計算機(jī)網(wǎng)絡(luò)入侵檢測系統(tǒng)

趙永青

摘要:隨著網(wǎng)絡(luò)技術(shù)的快速發(fā)展,網(wǎng)絡(luò)入侵事件的發(fā)生也漸漸的增多。從網(wǎng)絡(luò)安全立體、縱深、多層次防御的角度出發(fā),入侵檢測系統(tǒng)和技術(shù)得到的高度重視。本文在對計算機(jī)網(wǎng)絡(luò)入侵檢測系統(tǒng)的介紹的基礎(chǔ)上,重點(diǎn)對其工作過程及關(guān)鍵技術(shù)和當(dāng)前存在的問題進(jìn)行了研究和分析。

關(guān)鍵詞:網(wǎng)絡(luò)技術(shù);網(wǎng)絡(luò)入侵;檢測系統(tǒng)

引言

計算機(jī)技術(shù)的飛速發(fā)展,信息網(wǎng)絡(luò)已經(jīng)成為社會發(fā)展的重要保證。借助于計算機(jī)網(wǎng)絡(luò)環(huán)境,人們實(shí)現(xiàn)了跨地區(qū)的電子銀行、電子商務(wù)、電子政務(wù)、電子家務(wù)、金融網(wǎng)絡(luò)、制造資源管理和網(wǎng)絡(luò)虛擬社區(qū)等多種應(yīng)用。但由于計算機(jī)網(wǎng)絡(luò)具有聯(lián)結(jié)形式多樣性、終端分布不均勻性和網(wǎng)絡(luò)的開放性、互連性等特征,致使計算機(jī)網(wǎng)絡(luò)易受黑客、惡意軟件和其他不軌行為的攻擊,網(wǎng)上信息的安全和保密成為一個至關(guān)重要的問題。同時,現(xiàn)有系統(tǒng)及一些應(yīng)用軟件中普遍存在著的漏洞,使得信息安全和系統(tǒng)安全問題在網(wǎng)絡(luò)環(huán)境下變得越來越突出。入侵檢測作為安全防范的最后一道防線,可以及時發(fā)現(xiàn)系統(tǒng)漏洞及入侵動機(jī)和行為、促使管理人員及時修正、顯著地減少被入侵的可能性和可能造成的損失。

1 入侵檢測系統(tǒng)概述

1.1 入侵檢測系統(tǒng)概念

入侵檢測系統(tǒng)(Intrusion Detection System,簡稱IDS)是信息安全體系結(jié)構(gòu)中的一個重要環(huán)節(jié),是對防火墻的必要補(bǔ)充,是一種積極主動的安全防護(hù)技術(shù),通過對計算機(jī)網(wǎng)絡(luò)或計算機(jī)系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息并對其進(jìn)行分析,監(jiān)視主機(jī)系統(tǒng)或是網(wǎng)絡(luò)上的用戶活動,從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和可能存在的入侵行為。入侵檢測系統(tǒng)按照數(shù)據(jù)來源分為基于主機(jī)和基于網(wǎng)絡(luò)兩種,入侵檢測分析技術(shù)分異常入侵檢測和誤用入侵檢測。

1.2 入侵檢測系統(tǒng)的發(fā)展

早期的入侵檢測檢測方法簡單,大多數(shù)都是基于主機(jī)的。隨著網(wǎng)絡(luò)應(yīng)用的迅速普及和入侵檢測技術(shù)的進(jìn)一步發(fā)展,基于網(wǎng)絡(luò)的安全監(jiān)視系統(tǒng)第一次將網(wǎng)絡(luò)流作為數(shù)據(jù)源,使得IDS開始面向網(wǎng)絡(luò)。1994年,普渡大學(xué)推出了適用于大規(guī)模網(wǎng)絡(luò)的分布式入侵檢測系統(tǒng)。隨著廣域網(wǎng)的不斷發(fā)展和黑客攻擊技術(shù)的提高,早期集中式的網(wǎng)絡(luò)入侵檢測系統(tǒng)已不再適用于大型的網(wǎng)絡(luò),于是就有了用于大型網(wǎng)絡(luò)的分布式入侵檢測系統(tǒng)。目前,對廣域網(wǎng)范圍的入侵活動的檢測和必要的入侵反應(yīng)機(jī)制,如自動恢復(fù)、對入侵者進(jìn)行跟蹤等,是網(wǎng)絡(luò)入侵檢測系統(tǒng)研究的重點(diǎn)。

