大规模互联网络的入侵检测
第32卷第3期2002年5月
东南大学学报(自然科学版)
JOURNA L OF S OUTHE AST UNIVERSITY (Natural Science Edition )
Vol 132No 13May 2002
大规模互联网络的入侵检测
龚 俭 陆 晟
(东南大学计算机科学与工程系,南京210096)
摘要:介绍了大规模互联网络入侵检测技术的发展现状,对网络入侵检测的体系结构,异常检
测技术,响应技术,入侵检测的协同技术,网络基础设施的保护技术等热点问题进行了讨论,指出了该领域的一些发展重点.
关键词:入侵检测系统;异常检测;入侵响应;协同检测;入侵追踪;网络安全中图分类号:TP393.4 文献标识码:A 文章编号:1001-0505(2002)0320325206
I ntrusion detection in large 2scale netw ork
G ong Jian Lu Sheng
(Department of C om puter Science and Engineering ,S outheast University ,Nanjing 210096,China )
Abstract : The state 2of 2art of intrusion detection technology in a large 2scale netw ork is introduced since the security is getting m ore dependent am ong inter 2connected netw orks.S ome hot topics ,such as the ar 2chitecture of I DS (intrusion detection system ),abnormal detection ,response technology ,coordinated de 2tection ,and the technologies used to protect netw ork in frastructure ,are discussed in detail.S ome trends of development are mentioned as well.
K ey w ords : intrusion detection system ;abnormal detection ;response to intrusion ;coordinated detec 2
tion ;intrusion trace 2back ;netw ork security
收稿日期:2001212224. 基金项目:国家自然科学基金重点项目资助(90104031).
作者简介:龚 俭(1957—
),男,博士,教授,博士生导师,jg ong @https://www.wendangku.net/doc/2014762000.html,. 随着Internet 使用的进一步发展,Internet 网络安全变得日益相互依赖,例如从DDOS (分布式服务失效攻击)可以看到,一个网络的安全状态会影响其他网络的安全状态.2001年5月爆发的红色代码病毒在13h 之内就迅速感染了39万台主机.小到一个独立的局域网,大到整个国家的网络基础设施,其内部的依赖关系日益紧密,网络的边界、拓扑和用户成分越来越复杂,各级Internet 自治系统安全控制的难度日益提高,所以对大规模互联网络入侵检测的研究引起了人们的高度重视.
虽然真正意义上的网络攻击从20世纪80年代末才出现,但是网络的入侵检测研究较早就开始了.SRI 早在1983年就开始Intrusion Detection Expert System (I DES )的研究,James P.Anders on 更早在1980年就有相关论文发表.20世纪90年代前后入
侵检测的单项技术研究有了很大的发展,新的检测
技术和各种检测系统不断涌现,其中比较有代表性的有:1989年出现异常检测的概念,1990年出现通过网络监听进行入侵检测的系统,1991年出现分布式入侵检测体系.20世纪90年代中后期入侵检测的体系结构的研究又有了许多发展,例如Mark Crosbie 和G ene S pafford 的自治代理概念被广泛接受[1].目前被各种商业入侵检测系统和其他实用系统所采用的检测方法主要包括:特征分析、模式匹配、安全状态分析、统计分析等,此外还有许多支持技术,如会话还原、日志存贮技术等也得到了发展.
和入侵检测技术不同,网络攻击的响应技术直到近年来才逐渐得到重视,SRI 在1997年的E 2MERA LD 项目中开始提到响应问题,而且在其目标中监测和响应技术是并重的[2];同时美国南加州大学信息科学学院也开始将I DS 系统中某些独立成分视为专门的响应者,并且试图建立检测者和响应者之间的交换协议.此后,在1999和2000年DARPA 有近10个项目直接研究响应问题,相关研
究则更多.
本文介绍了大规模互联网络入侵检测技术各领域的发展现状,对其中的一些热点问题进行了讨论.
1 入侵检测的体系结构
早期入侵检测系统的保护对象是单台服务器或某个局域网(或园区网),没有协同的需求和概念,因此也没有关于体系结构方面的研究讨论,各个系统有其不同的实现模型.但大规模互联网络的入侵检测研究所面临的首要问题就是监测体系结构问题,由当前Internet的大规模和高速的特性所决定,目前被广泛使用的商业化以及共享的入侵检测系统实现模型无法满足多点协同监测的需要,因此研究和设计新的入侵检测系统体系结构是实现对大规模网络安全检测的基础.
