1、信息与计算科学系课程设计报告1入侵检测技术论文1. 引言随着互联网技术的高速发展，计算机网络的结构变的越来越复杂，计算机的工作模式有传统的以单机为主的模式向基于网络的分布式模式转化，而由此引发的网络入侵的风险性也随之大大增加，网络安全与信息安全问题成为人们高度重视的问题。每年全球因计算机网络的安全问题而造成的经济损失高达数百亿美元，且这个数字正在不断增加。传统的加密和防火墙技术等被动防范技术已经不能完全满足现今的安全需要，想要保证网络信息和网络秩序的安全，就必须要更强有力和更完善的安全保护技术。近年来，入侵检测技术以其强有力的安全保护功能进入了人们的视野，也在研究领域形成了热点。入侵检测技术是
2、近年来飞速发展起来的一种动态的集监控、预防和抵御系统入侵行为为一体的新型安全机制。作为传统安全机制的补充，入侵检测技术不再是被动的对入侵行为进行识别和防护，而是能够提出预警并实行相应反应动作。入侵检测系统（IDS,Intrusion Detection System）可以识别针对计算机系统和网络系统，或更广泛意义上的信息系统的非法攻击，包括检测外界非法入侵者的恶意攻击或试探，以及内部合法用户的超越使用权限的非法行动。通常来说入侵检测是对计算机和网络资源上的恶意使用行为进行识别和相应处理的过程，具有智能监控、实时探测、动态响应、易于配置等特点。信息与计算科学系课程设计报告21 入侵检测系统的发展
3、历程入侵检测是一种主动的网络安全防御措施。入侵检测技术就是采取技术手段发现入侵和入侵企图，以便采取有效的措施来堵塞漏洞和修复系统，使用入侵检测技术具有入侵检测功能的网络安全系统称为入侵检测系统。1.1 入侵检测概念的提出 1980 年，James Anderson 在为美国空军所做的技术报告Computer Security Threat Monitoring and Surveillance 中首次提出了入侵检测的概念，提出可以通过审计踪迹来检测对文件的非授权访问，并给出了一些基本术语的定义，包括威胁、攻击、渗透、脆弱性等等。 Anderson 报告将入侵划分为外部闯入、内部授权用户的越权使
4、用和滥用三种，同时提出使用基于统计的检测方法，即针对某类会话的参数，例如连接时间、输入输出数据量，在对大量用户的类似行为作出统计的基础上得出平均值，将其作为代表正常会话的阈值，检测程序将会话的相关参数与对应的阈值进行比较，当二者的差异超过既定的范围时，这次会话将被当作异常。 Anderson 报告实现的是基于单个主机的审计，在应用软件层实现，其覆盖面不大，并且完整性难以保证，但是其提出的一些基本概念和分析，为日后入侵检测技术的发展奠定了良好的基础。信息与计算科学系课程设计报告31.2 入侵检测模型的建立 1987 年，Dorothy E. Denning 在其论文An intrusion-de
5、tection model中首次提出了入侵检测系统的抽象模型，称为 IDES 系统，并且首次将入侵检测的概念作为一种计算机系统的安全防御措施提出。 Denning 所提出的模型是一个通用的检测模型，其不依赖于特定的系统和应用环境，也不假定被检测的攻击类型。在此之后开发的 IDS 系统基本上都沿用了这个结构模型。 Denning 所提出的模型采用基于规则的模式匹配进行检测，根据主机审计记录数据，生成有关系统的若干轮廓，并对轮廓的变化差异进行监测以发现系统的入侵行为。 Denning 模型并不关心目标系统所采用的安全机制，因此也不检测攻击者针对已知的系统弱点进行攻击的特征行为，这也被认为是其一个重