2 入侵檢測系統(tǒng)的工作流程

2.1 信息收集

入侵檢測的第一步是信息收集,內(nèi)容包括系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為;而且需要在計算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干不同關(guān)鍵點(diǎn)收集信息。這除了盡可能擴(kuò)大檢測范圍的因素外,還有一個重要的原因就是從一個源來的信息有可能看不出疑點(diǎn),但從幾個源來的信息的不一致性卻是可疑行為或入侵的最好標(biāo)識。

2.2 信息分析

對收集到的有關(guān)系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動的狀態(tài)和行為等信息,一般通過三種技術(shù)手段進(jìn)行分析:模式匹配、統(tǒng)計分析和完整性分析其中前兩種方法用于實(shí)時的入侵檢測,而完整性分析則多用于事后分析。

模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用特定的模板進(jìn)行比較,從而發(fā)現(xiàn)違背安全策略的行為。一般來講,一種進(jìn)攻模式可以用一個過程或一個輸出來表示。該方法的一大優(yōu)點(diǎn)是只需收集相關(guān)的數(shù)據(jù)集合,顯著減少系統(tǒng)負(fù)擔(dān)。它與病毒防火墻采用的方法一樣,檢測準(zhǔn)確率和效率都比較高。但是,該方法存在的弱點(diǎn)是需要不斷的升級以對付不斷出現(xiàn)的入侵手法,不能識別未知入侵手段。

統(tǒng)計分析方法首先給系統(tǒng)對象創(chuàng)建一個統(tǒng)計描述,統(tǒng)計正常使用時的一些測量屬性。測量屬性的平均值將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較,任何觀察值在正常值范圍之外時,就認(rèn)為有入侵發(fā)生。其優(yōu)點(diǎn)是可檢測到未知的入侵和更為復(fù)雜的入侵,缺點(diǎn)是誤報、漏報率高,且不適應(yīng)用戶正常行為的突然改變。完整性分析主要關(guān)注于某個文件或?qū)ο笫欠癖桓?通常包括文件和目錄的內(nèi)容及屬性,它在發(fā)現(xiàn)被特洛伊化的應(yīng)用程序方面特別有效。完整性分析利用強(qiáng)有力的加密機(jī)制-消息摘要函數(shù)能夠識別文件的變化。其優(yōu)點(diǎn)是不管模式匹配方法和統(tǒng)計分析方法能否發(fā)現(xiàn)入侵,只要是成功的攻擊導(dǎo)致了文件或其它對象的任何改變,它都能夠發(fā)現(xiàn)。

2.3 信息存儲

為便于系統(tǒng)管理員對攻擊信息進(jìn)行查看和分析,要將入侵檢測系統(tǒng)收集到的信息進(jìn)行保存。存儲的信息同時也為攻擊保留了數(shù)字證據(jù)。

2.4 攻擊響應(yīng)

在對攻擊信息進(jìn)行分析并確定攻擊的類型后,我們要對攻擊進(jìn)行相應(yīng)的處理:如利用發(fā)出警報、給系統(tǒng)管理員發(fā)出郵件等手動干預(yù)的方式來對付攻擊,或是利用自動裝置直接處理:如切斷連接,過濾攻擊者的IP地址等。

3 入侵檢測系統(tǒng)需要解決的關(guān)鍵技術(shù)

3.1 入侵檢測模塊間的協(xié)作

入侵檢測模塊間的協(xié)作主要是指分析數(shù)據(jù)的共享以及不同檢測模塊之間的功能互補(bǔ)或增強(qiáng),通過協(xié)作能夠完成在它們單獨(dú)工作時所不能實(shí)現(xiàn)的功能或工作目標(biāo)。網(wǎng)絡(luò)入侵檢測系統(tǒng)的分布式結(jié)構(gòu)框架、檢測系統(tǒng)功能模塊的異構(gòu)性以及數(shù)據(jù)和探測器在網(wǎng)絡(luò)中的分布性,使得在繼承由不同的開發(fā)商開發(fā)的、具有不同檢測機(jī)制、且運(yùn)行在不同系統(tǒng)上的入侵檢測功能模塊或檢測子系統(tǒng)時,必須考慮它們之間的數(shù)據(jù)共享和協(xié)作方式,必須提供數(shù)據(jù)的分布式采集、通用數(shù)據(jù)接口來實(shí)現(xiàn)不同探測器(檢測器)之間互操作性,并考慮分布式探測器在整個分布式入侵檢測系統(tǒng)中的組織方式以及探測器檢測結(jié)果的融合技術(shù)。分布式數(shù)據(jù)的共享還必須對收集到的數(shù)據(jù)進(jìn)行格式轉(zhuǎn)化,以確保數(shù)據(jù)的可用性。這主要涉及網(wǎng)絡(luò)入侵檢測系統(tǒng)的功能模塊間的合作機(jī)制及其相關(guān)技術(shù):入侵檢測系統(tǒng)的通信機(jī)制、功能模塊之間的協(xié)作機(jī)制、數(shù)據(jù)的預(yù)處理以及數(shù)據(jù)融合技術(shù)等。