对大规模互联网络入侵检测的研究始于美国加州大学戴维斯分校(UC Davis)的G rI DS系统, S.Staniford2Chen等[2]在1996年对所采用的方法加以了说明,即通过采用图论的方法对安全事件的相关性和危害的蔓延情况进行分析.此后,UC Davis 提出了通用入侵检测框架CI DF(comm on intrusion detection framew ork)[3]的概念来试图建立通用的入侵检测体系结构,并引发了相关的研究.目前针对大规模网络的监测一般都采用分布式结构,主要为基于主机的分布式代理结构和分布式监听结构,此外也存在综合以上2种方式的分布式监测结构.例如美国普度(Purdue)大学的C OAST小组研究各种监测和日志技术,并采用了基于主机的代理结构[4].UC Davis的G lobalG uard项目则主要使用基于网络分布监听的方式,而UC Santa Barbara的Net2 ST AT项目则混合了以上方法[5].
但是,若需要建立完整的大规模分布式安全监测体系,目前并没有公认的体系结构,因为人们对大规模网络入侵检测的功能覆盖范围和检测方法认识尚不统一,各个研究小组在研究入侵检测系统的体系结构时都有明显的单项技术侧重点.例如,波音公司的I DIP[6]瞄准了入侵检测后的响应信息交换和响应决策;IETF入侵检测工作组(I DWG)的I AP与I DMEF的目的则是建立通用的安全检测信息交换方式[7].另外还有一些相关的研究活动涉及大规模网络安全监测各方面的问题,比较著名的有:美国北卡州微电子中心(MC NC)关于建立可靠安全域的研究与路由基础设施保护的研究;美国加州大学圣巴巴拉分校(UC Santa Barbara)关于分布式的基于状态变迁的安全检测方法研究[8,9];以及美国康乃尔大学关于可靠的安全信息交换协议的研究等[10].
2 入侵检测技术
最初的网络入侵检测方法都是基于攻击特征的,通过对这些攻击特征进行识别和归纳来得出安全结论.但由于现有的网络系统存在安全性方面的先天缺陷,而且人们对攻击的认识总跟不上攻击的发展,所以基于这种思路来完全杜绝网络入侵是不可能的.因此美国军方在20世纪90年代末提出了容忍入侵(intrusion2tolerance)系统的概念,这种系统可以在存在入侵攻击的情况下继续正常工作并能及时地提供预期的用户服务(但系统性能和其他功能可能会受到影响).这种系统可以检测到那些突破了外层防御措施的攻击,并采取必要的响应行动,这些响应措施可以从限制可疑代码或数据的使用到重新配置软硬件资源.因此目前大规模网络入侵检测技术方面的研究重点转向了异常检测,即发展检测和抵御未知类型攻击的能力.例如美国新墨西哥(New Mexico)大学和Odyssey Research Ass oci2 ates,Inc.都试图采用免疫学的方法进行大规模网络的安全研究[11],同时也研究计算机免疫学的相关技术,该技术属于异常检测和滥用检测的混合类型.美国Carnegie Mellon大学、Purdue大学、C olumbia 大学、UC Davis和MC NC等都在进行新的异常检测技术的研究,这些研究包括采用数据挖掘、神经元网络、可能性图分析、代价分析、元学习、特征发现、统计等不同的技术方式,大致上可归纳为统计性模型、基于机器学习的模型和预测模型等3种类型[12～14].虽然上述的研究活动提出了多种异常检测方法,但是由于其过高的误报率,严重影响了实际推广和使用,在商业领域的应用很少,因此今后的研究重点是使误报率能够下降到在可接受范围内的方法.MIT的林肯实验室和美国空军研究实验室从1997年开始研究对I DS的评测问题,他们构造了一组标准的测试数据,并定义了一个接收者运行特征(ROC)曲线的概念来描述I DS的测准率和误报率.
