網(wǎng)絡(luò)檢測(cè)論文

時(shí)間：2021-06-09 18:41:37 論文我要投稿

　　論文既是探討問(wèn)題進(jìn)行學(xué)術(shù)研究的一種手段，又是描述學(xué)術(shù)研究成果進(jìn)行學(xué)術(shù)交流的一種工具。關(guān)于網(wǎng)絡(luò)檢測(cè)的論文應(yīng)該怎么寫?

網(wǎng)絡(luò)檢測(cè)論文

　　網(wǎng)絡(luò)檢測(cè)論文篇一：

　　網(wǎng)絡(luò)異常流量檢測(cè)研究

　　摘要:異常流量檢測(cè)是目前IDS入侵檢測(cè)系統(tǒng))研究的一個(gè)重要分支,實(shí)時(shí)異常檢測(cè)的前提是能夠?qū)崟r(shí),對(duì)大規(guī)模高速網(wǎng)絡(luò)流量進(jìn)行異常檢測(cè)首先要面臨高速流量載荷問(wèn)題,由于測(cè)度、分析和存儲(chǔ)等計(jì)算機(jī)資源的限制,無(wú)法實(shí)現(xiàn)全網(wǎng)絡(luò)現(xiàn)流量的實(shí)時(shí)檢測(cè),因此,抽樣測(cè)度技術(shù)成為高速網(wǎng)絡(luò)流量測(cè)度的研究重點(diǎn)。

　　關(guān)鍵詞:網(wǎng)絡(luò) 異常流量檢測(cè)

　　一、異常流量監(jiān)測(cè)基礎(chǔ)知識(shí)

　　異常流量有許多可能的來(lái)源,包括新的應(yīng)用系統(tǒng)與業(yè)務(wù)上線、計(jì)算機(jī)病毒、黑客入侵、網(wǎng)絡(luò)蠕蟲、拒絕網(wǎng)絡(luò)服務(wù)、使用非法軟件、網(wǎng)絡(luò)設(shè)備故障、非法占用網(wǎng)絡(luò)帶寬等。網(wǎng)絡(luò)流量異常的檢測(cè)方法可以歸結(jié)為以下四類:統(tǒng)計(jì)異常檢測(cè)法、基于機(jī)器學(xué)習(xí)的異常檢測(cè)方法、基于數(shù)據(jù)挖掘的異常檢測(cè)法和基于神經(jīng)網(wǎng)絡(luò)的異常檢測(cè)法等。用于異常檢測(cè)的5種統(tǒng)計(jì)模型有:①操作模型。該模型假設(shè)異常可通過(guò)測(cè)量結(jié)果和指標(biāo)相比較得到,指標(biāo)可以根據(jù)經(jīng)驗(yàn)或一段時(shí)間的統(tǒng)計(jì)平均得到。②方差。計(jì)算參數(shù)的方差,設(shè)定其置信區(qū)間,當(dāng)測(cè)量值超出了置信區(qū)間的范圍時(shí)表明可能存在異常。③多元模型。操作模型的擴(kuò)展,通過(guò)同時(shí)分析多個(gè)參數(shù)實(shí)現(xiàn)檢測(cè)。④馬爾可夫過(guò)程模型。將每種類型事件定義為系統(tǒng)狀態(tài),用狀態(tài)轉(zhuǎn)移矩陣來(lái)表示狀態(tài)的變化。若對(duì)應(yīng)于發(fā)生事件的狀態(tài)轉(zhuǎn)移矩陣概率較小,則該事件可能是異常事件。⑤時(shí)間序列模型。將測(cè)度按時(shí)間排序,如一新事件在該時(shí)間發(fā)生的概率較低,則該事件可能是異常事件。

　　二、系統(tǒng)介紹分析與設(shè)計(jì)

