入侵检测技术的发展方向

《入侵检测技术的发展方向》由会员分享，可在线阅读，更多相关《入侵检测技术的发展方向（14页珍藏版）》请在金锄头文库上搜索。

1、目录1 引言 11.1入侵检测技术成因 11.2入侵检测系统的成长 22 入侵检测定义及分类 32.1入侵检测定义 32.2入侵检测技术分析 42.3入侵检测的分类 53 常用的入侵检测技术方法 63.1 神经网络异常检测 63.2 概率统计异常检测 63.3 专家系统误用检测 73.4 基于模型的入侵检测 74 入侵检测技术的发展方向 74.1 分布式合作引擎、协同式抵抗入侵 84.2 智能化入侵检测 84.3分布式入侵检测技术及通用入侵检测技术架构 84.4应用层入侵检测技术 94.5入侵检测技术的评测方法 94.6网络安全技术相结合 94.7 全面的安全防御方案 9结束语 10参考文献

2、11计算机网络入侵检测技术的研究1 引言1.1 入侵检测技术成因随着计算机网络技术的飞速发展和也能够用以及计算机网络用户数 量的不断增加，如何有效地保证网络上信息的安全成为计算机网络的一个 关键技术。虽然迄今为止以发展了多种安全机制来保护计算机网络，如： 用户授权及认证、访问控制、数据加密、数据备份等。但以上的安全机制 已不能满足当前网络安全的需要。网络入侵和攻击的现象仍然是屡见不 鲜。尤其是电子商务的应用，使得网络安全问题的解决迫在眉睫，使得从 技术、管理等多方面采取综合措施，保障信息及网络的安全已成为世界各 国计算机技术人员的共同目标。为了实现计算机和因特网的安全，传统的安全防御措施，如：

3、加密、 身份验证、访问控制等已暴露出了众多的缺陷或漏洞。入侵检测责是信息 及网络安全保障中应运而生的关键技术之一。入侵是指未经授权蓄意尝试 访问信息、篡改信息，是系统不可靠或不能使用，亦即破坏资源的机密性、 完整性和可用性的行为。它的特点是不受时空限制，攻击手段隐蔽而且更 加错综复杂，内部作案连接不断。入侵检测以其动态防护特点，成为实现 网络安全的新的解决策略。引入入侵检测技术，相当于在计算机系统中引 入了一个闭环的安全策略。计算机的多种检测系统进行安全策略的反馈， 从而进行及时的修正，大大提高了系统的安全性。1.2 入侵检测系统的成长上世纪 90 年代中期，商业入侵检测产品初现端倪，1994

4、 年出现了第 一台入侵检测产品：ASIM。而到了 1997年，Cisco将网络入侵检测集成到 其路由器设备中，同年，ISS推出Realsecure，入侵检测系统正式进入主 流网络安全产品阶段。在这个时期，入侵检测通常被视作防火墙的有益补充，这个阶段用户 已经能够逐渐认识到防火墙仅能对 4层以下的攻击进行防御，而对那些基 于数据驱动攻击或者被称为深层攻击的威胁行为无能为力。厂商们用得比 较多的例子就是大厦保安及闭路监控系统的例子，防火墙相当于保安，入 侵检测相当于闭路监控设备，那些绕过防火墙的攻击行为将在“企图作 恶”时，被入侵检测系统逮个正着。而后，在200012003年之间，蠕虫病毒大肆泛滥

5、，红色代码、尼姆 达、震荡波、冲击波此起彼伏。由于这些蠕虫多是使用正常端口，除非明 确不需要使用此端口的服务，防火墙是无法控制和发现蠕虫传播的，反倒 是入侵检测产品可以对这些蠕虫病毒所利用的攻击代码进行检测（就是前 面提到的滥用检测，将针对漏洞的攻击代码结合病毒特征做成事件特征，当发现有该类事件发生，就可判断出现蠕虫。)，一时间入侵检测名声大 振，和防火墙、防病毒一起并称为“网络安全三大件”。2 入侵检测定义及分类2.1入侵检测定义入侵检测(Intrusion Detection)技术是安全审核中的核心技术之一, 是网络安全防护的重要组成部分。入侵检测技术是为保证计算机系统的安 全而设计及配置

