計算機網(wǎng)絡入侵檢測技術(shù)論文(2)
計算機網(wǎng)絡入侵檢測技術(shù)論文篇二
計算機網(wǎng)絡入侵檢測技術(shù)探討
摘要介紹了 計算 機 網(wǎng)絡 入侵檢測技術(shù)的概念、功能和檢測 方法 ，描述了 目前 采用的入侵檢測技術(shù)及其 發(fā)展 方向。
關(guān)鍵詞入侵檢測異常檢測誤用檢測
在網(wǎng)絡技術(shù)日新月異的今天，代寫 論文基于網(wǎng)絡的 計算機 應用 已經(jīng)成為發(fā)展的主流。政府、 教育 、商業(yè)、 金融 等機構(gòu)紛紛聯(lián)入Internet，全 社會 信息共享已逐步成為現(xiàn)實。然而，近年來，網(wǎng)上黑客的攻擊活動正以每年10倍的速度增長。因此，保證計算機系統(tǒng)、網(wǎng)絡系統(tǒng)以及整個信息基礎設施的安全已經(jīng)成為刻不容緩的重要課題。
1 防火墻
目前防范網(wǎng)絡攻擊最常用的方法是構(gòu)建防火墻。
防火墻作為一種邊界安全的手段，在網(wǎng)絡安全保護中起著重要作用。其主要功能是控制對網(wǎng)絡的非法訪問，通過監(jiān)視、限制、更改通過網(wǎng)絡的數(shù)據(jù)流，一方面盡可能屏蔽內(nèi)部網(wǎng)的拓撲結(jié)構(gòu)，另一方面對內(nèi)屏蔽外部危險站點，以防范外對內(nèi)的非法訪問。然而，防火墻存在明顯的局限性。
(1)入侵者可以找到防火墻背后可能敞開的后門。如同深宅大院的高大院墻不能擋住老鼠的偷襲一樣，防火墻有時無法阻止入侵者的攻擊。
(2)防火墻不能阻止來自內(nèi)部的襲擊。調(diào)查發(fā)現(xiàn)，50%的攻擊都將來自于網(wǎng)絡內(nèi)部。
(3)由于性能的限制，防火墻通常不能提供實時的入侵檢測能力。代寫畢業(yè)論文 而這一點，對于層出不窮的網(wǎng)絡攻擊技術(shù)來說是至關(guān)重要的。
因此，在Internet入口處部署防火墻系統(tǒng)是不能確保安全的。單純的防火墻策略已經(jīng)無法滿足對安全高度敏感部門的需要，網(wǎng)絡的防衛(wèi)必須采用一種縱深的、多樣化的手段。
由于傳統(tǒng)防火墻存在缺陷，引發(fā)了入侵檢測IDS(Intrusion Detection System)的 研究 和開發(fā)。入侵檢測是防火墻之后的第二道安全閘門，是對防火墻的合理補充，在不 影響 網(wǎng)絡性能的情況下，通過對網(wǎng)絡的監(jiān)測，幫助系統(tǒng)對付網(wǎng)絡攻擊，擴展系統(tǒng) 管理員的安全管理能力(包括安全 審計、監(jiān)視、進攻識別和響應)，提高信息安全基礎結(jié)構(gòu)的完整性，提供對內(nèi)部攻擊、外部攻擊和誤操作的實時保護。現(xiàn)在，入侵檢測已經(jīng)成為網(wǎng)絡安全中一個重要的研究方向，在各種不同的網(wǎng)絡 環(huán)境中發(fā)揮重要作用。
2 入侵檢測
2.1 入侵檢測
入侵檢測是通過從計算機網(wǎng)絡系統(tǒng)中的若干關(guān)鍵點收集信息并對其進行 分析 ，從中發(fā)現(xiàn)違反安全策略的行為和遭到攻擊的跡象，并做出自動的響應。其主要功能是對用戶和系統(tǒng)行為的監(jiān)測與分析、系統(tǒng)配置和漏洞的審計檢查、重要系統(tǒng)和數(shù)據(jù)文件的完整性評估、已知的攻擊行為模式的識別、異常行為模式的 統(tǒng)計分析、操作系統(tǒng)的審計跟蹤管理及違反安全策略的用戶行為的識別。入侵檢測通過迅速地檢測入侵，在可能造成系統(tǒng)損壞或數(shù)據(jù)丟失之前，識別并驅(qū)除入侵者，使系統(tǒng)迅速恢復正常 工作，并且阻止入侵者進一步的行動。同時，收集有關(guān)入侵的技術(shù)資料，用于改進和增強系統(tǒng)抵抗入侵的能力。
