【文章內(nèi)容簡介】 計、跟蹤信息設(shè)計和實現(xiàn)的系統(tǒng)安全自動分析或檢測工具是必要的，利用可以從中篩選出涉及安全的信息。其思路與流行的數(shù)據(jù)挖掘(Data Mining)技術(shù)極其類似。基于審計的自動分析檢測工具可以脫機(jī)，即分析工具非實時地對審計跟蹤文件提供的信息進(jìn)行處理，從而得到計算機(jī)系統(tǒng)是否受到過攻擊的結(jié)論，并且提供盡可能多的攻擊者的信息；此外，也可以聯(lián)機(jī)，即分析工具實時地對審計跟蹤文件提供的信息進(jìn)行同步處理，當(dāng)有可疑的攻擊行為時，系統(tǒng)提供實時的警報，在攻擊發(fā)生時就能提供攻擊者的有關(guān)信息，其中可以包括攻擊企圖指向的信息。3．3 安全審計時應(yīng)考慮的威脅在安全系統(tǒng)中，一般應(yīng)當(dāng)考慮三類安全威脅：外部攻擊、內(nèi)部攻擊和授權(quán)濫用。攻擊者來自該計算機(jī)系統(tǒng)的外部時稱作外部攻擊；當(dāng)攻擊者來自計算機(jī)系統(tǒng)內(nèi)部，但無權(quán)訪問某些特定的數(shù)據(jù)、程序或資源的人，意圖越權(quán)使用系統(tǒng)資源時視為內(nèi)部攻擊，包括假冒者(即那些使用其他合法用戶的身份和口令的人)、秘密使用者(即那些有意逃避審計機(jī)制和存取控制的人)；特權(quán)濫用者也是計算機(jī)系統(tǒng)資源的合法用戶，表現(xiàn)為有意或無意地濫用他們的特權(quán)。通過審計試圖登錄的失敗記錄，可以發(fā)現(xiàn)外部攻擊者的攻擊企圖；通過觀察試圖連接特定文件、程序和其他資源的失敗記錄，可以發(fā)現(xiàn)內(nèi)部攻擊者的攻擊企圖，通過為每個用戶單獨(dú)建立的行為模型和特定行為的比較來檢測發(fā)現(xiàn)假冒者?；趯徲嬓畔⒌墓魴z測，特別難于防范的攻擊是具備較高優(yōu)先特權(quán)的內(nèi)部人員的攻擊；攻擊者可通過使用某些系統(tǒng)特權(quán)或調(diào)用比審計本身更低級的操作來逃避審計。對于那些具備系統(tǒng)特權(quán)的用戶，需要審查所有關(guān)閉或暫停審計功能的操作，通過審查被審計的特殊用戶、或者其他的審計參數(shù)來發(fā)現(xiàn)。審查更低級的功能，如審查系統(tǒng)服務(wù)或核心系統(tǒng)調(diào)用通常比較困難，通用的方法很難奏效，需要專用的工具和操作才能實現(xiàn)?？傊瑸榱朔婪峨[秘的內(nèi)部攻擊需要在技術(shù)手段之外確保管理手段的行之有效，技術(shù)上則需要監(jiān)視系統(tǒng)范圍內(nèi)的某些特定的指標(biāo)(如CPU、內(nèi)存和磁盤的活動)，并與通常情況下歷史記錄進(jìn)行比較，以期發(fā)現(xiàn)之。3．4 企業(yè)應(yīng)進(jìn)行的攻擊檢測方法 3．4．1 基于審計信息的攻擊檢測技術(shù)基于審計信息的脫機(jī)攻擊檢測工作以及自動分析工具，可以向系統(tǒng)安全管理員報告前一天計算機(jī)系統(tǒng)活動的信息。對攻擊的實時檢測系統(tǒng)工作原理，是對用戶歷史行為的建模，以及在早期的證據(jù)或模型的基礎(chǔ)上。審計系統(tǒng)實時地檢測用戶對系統(tǒng)的使用情況，根據(jù)系統(tǒng)內(nèi)部保留的用戶行為的概率統(tǒng)計模型進(jìn)行監(jiān)測，當(dāng)發(fā)現(xiàn)有可疑用戶行為發(fā)生時，保持跟蹤并監(jiān)測、記錄該用戶的行為。