6、的一种能够及时发现并报告系统中未授权或异常现象的 技术,是一种用于检测计算机网络中能够违反安全策略行为的技术。它通 过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信 息以及计算机系统中若干关键点的信息,来检测网络或系统中是否存在违 反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动地安全防 护技术,提供了对内部攻击、外部攻击和误操作的实时保护,在网络系统 受到危害之前拦截和相应入侵。违反安全策略的行为有：入侵非法用户的违规行为；滥用合 法用户的违规行为。入侵检测通过执行以下任务来实现：监视、分析用户 及系统活动；系统构造和弱点的审计；识别反应一直进攻的活动模式并向 相关人

7、士报警；异常行为模式的统计分析；评估重要系统和数据文件的完 整性；操作系统的审计跟踪管理,并识别用户违反安全策略的行为。入侵 检测的原理如图1所示。图 1 入侵检测原理应用入侵检测技术，能是在入侵攻击对系统发生危害前，检测到入侵 攻击，并利用报警及防护系统驱逐入侵攻击。在入侵攻击过程中，能减少 入侵攻击所造成的损失。在被入侵攻击后，收集入侵攻击的相关信息，作 为防范系统的知识，填入知识库内，以增强系统的防范能力。2.2 入侵检测技术分析入侵分析的任务就是在提取到的庞大的数据中找到入侵的痕迹。入 侵分析过程需要将提取到的事件及入侵检测技术规则进行比较，从而发现 入侵行为。一方面入侵检测技术系统需

8、要尽可能多地提取数据以获得足够 的入侵证据，而另一方面由于入侵行为的千变万化而导致判定入侵的规则 越来越复杂，为了保证入侵检测技术的效率和满足实时性的要求，入侵分 析必须在系统的性能和检测技术能力之间进行权衡，合理地设计分析策 略，并且可能要牺牲一部分检测技术能力来保证系统可靠、稳定地运行并 具有较快的响应速度。分析策略是入侵分析的核心，系统检测技术能力很大程度上取决于分 析策略。在实现上，分析策略通常定义为一些完全独立的检测技术规则。基于网络的入侵检测技术系统通常使用报文的模式匹配或模式匹配序列 来定义规则，检测技术时将监听到的报文及模式匹配序列进行比较，根据 比较的结果来判断是否有非正常的

9、网络行为。这样以来，一个入侵行为能 不能被检测技术出来主要就看该入侵行为的过程或其关键特征能不能映 射到基于网络报文的匹配模式序列上去。有的入侵行为很容易映射，如 ARP 欺骗，但有的入侵行为是很难映射的，如从网络上下载病毒。对于有的入 侵行为，即使理论上可以进行映射，但是在实现上是不可行的，比如说有 的网络行为需要经过非常复杂的步骤或较长的过程才能表现其入侵特性， 这样的行为由于具有非常庞大的模式匹配序列，需要综合大量的数据报文 来进行匹配，因而在实际上是不可行的。而有的入侵行为由于需要进行多 层协议分析或有较强的上下文关系，需要消耗大量的处理能力来进行检测 技术，因而在实现上也有很大的难度

10、。2.3 入侵检测的分类通过对现有入侵检测技术方法的研究，可以从不同角度对入侵检测技 术进行分类：(1) 按照检测数据来源。有以下三类：基于主机的入侵检测技术；基 于网络的入侵检测技术；基于主机和网络的入侵检测技术。以上 3种入侵 检测技术都具有各自的优点和不足，可以相互作为补充，一个晚辈的入侵 检测系统一定是基于主机和基于网络两种方式兼备的分布式系统。(2) 按照检测技术。分为异常检测技术和误用检测技术。异常检测技 术又可称为基于行为的入侵检测技术，它假定了所有的入侵行为都有异常 特性。误用技术，又称为基于知识的入侵检测技术，它通过攻击模式、攻 击签名的形式表达入侵行为。(3) 按照工作方式

11、。可以分为离线检测和在线检测。离线检测：在事 后分析审计事件，从中检测入侵活动，是一种非实时工作的系统。在线监 测：实时联机的检测系统，它包含对实时网络数据包分析，对实时主机审 计分析。(4) 按照系统网络构架。分为几种是检测技术、分布式检测技术和分 层式检测技术。将分析结果传到邻近的上层，高一层的监测系统只分析下 一层的分析结果。分层式检测系统通过分析分层式数据使系统具有更好的 可升级性。3 常用的入侵检测技术方法 目前，常用的入侵检测技术方法比较多，下面列出几个进行说明。3.1 神经网络异常检测这种方法对用户行为具有自学习和自适应的能力，能够根据实际监测 到的信息有效地加以处理并做出入侵可

