【正文】 感謝室友 裴成龍、侯進祥 ，深深感謝他們的關(guān)心和幫助 !四 年的點點滴滴，都會成為美好的的回憶 !時間逝去，但友誼一生不變 ! 感謝我的父母和親人。 咸 老師不僅給我們傳授知識，還傳授了研究的方法、做人的道理和生活的態(tài)度，這將使我終身受益。通過本次設(shè)計我明白了在大學(xué)學(xué)習(xí)的本質(zhì)，師傅領(lǐng)進門，修行在個人，大學(xué)里面其實都是以人為獨立個體學(xué)習(xí)的。在學(xué)院給出了格式要求以后，根據(jù)老師所提出的寶貴意見，總算一步步的完成了論文?？梢姡肭謾z測產(chǎn)品仍具有較大的發(fā)展空間，從技術(shù)途徑來講，我們認(rèn)為，除了完善常規(guī)的、傳統(tǒng)的技術(shù)（模式識別和完整性檢測）外，應(yīng)重點加強統(tǒng)計分析的相關(guān)技術(shù)研究。 入侵檢測作為一種正在飛速發(fā)展的積極主動安全防護技術(shù)，它同時提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，在網(wǎng)絡(luò)系統(tǒng)受到危害之前攔截和響應(yīng)入侵。所有的入侵檢測產(chǎn)品都在這個標(biāo)準(zhǔn)環(huán)境下測試，自然就可以區(qū)分出產(chǎn)品的優(yōu)劣?，F(xiàn)在 一些入侵檢測產(chǎn)品的宣傳未必就十分可信，即使是完全可信的，由于不是由權(quán)威的檢測部門使用測試評估標(biāo)準(zhǔn)來進行檢測得出的結(jié)果，所以也難免被使用者懷疑。ＩＤＷＧ現(xiàn)在比 較活躍，在不斷修改它們提出的草案，力爭使其成為國際標(biāo)準(zhǔn)。因此，ＩＤＳ的標(biāo)準(zhǔn)化工作應(yīng)引起業(yè)界的廣泛重視。在這方面，還有不少具體的工作要做。對于這方面的研究現(xiàn)在還比較少，一些ＩＤＳ廠家只針對自己的產(chǎn)品做了一些接口函數(shù)，并且大多數(shù)是以防火墻為中心的。 畢業(yè)設(shè)計（論文）專用紙 第 頁 27 實現(xiàn) IDS 與其他安全部件 的互動 實現(xiàn)網(wǎng)絡(luò)與信息的安全是一項系統(tǒng)工程，不是哪一種單獨的安全部件就可以完成的?，F(xiàn)在對于ＤｏＳ的研 究比較多，國內(nèi)一些廠家也開發(fā)出了專門應(yīng)對ＤｏＳ的產(chǎn)品，但要想很好地檢測和防范ＤｏＳ，還有很多工作要做。它通過搶占目標(biāo)主機系統(tǒng)資源，使得系統(tǒng)過載或崩潰，從而達(dá)到阻止合法用戶使用系統(tǒng)的目的。由于分布式攻擊有著隱蔽性強，攻擊力大的特點，因此現(xiàn)在入侵者使用分布式攻擊進行入侵的情況越來越多。于是攻擊者就采取使用多臺主機，同時攻擊一臺機器的辦法。為了能夠適應(yīng)高速網(wǎng)的要求，不得不改進ＩＤＳ中一些現(xiàn)有的技術(shù)。協(xié)議分析技術(shù)是一種比較好的誤用檢測技術(shù)，它彌補了模式匹配技術(shù)的一些不足，通過對協(xié)議進行解碼，減少了ＩＤＳ需要分析的數(shù)據(jù)量，從而提高了解析的速度，由于協(xié)議比較規(guī)范，因此協(xié)議分析的準(zhǔn)確率比較高?，F(xiàn)在異常檢測的方法主要是統(tǒng)計模型，它通過設(shè)置極限閾值等方法，將檢測數(shù)據(jù)與已有的正常行為比較，如果超出極限閾值，就認(rèn)為是入侵行為?