入侵檢測可分為基于主機型、基于網(wǎng)絡型、基于代理型三類。從20世紀90年代至今，代寫 英語 論文 已經(jīng)開發(fā)出一些入侵檢測的產(chǎn)品，其中比較有代表性的產(chǎn)品有ISS(Intemet Security System)公司的Realsecure，NAI(Network Associates，Inc)公司的Cybercop和Cisco公司的NetRanger。
2.2 檢測技術(shù)
入侵檢測為網(wǎng)絡安全提供實時檢測及攻擊行為檢測，并采取相應的防護手段。例如，實時檢測通過記錄證據(jù)來進行跟蹤、恢復、斷開網(wǎng)絡連接等控制;攻擊行為檢測注重于發(fā)現(xiàn)信息系統(tǒng)中可能已經(jīng)通過身份檢查的形跡可疑者，進一步加強信息系統(tǒng)的安全力度。入侵檢測的步驟如下：
收集系統(tǒng)、網(wǎng)絡、數(shù)據(jù)及用戶活動的狀態(tài)和行為的信息
入侵檢測一般采用分布式結(jié)構(gòu)，在計算機網(wǎng)絡系統(tǒng)中的若干不同關(guān)鍵點(不同網(wǎng)段和不同主機)收集信息，一方面擴大檢測范圍，另一方面通過多個采集點的信息的比較來判斷是否存在可疑現(xiàn)象或發(fā)生入侵行為。
入侵檢測所利用的信息一般來自以下4個方面：系統(tǒng)和網(wǎng)絡日志文件、目錄和文件中的不期望的改變、程序執(zhí)行中的不期望行為、物理形式的入侵信息。
(2)根據(jù)收集到的信息進行分析
常用的分析方法有模式匹配、統(tǒng)計分析、完整性分析。模式匹配是將收集到的信息與已知的網(wǎng)絡入侵和系統(tǒng)誤用模式數(shù)據(jù)庫進行比較，從而發(fā)現(xiàn)違背安全策略的行為。
統(tǒng)計分析方法首先給系統(tǒng)對象(如用戶、文件、目錄和設備等)創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性。測量屬性的平均值將被用來與網(wǎng)絡、系統(tǒng)的行為進行比較。當觀察值超出正常值范圍時，就有可能發(fā)生入侵行為。該方法的難點是閾值的選擇，閾值太小可能產(chǎn)生錯誤的入侵 報告，閾值太大可能漏報一些入侵事件。
完整性分析主要關(guān)注某個文件或?qū)ο笫欠癖桓模ㄎ募湍夸浀?內(nèi)容 及屬性。該方法能有效地防范特洛伊木馬的攻擊。
3 分類及存在的 問題
入侵檢測通過對入侵和攻擊行為的檢測，查出系統(tǒng)的入侵者或合法用戶對系統(tǒng)資源的濫用和誤用。代寫工作 總結(jié) 根據(jù)不同的檢測方法，將入侵檢測分為異常入侵檢測(Anomaly Detection)和誤用人侵檢測(Misuse Detection)。
3.1 異常檢測
又稱為基于行為的檢測。其基本前提是：假定所有的入侵行為都是異常的。首先建立系統(tǒng)或用戶的“正常”行為特征輪廓，通過比較當前的系統(tǒng)或用戶的行為是否偏離正常的行為特征輪廓來判斷是否發(fā)生了入侵。此方法不依賴于是否表現(xiàn)出具體行為來進行檢測，是一種間接的方法。
