【文章內(nèi)容簡介】 常現(xiàn)象，最后把判斷的結(jié)果轉(zhuǎn)換為警告信息。 （ 3）事件數(shù)據(jù)庫 （ Response units ） 事件數(shù)據(jù)庫是存放各種中間和最終數(shù)據(jù)的地方。 （ 4）響應(yīng)單元 （ Response units ） 響應(yīng)單元根據(jù)警告信息做出反應(yīng)，如切斷連接、改變文本屬性等強烈的反 應(yīng)，也可能是簡單地報警。它是入侵檢測系統(tǒng)中的主動武器。 輸出：事件的有關(guān)信息 輸出：原始或低級事件 響應(yīng)單元 事件分析器 事件數(shù)據(jù)庫 事件產(chǎn)生器 輸出：高級中級事件 輸出：反應(yīng)或 事件 入侵檢測的分類 根據(jù)原始數(shù)據(jù)的來源分類： （ 1）基于主機（ hostbased）的入侵檢測系統(tǒng) 該系統(tǒng)獲取的數(shù)據(jù)來源于運行該系統(tǒng)所在的主機。它通過監(jiān)視和分析主機的審計記錄和日志文件來檢測入侵?；谥鳈C的入侵檢測系統(tǒng)主要用于保護運行關(guān)鍵應(yīng)用的服務(wù)器。由于需要在主機上安裝軟件，針對不同的系統(tǒng)、不同的版本需安裝不同的主機引擎，安裝配置較為復(fù)雜，同時對系統(tǒng)的運行和穩(wěn)定性都會造成影響。 （ 2）基于網(wǎng)絡(luò)（ workbased）的入侵檢測系統(tǒng) 該系統(tǒng)獲取的數(shù)據(jù) 來源是網(wǎng)絡(luò)上傳輸?shù)臄?shù)據(jù)包。它通過監(jiān)聽網(wǎng)絡(luò)上的所有分組來采集數(shù)據(jù)，分析可疑現(xiàn)象?；诰W(wǎng)絡(luò)的入侵檢測系統(tǒng)主要用于實時監(jiān)控網(wǎng)絡(luò)上的關(guān)鍵路徑（某一共享網(wǎng)段）。只需把它安裝在網(wǎng)絡(luò)的監(jiān)聽端口上，對網(wǎng)絡(luò)的運行影響較小。 （ 3）混合型入侵檢測系統(tǒng) 毋庸質(zhì)疑，混合型就是既基于主機又基于網(wǎng)絡(luò)?；谥鳈C的和基于網(wǎng)絡(luò)的IDS 具有互補性，基于網(wǎng)絡(luò)的入侵檢測能夠客觀地反映網(wǎng)絡(luò)活動，特別是能夠監(jiān)視到系統(tǒng)審計的盲區(qū)；而基于主機的入侵檢測能夠更加準確地監(jiān)視系統(tǒng)中的各種活動。由于近些年來，混合式病毒攻擊的活動更為猖獗，單一的基于主機或者單一的 基于網(wǎng)絡(luò)的 IDS 無法抵御混合式攻擊，因此，采用混合型的入侵檢測系統(tǒng)可以更好的保護系統(tǒng)。 根據(jù)分析方法分類 （ 1）誤用檢測（特征檢測 signaturebased） 誤用檢測是基于已知的系統(tǒng)缺陷和入侵模式，所以又稱為特征檢測。誤用檢測是對不正常的行為建模，這些不正常的行為是被記錄下來的確認的誤用和攻擊。通過對系統(tǒng)活動的分析，發(fā)現(xiàn)與被定義好的攻擊特征相匹配的事件或事件集合。該檢測方法可以有效地檢測到已知攻擊，檢測精度高，誤報少。但需要不斷更新攻擊的特征庫，系統(tǒng)靈活性和自適應(yīng)性較差，漏報較多。商用 IDS 多采用該種檢測方法。 （ 2）異常檢測（ anomalybased） 異常檢測是指能根據(jù)異常行為和使用計算機資源的情況檢測出入侵的方法。它試圖用定量的方式描述可以接受的行為特征，以區(qū)分非正常的、潛在的入侵行為。也就是，異常檢測是對用戶的正常行為建模，通過正常行為與用戶的行為進行比較，如果二者的偏差超過了規(guī)定閾值則認為該用戶的行為是異常的。異常檢測的誤報較多。目前，大多數(shù)的異常檢測技術(shù)還處于研究階段，基本沒有用于商 業(yè) IDS 中。 根據(jù)體系結(jié)構(gòu)分類 （ 1）集中式入侵檢測系統(tǒng) 集中式 IDS 有多個分布在不同主機上的審計程序，僅 有一個中央入侵檢測服務(wù)器。審計程序?qū)數(shù)厥占降臄?shù)據(jù)蹤跡發(fā)送給中央服務(wù)器進行分析處理。