，F(xiàn)在的ＩＤＳ產(chǎn)品，主要可以分為基于主機的ＩＤＳ和基于網(wǎng)絡(luò)的ＩＤＳ兩種，使用的檢測方法主要 是誤用檢測和異常檢測。在這種形勢下，ＩＤＳ雖然得到了比較大的發(fā)展，但總的情況并不讓人滿意。 入侵檢測技術(shù)的改進發(fā)展 針對這些問題入侵檢測系統(tǒng)需要向以下的幾個發(fā)展方向：入侵件技術(shù)應(yīng)該更加智能化，應(yīng)改進和提出新的檢測方法，應(yīng)有自學(xué)習(xí)和自適應(yīng)能力，應(yīng)制定相關(guān)標(biāo)準(zhǔn)、加強與其他安全部件的互動，應(yīng)有一個完善的評估和測試體系。 畢業(yè)設(shè)計（論文）專用紙 第 頁 24 第 6 章 入侵檢測技術(shù)的缺點 和改進發(fā)展 入侵檢測技術(shù)所面臨的問題 近年來入侵技術(shù)無論從規(guī)模與方法上都發(fā)生了變化，入侵手段的綜合化與復(fù)雜化，網(wǎng)絡(luò)防范技術(shù)也多重化，攻擊的難度增加，使得入侵者在實施入侵時往往同時采用多種入侵手段，存在對入侵檢測系統(tǒng)的攻擊，入侵者通過分析 IDS 的審計方式、特征描述、通信模式找出 IDS 的弱點，然后加以攻擊。這個 方向，成為了當(dāng)今的研究熱點。正確的報警信息往往夾雜在大量的誤報中，并且大量的報警信息使管理變的困難，需要有一種可視化的方法輔助管理員理解大量報警信息背后隱藏的攻擊。 （ 2） 報警關(guān)聯(lián)規(guī)則的挖掘分布式入侵檢測與通用入侵檢測架構(gòu)是 IDS 體系結(jié)構(gòu)的發(fā)展方向，它產(chǎn)生了海量的報警日志，需要對海量日志進行分析，關(guān)聯(lián)。同時，網(wǎng)絡(luò)技術(shù)的發(fā)展和攻擊方法的復(fù)雜化、多樣化，對入侵檢測報警數(shù)據(jù)處理技術(shù)提出更高的要求。由于領(lǐng)域知識依賴于并受限于安全專家的能力，因此，存在獲取困難、不全面、錯誤率較高、耗時巨大等問題，有必要對知識庫的自動(或輔助 )生成技術(shù)進行研究。 （ 2） 報警處理結(jié)果缺乏明確的評判標(biāo)準(zhǔn)通常只關(guān)注報警條目的減少能力，但保持和提高報警質(zhì)量同樣重要。例如，用戶在家里可能安裝 Modem 以訪問遠(yuǎn)程辦公室，與此同時黑客正在利用自動工具來識別在公共電話線上的 Modem，如果一撥號訪問流量經(jīng)過了這些自動工具，那么這一撥號訪問就成為了威脅網(wǎng)絡(luò)安全的后門。黑客可能會將程序或服務(wù)的運行分解，從而導(dǎo)致它失敗，或者是以非用戶或管理員意圖的方式操作。每個進程執(zhí)行在具有不同權(quán)限的環(huán)境中，這種環(huán)境控制著進程可訪問的系統(tǒng)資源、程序和數(shù)據(jù)文件等。目錄和文件中的不期望的改變（包括 修改、創(chuàng)建和刪除），特別是那些正常情況下限制訪問的，很可能就是一種入侵產(chǎn)生的指示和信號。通過看日志文件，能夠發(fā)現(xiàn)成功的入侵或入侵企圖，并墊腳快地啟動相應(yīng)響應(yīng)程序。 畢業(yè)設(shè)計（論文）專用紙 第 頁 20 第 5 章 入侵檢測技術(shù)的數(shù)據(jù)處理 入侵檢測技術(shù)處理的內(nèi)容 入侵檢測技術(shù)是主動保護自己免受攻擊的一種網(wǎng)絡(luò)安全技術(shù)。