6、大缺陷。2 入侵检测技术2.1 异常检测 异常检测分为静态异常检测和动态异常检测两种，静态异常检测在检测前保留一份系统静态部分的特征表示或者备份，在检测中，若发现系统的静态部分与以前保存的特征或备份之间出现了偏差，则表明系统受到了攻击或出现了故障。动态异常检测所针对的是行为，在检测前需要建立活动简档文件描述系统和用户的正常行为，在检测中，若发现当前行为和活动简信息与计算科学系课程设计报告4档文件中的正常行为之间出现了超出预定标准的差别，则表明系统受到了入侵。 目前使用的异常检测方法有很多种，其中有代表性的主要由以下 5 种。 (1)基于特征选择的异常检测方法 基于特征选择的异常检测方法，是从一
7、组特征值中选择能够检测出入侵行为的特征值，构成相应的入侵特征库，用以预测入侵行为。其关键是能否针对具体的入侵类型选择到合适的特征值，因此理想的入侵检测特征库，需要能够进行动态的判断。 在基于特征选择的异常检测方法中，Maccabe 提出的使用遗传算法对特征集合进行搜索以生成合适的入侵特征库的方法是一种比较有代表性的方法。 (2)基于机器学习的异常检测方法 基于机器学习的异常检测方法，是通过机器学习实现入侵检测，主要方法有监督学习、归纳学习、类比学习等。 2.2 误用检测误用检测主要用来检测己知的攻击类型,判别用户行为特征是否与攻击特征库中的攻击特征匹配。系统建立在各种已知网络入侵方法和系统缺陷
8、知识的基础之上。这种方法由于依据具体特征库进行判断,所以检测准确度很高。主要缺陷在于只能检测已知的攻击模式,当出现针对新漏洞的攻击手段或针对旧漏洞的新攻击方式时,需要由人工或者其它机器学习系统得出新攻击的特信息与计算科学系课程设计报告5征模式,添加到攻击特征库中,才能使系统具备检测新的攻击手段的能力。误用检测常用的方法主要有:(1)专家系统专家系统是基于知识的检测中应用最多的一种方法,它包含一系列描述攻击行为的规则(Rules),当审计数据事件被转换为可能被专家系统理解的包含特定警告程度信息的事实(Facts)后,专家系统应用一个推理机(InferenceEngine)在事实和规则的基础上推理
9、出最后结论。(2)状态转移状态转移方法采用优化的模式匹配来处理误用检测问题。这种方法采用系统状态和状态转移的表达式来描述已知的攻击模式。由于处理速度的优势和系统的灵活性,状态转移法已成为当今最具竞争力的入侵检测模型之一。状态转移分析是针对事件序列的分析,所以不善于分析过分复杂的事件,而且不能检测与系统状态无关的入侵。信息与计算科学系课程设计报告6(3)模型推理模型推理是指结合攻击脚本推理出是否出现了入侵行为,其中有关攻击者行为的知识被描述为:攻击者目的,攻击者达到此目的的可能行为步骤,以及对系统的特殊使用等。根据这些知识建立攻击脚本库。检测时先将这些攻击脚本的子集看作系统正面临的攻击。然后通过
10、一个称为预测器的程序模块根据当前行为模式,产生下一个需要验证的攻击脚本子集,并将它传给决策器,决策器根据这些假设的攻击行为在审计记录中的可能出现方式,将它们翻译成与特定系统匹配的审计记录格式,然后在审计记录中寻找相应信息来确认或否认这些攻击。3 入侵检测系统的发展方向在入侵检测技术发展的同时，入侵技术也在更新，攻击者将试图绕过入侵检测系统（IDS）或攻击 IDS 系统。交换技术的发展以及通过加密信道的数据通信使通过共享网段侦听的网络数据采集方法显得不足，而大通信量对数据分析也提出了新的要求。入侵技术的发展与演化主要反映在下列几个方面：（1）入侵的综合化与复杂化。入侵的手段有多种，入侵者往往采取