　　本系統(tǒng)運(yùn)行在子網(wǎng)連接主干網(wǎng)的出口處,以旁路的方式接入邊界的交換設(shè)備中。從交換設(shè)備中流過(guò)的數(shù)據(jù)包,經(jīng)由軟件捕獲,處理,分析和判斷,可以對(duì)以異常流量方式出現(xiàn)的攻擊行為告警。本系統(tǒng)需要檢測(cè)的基本的攻擊行為如下:(1)ICMP攻擊(2)TCP攻擊,包括但不限于SYN Flood、RST Flood(3)IP NULL攻擊(4)IP Fragmentation攻擊(5)IP Private Address Space攻擊(6)UDP Flood攻擊(7)掃描攻擊不同于以特征、規(guī)則和策略為基礎(chǔ)的入侵檢測(cè)系統(tǒng)(Intrusion Detection Systems),本研究著眼于建立正常情況下網(wǎng)絡(luò)流量的模型,通過(guò)該模型,流量異常檢測(cè)系統(tǒng)可以實(shí)時(shí)地發(fā)現(xiàn)所觀測(cè)到的流量與正常流量模型之間的偏差。當(dāng)偏差達(dá)到一定程度引發(fā)流量分配的變化時(shí),產(chǎn)生系統(tǒng)告警(ALERT),并由網(wǎng)絡(luò)中的其他設(shè)備來(lái)完成對(duì)攻擊行為的阻斷。系統(tǒng)的核心技術(shù)包括網(wǎng)絡(luò)正常流量模型的獲取、及對(duì)所觀察流量的匯聚和分析。由于當(dāng)前網(wǎng)絡(luò)以IPv4為主體,網(wǎng)絡(luò)通訊中的智能分布在主機(jī)上,而不是集中于網(wǎng)絡(luò)交換設(shè)備,而在TCP/IP協(xié)議中和主機(jī)操作系統(tǒng)中存在大量的漏洞,況且網(wǎng)絡(luò)的使用者的誤用(misuse)也時(shí)有發(fā)生,這就使得網(wǎng)絡(luò)正常流量模型的建立存在很大的難度。為達(dá)到保障子網(wǎng)的正常運(yùn)行的最終目的,在本系統(tǒng)中,采用下列方式來(lái)建立多層次的網(wǎng)絡(luò)流量模型:

　　(1)會(huì)話正常行為模型。根據(jù)IP報(bào)文的五元組(源地址、源端口、目的地址、目的端口和協(xié)議),TCP和UDP報(bào)文可以構(gòu)成流(flow)或偽流(pseudo-flow)。兩個(gè)五元組中源和目的相反的流可以構(gòu)成一個(gè)會(huì)話。由于ICMP的特殊性,對(duì)于ICMP的報(bào)文,分別進(jìn)行處理:ICMP(query)消息構(gòu)成獨(dú)立會(huì)話,而ICMP錯(cuò)誤(error)消息則根據(jù)報(bào)文中包含的IP報(bào)頭映射到由IP報(bào)頭所制定的會(huì)話中去。每一類協(xié)議(TCP/UDP/ICMP)的正常行為由一個(gè)有限狀態(tài)及刻畫。在這個(gè)狀態(tài)機(jī)中,如果一個(gè)事件的到來(lái)導(dǎo)致了錯(cuò)誤狀態(tài)的出現(xiàn),那么和狀態(tài)機(jī)關(guān)聯(lián)的計(jì)數(shù)器對(duì)錯(cuò)誤累加。協(xié)議狀態(tài)機(jī)是一種相對(duì)嚴(yán)格的行為模型,累加的錯(cuò)誤計(jì)數(shù)本身并不一定代表發(fā)現(xiàn)了攻擊行為。

　　(2)流量規(guī)則特征模型。在正常的網(wǎng)絡(luò)流量中,存在著穩(wěn)定的規(guī)則特征。比如一個(gè)IP收到和發(fā)出的含SYN標(biāo)志位和含F(xiàn)IN標(biāo)志位的報(bào)文的比值、一個(gè)IP的出度和入度的比值以及一個(gè)IP的平均會(huì)話錯(cuò)誤數(shù)等。這些網(wǎng)絡(luò)不變量是檢驗(yàn)在一定時(shí)間區(qū)間內(nèi),一個(gè)IP是否行為異常的標(biāo)準(zhǔn)之一。這個(gè)模型要求對(duì)會(huì)話表中的會(huì)話摘要(一個(gè)含有會(huì)話特征的向量)進(jìn)行匯聚,在會(huì)話正常行為模型基礎(chǔ)上增加攻擊行為判斷的準(zhǔn)確程度。