另外随着网络拓扑和应用复杂度的增加,针对网络基础设施本身的攻击也在增多,而网络中的基础设施组件,例如路由器,交换机等,作为防御前沿却缺乏保护措施.目前针对网络基础设施安全性的研究主要集中在协议层进行,通过统计和逻辑分析网络路由和管理协议来检测入侵,或对现有协议进行改进以增强检测和抵御攻击的能力.比较典型的是由MC NC研制的JiNao系统和由BBN公司研制
623东南大学学报(自然科学版)第32卷
的外部路由入侵检测系统(ERI DS).JiNao基于对网络路由协议的统计与逻辑分析,通过内嵌的网络管理功能提供针对OSPF网络入侵的防范、检测、响应和重配置能力,并通过JiNao之间的协同工作覆盖整个被保护的网络[15].系统包含本地检测子系统和基于S NMP的远程管理应用子系统,后者支持对前者的查询和重配置.本地检测子系统由3个模块组成:基于规则的防范模块,它起关守的作用;基于一个小的规则集拦截和过滤所有到达的报文,这些规则表达了基本的安全要求或特殊的安全政策;基于协议的检测模块,它对协议操作作逻辑分析,并对协议状态机出现的异常状态进行报警;统计分析检测模块实现对路由协议行为的分析,它统计并学习路由协议的正常行为并产生一个特征文件(profile),如果发现了异于特征文件规定的行为,则进行报警.前2个检测模块都是基于已知知识,因此响应时间比较短,而统计检测需要一段观测期(observation window),因此不能实时响应.
ERI DS可以使网络运行管理中心发现由于恶意攻击或配置错误而导致的BG P异常操作[16]. ERI DS具有BG Pv4协议信息的收集能力,能够对报文的数据进行解码分析,将采集的路由数据与路由政策数据库中的路由信息进行比较,发现可能存在的攻击行为.可进一步地在ERI DS中加入入侵检测引擎,它使用分布式的检测探头来收集BG P报文,将它们压缩并传递到中央的检测引擎作分析处理.这个检测引擎使用路由数据库访问工具获得路由政策定义,将收集到的路由信息与管理员确定的自治系统路由政策进行分析比较,并对所发现的攻击事件作出响应和报警.
对基础设施软件的框架结构进行研究和改进是一种新的思路,它试图建立新的基础软件架构,以能够处理大范围的错误.例如美国TIS和NAI公司在多种系统平台上研制的软件阻隔(wrapping)技术[17],可以大大提高由标准软件组件(C OTS2com2 mercial off the shelf,包括应用系统和操作系统)构成的大型软件系统的安全性和可靠性.通用软件阻隔器将拦截组件之间的交互,并把这些交互绑定到实现实际的安全(如限制、过滤)和可靠性(如冗余、崩溃数据的恢复)政策的功能上.这种阻隔器可作为一个软件模块嵌入运行环境,不需要对嵌入系统的源码进行修改.它通过阻隔器定义语言W D L来描述轻型可移植的软件阻隔器在安全性和可靠性方面的功能和性质,并利用阻隔器支撑界面WSI提供所有需要的操作系统服务,包括从操作系统内核到命令解释器.阻隔器中内嵌了一组基于CI DF概念的入侵检测功能,从而可发展成为入侵检测阻隔器I DW,它们使用的检测技术包括基于特征规范的技术(例如可以检测对I M AP的栈溢出攻击)、状态转换分析技术和基于序列的技术(自动学习合法的调用序列并只允许合法的调用序列被执行).事实表明,在进行入侵检测时,使用软件阻隔器比使用系统日志更为有效,因为前者有更好的访问、过滤和动态探测系统状态的能力,因此有更丰富的输入数据和更好的数据选择能力.
对检测信息进行综合处理算法的研究呈多样化的趋势,例如基于图论的方法,基于性能模式的方法,基于权重的代价分析方法,基于分布式计算中的错误处理的方法等.但到目前为止尚无公认的综合处理算法,因此对于入侵检测的汇总决策问题仍需要进一步研究.
3 检测的响应技术
无论大规模网络监测所采用的结构如何,网络中的安全系统一般均分为监测者(detector)和响应者(responder),它们分别用于对网络攻击进行检测和响应处理.关于响应的研究大致可分为响应政策研究和响应机制研究两类.
有关响应政策的研究侧重2个方面:响应的自适应性和响应政策的形式化技术.响应的自适应性研究目前主要有以下2个手段:1)自适应网络安全管理架构的建立[18],用于构造对政府和商用信息系统的保护系统,这种自适应性使系统不仅具备对安全攻击的实时检测能力,而且具有使网络设施自动适应以阻止进一步攻击的能力,呈现出端系统保护的典型特征;2)试图将响应政策的评估和执行机制集成进入侵检测与响应系统,着重于研究一种机制来协调跨服务器的系统范围内的应用层响应,通过要求应用服务器嵌入支持攻击条件自适应的访问控制系统来达到目的,例如美国南加州大学信息科学学院开发的DEFC N(dynamic policy evaluation for containing netw ork attacks)系统.
