浓缩液-心电仪
第
八
章
入
侵
检
测
< br>系
统
第一节
引言
通过电子手段对一个组织信息库的恶意攻击称为信息战
(inf
ormation warfare)
。
攻击的目的可能干扰组
织的正常活动,甚至企图对组织的信息库造成严重的破坏。对
信息战的各种抵抗措施都可
归结为三类:保护、检测、响应。
保护
(
入侵的防范
< br>)
指保护硬件、软件、数据抵御各种攻击的技术。目前各种网络
< br>安全设施如防火墙及
VPN
,
各
种加密技术,
身份认证技术,
易攻击性扫描等都属于保护
的范围之内,它们是计算机系统的第一道防线。
检测
(
入侵的检测
< br>)
研究如何高效正确地检测网络攻击。只有入侵防范不足以保护
< br>计算机的安全,任何系统及协议都不可避免地存在缺陷,可能是协议本身也可能是协
议的实现,还有一些技术之外的社会关系问题,都能威胁信息安全。因此即使采用这
些
保护措施,入侵者仍可能利用相应缺陷攻入系统,这意味着入侵检测具有其他安全
措施所
不能代替的作用。
响应
(
入侵的响应
)
是入侵检测之后的处理工作,主要
包括损失评估,根除入侵者
留下的后门,数据恢复,收集入侵者留下的证据等。这三种安
全措施构成完整的信息
战防御系统。
入侵检测(
Intrusion Detection
,
ID
)是本章讨论的主题之一,它通过监测计
算
机系统的某些信息,加以分析,检测入侵行为,并做出反应。入侵检测系统所检测的<
/p>
系统信息包括系统记录,网络流量,应用程序日志等。入侵(
In
trusion
)定义为未经
授权的计算机使用者以及不正当使
用
(misuse)
计算机的合法用户
(
内部威胁
)
,危害或
试图危害资源的完整性、
保密性、
可用性的行为。
p>
入侵检测系统
(
Intrusion
Detection
System
,
IDS
)是实现入侵检测功能的硬件与软件。入侵检测基于这样
一个假设,即:
入侵行为与正常行为有显著的不同,因而是可以检测的。入侵检测的研究
开始于
20
世
纪
80
年代,进入
90
年代入侵检测成
为研究与应用的热点,其间出现了许多研究原型与
商业产品。
入侵检测系统在功能上是入侵防范系统的补充,
而并不是入侵防
范系统的替代。
相
反,它与这些系统共同工作,检测出已经躲过
这些系统控制的攻击行为。入侵检测系
统是计算机系统安全、网络安全的第二道防线。<
/p>
一个理想的入侵检测系统具有如下特性:
?
能以最小的人为干预持续运行。
?
能够从系统崩溃中恢复和重置。
?
能抵抗攻击。
IDS
必须能监测自身和检测自己是否已经被攻击者所改变。
?
运行时占用系统的开销最小。
?
能够根据被监视系统的安全策略进行配置。
?
能在使用过程中适应系统和用户行为的改变。
当被监控系统的规模和受攻击的机会增加时,我们认为下列的特征也同样重要:
?
能够检测具有一定规模的网络。
?
保证当
I
DS
某一部分被攻破时,对其余部分造成的影响尽可能的小。
?
允许动态的再配置,即它必须有不
用重新启动而能再次配置的功能。
?
提供很低的误报率。
?
提供互操作性,在不同环境中运行
的
IDS
组件能够相互作用。
?
提供方便的用户界面,使管理者方便地配置和监视系统。
?
能够以实时或接近于实时的方式检测入侵。
< br>目前的入侵检测系统(包括研究的原型和商业化的
IDS
)的数目已经超过一百个,
它们只具有上述特征的一部分。
第二节
入侵检测系统结构
CIDF
(Common Intrusion Detection Framework)
定
义了通用的
IDS
系统结构,它
将入侵
检测系统分为四个功能模块,如图
8.1
所示:
图
8.1
CIDF
模型
事件产生器(
Event
generater
,
E-box<
/p>
)收集入侵检测事件
,
并提供给
IDS
其他部
件处理,是
IDS
的信息源。事件包含的范围很广泛,既可以是网络活动也可是系统调用
序列等系统信息。事件的质量、数量与种类对
IDS
性能的影响极大。
事件分析器(
Analysis engine, A-box
)对输入的事件进行分析并检测入侵。许
多
IDS
的研究都集中于如何提高事件分析器的能力
,
包括提高对已知入侵识别的准确性
以及提高发现未知入侵的几率等。<
/p>
事件数据库(
Event database,
D-box
)
E-boxes
和
A-boxes
产生大量的数据
,
这些数据必须被妥善地存储,以备将来使用。
D-box
p>
的功能就是存储和管理这些数据
,
用于
p>
IDS
的训练和证据保存。
事件响应器(
Response unit, C-box
p>
)对入侵做出响应,包括向管理员发出警告,
切断入侵连接,根除入
侵者留下的后门以及数据恢复等。
CIDF
概括了
IDS
的功能,并进行了合理的划分。利
用这个模型可描述当今现有的各
种
IDS
的系统结构。对
IDS
的设计及实现提供了有价值的指导。<
/p>
第三节
入侵检测系统分类
为了准确地分类,
首先要确定用来分类的
IDS
特征。
I
DS
是复杂的系统,若只用一
种特征分类,结果将是粗糙的。因
此本章根据多种特征对
IDS
进行了不同角度的分类。
事件分析器是
IDS
的核心部分,故首先对检测
方法进行分类。其次从事件产生器的角
度分类,将采集事件种类或采集事件的方法作为分
类标准。
一、检测方法分类
入侵检测的方法可大体分为两类:
滥用检测
(
misuse
detection)
、异常检测
(anomaly dete
ction)
。在
IDS
中,任何一个
事件都可能属于以下三种情况
:
?
已知入侵
?
已知正常状态
?
无法判定状态
第三种事件可能是一种未知的入侵
,
也可能是正常状态,
但在现有的系统和技术下
无法判定。目前的
检测方法都是对已知入侵和已知正常状态的识别,其中滥用检测识
别已知入侵,但对于无
法判定状态中的未知入侵将漏报
(false negative)
,异常检测
根据已知的正常状态将已知入侵、无法判定状态都当作异常,因此会产生
误报
(false
positive)
。
(一)滥用检测
根据对已知入侵的知
识,在输入事件中检测入侵。这种方法不关心正常行为,只
研究已知入侵,能较准确地检
测已知入侵,但对未知入侵的检测能力有限。目前大多
数的商业
IDS
都使用此类方法。滥用检测所采用的技术包括:
(二)专家系统
使用专家系统技术,用规则表示入侵。通常使用的是
forward-chaining
、
production-
based
等专家系统工具。
例如
DA
RPA
的
Emerald
项目,
将
P-BEST
工具箱应
用于入侵检测。
(三)状态转换模型
将入侵表示为一
系列系统状态转换,通过监视系统或网络状态的改变发现入侵。
典型系统是
NetSTAT
。
(四)协议分析与字符串匹配
将已知
攻击模式与输入事件进行匹配以判定入侵的发生,这种方法具有速度高、
扩展性好的特点
,但容易产生误报。典型系统包括
shadow
、
Bro
和
Snort
等。<
/p>
(五)异常检测
与滥用检测相反,异常检测对系统正常状态进行研究,通过监测用户行为模式、
主机
系统调用特征、网络连接状态等,建立系统常态模型。在运行中,将当前系统行
为与常态
模型进行比较,根据其与常态偏离的程度判定事件的性质。这种方法很有可