　　(3)網(wǎng)絡(luò)流量關(guān)聯(lián)模型。把一些流量特征(如字節(jié)數(shù)、報(bào)文數(shù)、會(huì)話錯(cuò)誤數(shù)等)在一定時(shí)間區(qū)間內(nèi)的累加值記錄下來(lái),可以看作時(shí)間序列。通過(guò)對(duì)序列的分析,可以找到長(zhǎng)期的均值、方差、周期、趨勢(shì)等特征。當(dāng)攻擊行為發(fā)生時(shí),觀察到的一些流量特征會(huì)偏離其長(zhǎng)期特征。這種特征偏離的相關(guān)性就提供了判斷是否攻擊已發(fā)生的一個(gè)依據(jù)。

　　三、大規(guī)模流量異常檢測(cè)框架

　　異常檢測(cè)通常需要描述正常網(wǎng)絡(luò)行為,網(wǎng)絡(luò)行為模型越準(zhǔn)確,異常檢測(cè)算法效果越好。在大規(guī)模流量異常檢測(cè)中通常通過(guò)網(wǎng)絡(luò)探針了解單個(gè)實(shí)體或結(jié)點(diǎn)的行為來(lái)推測(cè)整個(gè)網(wǎng)絡(luò)行為,基于網(wǎng)絡(luò)斷層成像(network tomography)思想通過(guò)使用探針測(cè)量推斷網(wǎng)絡(luò)特征,這是檢測(cè)非協(xié)作(noncooperative)網(wǎng)絡(luò)異常和非直接管理控制網(wǎng)絡(luò)異常的有效手段。對(duì)于單個(gè)管理域,基于實(shí)體研究可以向網(wǎng)絡(luò)管理者提供有用信息,例如網(wǎng)絡(luò)拓?fù)洹Ｔ趩蝹€(gè)結(jié)點(diǎn)使用一些基本的網(wǎng)絡(luò)設(shè)計(jì)和流量描述的方法,可以檢測(cè)網(wǎng)絡(luò)異常和性能瓶頸。然后觸發(fā)網(wǎng)絡(luò)管理系統(tǒng)的告警和恢復(fù)機(jī)制。為了對(duì)大規(guī)模網(wǎng)絡(luò)的性能和行為有一個(gè)基本的了解,需要收集和處理大量網(wǎng)絡(luò)信息。有時(shí),全局網(wǎng)絡(luò)性能信息不能直接獲得,只有綜合所獲得的本地網(wǎng)絡(luò)信息才能對(duì)全局網(wǎng)絡(luò)行為有個(gè)大致的了解。因?yàn)椴淮嬖跍?zhǔn)確的正常網(wǎng)絡(luò)操作的統(tǒng)計(jì)模型,使得難以描述異常網(wǎng)絡(luò)模型的統(tǒng)計(jì)行為,也沒(méi)有單個(gè)變量或參數(shù)能包括正常網(wǎng)絡(luò)功能的各個(gè)方面。需要從多個(gè)統(tǒng)計(jì)特征完全不同的矩陣中合成信息的問(wèn)題。為解決該問(wèn)題,有人提出利用操作矩陣關(guān)聯(lián)單個(gè)參數(shù)信息。但導(dǎo)致算法的計(jì)算復(fù)雜度較高,為了滿足異常檢測(cè)的實(shí)時(shí)性要求,本文關(guān)聯(lián)本地和全局?jǐn)?shù)據(jù)檢測(cè)網(wǎng)絡(luò)異常。盡管本章利用行為模型對(duì)IP Forwarding異常進(jìn)行檢測(cè),但該方法并不僅限于檢測(cè)本地異常。通過(guò)關(guān)聯(lián)多條網(wǎng)絡(luò)鏈路的時(shí)間序列數(shù)據(jù),也可以檢測(cè)類似于空間的網(wǎng)絡(luò)異常。因此,該方法可以擴(kuò)展到其他類型的大規(guī)模網(wǎng)絡(luò)數(shù)據(jù)和其他大規(guī)模網(wǎng)絡(luò)異常。

　　參考文獻(xiàn):

　　[1]司偉紅.淺析網(wǎng)絡(luò)攻擊常用方法.科技廣場(chǎng),2006,7:36-38.

　　[2]卿斯?jié)h等.入侵檢測(cè)技術(shù)研究綜述.通信學(xué)報(bào),2004,25(7):20-25.