隨著服務(wù)器所承載的主機數(shù)量的增多，中央服務(wù)器進行分析處理的數(shù)量就會猛增，而且一旦服務(wù)器遭受攻擊，整個系統(tǒng)就會崩潰。 （ 2）等級式（部分分布式）入侵檢測系統(tǒng) 等級式 IDS 中定義了若干個等級的監(jiān)控區(qū)域，每個 IDS 負責一個區(qū)域，每一級 IDS 只負責所監(jiān)控區(qū)的分析，然后將當?shù)氐姆治鼋Y(jié)果傳送給上一級 IDS。等級式 IDS 也存在一些問題：首先，當網(wǎng)絡(luò)拓撲結(jié)構(gòu)改變時，區(qū)域分析結(jié)果的匯總機制也需要做相應(yīng)的調(diào)整；其次，這種結(jié)構(gòu)的 IDS 最后還是要 將各地收集的結(jié)果傳送到最高級的檢測服務(wù)器進行全局分析，所以系統(tǒng)的安全性并沒有實質(zhì)性的改進。 （ 3）分布式（協(xié)作式）入侵檢測系統(tǒng) 分布式 IDS是將中央檢測服務(wù)器的任務(wù)分配給多個基于主機的 IDS，這些 IDS不分等級，各司其職，負責監(jiān)控當?shù)刂鳈C的某些活動。所以，其可伸縮性、安全性都等到了顯著的提高，并且與集中式 IDS 相比，分布式 IDS 對基于網(wǎng)絡(luò)的共享數(shù)據(jù)量的要求較低。但維護成本卻提高了很多，并且增加了所監(jiān)控主機的工作負荷，如通信機制、審計開銷、蹤跡分析等。分布式 IDS 是本文研究一個重點。 根據(jù)時效性分類 （ 1） 脫 機分析：就是在行為發(fā)生后，對產(chǎn)生的數(shù)據(jù)進行分析，而不是在行為發(fā)生時進行分析。如對日志的審核、對系統(tǒng)文件的完整性檢查等。 （ 2）聯(lián)機分析：就是在數(shù)據(jù)產(chǎn)生或者發(fā)生改變的同時對其進行檢查，以發(fā)現(xiàn)攻擊行為，這種方式一般用于對網(wǎng)絡(luò)數(shù)據(jù)的實時分析，并且對系統(tǒng)資源要求比較高。 不同的分類方法體現(xiàn)的是對入侵檢測系統(tǒng)不同側(cè)面的理解。入侵檢測的核心在于對事件的分析，所以分析分類方法是較重要的。 入侵檢測方法 模式匹配 模式匹配是傳統(tǒng)的、最簡單的入侵檢測方法。該方法需要建立一個攻擊特征庫，檢查接收到的數(shù)據(jù)中是否包含特征庫中的 攻擊特征，從而判斷是否受到攻擊。它的算法簡單、準確率高，但是只能檢測到已知攻擊，對已知攻擊稍加修改就可以躲過檢測，漏報現(xiàn)象嚴重，模式庫需要不斷更新。對于高速大規(guī)模的網(wǎng)絡(luò)來說， 由于要分析處理大量的數(shù)據(jù)包，該方法的速度就成為了問題。 協(xié)議分析 協(xié)議分析是對模式匹配的智能擴展，它利用網(wǎng)絡(luò)協(xié)議的高度規(guī)則性快速探測攻擊的存在。它的提出彌補了模式匹配技術(shù)的一些不足，如計算量大、探測準確率低等。另外，協(xié)議分析還可以探測碎片攻擊。例如：假設(shè)襲擊執(zhí)行的基礎(chǔ)協(xié)議是虛構(gòu)的 BGS 協(xié)議，攻擊要求非法變量 foo 必須傳遞到 BGS 型字 段中。如果 BGS協(xié)議允許隔字節(jié)為空，那么模式匹配將無法發(fā)現(xiàn) fx00ox00ox00，相反，協(xié)議分析則能夠跳過空字節(jié)，如期發(fā)出警報。 專家系統(tǒng) 專家系統(tǒng)使用基于規(guī)則的語言為已知攻擊建模，它把審計事件表述成語義的事實，推理引擎根據(jù)這些規(guī)則和事實進行判定。專家系統(tǒng)的建立依賴于知識庫的完備性，知識庫的完備性取決于審計記錄的完備性和實時性。 統(tǒng)計分析 統(tǒng)計分析是通過設(shè)置極限閾值等方法，將檢測數(shù)據(jù)與已有的正常行為加以比較，如果超出極限值，則認為是入侵行為。常用的入侵檢測統(tǒng)計分析模型有：操作模型，方差，多元模型， 馬爾可夫過程模型，時間序列分析。 數(shù)據(jù)挖掘 數(shù)據(jù)挖掘是數(shù)據(jù)庫中的一項技術(shù)，它的作用是從大型數(shù)據(jù)庫中抽取知識。