畢業(yè)論文-網(wǎng)絡(luò)入侵檢測發(fā)展現(xiàn)狀及應(yīng)用研究(參考版)
2025-01-19 23:42本頁面
【正文】 7. 結(jié)束語 入侵檢測隨著信息安全問題的日益突出越來越多地受到人們的關(guān)注，目前，已有多個原型系統(tǒng)和商用的 IDS 出現(xiàn)。高速網(wǎng)絡(luò)中的入侵檢測以及入侵檢測系統(tǒng)與其它系統(tǒng)的協(xié)同工作的研究將持續(xù)下 去 。一旦系統(tǒng)中的入侵檢測部分被入侵者 控制，整個系統(tǒng)的安全防線將面臨崩潰的危險。 入侵檢測系統(tǒng)作為網(wǎng)絡(luò)安全的 關(guān)鍵性防范系統(tǒng)已經(jīng)起得了一定發(fā)展，但仍然存在很多 問題 ，還有待于進一步完善 ，以便為今后的網(wǎng)絡(luò)發(fā)展提供有效的安全手段。因而其缺乏更有效的響應(yīng)處理機制。 （ 3）缺乏準確定位和處理機制 IDS 僅能識別 IP 地址，無法定位 IP 地址，不能識別數(shù)據(jù)來源。而在協(xié)議分析的檢測方式中，一般的 IDS 只簡單地處理了常用的如 HTTP、 FTP、 SMTP 等，其余大量的協(xié)議報文完全可能造成 IDS 漏報，如果考慮支持盡量多的協(xié)議類型分析， 網(wǎng)絡(luò)的成本將無法承受。而這些檢測方式都存在缺陷。 入侵檢測產(chǎn)品仍具有較大的發(fā)展空間，從技術(shù)途徑來講，我們認為，除了完善常規(guī)的、傳統(tǒng)的技術(shù)（模式識別和完整性檢測）外，應(yīng)重點加強統(tǒng)計分析的相關(guān)技術(shù)研究。許多基于客戶、服務(wù)器結(jié)構(gòu)與中間件技術(shù)及對象技術(shù)的大型應(yīng)用，需要應(yīng)用層的入侵檢測保護。同時不同的 IDS 系統(tǒng)之間不能協(xié)同工作能力，為解決這一問題，需要分布式入侵檢測技術(shù)與通用入侵檢測架構(gòu)。透過網(wǎng)絡(luò)傳播，還會影響到與本系統(tǒng)網(wǎng)絡(luò)有連接 的其他網(wǎng)絡(luò)；影響所及甚至還可能涉及法律、金融等安全敏感領(lǐng)域。為保證政府網(wǎng)絡(luò)系統(tǒng)的安全，有必要對其網(wǎng)絡(luò)進行專門安全設(shè)計。如何使信息網(wǎng)絡(luò)系統(tǒng)不受病毒和黑客的入侵，已成為政府機構(gòu)信息化健康發(fā)展所要考慮的重要事情之一。 從這個角度來看安全問題，入侵檢測對于建立一個安全系統(tǒng)來說是非常必要而且是非常重要的，它可以彌補傳統(tǒng)安全保護措施的不足。 第三，檢測和監(jiān)視已成功的安全突破。 入侵檢測作為一項安全技術(shù)，其主要目的在于： 第一，識別入侵者。 二、入侵檢測可以實時監(jiān)控互聯(lián)網(wǎng)和外聯(lián)網(wǎng)連接，保護關(guān)鍵性的資產(chǎn)、系統(tǒng)和資源 — 相當(dāng)于現(xiàn)實生活中的監(jiān)視攝像機。 所以， 基于上 述 原因， 入侵檢測系統(tǒng) 已經(jīng)成為安全策略的重要組成部分。例如， VPN 可 以 穿透防火墻， 因此就 需要 入侵檢測系統(tǒng) 在防火墻后提供安全保障。 因此 ，隨著基于雇員的攻擊行為和產(chǎn)品自身問題的增多， 所以 能夠在防火墻內(nèi)部監(jiān)測非法的活動 的入侵檢測系統(tǒng) 變得越來越必要。 例如，內(nèi)部用戶通過調(diào)制解調(diào)器撥號上網(wǎng)就把內(nèi)部網(wǎng)絡(luò)連到了外部網(wǎng)絡(luò)，而這一連接并沒有通過防火墻，防火墻對此沒有任何監(jiān)控能力。 第三、由于性能的限制，防火墻 通常不能提供實時的入侵檢測能力。 過去，很多人認為只要安裝一個防火墻就可保障網(wǎng)絡(luò)的安全，實際上這是一個誤解，原因主要有以下幾點： 第一、防火墻本身會有各種漏洞和后門，有可能被外部黑客攻破。 基于上述幾類問題的解決難度，一個實用的方法是建立比較容易實現(xiàn)的安全系統(tǒng)，而入侵檢測系統(tǒng)就是這樣一類系統(tǒng)。 第五，安全系統(tǒng)易受內(nèi)部用戶濫用特權(quán)的攻擊 。 第三，訪問控制和保護模型本身存在一定的問題。