　　[3]戴英俠、連一峰、王航.系統(tǒng)安全與入侵檢測(cè).北京:清華大學(xué)出版社,2002:24-26.

　　網(wǎng)絡(luò)檢測(cè)論文篇二：

　　網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)初探

　　【摘要】本文針對(duì)網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)進(jìn)行了相關(guān)的研究。首先對(duì)入侵檢測(cè)的概念做了簡(jiǎn)要的敘述，其次著重分析了當(dāng)前的入侵檢測(cè)技術(shù)，對(duì)目前網(wǎng)絡(luò)安全中存在的問(wèn)題和入侵檢測(cè)系統(tǒng)的發(fā)展趨勢(shì)做了簡(jiǎn)明的論述。

　　【關(guān)鍵詞】網(wǎng)絡(luò)安全;入侵檢測(cè)

　　0.引言

　　隨著計(jì)算機(jī)技術(shù)、通信技術(shù)和信息技術(shù)的飛速發(fā)展，各種各樣的網(wǎng)絡(luò)應(yīng)用已經(jīng)越來(lái)越廣泛地滲透到人類地生活、工作的各個(gè)領(lǐng)域。特別是通過(guò)Internet，人們可以極為方便地產(chǎn)生、發(fā)送、獲取和利用信息。Internet在給人們帶來(lái)巨大便利的同時(shí)，也產(chǎn)生了許多意想不到的問(wèn)題，網(wǎng)絡(luò)安全就是其中一個(gè)突出的問(wèn)題。造成Internet不安全的原因，一方面是Internet本身設(shè)計(jì)的不安全以及操作系統(tǒng)、應(yīng)用軟件等存在著安全漏洞;另一方面是由于網(wǎng)絡(luò)安全的發(fā)展落后于網(wǎng)絡(luò)攻擊的發(fā)展。目前網(wǎng)絡(luò)中應(yīng)用最廣、功能最強(qiáng)大的安全工具莫過(guò)于防火墻，但是防火墻的安全功能是有限的，它很難防止偽造IP攻擊。因此，發(fā)展一種新的網(wǎng)絡(luò)安全防御手段來(lái)加強(qiáng)網(wǎng)絡(luò)安全性便成了亟待解決的問(wèn)題。入侵檢測(cè)是幫助系統(tǒng)對(duì)付網(wǎng)絡(luò)內(nèi)部攻擊和外部攻擊的一種解決方案。入侵檢測(cè)技術(shù)是當(dāng)今一種非常重要的動(dòng)態(tài)安全技術(shù)，它與靜態(tài)防火墻技術(shù)等共同使用，可以大大提高系統(tǒng)的安全防護(hù)水平。

　　1.入侵檢測(cè)的概念及功能

　　入侵就是指任何試圖危及信息資源的機(jī)密性、完整性和可用性的行為。而入侵檢測(cè)就是對(duì)入侵行為的發(fā)覺，它通過(guò)從計(jì)算機(jī)網(wǎng)絡(luò)或系統(tǒng)中的若干關(guān)鍵點(diǎn)收集信息，并對(duì)這些信息進(jìn)行分析，從而發(fā)現(xiàn)網(wǎng)絡(luò)系統(tǒng)中是否有違反安全策略的行為和遭到攻擊的跡象。通常入侵檢測(cè)系統(tǒng)(Intrusion Detection System， IDS)是由軟件和硬件組成的。入侵檢測(cè)是防火墻的合理補(bǔ)充，在不影響網(wǎng)絡(luò)性能的情況下能對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)測(cè)，從而提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)。另外，它也擴(kuò)展了系統(tǒng)管理員的安全管理能力，有助于提高信息安全基礎(chǔ)結(jié)構(gòu)的完整性，是對(duì)原有安全系統(tǒng)的一個(gè)重要補(bǔ)充。入侵檢測(cè)系統(tǒng)收集計(jì)算機(jī)系統(tǒng)和網(wǎng)絡(luò)的信息，并對(duì)這些信息加以分析，對(duì)被保護(hù)的系統(tǒng)進(jìn)行安全審計(jì)、監(jiān)控、攻擊識(shí)別并做出實(shí)時(shí)的反應(yīng)。