對于入侵檢測系統(tǒng)來說，也需要從大量的數(shù)據(jù)中提取出入侵的特征。因此，將數(shù)據(jù)挖掘技術(shù)引入入侵檢測系統(tǒng)中，通過數(shù)據(jù)挖掘程序處理收集到的審計數(shù)據(jù)，為各種入侵行為和正常操作建立精確的行為模式，這是一個自動的過程。數(shù)據(jù)挖掘的關(guān)鍵點在于算法的選取和一個正確的體系結(jié)構(gòu)的建立。 神經(jīng)網(wǎng)絡(luò) 神經(jīng)網(wǎng)絡(luò)具有自適應(yīng)、自組織和自學習的能力，可以處理一些環(huán)境信息復(fù)雜、背景知識不清楚的問題。將神經(jīng)網(wǎng)絡(luò)技術(shù)應(yīng)用于入侵檢測系統(tǒng)， 以檢測未知攻擊。來自審計日志或正常網(wǎng)絡(luò)訪問行為的信息，經(jīng)數(shù)據(jù)信息預(yù)處理模塊的處理后即產(chǎn)生輸入向量。使用神經(jīng)網(wǎng)絡(luò)對輸入向量進行處理，從中提取用戶正常行為的模式特征，并以此創(chuàng)建用戶的行為特征輪廓。這要求系統(tǒng)事先對大量實例進行訓練，具有每一個用戶行為模式特征的知識，從而可以找出偏離這些輪廓的用戶行為。 模糊系統(tǒng) 模糊理論在知識和規(guī)則獲取中具有重要的作用。人類思維、語言具有模糊性，模糊思維形式和語言表達具有廣泛性、完美和高效的特征。人們的許多知識是模糊的，模糊知識在控制和決策中具有巨大的作用。由于計算機網(wǎng)絡(luò)中的 正常行為和異常行為難以很好界定，使用模糊邏輯推理方法，入侵檢測系統(tǒng)的誤報率則會 降低。 免疫系統(tǒng) 免疫系統(tǒng)是一個復(fù)雜的多代理系統(tǒng)。將免疫系統(tǒng)應(yīng)用到入侵檢測當中，本質(zhì)上是設(shè)計和實現(xiàn)一個分布式智能多代理系統(tǒng)。免疫的基本原理是分辨本體（正常）和異體（異常）。在入侵檢測領(lǐng)域，本體是被監(jiān)控網(wǎng)絡(luò)的正常行為，異體是網(wǎng)絡(luò)的異常行為。 遺傳算法 遺傳算法是基于自然選擇 ,在計算機上模擬生物進化機制的尋優(yōu)搜索法 .在自然界的演化過程中 ,生物體通過遺傳、變異來適應(yīng)外界環(huán)境，一代又一代地優(yōu)勝劣汰，發(fā)展進化。遺傳則模擬了上述進化現(xiàn) 象。它把搜索空間映射為遺傳空間，即把每個可能的解編碼為一個向量，稱為一個染色體，向量的每個元素稱為基因。所有染色體組成群體，并按預(yù)定的目標函數(shù)對每個染色體進行評價，根據(jù)結(jié)果給出一個適應(yīng)度的值。算法開始時先隨機地產(chǎn)生一些染色體，計算其適應(yīng)度，根據(jù)適應(yīng)度對各染色體進行選擇復(fù)制、交叉、變異等遺傳操作，剔除適應(yīng)度低的染色體，留下適應(yīng)度高的染色體，從而得到新的群體。由于新群體的成員是上一代群體的優(yōu)秀者，繼承了上一代的優(yōu)良形態(tài)，因而明顯優(yōu)于上一代。遺傳算法就這樣反復(fù)迭代，向著更優(yōu)解的方向進化，直至滿足某種預(yù)定的優(yōu)化指標 。 數(shù)據(jù)融合 數(shù)據(jù)融合是針對一個系統(tǒng)中使用多個和（或）多類傳感器這一特定問題展開的一種新的數(shù)據(jù)處理方法，因此數(shù)據(jù)融合又稱多傳感器信息融合或信息融合。多傳感器信息融合的基本原理就像人腦綜合處理信息的過程一樣，它充分利用多個傳感器資源，通過對各個傳感器及其觀測信息的合理支配和使用，將各種傳感器在空間和時間上的互補與冗余信息根據(jù)某種優(yōu)化準則組合起來，產(chǎn)生對觀測環(huán)境的一致性解釋和描述。它的最終目的是利用多個傳感器共同或者聯(lián)合操作的優(yōu)勢，來提高整個系統(tǒng)的性能。把數(shù)據(jù)融合引入入侵檢測領(lǐng)域，可以從不同角度、不同位置 收集反映網(wǎng)絡(luò)狀態(tài)的數(shù)據(jù)信息，如網(wǎng)絡(luò)數(shù)據(jù)包、系統(tǒng)日志、系統(tǒng)操作者發(fā)出的口令等。