SRI(Stanford Re—search Institute)研制開發(fā)的IDES(Intrusion—De—tecfion Expert System)是一個典型的實時檢測系統(tǒng)。利用IDES系統(tǒng)能根據(jù)用戶歷史行為決定用戶當(dāng)前的行為是否合法。系統(tǒng)根據(jù)每個用戶的歷史行為，生成用戶歷史行為記錄庫。因為IDES能夠更有效地自適應(yīng)學(xué)習(xí)被檢測系統(tǒng)中每個用戶的行為習(xí)慣，當(dāng)某個用戶改變其行為習(xí)慣時，這種異常就會被檢測出來。目前IDES可以實現(xiàn)的監(jiān)測有以下兩個方面： 一一般項目：例如CPU的使用時間，I／O的使用通道和頻率，常用目錄的建立與刪除，文件的讀寫、修改、刪除，以及來自局域網(wǎng)的行為；特定項目：包括習(xí)慣使用的編輯器和編譯器、最常用的系統(tǒng)調(diào)用、用戶ID的存取、文件和目錄的使用。系統(tǒng)管理員利用IDES除了能夠?qū)崟r地監(jiān)測用戶的異常行為，還可以處理適應(yīng)的用戶參數(shù)。在類似IDES這樣的攻擊檢測系統(tǒng)中，用戶行為的各個方面都可以用來作為區(qū)分行為正?；虿徽５奶卣?。例如，某個用戶通常是在正常的上班時間使用系統(tǒng)，若偶然加班使用系統(tǒng)會被IDES報警。根據(jù)此邏輯，系統(tǒng)能夠判斷使用行為的合法與否。當(dāng)合法的用戶濫用權(quán)利時，IDES就無效了。此辦法同樣適用于檢測程序的行為以及對數(shù)據(jù)資源(如文件或數(shù)據(jù)庫)的存取行為。3．4．2 其他的攻擊檢測技術(shù)其實除了基于審計信息，還有基于神經(jīng)網(wǎng)絡(luò)、專家系統(tǒng)和模型推理的攻擊檢測技術(shù)，都可以幫助系統(tǒng)對付網(wǎng)絡(luò)攻擊，擴(kuò)展系統(tǒng)管理員的安全管理能力，提高信息安全基礎(chǔ)結(jié)構(gòu)的完整性。系統(tǒng)管理員在企業(yè)的信息傳遞、存儲與處理的整個過程中，提供物理上、邏輯上的防護(hù)、監(jiān)聽、反應(yīng)恢復(fù)和對抗的能力，以保護(hù)企業(yè)網(wǎng)絡(luò)信息資源的保密性、完整性、可控性和抵抗依賴性從而更好地為保障企業(yè)安全生產(chǎn)工作做出貢獻(xiàn)。參考文獻(xiàn)：[1] 陳明．網(wǎng)絡(luò)安全教程[M]．北京：清華大學(xué)出版社，2002． [2] Greg Holden．網(wǎng)絡(luò)防御與安全對策[M]．北京：清華大學(xué)出 版社，2O04．[3] 趙小林．網(wǎng)絡(luò)安全技術(shù)教程[M]．北京：國防工業(yè)出版社，2o()2．[4] 戚文靜．網(wǎng)絡(luò)安全與管理[M]．中國水利水電出版社，2002． [5] 蔡立軍．計算機(jī)網(wǎng)絡(luò)安全技術(shù)[M]．中國水利水電出版社 2o()2．[6] 劉峰，李志勇，陶然，王越．網(wǎng)絡(luò)對抗[c]．國防工 業(yè)出版社，2003．[7] Stephen Northcutt，Mark Cooper，Matt Feamow，l(aml Fredcrick 著．入侵特征與分析[c]．