其優(yōu)點是不管模式匹配方法和統(tǒng)計分析方法能否發(fā)現(xiàn)入侵，只要是成功的攻擊導(dǎo)致了文件或其 畢業(yè)設(shè)計（論文）專用紙 第 頁 19 它對象的任何改變，它都能夠發(fā)現(xiàn)。這樣做的優(yōu)點是可檢測到未知的入侵和更為復(fù)雜的入侵，缺點是誤報、漏報率高，且不適應(yīng)用戶正常行為的突然改變。 統(tǒng)計分析 統(tǒng)計分析方法首先給系統(tǒng)對象 （如用戶、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。一般來講，一種進攻模式可以用一個過程（如執(zhí)行一條指令）或一個輸出（如獲得權(quán)限）來表示。對于有的入侵行為，即使理論上可以進行映射，但是在實現(xiàn)上是不可行的，比如說有的網(wǎng)絡(luò)行為需要經(jīng)過非常復(fù)雜的步驟或較長的過程才能表現(xiàn)其 畢業(yè)設(shè)計（論文）專用紙 第 頁 18 入侵特性，這樣的行為由于具有非常龐大的模式匹配序列，需要綜合大量的 數(shù)據(jù)報文來進行匹配，因而在實際上是不可行的。在實現(xiàn)上，分析策略通常定義為一些完全獨立的檢測規(guī)則。 入侵檢測技術(shù)信息的分析 入侵分析的任務(wù)就是在提取到的龐大的數(shù)據(jù)中找到入侵的痕跡。一般采用分布式結(jié)構(gòu)，在計算機網(wǎng)絡(luò)系統(tǒng)中的若干不同關(guān)鍵點 (不 同網(wǎng)段和不同主機 )收集信息，一方面擴大檢測范圍，另一方面通過多個采集點的信息的比較來判斷是否存在可疑現(xiàn)象或發(fā)生入侵行為。例如，用戶注冊的 SHELL 提供了簡寫命令序列工具，可以產(chǎn)生所謂的別名，類似宏定義。它是對貝葉斯方法的改進，其缺點是先驗概率難以給出，而且事件的獨立性難以滿足。但是，狀態(tài)轉(zhuǎn)換是針對事件序列分析，所以不宜于分析十分復(fù)雜的事件，而且不能檢測與系統(tǒng)狀態(tài)無關(guān)的入侵。但其創(chuàng)建入侵檢 測模型的工作量比較大，并且決策器轉(zhuǎn)換攻擊腳本比較復(fù)雜。 假設(shè)的初始攻擊腳本子集應(yīng)易于在審計記錄中識別，并且出現(xiàn)頻率很高。這種方法的缺陷也和所有基于知識的檢測方法一樣，即需要經(jīng)常為新發(fā)現(xiàn)的系統(tǒng)漏洞更新知識庫，而且由于對不同操作系統(tǒng)平臺的具體攻擊方法和審計方式可能不同，特征分析檢測系統(tǒng)必須能適應(yīng)這些不同。 在具體實現(xiàn)中，專家系統(tǒng)需要從各種入侵手段中抽象出全面的規(guī)則化知識，需處理大量數(shù)據(jù)，在大型系統(tǒng)上尤為明顯。該方法將有關(guān)入侵的知識轉(zhuǎn)化成 ifthen 結(jié)構(gòu)的規(guī)則，即將構(gòu)成入侵所要求的條件轉(zhuǎn)化為 if 部分，將發(fā)現(xiàn)入侵后采取的相應(yīng)措施轉(zhuǎn)化成 then 部分。其基本前提是：假定所有可能的入侵行為都能被識別和表示。 由于專家系統(tǒng)的不可移植性與規(guī)則的不完備性。特征入侵的特征抽取與表達(dá) ,是入侵檢測專家系統(tǒng)的關(guān)鍵。 基于專家系統(tǒng)的入侵檢測方法 基于專家系統(tǒng)的入侵檢測方法與運用統(tǒng)計方法與神經(jīng)網(wǎng)絡(luò)對入侵進行檢測的方法不同 ,用專家系統(tǒng)對入侵進行檢測 ,經(jīng)常是針對有特征的入侵行為。