對這些信息進行分析和結(jié)果融合，給出檢測系統(tǒng)的判斷結(jié)果和響應(yīng)措施。 在實際的應(yīng)用和研究中，通常不采用單一的檢測方法而是采用多種檢測方法相結(jié)合的方式來檢測攻擊。以上所介紹的方法有些還處于研究階段，不能達到一定的檢測精度，漏報、誤報現(xiàn)象較為嚴重，還有待進一步的研究。 BM 算法 BoyerMoore（ BM） 算法 ，又叫做快速 字符串 搜索算法 ， 它是一種非常有效的字符串匹配算法。主要應(yīng)用于一些程序的字符串處理，比如：搜索，替代等。 這種算法的時間復(fù) 雜度低于線性，所以是現(xiàn)在用的最多的一種方法。 BM 算法從匹配串（模式串： pattern） 的最右端的第一個字符開始從右至左掃描，匹配字符串（ text），一旦發(fā)生不匹配就用兩種規(guī)則向右移動模式串，直到匹配。這兩種規(guī)則分別叫做：好后綴規(guī)則 （ goodsuffix shift） 、壞字符規(guī)則 （ badcharacter shift） 。 好后綴規(guī)則 （ goodsuffix shift） 假設(shè)在模式串的字符 x[i]=a,字符串的字符 y[i+j]=b處不匹配，即 x[i+1 .. m1]=y[i+j+1 .. j+m1]=u, and x[i] ！ = y[i+j]。有兩種情況發(fā)生 ： 如果在 x 后面的其他位置還包括好后綴 u,且與 u 相鄰左端的字符x[in]=c 不等于 x[i]=a,這時把 在 x 后面的其他位置出現(xiàn)的 u與 y中的 u 對齊，并比較 x[in]與 y[i+j]。依次類推，示意圖如下 ： 圖 , u 出現(xiàn)的位置前的字符 c!=a 如果沒有出現(xiàn)與 u相同的字符串 則找到與 u 的后綴相同的 x的最長前綴u，向右移動 x,使 v與 y中 u的后綴相對應(yīng)。 示意圖如下 ： 圖 好后綴規(guī)則 , 只有 u的一部分前綴出現(xiàn)在 x中 ? 壞字 符規(guī)則 （ badcharacter shift） 從右到左的掃描過程中，發(fā)現(xiàn) x[i]與 y[j]不同，如果 x中存在一個字符x[k]與 y[i]相同，且 ki 那么就將直接將 x向右移使 x[k]與 y[i]對齊，然后再從右到左進行匹配 。 圖 ， a與 b不匹配， b出現(xiàn)在 x中 如果 x中不存在任何與 y[i]相同的字符，則直接將 x的第一個字符與y[i]的下一個字符對齊，再從右到左進行比較 。 圖 ， a與 b不匹配， b沒有出現(xiàn)在 x中 移動規(guī)則： 當文本字符 串 與模式字符不匹配時，根據(jù)函數(shù) badcharacter shift 和goodsuffix shift 計算出的偏移值，取兩者中的大者 。 存放 badcharacter shift 的數(shù)組為 BadChar[],則 BadChar[c]= min｛ i| 1 ≤ i≤m 1 and x[m1i]=c｝ ,如果 c 未在模式字符中出現(xiàn)則 BadChar[c]＝ m（ m為 x 的長度） 。 存放 goodsuffix shift 的數(shù)組為 GoodSuffix[],則 suff[i]=max{k | y[ik+1 .. i]=x[mk .. m1], 1≤ i m }。即 suff 是 P[0..i]和 T 的最長一般后綴。計算 suff 數(shù)組使得計算 GoodSuffix 函數(shù)變得簡潔 GoodSuffix[m 1 suff[i]] = m 1– i。 最后取 BadChar[c]和 GoodSuffix[c]的最大值 。 3 系統(tǒng)總體設(shè)計 系統(tǒng)概述 系統(tǒng)構(gòu)建基于 windows 操作系統(tǒng)，并且兼容各種 windows 版本，系統(tǒng)的整體目標是實現(xiàn)一個 windows 平臺下基于規(guī)則（基于誤用）的網(wǎng)絡(luò)入侵檢測系統(tǒng)，實現(xiàn)基于規(guī)則的網(wǎng)絡(luò)入侵檢測，在現(xiàn)有已知的入侵特征下建立規(guī)則庫，實 現(xiàn)數(shù)據(jù)包地捕獲和分析，完