　　入侵檢測(cè)的主要功能包括：(1)監(jiān)視、分析用戶及系統(tǒng)活動(dòng);(2)系統(tǒng)構(gòu)造和弱點(diǎn)的審計(jì);(3)映已知進(jìn)攻的活動(dòng)模式并進(jìn)行相關(guān)人士報(bào)警;(4)模式的統(tǒng)計(jì)分析;(5)要系統(tǒng)和數(shù)據(jù)文件的完整性;(6)的審計(jì)跟蹤管理，并識(shí)別用戶違反安全策略的行為。

　　2.入侵檢測(cè)的信息來(lái)源

　　對(duì)于入侵檢測(cè)系統(tǒng)而言，輸入數(shù)據(jù)的選擇是首先需要解決的問(wèn)題，目前的入侵檢測(cè)系統(tǒng)的數(shù)據(jù)來(lái)源主要包括：(1)操作系統(tǒng)的審計(jì)記錄;(2)系統(tǒng)日志;(3)應(yīng)用程序日志;(4)基于網(wǎng)絡(luò)數(shù)據(jù)的信息源;(4)來(lái)自其他安全產(chǎn)品的數(shù)據(jù)源。

　　3.入侵檢測(cè)系統(tǒng)的基本模型

　　在入侵檢測(cè)系統(tǒng)的發(fā)展過(guò)程中，大致經(jīng)歷了集中式、層次式和集成式三個(gè)階段，代表這三個(gè)階段的入侵檢測(cè)系統(tǒng)的基本模型分別是通用入侵檢測(cè)模型(Denning模型)、層次化入侵檢測(cè)模型(IDM)和管理式入侵檢測(cè)模型(SNMP-IDSM)。

　　3.1 通用入侵檢測(cè)模型

　　Denning于1987年最早提出一個(gè)通用的`入侵檢測(cè)模型(如圖2.1所示)。

　　該模型由6個(gè)部分組成：(1) 主體(Subject);(2) 對(duì)象(Object);(3) 審計(jì)記錄(Audit Records);(4) 活動(dòng)簡(jiǎn)檔(Activity Profile);(5) 異常記錄(Anomaly Record);(6)活動(dòng)規(guī)則。

　　3.2 IDM模型

　　Steven Snapp在設(shè)計(jì)和開發(fā)分布式入侵檢測(cè)系統(tǒng)DIDS時(shí)，提出一個(gè)層次化的入侵檢測(cè)模型，簡(jiǎn)稱IDM。該模型將入侵檢測(cè)分為六個(gè)層次，分別為：數(shù)據(jù)(data)、事件(event)、主體(subject)、上下文(context)、威脅(threat)、安全狀態(tài)(security state)。

　　IDM模型給出了在推斷網(wǎng)絡(luò)中的計(jì)算機(jī)受攻擊時(shí)數(shù)據(jù)的抽象過(guò)程。也就是說(shuō)，它給出了將分散的原始數(shù)據(jù)轉(zhuǎn)換為高層次有關(guān)入侵和被監(jiān)測(cè)環(huán)境的全部安全假設(shè)過(guò)程。通過(guò)把收集到的分散數(shù)據(jù)進(jìn)行加工抽象和數(shù)據(jù)關(guān)聯(lián)操作，IDM構(gòu)造了一臺(tái)虛擬的機(jī)器環(huán)境，這臺(tái)機(jī)器由所有相連的主機(jī)和網(wǎng)絡(luò)組成。將分布式系統(tǒng)看成一臺(tái)虛擬計(jì)算機(jī)的觀點(diǎn)簡(jiǎn)化了跨越單機(jī)入侵行為的識(shí)別。IDM也應(yīng)用于只有單臺(tái)計(jì)算機(jī)的小型網(wǎng)絡(luò)。

　　3.3 SNMP-IDSM模型

　　隨著網(wǎng)絡(luò)技術(shù)的飛速發(fā)展，網(wǎng)絡(luò)攻擊手段也越來(lái)越復(fù)雜，攻擊者大都是通過(guò)合作的方式來(lái)攻擊某個(gè)目標(biāo)系統(tǒng)，而單獨(dú)的IDS難以發(fā)現(xiàn)這種類型的入侵行為。然而，如果IDS系統(tǒng)也能夠像攻擊者那樣合作，就有可能檢測(cè)到入侵者。這樣就要有一種公共的語(yǔ)言和統(tǒng)一的數(shù)據(jù)表達(dá)格式，能夠讓IDS系統(tǒng)之間順利交換信息，從而實(shí)現(xiàn)分布式協(xié)同檢測(cè)。北卡羅萊那州立大學(xué)的Felix Wu等人從網(wǎng)絡(luò)管理的角度考慮IDS模型，突出了基于SNMP的IDS模型，簡(jiǎn)稱SNMP-IDSM.。