11、一种攻击手段。由于网络防范技术的多重化，攻击的难度增加，使得入侵者在实施入侵或攻击时往往同时采取多种信息与计算科学系课程设计报告7入侵的手段，以保证入侵的成功几率，并可在攻击实施的初期掩盖攻击或入侵的真实目的。（2）入侵主体对象的间接化，即实施入侵与攻击的主体的隐蔽化。通过一定的技术，可掩盖攻击主体的源地址及主机位置。即使用了隐蔽技术后，对于被攻击对象攻击的主体是无法直接确定的。（3）入侵的规模扩大。对于网络的入侵与攻击，在其初期往往是针对于某公司或一个网站，其攻击的目的可能为某些网络技术爱好者的猎奇行为，也不排除商业的盗窃与破坏行为。由于战争对电子技术与网络技术的依赖性越来越大，随之产生、发
12、展、逐步升级到电子战与信息战。对于信息战，无论其规模与技术都与一般意义上的计算机网络的入侵与攻击都不可相提并论。信息战的成败与国家主干通信网络的安全是与任何主权国家领土安全一样的国家安全。（4）入侵技术的分布化。以往常用的入侵与攻击行为往往由单机执行。由于防范技术的发展使得此类行为不能奏效。所谓的分布式拒绝服务（DDoS）在很短时间内可造成被攻击主机的瘫痪。且此类分布式攻击的单机信息模式与正常通信无差异，所以往往在攻击发动的初期不易被确认。分布式攻击是近期最常用的攻击手段。信息与计算科学系课程设计报告8（5）攻击对象的转移。入侵与攻击常以网络为侵犯的主体，但近期来的攻击行为却发生了策略性的改变
13、，由攻击网络改为攻击网络的防护系统，且有愈演愈烈的趋势。现已有专门针对IDS 作攻击的报道。攻击者详细地分析了 IDS 的审计方式、特征描述、通信模式找出 IDS 的弱点，然后加以攻击。入侵检测系统还存在相当多的问题，这些问题大多是目前入侵检测系统的结构所难以克服的。（1）攻击者不断增加的知识，日趋成熟多样自动化工具，以及越来越复杂细致的攻击手法。入侵检测系统必须不断跟踪最新的安全技术，才能不致被攻击者远远超越。（2）恶意信息采用加密的方法传输。网络入侵检测系统通过匹配网络数据包发现攻击行为，入侵检测系统往往假设攻击信息是通过明文传输的，因此对信息的稍加改变便可能骗过入侵检测系统的检测。（3）
14、不能知道安全策略的内容。必须协调、适应多样性的环境中的不同的安全策略。网络及其中的设备越来越多样化，入侵检测系统要能有所定制以更适应多样的环境要求。（4）不断增大的网络流量。用户往往要求入侵检测系统尽可能快的报警，因此需要对获得的数据进行实时的分析，这导致对所在系统的要求越来越高，商业产品一般都建议采用当前信息与计算科学系课程设计报告9最好的硬件环境。尽管如此，对百兆以上的流量，单一的入侵检测系统系统仍很难应付。可以想见，随着网络流量的进一步加大（许多大型 ICP 目前都有数百兆的带宽），对入侵检测系统将提出更大的挑战，在 PC 机上运行纯软件系统的方式需要突破。（5）缺乏广泛接受的术语和概念
15、框架。标准的缺乏使得互通、互操作几乎不可能。（6）不恰当的自动反应存在风险。一般的 IDS 都有入侵响应的功能，如记录日志，发送告警信息给 console、发送警告邮件，防火墙互动等，敌手可以利用 IDS 的响应进行间接攻击，使入侵日志迅速增加，塞满硬盘；发送大量的警告信息，使管理员无法发现真正的攻击者，并占用大量的 cpu 资源；发送大量的告警邮件，占满告警信箱或硬盘，并占用接收警告邮件服务器的系统资源；发送虚假的警告信息，使防火墙错误配置，如攻击者假冒大量不同的 IP 进行模拟攻击，而入侵检测系统系统自动配置防火墙将这些实际上并没有进行任何攻击的地址都过滤掉，造成一些正常的 IP 无法访问
16、等。（7）自身的安全问题。入侵检测系统本身也往往存在安全漏洞。因为 IDS 是安装在一定的操作系统之上，操作系统本身存在漏洞或 IDS 自身防御力差，就可能受到 smurf、synflood信息与计算科学系课程设计报告10等攻击。此类攻击很有可能造成 IDS 的探测器丢包、失效或不能正常工作。（8）存在大量的误报和漏报。采用当前的技术及模型，完美的入侵检测系统无法实现。这种现象存在的主要原因是：入侵检测系统必须清楚的了解所有操作系统网络协议的运作情况，甚至细节，才能准确的进行分析。而不同操作系统之间，甚至同一操作系统的不同版本之间对协议处理的细节均有所不同。而力求全面则必然违背入侵检测系统高效