在响应政策的形式化技术方面,研究的重点是使用高级语言为大规模互联网络定义安全政策,并开发相应的工具来处理、验证和将其转换成为中间语言表示,从而可以向网络组件提供安全政策信息;或者转换成其他特定于某些应用的形式(例如报文过滤语言);或者通过信任关系的形式化描述,建立信任管理系统.这方面比较著名的成果是Bell 实验室提出的K eynote语言[19],它可用一种符号语言来描述系统之间的信任关系,通过密钥的交换将信任关系映射为允许或不允许的动作.这种方法的
723
第3期龚 俭等:大规模互联网络的入侵检测
新颖性在于可以将高级安全政策表达为元K eynote,进而可以转换为K eynote表达式,因此K eynote被集成到IPsec和防火墙中,允许对一组IP 路由器按特定的安全政策实现自动配置.
针对目前响应机制的低效和基本依赖人工处理的问题,关于响应机制的研究热点是新的响应方法和追踪方法,其中比较著名的是作为DARPA信息生存(in formation survivability)计划的一部分,由Boeing 牵头进行的实时响应研究活动.通过开发I DIP(in2 truder detection and is olation protocol)建立动态的协作的边界控制,并可追踪对系统部分攻击的入侵者[20].I DIP采用的是基于代价的分析处理模式,并考虑了性能影响、拓扑限制、系统的副作用、对攻击进行围堵的保障、局部自治与全局控制的关系、政策机制对不同攻击场景的适应性、以及各个网络组件在入侵追踪和围堵中的作用与角色等多种因素.这个名为Dynamic C ooperating Boundary C ontrollers的系统的响应总体策略是首先实施实时响应,其反应程度可能超出实际需要,但确定此响应的计算开销小,响应的有效期短,响应成功的可能性高;然后再提供一个全局优化的、更合理的响应.实时响应由响应组件根据本地信息和简单模型确定并实施(如防火墙、路由器过滤等),而后续的响应由中央管理部件(I DIP discovery coordinator)根据全局信息和一组代价模型作出,然后分布到各有关响应组件去执行.第一级快速而短暂的响应为第二级优化响应提供了决策时间,在防止攻击造成的危害继续扩大的同时,允许系统作出一个全局优化的合理响应.系统的代价模型使用NAS A提供的C LIPS2C Language Integrated Pro2 duction System系统开发.
UC Davis的研究思路基于他们提出的CI DF,以协同的方式来检测、分析和响应大规模网络中因大范围攻击(包括未知攻击)或操作错误所产生的问题,其重点是提高响应的效率和自动程度,降低误报率.SRI研制的NI DES系统采取的响应动作可以包括对入侵检测系统本身进行重新配置以获得更多对受影响的主机和网络的详细检测数据;激发管理动作关闭某种服务;孤立受攻击的部件;或激活备用资源等.一个值得注意的动向是基于主动网络技术的入侵检测、跟踪、响应和发现机制的研究.由于主动网络技术提供了高度定制的结构以允许用户对路由器、交换机和其他设备重新编程和定制,因此在主动网络中有可能开发出具有更大灵活性、适应性,功能强大,高效率的入侵检测和响应机制.
4 入侵检测的协同技术
大规模互联网络的入侵检测靠单点是无法完成的,需要各个检测系统之间的协同工作.由于检测技术的多样性,而且入侵检测的管理与网络管理有很大的联系,同样受管理域的约束,因此入侵检测的协同技术研究重点放在了大范围检测信息的安全传递和开放接口上.这方面最著名的成果是由UC Davis的安全实验室提出的CI DF,它定义了一种通用入侵说明语言(CIS L)[21],可以对事件、分析结果、响应指示等作通用的表示.CI DF把入侵检测系统从逻辑上分为面向任务的组件(com ponent),并试图规范一种通用编码方式以表示在组件边界传递的数据.CI DF还定义了入侵检测协同的6种场景形式,即分析、互补、互纠、核实、调整检测和响应,并分别为这些场景定义了语义.