中國電力出版社，2O02．[8] 馮登國，蔣建春．網(wǎng)絡(luò)環(huán)境下的信息對抗理論與技術(shù)[J]． 世界科技研究與發(fā)展．2003第四篇：信息導(dǎo)論要點總結(jié)信息導(dǎo)論要點總結(jié)第一章：計算機(jī)基礎(chǔ)（P 16）：二進(jìn)制特點：、1兩個狀態(tài)，易于實現(xiàn)。十進(jìn)制變十進(jìn)制：整數(shù)部分：除N取余（倒放）；小數(shù)部分：乘N取整，再用小數(shù)部分繼續(xù)乘N。（注：十進(jìn)制轉(zhuǎn)換二進(jìn)制：二進(jìn)制個位為1，則對應(yīng)的此十進(jìn)制數(shù)為奇數(shù)；若二進(jìn)制數(shù)個位為0，則對應(yīng)的十進(jìn)制數(shù)為偶數(shù)）進(jìn)制之間的轉(zhuǎn)換，舉例：31（十進(jìn)制）=?(二進(jìn)制)31除2 15除2 7除2 3除2 1除2 商15 商7 商3 商1 商0 余1 余1 余1 余1 余1 從右往左的順序（倒敘）記為11111（P22）原碼、補(bǔ)碼、反碼：：對正數(shù)：符號位為“0”，其余七位絕對值；對負(fù)數(shù)：符號位為“1”，其余七位絕對值。（注：0有兩種表示方法，+0和0）舉例：寫出34的原碼。解：因為340 所以 符號位為0 因為34轉(zhuǎn)換為二進(jìn)制為100010 所以【34】原=00100010 ：對正數(shù)：符號位為“0”，其余七位絕對值；對負(fù)數(shù)：符號位為“1”，其余七位取反。（注：0有兩種表示方法，+0和0）舉例：寫出34的反碼。解：因為34（P24）算數(shù)運(yùn)算與溢出的判斷：：【X】補(bǔ)+【Y】補(bǔ)=【X+Y】補(bǔ)b．補(bǔ)碼減法運(yùn)算：【XY】補(bǔ)=【X+(Y)】補(bǔ)=[X]補(bǔ)+[Y]補(bǔ) c．溢出檢查：運(yùn)算結(jié)果比128大叫上溢，運(yùn)算結(jié)果比128小叫下溢。上溢情況：⒈兩正數(shù)相加；⒉正數(shù)減負(fù)數(shù) 下溢情況：⒈兩負(fù)數(shù)相加；⒉負(fù)數(shù)減正數(shù)（計算機(jī)用雙符號位判斷是否溢出：即：00（正）/11（負(fù)）合法輸出非溢出。01（下溢）/10（上溢）非法輸出則溢出）（P25）邏輯運(yùn)算： 規(guī)則：0∧0=0 0∧1=0 1∧0=0 1∧1=1 規(guī)則：0∨0=0 0∨1=1 1∨0=1 1∨1=1 規(guī)則：01 10 ：規(guī)則：00=0 01=1 10=1 11=0（P27）常用ASCⅡ碼：A(1000001=65)B(1000010=66)……Z(1011010=90)a(1100001=97)b(1100010=98)……z(1111010=122)文字0(0110000=48)（P30）算法的定義：每一個步驟必須能夠?qū)崿F(xiàn)，執(zhí)行結(jié)果要能夠打到預(yù)期的目的的程序叫做算法。算法的特點：算法的表示：（PDL）字長的定義：CPU能同時一次處理的最大比特位數(shù)。（P）存儲容量的單位之間的關(guān)系：電腦的存儲容量的基本單位是字節(jié)（b）1B=8b 1KB=1024B 1MB=1024KB 1GB=1024MB 1TB=1024GB 1PB=1024TB 1個漢字=2B；……（P29）漢字輸入碼的換算：區(qū)