　　SNMP-IDSM以SNMP為公共語(yǔ)言來(lái)實(shí)現(xiàn)IDS系統(tǒng)之間的消息交換和協(xié)同檢測(cè)，它定義了IDS-MIB，使得原始事件和抽象事件之間關(guān)系明確，并且易于擴(kuò)展。SNMP-IDSM定義了用來(lái)描述入侵事件的管理信息庫(kù)MIB，并將入侵事件分析為原始事件(Raw Event)和抽象事件(Abstract Event)兩層結(jié)構(gòu)。原始事件指的是引起安全狀態(tài)遷移的事件或者是表示單個(gè)變量遷移的事件，而抽象事件是指分析原始事件所產(chǎn)生的事件。原始事件和抽象事件的信息都用四元組來(lái)描述。

　　4.入侵檢測(cè)的分類和分析方法

　　4.1入侵檢測(cè)的分類

　　通過(guò)對(duì)現(xiàn)有的入侵檢測(cè)系統(tǒng)和技術(shù)研究，可對(duì)入侵檢測(cè)系統(tǒng)進(jìn)行如下分類：

　　根據(jù)目標(biāo)系統(tǒng)的類型可以將入侵檢測(cè)系統(tǒng)分為兩類：

　　(1) 基于主機(jī)(Host-Based)的IDS。通常，基于主機(jī)的入侵檢測(cè)系統(tǒng)可以監(jiān)測(cè)系統(tǒng)事件和操作系統(tǒng)下的安全記錄以及系統(tǒng)記錄。當(dāng)有文件發(fā)生變化時(shí)，入侵檢測(cè)系統(tǒng)就將新的記錄條目與攻擊標(biāo)記相比較，看它們是否匹配。　　(2) 基于網(wǎng)絡(luò)(Network-Based)的IDS。該系統(tǒng)使用原始網(wǎng)絡(luò)數(shù)據(jù)包作為數(shù)據(jù)源，利用一個(gè)運(yùn)行在混雜模式下的網(wǎng)絡(luò)適配器來(lái)實(shí)時(shí)監(jiān)測(cè)并分析通過(guò)網(wǎng)絡(luò)的所有通信業(yè)務(wù)。

　　根據(jù)入侵檢測(cè)系統(tǒng)分析的數(shù)據(jù)來(lái)源，數(shù)據(jù)源可以是主機(jī)系統(tǒng)日志、網(wǎng)絡(luò)數(shù)據(jù)包、應(yīng)用程序的日志、防火墻報(bào)警日志以及其他入侵檢測(cè)系統(tǒng)的報(bào)警信息等，可以將入侵檢測(cè)系統(tǒng)分為基于不同分析數(shù)據(jù)源的入侵檢測(cè)系統(tǒng)。

　　根據(jù)入侵檢測(cè)方法可以將入侵檢測(cè)系統(tǒng)分為兩類：

　　(1) 異常IDS。該類系統(tǒng)利用被監(jiān)控系統(tǒng)正常行為的信息作為檢測(cè)系統(tǒng)中入侵、異常活動(dòng)的依據(jù)。

　　(2) 誤用IDS。誤用入侵檢測(cè)系統(tǒng)根據(jù)已知入侵攻擊的信息(知識(shí)、模式)來(lái)檢測(cè)系統(tǒng)的入侵和攻擊。

　　根據(jù)檢測(cè)系統(tǒng)對(duì)入侵攻擊的響應(yīng)方式，可以將入侵檢測(cè)系統(tǒng)分為兩類：

　　(1) 主動(dòng)的入侵檢測(cè)系統(tǒng)。它在檢測(cè)出入侵后，可自動(dòng)的對(duì)目標(biāo)系統(tǒng)中的漏洞采取修補(bǔ)、強(qiáng)制可疑用戶(可能的入侵者)退出系統(tǒng)以及關(guān)閉相關(guān)服務(wù)等對(duì)策和響應(yīng)措施。