17、工作的原则。（9）缺乏客观的评估与测试信息的标准。今后的入侵检测技术大致可朝下述几个方向发展。（1）分布式入侵检测：传统的 IDS 局限于单一的主机或网络架构，对异构系统及大规模的网络检测明显不足，不同的IDS 系统之间不能协同工作。为解决这一问题，需要发展分布式入侵检测技术与通用入侵检测架构。第一层含义，即针对分布式网络攻击的检测方法；第二层含义即使用分布式的方法来检测分布式的攻击，其中的关键技术为检测信息的协同处理与入侵攻击的全局信息的提取。（2）智能化入侵检测：即使用智能化的方法与手段来进行入侵检测。所谓的智能化方法，现阶段常用的有神经网络、遗传算法、模糊技术、免疫原理等方法，这些方法常
18、用于入侵特信息与计算科学系课程设计报告11征的辨识与泛化。利用专家系统的思想来构建入侵检测系统也是常用的方法之一。特别是具有自学习能力的专家系统，实现了知识库的不断更新与扩展，使设计的入侵检测系统的防范能力不断增强，应具有更广泛的应用前景。应用智能体的概念来进行入侵检测的尝试也已有报道。较为一致的解决方案应为高效常规意义下的入侵检测系统与具有智能检测功能的检测软件或模块的结合使用。目前尽管已经有智能体、神经网络与遗传算法在入侵检测领域应用研究，但这只是一些尝试性的研究工作，仍需对智能化的 IDS 加以进一步的研究以解决其自学习与自适应能力。（3）应用层入侵检测：许多入侵的语义只有在应用层才能理
19、解，而目前的 IDS 仅能检测如 Web 之类的通用协议，而不能处理如 Lotus Notes、数据库系统等其他的应用系统。（4）高速网络的入侵检测：在 IDS 中，截获网络的每一个数据包，并分析、匹配其中是否具有某种攻击的特征需要花费大量的时间和系统资源，因此大部分现有的 IDS 只有几十兆的检测速度，随着百兆、甚至千兆网络的大量应用，需要研究高速网络的入侵检测。（5）入侵检测系统的标准化：在大型网络中，网络的不同部分可能使用了多种入侵检测系统，甚至还有防火墙、漏洞扫描等其他类别的安全设备，这些入侵检测系统之间以及 IDS 和信息与计算科学系课程设计报告12其他安全组件之间如何交换信息，共同
20、协作来发现攻击、作出响应并阻止攻击是关系整个系统安全性的重要因素。例如，漏洞扫描程序例行的试探攻击就不应该触发 IDS 的报警；而利用伪造的源地址进行攻击，就可能联动防火墙关闭服务从而导致拒绝服务，这也是互动系统需要考虑的问题。可以建立新的检测模型，使不同的 IDS 产品可以协同工作。4. 总结本文对入侵检测系统的主要发展过程进行了综述和研究，对其使用的技术以及面临的主要问题和今后的发展趋势进行了探讨。随着计算机网络的快速发展，入侵进侧系统也面临着许多新的问题，例如高效识别算法、协同入侵检测体系、入侵实时响应、数据关联分析等，这也是入侵检测系统未来的发展方向。参考文献1罗守山 入侵检测 M 北京：北京邮电大学出版社，20032胡昌振 网络入侵检测原理与技术 M北京：北京理工大学出版社， 20063杨义先钮心忻入侵检测理论与技术M 北京：高等教育出版社，20064Madwachar,MK,et al著邱硕，孙海滨，刘乙璇译Linux 网络安全实践M 北京：科学出版社， 2009信息与计算科学系课程设计报告135Stallings WCryptography and 网络 Secrurity Principles and PracticeM,2nd ed:Prentice-Hall,2000