IETF的I DWG工作组的工作重点是定义在大规模互联网络中进行安全的检测信息交换的标准,包括为入侵检测和响应系统以及可能需和它们交互的管理系统所感兴趣的共享信息定义数据格式和交互过程.到目前为止他们完成的工作包括:
1)IETF/I DWG的安全监测框架模型;
2)I DMEF(intrusion detection message exchange format):描述了用来表示入侵检测系统的输出信息的数据模型;
3)I AP(intrusion alert protocol):用于入侵检测组件、特别是监测器/分析器和管理人员间的入侵警报数据交换;
4)I DXP(intrusion detection exchange protocol):用于入侵检测实体间交换数据,该协议支持基于面向连接协议双向鉴别,完整性和机密性.该协议支持I DMEF(入侵检测消息交换格式)消息、非格式化文本和二进制数据的交换.
但以上工作均未成为正式的RFC,因此标准的制定工作仍在进行中.另外美国国防部也在试图将众多安全研究中所产生的一些相关结果,包括CI DF,E MERA LD,I DIP和G rI DS等,统一到其Ad2 vanced In formation T echn ology Services Reference Archi2 tecture(AITS RA)中,以期在安全检测信息的规范化表示方面取得突破性的进展,但该项工作到目前为止还并未完成.按CI DF的观点,入侵检测系统的协同可分为3个层次:配置互操作(网络中的I DS可相互感知并可建立通信联系)、语法互操作(I DS之间具有统一的数据表达方式,因此交换的数据是可识别的)和语义互操作(I DS之后的检测数据具有统一的语义,从而在响应上可协同).第一层次的互操作对于协同没有太多意义;第二层次的互操作对于检测数据的交换有意义,在一定程度上可支持检测的协同;第三层次的互操作可实现I DS的完全协同,但现
823东南大学学报(自然科学版)第32卷
阶段的工作主要还是针对前2个层次的互操作,对标准语义的研究还没有什么比较满意的进展.
5 入侵的追踪技术
入侵追踪的最初目的是试图发现攻击者的位置,通常表现为攻击者的IP地址.由于攻击者会使用地址欺骗技术来隐藏自己的真实位置,因此入侵追踪技术的研究重点就逐渐转为如何发现攻击者的真实地址和传输路径,或对其作出尽可能真实的定位.网络入侵的追踪是对网络入侵正确响应的重要前提.由于入侵响应会造成网络服务的损失,所以对入侵的正确定位有助于降低服务损失,例如对服务失效攻击的响应.入侵追踪技术包括传输日志、报文标记、链路测试和IC MP追踪等方法[22].
传输日志方法在报文传输路径上的一些重要路由器中对过往的报文作日志记录,并使用数据挖掘的方法来分析报文传输的真实路径.例如美国BBN公司设计开发的SPIE(s ource path is olation en2 gine)系统可以可靠地追踪攻击源点至其特定的AS 入口点,这要求在沿途的路由器中置入特殊软件来记录和缓存每个报文转发事件的信息摘录,以供追查[23].BBN与Avici公司合作开发了支持这种功能的路由器,并定义了SPIE的请求与响应信息格式.由于路由器的存储资源有限,因此这种方法只能支持较短时间周期内的源点追踪.
报文标记方法要求转发报文的路由器采用随机或固定的模型对经过的报文进行标记,通常是在报文中记录下自己的地址(如使用IP报文的选项字段).这样,当网络节点发现遭受攻击时,它可以通过寻找标记过的报文来确定攻击的源点.这种追踪方法相对来说管理开销比较小.
链路测试方法包括输入检测和受控泛洪两种形式.输入检测方法要求被攻击的系统向网络管理员提供攻击特征,网络管理员据此检测网络各端口以确定攻击的来向,并以此回朔直至源点.这种方法需要很大的管理开销和各个ISP之间的协同合作,因此其实现有一定的难度.受控泛洪方法要求对路由器各端口作短暂的突发流量传输,并观察它们对攻击的影响.因为对攻击来向端口的泛洪传输要暂时阻断攻击的继续,因此回朔地使用这种方法对检测服务失效攻击的真实源点有一定的效果.
IC MP追踪方法要求路由器以一个很小的概率(如1/20000)抽取转发的报文,并将其报头信息封装在IC MP追踪报文中发送给终点地址,接收者可以根据这些IC MP报文重构报文的真实传输路径,并发现报文的真实源点.这种方法虽然实现简单,但也容易受到假的IC MP追踪报文的干扰,而且许多网络管理域对IC MP报文的穿越是有限制的,因此实际可操作性较低.