　　(2) 被動(dòng)的入侵檢測(cè)系統(tǒng)。它在檢測(cè)出對(duì)系統(tǒng)的入侵攻擊后只是產(chǎn)生報(bào)警信息通知系統(tǒng)安全管理員，至于之后的處理工作則有系統(tǒng)管理員完成。

　　根據(jù)系統(tǒng)各個(gè)模塊運(yùn)行的分步方式，可以將入侵檢測(cè)系統(tǒng)分為兩類：

　　(1) 集中式入侵檢測(cè)系統(tǒng)。系統(tǒng)的各個(gè)模塊包括數(shù)據(jù)的收集與分析以及響應(yīng)都集中在一臺(tái)主機(jī)上運(yùn)行，這種方式適用于網(wǎng)絡(luò)環(huán)境比較簡(jiǎn)單的情況。

　　(2) 分布式入侵檢測(cè)系統(tǒng)。系統(tǒng)的各個(gè)模塊分布在網(wǎng)絡(luò)中不同的計(jì)算機(jī)、設(shè)備上，一般而言，分布性主要體現(xiàn)在數(shù)據(jù)收集模塊上，如果網(wǎng)絡(luò)環(huán)境比較復(fù)雜、數(shù)據(jù)量比較大，那么數(shù)據(jù)分析模塊也會(huì)分布，一般是按照層次性的原則進(jìn)行組織。

　　當(dāng)前眾多的入侵檢測(cè)系統(tǒng)和技術(shù)，基本上是根據(jù)檢測(cè)方法、目標(biāo)系統(tǒng)、信息數(shù)據(jù)源來(lái)設(shè)計(jì)的。

　　4.2 入侵檢測(cè)的分析方法

　　從入侵檢測(cè)的角度來(lái)說(shuō)，分析是指對(duì)用戶和系統(tǒng)活動(dòng)數(shù)據(jù)進(jìn)行有效的組織、整理及特征提取，以鑒別出感興趣的攻擊。這種行為的鑒別可以實(shí)時(shí)進(jìn)行，也可以事后分析，在很多情況下，事后的進(jìn)一步分析是為了尋找行為的責(zé)任人。入侵檢測(cè)的方法主要由誤用檢測(cè)和異常檢測(cè)組成。

　　誤用檢測(cè)對(duì)于系統(tǒng)事件提出的問(wèn)題是：這個(gè)活動(dòng)是惡意的嗎?誤用檢測(cè)涉及到對(duì)入侵指示器已知的具體行為的解碼信息，然后為這些指示器過(guò)濾事件數(shù)據(jù)。要想執(zhí)行誤用檢測(cè)，需要有一個(gè)對(duì)誤用行為構(gòu)成的良好理解，有一個(gè)可靠的用戶活動(dòng)記錄，有一個(gè)可靠的分析活動(dòng)事件的方法。

　　異常檢測(cè)需要建立正常用戶行為特征輪廓，然后將實(shí)際用戶行為和這些特征輪廓相比較，并標(biāo)示正常的偏離。異常檢測(cè)的基礎(chǔ)是異常行為模式系統(tǒng)誤用。輪廓定義成度量集合。度量衡量用戶特定方面的行為。每一個(gè)度量與一個(gè)閾值相聯(lián)系。異常檢測(cè)依靠一個(gè)假定：用戶表現(xiàn)為可預(yù)測(cè)的、一致的系統(tǒng)使用模式。

　　有些入侵檢測(cè)方法既不是誤用檢測(cè)也不屬異常檢測(cè)的范圍。這些方案可應(yīng)用于上述兩類檢測(cè)。它們可以驅(qū)動(dòng)或精簡(jiǎn)這兩種檢測(cè)形式的先行活動(dòng)，或以不同于傳統(tǒng)的影響檢測(cè)策略方式。這類方案包括免疫系統(tǒng)方法、遺傳算法、基于代理檢測(cè)以及數(shù)據(jù)挖掘技術(shù)。

　　5.入侵檢測(cè)系統(tǒng)的局限性與發(fā)展趨勢(shì)