3.2 入侵檢測數(shù)據(jù)分析的層次性

雖然每一種入侵檢測系統(tǒng)在概念上一致:都是由檢測器、分析器以及用戶界面組成。但具體的入侵檢測系統(tǒng)在分析數(shù)據(jù)的方法、采集數(shù)據(jù)以及采集數(shù)據(jù)的類型等關(guān)鍵方面還是具有很大的不同。各種入侵檢測系統(tǒng)在分析數(shù)據(jù)的來源上具有一定的層次,從基于應(yīng)用的入侵檢測系統(tǒng)到跨越多網(wǎng)的入侵檢測系統(tǒng),其分析數(shù)據(jù)的能力和監(jiān)控的范圍逐漸地增強(qiáng)、擴(kuò)寬;而且入侵檢測系統(tǒng)的數(shù)據(jù)可來自層次不高于它的入侵檢測系統(tǒng)地輸出。也就是說,入侵檢測系統(tǒng)的檢測結(jié)果和輸出可被在層次上不低于它的入侵檢測系統(tǒng)利用并作進(jìn)一步的分析。

3.3 規(guī)則知識庫的建立

攻擊規(guī)則表現(xiàn)形式的研究是適應(yīng)攻擊和入侵行為不斷變化的難點(diǎn)和重點(diǎn),需建立適應(yīng)檢測技術(shù)發(fā)展需要的規(guī)則知識庫,從而全面提高檢測的能力和效果。

入侵分類規(guī)則可通過分類學(xué)習(xí)程序自動生成的,雖消除了規(guī)則提取過程中的手工編碼和專家經(jīng)驗(yàn)成分。但是也存在以下問題:分類學(xué)習(xí)需要兩個前提條件:(1)有充足的訓(xùn)練數(shù)據(jù);(2)已確定好分析處理中所用的數(shù)據(jù)特征屬性。這兩點(diǎn)特別重要,入侵訓(xùn)練數(shù)據(jù)要保證能夠覆蓋該入侵的所有模式。否則,它將無法檢測出該入侵行為的一些“沒見過”的變種。所以,首先要為訓(xùn)練數(shù)據(jù)集確定一個測度,以便不斷的總結(jié)訓(xùn)練數(shù)據(jù),當(dāng)新的訓(xùn)練產(chǎn)生時更新這一測度。并且當(dāng)這一測度穩(wěn)定時,停止訓(xùn)練數(shù)據(jù)的收集過程。其次,收集到審計數(shù)據(jù)后,對那些屬性進(jìn)行分析是關(guān)系到分析效率和結(jié)果的有效性的關(guān)鍵。另外,當(dāng)收集到的數(shù)據(jù)與該入侵活動無關(guān)或不能用于建立入侵檢測模型時,則不應(yīng)用作訓(xùn)練數(shù)據(jù)。網(wǎng)絡(luò)事件之間在時序上不是獨(dú)立的,因此特征屬性中也應(yīng)該包括事件之間的時序統(tǒng)計特性。這些都是需要不斷解決的關(guān)鍵問題和技術(shù)。

4 入侵檢測系統(tǒng)發(fā)展趨勢

當(dāng)前入侵檢測技術(shù)的主要的發(fā)展方向:(1)大規(guī)模分布式入侵檢測。傳統(tǒng)的入侵檢測技術(shù)一般只局限于單一的主機(jī)或網(wǎng)絡(luò)框架,顯然不能適應(yīng)大規(guī)模網(wǎng)絡(luò)的監(jiān)測,不同的入侵檢測系統(tǒng)之間也不能協(xié)同工作。因此,必須發(fā)展大規(guī)模的分布式入侵檢測技術(shù)。(2)寬帶高速網(wǎng)絡(luò)的實(shí)時入侵檢測技術(shù)。大量高速網(wǎng)絡(luò)的不斷涌現(xiàn),各種寬帶接入手段層出不窮,如何實(shí)現(xiàn)高速網(wǎng)絡(luò)下的實(shí)時入侵檢測成為一個現(xiàn)實(shí)的問題。

參考文獻(xiàn)

[1]張超,霍紅衛(wèi)等.入侵檢測系統(tǒng)概述.計算機(jī)工程與應(yīng)用2004.

[2]楊小平.基于規(guī)范的入侵檢測方法.哈爾濱工程大學(xué)2005.

[3]周競.網(wǎng)絡(luò)入侵檢測及主動響應(yīng)策略的研究.武漢理工大學(xué)2005.