統(tǒng)計方法的最大優(yōu)點是它可以 學(xué)習(xí) 用戶的使用習(xí)慣 ,從而具有較高檢出率與可用性。 多元模型 :操作模型的擴展 ,通過同時分析多個參數(shù)實現(xiàn)檢測。如果把防火墻比作大門警衛(wèi)的話，入侵檢測就是網(wǎng)絡(luò)中不間斷的攝像機，入侵檢測通過旁路監(jiān)聽的方式不間斷的收取網(wǎng)絡(luò)數(shù)據(jù)，對網(wǎng)絡(luò)的運行和性能無任何影響，同時判斷其中是否含有攻擊的企圖，通過各種手段向管理員報警。但防火墻的功能也有局限性，防火墻只能對進出網(wǎng)絡(luò)的數(shù)據(jù)進行分析，對網(wǎng)絡(luò)內(nèi)部發(fā)生的事件完全無能為力。 入侵分析的任務(wù)就是在提取到的運行數(shù)據(jù)中找出入侵的痕跡，將授權(quán)的正常訪問行為和非授權(quán)的不正常訪問行為區(qū)分開，分析出入侵行為并對入侵者進行定位。代理也可以接受中央監(jiān)控器的指令。整個系統(tǒng)可以由一個中央監(jiān)視器和多個代理組成。一旦檢測到攻擊， IDS 的響應(yīng)模塊通過通知、報警以及中斷連接等方式來對攻擊行為做出反應(yīng)。 基于主機的入侵檢測系統(tǒng)存在的不足之處在于：會占用主機的系統(tǒng)資源，增加系統(tǒng)負(fù)荷，而且針對不同的操作平臺必須開發(fā)出不同的程序，另外所需配置的數(shù)量眾多。它是通過比較這些審計記錄文件的記錄與攻擊簽名 (Attack Signature，指用一種特定的方式來表示已知的攻擊模式 )以發(fā)現(xiàn)它們是否匹配。對于已知的攻擊，它可以詳細(xì)、準(zhǔn)確地報告出攻擊類型，但是對未知攻擊 的 效果有限，而且特征庫必須不斷更新。 圖 21 異常檢測模型 誤用檢測模型 誤用檢測模型：檢測與已知的不可接受行為之間的匹配程度。 當(dāng)用戶活動與正常行為有重大偏離時即被認(rèn)為是入侵。 結(jié)果處理 記錄入侵事件，同時采取報警、中斷連接等措施。入侵檢測很大程度上依賴于收集數(shù)據(jù)的準(zhǔn)確性與可靠性，因此，必須使用精確的軟件來報告這些信息，因為黑客經(jīng)常替換軟件以搞混和移走這些數(shù)據(jù)，例如替換被程序調(diào)用的子程序、庫和其它工具。進行入侵檢測的軟件與硬件的組合便是入侵檢測系統(tǒng) (Intrusion Detection System，簡稱 IDS)Ⅲ。從管理 、網(wǎng)絡(luò)結(jié)構(gòu)、加密通道、防火墻、病毒防護、入侵檢測多方位全面對所關(guān)注的網(wǎng)絡(luò)作全面的評估，然后提出可行的全面解決方案。許多基于客戶／服務(wù)器結(jié)構(gòu)、中間件技術(shù)及對象技術(shù)的大型應(yīng)用，也需要應(yīng)用層的入侵檢測保護。 入侵檢測的發(fā)展方向隨著信息系統(tǒng)對一個國家的社會生產(chǎn)與國民經(jīng)濟的影響越來越大，再加上網(wǎng)絡(luò)攻擊者的攻擊工具與手法日趨復(fù)雜化，信息戰(zhàn)已逐步被各個國家重視。 入侵檢測的未來及發(fā)展趨勢 隨著計算機技術(shù)的發(fā)展在連結(jié)信息能力、流通能力提高的同時，基于網(wǎng)絡(luò)連接的安全問題也日益突出，很多組織正在致力于提出更多的更強大的主動策略和方案來增強網(wǎng)絡(luò)的安全性，然而另一個更為有效的解決途徑就是入侵檢測。