　　5.1入侵檢測(cè)系統(tǒng)的局限性

　　現(xiàn)有的IDS系統(tǒng)多采用單一體系結(jié)構(gòu)，所有的工作包括數(shù)據(jù)的采集、分析都由單一主機(jī)上的單一程序來(lái)完成。而一些分布式的IDS只是在數(shù)據(jù)采集上實(shí)現(xiàn)了分布式，數(shù)據(jù)的分析、入侵的發(fā)現(xiàn)還是由單一個(gè)程序完成。這樣的結(jié)構(gòu)造成了如下的缺點(diǎn)：

　　(1) 可擴(kuò)展性較差。單一主機(jī)檢測(cè)限制了監(jiān)測(cè)的主機(jī)數(shù)和網(wǎng)絡(luò)規(guī)模，入侵檢測(cè)的實(shí)時(shí)性要求高，數(shù)據(jù)過(guò)多將會(huì)導(dǎo)致其過(guò)載，從而出現(xiàn)丟失網(wǎng)絡(luò)數(shù)據(jù)包的問(wèn)題。

　　(2) 單點(diǎn)失效。當(dāng)IDS系統(tǒng)自身受到攻擊或某些原因不能正常工作時(shí)，保護(hù)功能會(huì)喪失。

　　(3) 系統(tǒng)缺乏靈活性和可配置性。如果系統(tǒng)需要加入新的模塊和功能時(shí)，必須修改和重新安裝整個(gè)系統(tǒng)。

　　5.2 入侵檢測(cè)的發(fā)展趨勢(shì)

　　入侵檢測(cè)的發(fā)展趨勢(shì)主要主要表現(xiàn)在：(1) 大規(guī)模網(wǎng)絡(luò)的問(wèn)題; (2) 網(wǎng)絡(luò)結(jié)構(gòu)的變化; (3) 網(wǎng)絡(luò)復(fù)雜化的思考;(4) 高速網(wǎng)絡(luò)的挑戰(zhàn);(5) 無(wú)線網(wǎng)絡(luò)的進(jìn)步;(6) 分布式計(jì)算;(7) 入侵復(fù)雜化;(8) 多種分析方法并存的局面。

　　對(duì)于入網(wǎng)絡(luò)侵檢測(cè)系統(tǒng)，分析方法是系統(tǒng)的核心。多種分析方法綜合運(yùn)用才是可行之道，將各種分析方法有機(jī)結(jié)合起來(lái)，構(gòu)建出高性能的入侵檢測(cè)系統(tǒng)是一個(gè)值得研究的問(wèn)題，我們需要不斷的研究去完善它。

　　參考文獻(xiàn)：

　　[1]張宏. 網(wǎng)絡(luò)安全基礎(chǔ)(第一版)[M].北京：機(jī)械工業(yè)出版社， 2004.

　　[2]石志國(guó)，薛為民，江俐.計(jì)算機(jī)網(wǎng)絡(luò)安全教程[M].北京：清華大學(xué)出版社，2004年.

　　[3]唐正軍. 網(wǎng)路入侵檢測(cè)系統(tǒng)的設(shè)計(jì)與實(shí)現(xiàn)(第一版) [M]北京：電子工業(yè)出版社，2002.

　　[4]郭魏，吳承榮. [J]入侵檢測(cè)方法概述. 《計(jì)算機(jī)工程》，1999年第11期.

　　[5]泰和信科.內(nèi)網(wǎng)安全管理[M].重慶：泰和信科，2003年.

　　[6]薛靜鋒，寧宇朋等.入侵檢測(cè)技術(shù)(第一版)[M].北京：機(jī)械工業(yè)出版社，2004.

　　[7]葉中行. 信息論基礎(chǔ)(第一版) [M].北京：高等教育出版社，2003.

　　[8]杜虹.談?wù)劇皟?nèi)網(wǎng)”安全. [J].《信息安全與通信保密》，2005年第2期.

　　[9]崔薇.入侵檢測(cè)系統(tǒng)的研究現(xiàn)狀及發(fā)展趨勢(shì) [J].《西安郵電學(xué)院學(xué)報(bào)》，2006年第1期.

　　[10]金衛(wèi). 入侵檢測(cè)技術(shù)的研究[J].《山東師范大學(xué)學(xué)報(bào)》，2005年第4期.

【網(wǎng)絡(luò)檢測(cè)論文】相關(guān)文章：