原因有以下幾點： 第一，要將所有已安裝的帶安全缺陷的系統(tǒng)轉(zhuǎn)換成安全系統(tǒng)是不現(xiàn)實的，即使真正付諸于實踐，也需要相當(dāng)長的時間。 目前，對付破壞系統(tǒng)企圖的理想方法是建立一個完全安全系統(tǒng)。通常檢測系統(tǒng)為提高入侵檢測性能，將這兩種技術(shù)結(jié)合以實現(xiàn)入侵檢測。誤用檢測的缺點為：只能檢測已知攻擊；滯后于新出現(xiàn)的攻擊，對于新的攻擊，僅在其包含進攻擊特征庫后才能檢測到；攻擊特征庫維護困難，新攻擊出現(xiàn)后需由專家根據(jù)專業(yè)知識抽取攻擊特征，不斷更新攻擊特征庫；攻擊者可通過修改攻擊行為，使其與攻擊特征庫中的特征不相符，從而繞過檢測。 (3)其他檢測方法 其他的誤用檢測方法有基于有色 Petri(CP)Net 的誤用檢測及基于鍵盤監(jiān)控的誤用檢測等。狀態(tài)轉(zhuǎn)換圖給出了保證攻擊成功的特征行為的最小子集，能檢測到具有相同入侵模式的不同表現(xiàn)形式。 以狀態(tài)轉(zhuǎn)移分析方法表示的攻擊檢測過程只與系統(tǒng)狀 態(tài)的變化有關(guān)，而與攻擊的過程無關(guān)。每當(dāng)有新行為發(fā)生時，分析引擎檢查所有的狀態(tài)轉(zhuǎn)移圖，查看是否會導(dǎo)致系統(tǒng)的狀態(tài)轉(zhuǎn)移。入侵過程由一系列導(dǎo)致系統(tǒng)從初始狀態(tài) 轉(zhuǎn)移到入侵狀態(tài)的行為組成，其中初始狀態(tài)為入侵發(fā)生前的系統(tǒng)狀態(tài)，入侵狀態(tài)表示入侵完成后系統(tǒng)所處的狀態(tài)。在將專家系統(tǒng)應(yīng)用于入侵檢測時，存在下列問題：缺乏處理序列數(shù)據(jù)的能力，即不能處理數(shù)據(jù)的前后相關(guān)性；性能取決于設(shè)計者的知識；只能檢測已知的攻擊模式；無法處理判斷不確定性；規(guī)則庫難以維護，更改規(guī)則時要考慮對規(guī)則庫中其他規(guī)則的影響。常用的誤用檢測技術(shù)主要有： (1)基于專家系統(tǒng)的檢測方法 專家系統(tǒng)是入侵檢測中常用的一種檢測方法，通過將有關(guān)入侵的知識轉(zhuǎn)化為ifthen 結(jié)構(gòu)的規(guī)則，前者為構(gòu)成入侵的條件，后者為發(fā)現(xiàn)入侵后采取的響應(yīng)措施。 誤用檢測 IDS 誤用檢測，也稱為基于知識或基于簽名的入侵檢測。 異常檢測的優(yōu)點為：不需獲取攻擊特征，能檢測未知攻擊或已知攻擊的變種，且能適應(yīng)用戶或系統(tǒng)等行為的變化。 基于數(shù)據(jù)挖掘的檢測方法建立在對所采集大量信息進行分析的基礎(chǔ)之上，只能進行事后分析，即僅在入侵事件發(fā)生后才能檢測到入侵的存在。 數(shù)據(jù)挖掘算法有多種，運用到入侵檢測中的主要有關(guān)聯(lián)分析、序列分 析和聚類分析 3種，其中關(guān)聯(lián)分析方法主要分析事件記錄中數(shù)據(jù)項間隱含的關(guān)聯(lián)關(guān)系，形成關(guān)聯(lián)規(guī)則；序列分析方法主要分析事件記錄間的相關(guān)性，形成事件記錄的序列模式；聚類分析識別事件記錄的內(nèi)在特性，將事件記錄分組以構(gòu)成相似類，并導(dǎo)出事件記錄的分布規(guī)律。入侵檢測過程也是利用所采集的大量數(shù)據(jù)信息，如主機系統(tǒng)日志、審計記錄和網(wǎng)絡(luò)數(shù)據(jù)包等，對其進行分析以發(fā)現(xiàn)入侵或異常的過程。該方法的缺點為：以系統(tǒng)或用戶一段時間內(nèi)的行為特征為檢測對象，檢測的時效 性差，在檢測到入侵時入侵可能已造成損害；度量的閾值難以確定；忽略了事件間的時序關(guān)系。將事件計數(shù)與資源消耗根據(jù)時間排列成序列，如果某一新事件在相應(yīng)時間發(fā)生的概率較低，則該事件可能為入侵。 (c) Markov 過程模型將每種類型的事件定義為系統(tǒng)的一個狀態(tài)，用狀態(tài)轉(zhuǎn)換矩陣來表示狀態(tài)的變化，若對應(yīng)于所發(fā)生事件的狀態(tài)轉(zhuǎn)移
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1