僅僅分析擊鍵，所以不能夠檢測到惡意程序執(zhí)行結(jié)果的自動(dòng)攻擊。但該方法相對容易實(shí)現(xiàn)。 畢業(yè)設(shè)計(jì)（論文）專用紙 第 頁 17 第 4 章 入侵檢測技術(shù)的信息收集和分析 入侵檢測技術(shù)信息的收集 入侵檢測技術(shù)需要收集系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動(dòng)的狀態(tài)和行為的信息。一般采用分布式結(jié)構(gòu)，在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干不同關(guān)鍵點(diǎn) (不 同網(wǎng)段和不同主機(jī) )收集信息，一方面擴(kuò)大檢測范圍，另一方面通過多個(gè)采集點(diǎn)的信息的比較來判斷是否存在可疑現(xiàn)象或發(fā)生入侵行為。 當(dāng)然，入侵檢測技術(shù)很大和度上依賴于收集信息的可靠性和下確性，因此，很有必要只利用 當(dāng)前的優(yōu)秀軟件來報(bào)告這些信息。因?yàn)楹诳徒?jīng)常替換軟件以搞混和移走這些信息，例如替換被程序調(diào)用的子程序、庫和其它工具。黑客對系統(tǒng)的修改可能使系統(tǒng)功能失常并看起來跟正常的一樣，而實(shí)際上不是。 入侵檢測技術(shù)信息的分析 入侵分析的任務(wù)就是在提取到的龐大的數(shù)據(jù)中找到入侵的痕跡。入侵分析過程需要將提取到的事件與入侵 檢測規(guī)則進(jìn)行比較，從而發(fā)現(xiàn)入侵行為