入侵追踪的完成通常需要多点之间的合作协同,因此一个标准的合作框架对于入侵追踪的协同操作是必不可少的,波音公司和NAI公司在DARPA的资助下联合研制的CITRA(cooperative in2 trusion traceback and response architecture)系统是这方面的典型代表[20].遵从CITRA框架的各个ISP 之间通过边界网关构成相邻关系,并通过I DIP实现相互的交互.这些边界网关提供入侵追踪功能和入侵响应功能以实现对入侵者的定位和系统边界控制(如隔离入侵者的访问活动),同时仍然维持正常网络活动的进行.整个框架中存在一个或多个协调中心(称为discovery coordinator),它通过接收各个边界网关的报告和响应政策来确定一个最佳的响应方案,并通知有关的边界网关执行,因此这是一个集入侵追踪与响应于一体的系统.
6 结 论
从总体上看,目前对于大规模互联网络入侵检测问题主要的研究热点大致集中在网络入侵检测的体系结构,异常检测技术,响应技术,入侵检测的协同技术,网络基础设施的保护技术等方面.由于网络节点之间的安全相关性越来越强,所以入侵检测问题必须从宏观的角度,在大规模的网络范围内来研究和解决,这就使得入侵检测系统的体系结构问题变得十分重要,因为检测的协同与响应都与此有关.另外当前的实用I DS仅仅能够检测已知的周知事件中的一个小集合,而已经存在的异常检测技术的误报率都比较高,应用并不广泛,所以无论是单点异常检测技术还是分布式异常检测都还是研究的热点.在响应方面,现有的技术不支持安全事件的自动响应,大量地靠专家人工干预,成本太高.因此,提高响应的自动化程度和处理效率对于I DS 的广泛应用具有十分重要的意义.
Internet的核心技术是IP,它最初的设计原则是争取最大的可用性(availability),考虑的是自治网络组件的行为因素.但构成Internet的不仅仅是IP,还包括应用系统和使用者.因此在Internet已经成为全球一个重要的基础设施之后,仅仅考虑可用性是不能满足实际需要的,新的设计原则应当是可生存性(survivability),即要考虑网络中所有对象的行为因素,这其中包括可能的攻击对网络的影响.这种需求的变化使得对网络入侵检测的研究从仅仅针对孤立主机的攻击发展到面向大规模互联网
923
第3期龚 俭等:大规模互联网络的入侵检测
络,也导致对网络基础设施如路由和域名[24]等的可用性的研究也变得比较活跃.
参考文献(R eferences)
[1]Jai Balasubramaniyan,G arcia2Fernandez Jose Omar,Isacoff
David,et al.An architecture for intrusion detection using au2 tonomous agents[D].Department of C omputer Sciences, Purdue University,West Lafayette,Indiana:C oast TR98
05,1998.
[2]S taniford2Chen S,Cheung S,Craw ford R,et al.G rI DS a
graph2based intrusion detection system for large netw orks
[A].In:The19th National Information Systems Security
Conference[C].1996.https://www.wendangku.net/doc/2014762000.html,/pa2 pers/nissc96.pd f.
[3]Tung Brian.C omm on intrusion detection framew ork(CI DF)
[E B/O L].http://w w https://www.wendangku.net/doc/2014762000.html,/～brian/cid f/1999-09-
10/2001-05-07.
[4]Z amboni Dieg o,S pafford E H.A prototype for a distributed
intrusion detection system[D].Department of C omputer Sci2 ences,Purdue University,West Lafayette,Indiana:C oast TR9806,1998.
[5]Vigna G,K emmerer R https://www.wendangku.net/doc/2014762000.html,ST AT:a netw ork2based intru2
sion detection system[J].Journal o f Computer Security, 1999,7(1).http://w w https://www.wendangku.net/doc/2014762000.html,/～rsg/pub/1999-
vigna-kemmerer-jcs99.ps.gz.
[6]Bishop Matt,N orthcutt S tephen.Executive summary[E B/
O L].https://www.wendangku.net/doc/2014762000.html,/projects/idrds/sum2 mary.html,1998-08-04/2001-05-07.