常用的具體方法有：統(tǒng)計異常檢測方法、基于特征選擇異常檢測方法、基于貝葉斯推理異常檢測方法、基于貝葉斯網(wǎng)絡異常檢測方法、基于模式預測異常檢測方法、基于神經(jīng)網(wǎng)絡異常檢測方法、基于機器 學習 異常檢測方法、基于數(shù)據(jù)采掘異常檢測方法等。
采用異常檢測的關(guān)鍵問題有如下兩個方面：
(1)特征量的選擇
在建立系統(tǒng)或用戶的行為特征輪廓的正常模型時，選取的特征量既要能準確地體現(xiàn)系統(tǒng)或用戶的行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋系統(tǒng)或用戶的行為特征。
(2) 參考 閾值的選定
由于異常檢測是以正常的特征輪廓作為比較的參考基準，因此，參考閾值的選定是非常關(guān)鍵的。
閾值設定得過大，那漏警率會很高;閾值設定的過小，則虛警率就會提高。合適的參考閾值的選定是決定這一檢測 方法 準確率的至關(guān)重要的因素。
由此可見，異常檢測技術(shù)難點是“正常”行為特征輪廓的確定、特征量的選取、特征輪廓的更新。由于這幾個因素的制約，異常檢測的虛警率很高，但對于未知的入侵行為的檢測非常有效。此外，由于需要實時地建立和更新系統(tǒng)或用戶的特征輪廓，這樣所需的 計算 量很大，對系統(tǒng)的處理性能要求很高。
3.2 誤用檢測
又稱為基于知識的檢測。其基本前提是：假定所有可能的入侵行為都能被識別和表示。首先，代寫留學生 論文 對已知的攻擊方法進行攻擊簽名(攻擊簽名是指用一種特定的方式來表示已知的攻擊模式)表示，然后根據(jù)已經(jīng)定義好的攻擊簽名，通過判斷這些攻擊簽名是否出現(xiàn)來判斷入侵行為的發(fā)生與否。這種方法是依據(jù)是否出現(xiàn)攻擊簽名來判斷入侵行為，是一種直接的方法。
常用的具體方法有：基于條件概率誤用入侵檢測方法、基于專家系統(tǒng)誤用入侵檢測方法、基于狀態(tài)遷移 分析 誤用入侵檢測方法、基于鍵盤監(jiān)控誤用入侵檢測方法、基于模型誤用入侵檢測方法。誤用檢測的關(guān)鍵 問題 是攻擊簽名的正確表示。
誤用檢測是根據(jù)攻擊簽名來判斷入侵的，根據(jù)對已知的攻擊方法的了解，用特定的模式 語言來表示這種攻擊，使得攻擊簽名能夠準確地表示入侵行為及其所有可能的變種，同時又不會把非入侵行為包含進來。由于多數(shù)入侵行為是利用系統(tǒng)的漏洞和 應用 程序的缺陷，因此，通過分析攻擊過程的特征、條件、排列以及事件間的關(guān)系，就可具體描述入侵行為的跡象。這些跡象不僅對分析已經(jīng)發(fā)生的入侵行為有幫助，而且對即將發(fā)生的入侵也有預警作用。
誤用檢測將收集到的信息與已知的攻擊簽名模式庫進行比較，從中發(fā)現(xiàn)違背安全策略的行為。由于只需要收集相關(guān)的數(shù)據(jù)，這樣系統(tǒng)的負擔明顯減少。該方法類似于病毒檢測系統(tǒng)，其檢測的準確率和效率都比較高。但是它也存在一些缺點。
3.2.1 不能檢測未知的入侵行為
由于其檢測機理是對已知的入侵方法進行模式提取，對于未知的入侵方法就不能進行有效的檢測。也就是說漏警率比較高。
3.2.2 與系統(tǒng)的相關(guān)性很強
對于不同實現(xiàn)機制的操作系統(tǒng)，由于攻擊的方法不盡相同，很難定義出統(tǒng)一的模式庫。另外，誤用檢測技術(shù)也難以檢測出內(nèi)部人員的入侵行為。
目前 ，由于誤用檢測技術(shù)比較成熟，多數(shù)的商業(yè)產(chǎn)品都主要是基于誤用檢測模型的。不過，為了增強檢測功能，不少產(chǎn)品也加入了異常檢測的方法。
