基于网络的入侵检测系统研究.pdf

第25卷第5期 许昌学院学报 V01．25．No．5 OFxuCHANGuNⅣERsITY 2006年9月 J0uRNAL ， sep．2006 文章编号：167l一9824(2006J05—0085—04 基于网络的入侵检测系统研究 黄宇达1，王迤冉2，胡 晟3 (1．周口职业技术学院信息科学系，河南周口466000；2．周口师范学院计算机科学系， 河南周口466000；3．周口农业发展银行，河南周口466000) 摘 要：根据目前入侵检测技术的发展水平和实际应用情况，设计出了一套基于网络的入侵 检测系统．该套系统为三层分布式体系结构，符合国际上通用的入侵检测系统框架CIDF，并在实 际模拟环境中有较好的效果，对其他入侵检测系统的设计具有借鉴作用． 关键词：网络安全；入侵检测；CIDF 中图分类号：m93 文献标识码：A 0 引言 前虽有很多安全系统，但它们都是主动式的网络安全技术，而入侵检测技术作为一种被动式的网络安全技 术，这些年来引起了越来越多的人注意． 1入侵检测概述 ‘ 入侵检测…是对企图入侵、正在进行的入侵或者已经发生的入侵进行识别的过程．从数据来源看，入 侵检测通常可以分为两类：基于主机的入侵检测和基于网络的入侵检测．基于主机的入侵检测通常从主机 的审计记录和日志文件中获得所需的主要数据源，并辅以主机上的其他信息；基于网络的入侵检测通过监 听网络中的数据包来获得必要的数据来源，并通过协议分析、特征匹配、统计分析等手段来发现当前的攻 检测． ? 在入侵检测中，对于各种事件进行分析，从中发现违反安全策略的行为是入侵检测系统的核心功能． 对于基于异常的检测和基于误用的检测，分别采用不同的入侵检测拽术．分析获得的数据时，可以将检测 技术分为基于行为的检测和基于知识的检测．基于行为的检测根据使用者的行为或资源使用情况来判断 是否有入侵行为，而不依赖于具体行为是否出现来检测，所以也被称为异常检测；基于行为的检测与系统 无关，通用性较强．它甚至有可能检测出以前未出现过的攻击方法，不像基于知识的检测那样受已知性的 限制．基于知识的检测指运用已知攻击方法，根据已定义好的入侵模式，通过判断这些入侵模式是否出现 来检测．因为很大一部分的入侵是利用了系统的脆弱性，通过分析入侵过程的特征、条件、排列以及事件间 关系能具体描述入侵行为的迹象．基于知识的检测也被称为误用检测． 2入侵检测的cIDF模型 为了提高入侵检测产品、组件及其他安全产品之间的互操作性，美国国防高级研究计划署(DAPRA)和 收稿日期：2006一06—29 作者简介：黄字迭(1976一)，男，河南项城人，主要从事计算机的教学和理论研究 万方数据 86 许昌学院学报 2006年9月 测系统分为4个基本组件：事件产生器、事件分析器、响应单元和事件数据库． 在clDF模型中，事件产生器、事件分析器和响应单 ．……一．I响应单元I输出：反应或习f件 元通常以应用程序的形式出现，而事件数据库则往往采 ；输出：高级中断事件? 用文件或数据流的形式·cIDF模型中的4个组件代表的阿再翻………；……一一币孬两磊司 都是逻辑实体，其中的任何一个组件可能是某台计算机——， ：——一‘ 上的一个进程甚至线程，也可能是多个计算机上的多个 ：输出：原始或低级事件： 进程，它们之间采用统一入侵检测对象格式进行数据 !……一一厂磊磊瓦司………： 交换．L二焉：原始事件源 3 基于网络的入侵检测系统设计 图1 cIDF的基本模型架构图 3．1系统模型设计 根据cIDF模型，设计出基于网络的入侵检测系统．此系统根据网络数据包，利用协议分析和