這種檢測技術(shù)實際上是在第一階段技術(shù)的基礎(chǔ)上增加了部分對異常行為分析的功能。由于攻擊的不確定性，單一的 IDS 產(chǎn)品可能無法做到面面俱到。該系統(tǒng)第一次直接將網(wǎng)絡(luò)作為審計數(shù)據(jù)的來源，因而可以在不將審計數(shù)計轉(zhuǎn)化成統(tǒng)一的格式情況下監(jiān)控異種主機。 1988 年， SRI/CSL 的 Teresa Lunt 等改進了 Denning 的入侵檢測模型，并研發(fā)出了實際的 IDES。他提出 了一種對計算機系統(tǒng)風(fēng)險和威脅的分類方法，并將威脅分為了外部滲透、內(nèi)部滲透和不法行為三種，還提出了利用審計跟蹤數(shù)據(jù)監(jiān)視入侵活動的思想。 入侵檢測是指“通過對行為、安全日志或?qū)徲嫈?shù)據(jù)或其它網(wǎng)絡(luò)上可以獲得的信息進行操作，檢測到對系統(tǒng)的闖入或闖入的企圖”。對于訪問控制，入侵者也可以利用脆哈爾濱理工大學(xué)工學(xué)碩士學(xué)位論文弱性程序或系統(tǒng)漏洞繞過訪問控制，或者提升用戶權(quán)限，或者非 法讀寫文件等。從一開始，人們就企圖先構(gòu)筑某種安全的系統(tǒng)模型，然后想方設(shè)法地去實現(xiàn)。據(jù)美國 GAO、 DISA、 FBI、 NSA 以及其它一些網(wǎng)絡(luò)安全組織的統(tǒng)計調(diào)查表明，世界上黑客襲擊計算機網(wǎng)絡(luò)的事件每年以 30％的速度增長，商業(yè)信息被竊取的事件以每月 260％的速率在增加。在計算機網(wǎng)絡(luò)中存在著大量重要的、敏 感的甚至是機密的信息，如國家的軍事能源信息、政府的調(diào)控決策信息、科研機構(gòu)的研究技術(shù)信息和商業(yè)企業(yè)的技術(shù)經(jīng)濟信息等等；在計算機網(wǎng)絡(luò)中還存在著大量重要的應(yīng)用系統(tǒng)，如金融、證券、商務(wù)、稅務(wù)、文教等電子系統(tǒng)。 畢業(yè)設(shè)計（論文）專用紙 第 頁 2 “網(wǎng)絡(luò)還安全嗎？ 這一問題擺在了我們面前，很多組織正在致力于提出更多的更強大的主動策略和方案來增強網(wǎng)絡(luò)的安全性，然而另一個更為有效的解決途徑就是入侵檢測。因此，黑客總是可以使用先進的、安全工具不知道的手段進行攻擊。比如說現(xiàn)在很多程序都存在內(nèi)存溢出的 BUG，現(xiàn)有的安全工具對于利用這些 BUG的攻擊幾乎無法防范。僅僅是簡單的規(guī)則性的被動防御技術(shù)無法適應(yīng)當(dāng)前的網(wǎng)絡(luò)，需要引入主動防御技術(shù)對系統(tǒng)安全加以補充。網(wǎng)絡(luò) 上的攻擊事件越來越多，入侵方式也層出不窮， 網(wǎng)絡(luò)安全風(fēng)險系數(shù)不斷提高。 本文從入侵檢測技術(shù)的發(fā)展入手，研究、分析了入侵檢測技術(shù)和入侵檢測系統(tǒng)的 原理、應(yīng)用、信息收集和分析、數(shù)據(jù)的處理及其優(yōu)缺點和未來的發(fā)展方向。 入侵檢測技術(shù)分析與應(yīng)用 Analysis and Application of Intrusion Detection Technology 目錄 摘要 ........................