4 入侵檢測的 發(fā)展 方向
隨著信息系統(tǒng)對一個國家的 社會 生產(chǎn)與國民 經(jīng)濟 的 影響 越來越大，再加上 網(wǎng)絡 攻擊者的攻擊工具與手法日趨復雜化，信息戰(zhàn)已逐步被各個國家重視。近年來，入侵檢測有如下幾個主要發(fā)展方向：
4.1 分布式入侵檢測與通用入侵檢測架構(gòu)
傳統(tǒng)的IDS一般局限于單一的主機或網(wǎng)絡架構(gòu)，對異構(gòu)系統(tǒng)及大規(guī)模的網(wǎng)絡的監(jiān)測明顯不足，再加上不同的IDS系統(tǒng)之間不能很好地協(xié)同 工作。為解決這一問題，需要采用分布式入侵檢測技術(shù)與通用入侵檢測架構(gòu)。
4.2應用層入侵檢測
許多入侵的語義只有在應用層才能理解，然而目前的IDS僅能檢測到諸如Web之類的通用協(xié)議，而不能處理Lotus Notes、數(shù)據(jù)庫系統(tǒng)等其他的應用系統(tǒng)。許多基于客戶/服務器結(jié)構(gòu)、中間件技術(shù)及對象技術(shù)的大型應用，也需要應用層的入侵檢測保護。
4.3 智能的入侵檢測
入侵方法越來越多樣化與綜合化，盡管已經(jīng)有智能體、神經(jīng)網(wǎng)絡與遺傳算法在入侵檢測領域應用 研究 ，但是，這只是一些嘗試性的研究工作，需要對智能化的IDS加以進一步的研究，以解決其自 學習 與自適應能力。
4.4 入侵檢測的評測方法
用戶需對眾多的IDS系統(tǒng)進行評價，評價指標包括IDS檢測范圍、系統(tǒng)資源占用、IDS自身的可靠性，從而設計出通用的入侵檢測測試與評估方法與平臺，實現(xiàn)對多種IDS的檢測。
4.5 全面的安全防御方案
結(jié)合安全工程風險 管理的思想與方法來處理網(wǎng)絡安全問題，將網(wǎng)絡安全作為一個整體工程來處理。從管理、網(wǎng)絡結(jié)構(gòu)、加密通道、防火墻、病毒防護、入侵檢測多方位全面對所關(guān)注的網(wǎng)絡作全面的評估，然后提出可行的全面解決方案。
綜上所述，入侵檢測作為一種積極主動的安全防護技術(shù)，提供了對內(nèi)部攻擊、外部攻擊和誤操作的實時保護，使網(wǎng)絡系統(tǒng)在受到危害之前即攔截和響應入侵行為，為網(wǎng)絡安全增加一道屏障。隨著入侵檢測的研究與開發(fā)，并在實際應用中與其它網(wǎng)絡管理 軟件相結(jié)合，使網(wǎng)絡安全可以從立體縱深、多層次防御的角度出發(fā)，形成人侵檢測、網(wǎng)絡管理、網(wǎng)絡監(jiān)控三位一體化，從而更加有效地保護網(wǎng)絡的安全。
參考 文獻
l 吳新民.兩種典型的入侵檢測方法研究. 計算機工程與應用，2002;38(10)：181—183
2 羅妍，李仲麟，陳憲.入侵檢測系統(tǒng)模型的比較.計算機應用，2001;21(6)：29～31
3 李渙洲.網(wǎng)絡安全與入侵檢測技術(shù).四川師范大學學報.2001;24(3)：426—428
4 張慧敏，何軍，黃厚寬.入侵檢測系統(tǒng).計算機應用研究，2001;18(9)：38—4l
5 蔣建春，馮登國.網(wǎng)絡入侵檢測原理與技術(shù).北京：國防 工業(yè) 出版社，2001
6 粱曉誠.入侵檢測方法研究.桂林 工學院學報，2000;20(7)：303— 306.
看了“計算機網(wǎng)絡入侵檢測技術(shù)論文”的人還看：