12、能性的判断。通过对下一事件错误 率的预测在一定程度上反映用户行为的异常程度。目前该方法使用比较普 遍，但该方法还不成熟。还没有出现较为完善的产品。3.2 概率统计异常检测这种方法是基于对用户历史行为建模，以及在早期的证据或模型的基础上审计系统实时的检测用户对系统的使用情况，根据系统内部保存的 用户行为概率统计模型进行检测，当发现有可疑的用户行为发生时保持 跟踪并监测、记录该用户的行为。3.3 专家系统误用检测针对有特征人侵的行为。较多采用专家系统进行检测。在专家检测系统实现中，通过If-The n结构（也可以是复合结构）的规则对安全专家的知 识进行表达。专家系统的建立依赖于知识库的完备性，知识

13、库的完备性又 取决于审计记录的完备性及实时性。3.4 基于模型的入侵检测人侵者在攻击一个系统时往往采用一定的行为程序，如猜测口令的行 为序列，这种行为序列构成了具有一定行为特征的模型，根据这种模型所 代表的攻击意图的行为特征，可以实时地检测出恶意的攻击企图。4 入侵检测技术的发展方向可以看到,在入侵检测技术发展的同时,入侵技术也在更新,一些地下 组织已经将如何绕过IDS或攻击IDS系统作为研究重点。高速网络,尤其是 交换技术的发展以及通过加密信道的数据通信,使得通过共享网段侦听的 网络数据采集方法显得不足,而大量的通信量对数据分析也提出了新的要 求。随着信息系统对一个国家的社会生产及国民经济的

14、影响越来越重要, 信息战已逐步被各个国家重视,信息战中的主要攻击武器之一就是网络的入侵技术,信息战的防御主要包括保护、检测技术及响应,入侵检 测技术则是其中检测技术及响应环节不可缺少的部分。近年对入侵检测技术有几个主要发展方向:4.1 分布式合作引擎、协同式抵抗入侵随着入侵手段的提高尤其是分布式、协同式、复杂模式攻击的出现 和发展，传统的单一、缺乏协作的入侵检测技术已经不能满足需要，这就 要求要有充分的协作机制。入侵检测信息的合作及协同处理成为必须的。4.2 智能化入侵检测所谓的智能化方法，即使用智能化的方法及手段来进行入侵检测。现 阶段常用的有神经网络、遗传算法、模糊技术、免疫原理等方法，这

15、些方 法常用于入侵特征的辨识及泛化目。较为一致的解决方案应为高效常规意 义下的入侵检测系统及具有智能检测功能的检测软件或模块的结合使用。 并且需要对智能化的入侵检测技术加以进一步地研究以提高其自学习及 自适应能力。4.3 分布式入侵检测技术及通用入侵检测技术架构传统的IDS般局限于单一的主机或网络架构，对异构系统及大规模 的网络的监测明显不足。同时不同的IDS系统之间不能协同工作能力，为解 决这一问题，需要分布式入侵检测技术及通用入侵检测技术架构。CIDF以 构建通用的IDS体系结构及通信系统为目标,GrIDS跟踪及分析分布系统入 侵,EMER-ALD实现在大规模的网络及复杂环境中的入侵检测技术。4.4 应用层入侵检测技术许多入侵的语义只有在应用层才能理解，而目前的IDS仅能检测技术 如WEB之类的通用协议,而不能处理如LotusNotes、数据库系统等其他的应 用系统。许多基于客户、服务器结构及中间件技术及对象技术的大型应用， 需要应用层的入侵检测技术保护。Stillerman等人已经开始对C0RBA的IDS 研究。4.5 入侵检测技术的评测方法用户需对众多的IDS系统进行评价，评价指标包括IDS检测技术范围、系 统资源占用、IDS系统自身的可靠性及鲁棒性。从而设计通用的入侵检测 技术测试及评估方法及平台，实现对多种IDS系统的检测技术已成为当前 IDS的另一重要研究及发展领域