[7]Erlinger Michael,S taniford2Chen S tuart.Intrusion detection
exchange format(idwg)[E B/O L].http://w w https://www.wendangku.net/doc/2014762000.html,/ html.charters/idwg2charter.html,2001-04-30/2001-05 -07.
[8]Eckmann S T,Vigna G,K emmerer R A.ST AT L:an attack
language for state2based intrusion detection[A].In:Proc o f the ACM Workshop on Intrusion Detection[C].Athens,
G reece,2000.http://w w https://www.wendangku.net/doc/2014762000.html,/～rsg/pub/
2000-eckmann-vigna-kemmerer-wids00.ps.gz.
[9]Vigna G,Eckmann S T,K emmerer R A.Attack languages
[A].In:Proc o f the IEEE Information Survivability Work2
shop[C].Boston,M A,2000.http://w w https://www.wendangku.net/doc/2014762000.html,/～rsg/pub/2000-vigna-eckmann-kemmerer-attacklan2 guages.ps.gz.
[10]Renesse R obbert van,Minsky Y aron,Hayden Mark.A
g ossip2based failure detection service[A].In:Proc o f
Middleware’98[C].England,1998.http://w w w.cs.cor2
https://www.wendangku.net/doc/2014762000.html,/In fo/Projects/S pinglass/public-pd fs/G ossip%
2520S tyle%2520Failure.pd f.
[11]Carla Marceau.Characterizing the behavior of a program us2
ing multiple2length n2grams[A].In:Proc o f the New Secu2
rity Paradigms Workshop2000[C].C ork,Ireland:2000.
http://w w https://www.wendangku.net/doc/2014762000.html,/～forrest/CS691/M LS.pd f. [12]Lee Wenke,X iang D ong.In formation2theoretic measures for
anomaly detection[A].In:2001IEEE Symposium on Se2
curity and Privacy[C].C A,US A,2001.http://dlib.
https://www.wendangku.net/doc/2014762000.html,/con feren/s&p’01/1046/pd f/10460130.pd f.
[13]Helmer G uy,W ong Johnny,S lagell Mark,et al.A s oftware
fault tree approach to requirements analysis of an intrusion
detection system[A].In:Proc Symposium on Requirements
Engineering for Information Security[C].Indianapolis,I N,
US A,2001.https://www.wendangku.net/doc/2014762000.html,/～ghelmer/SF2
T A2I D.ps.
[14]Eskin E leazar.Anomaly detection over noisy data using
learned probability distributions[A].In:Proc o f the Seven2
teenth International Conference on Machine Learning[C].
2000.https://www.wendangku.net/doc/2014762000.html,/～cse291-I DVA/papers/
eskin.anomaly-detection-over-noisy-data-using-
learned-probability-distributions.ps.gz.
[15]Wu S F,Chang H C,Jou F,et al.JiNao:design and im2
plementation of a scalable intrusion detection system for the
OSPF routing protocol[J].Journal o f Computer Networks
and ISDN Systems,1999.https://www.wendangku.net/doc/2014762000.html,/
JiNao/JiNaoJournal.ps.
[16]K ent S tephen T,Sanchez Luis A.External routing intrusion
detection system(ERI DS)[E B/O L].http://w w https://www.wendangku.net/doc/2014762000.html,2
https://www.wendangku.net/doc/2014762000.html,/projects/erids/erids-index.html,1999-
10-01/2001-05-07.
[17]Fraser T im othy,Badger Lee,Feldman Mark.Hardening
C OTS s oftware with generic s oftware wrappers[A].In:
Proc o f the1999IEEE Symposium on Security and Privacy
[C].Oakland,California.1999.http://opens ource.nail2
https://www.wendangku.net/doc/2014762000.html,/wrappers/docs/wrap2oak99.ps.
[18]Schnackenberg D,Djahandari K,S terne D.In frastructure
for intrusion detection and response.SC:DARPA In forma2
tion Survivability C on ference and Exposition(DISCEX)
[E B/O L],Hilton Head Island,2000.http://d ownload.
https://www.wendangku.net/doc/2014762000.html,/products/media/pg p/pd f/DISCEX2I DR2In frastruc2
ture.pd f.
[19]Blaze Matt,Feigenbaum Joan,I oannidis John,et al.The
K eynote trust2management system ver sion2[R].RFC2704,
1999.http://w w https://www.wendangku.net/doc/2014762000.html,/rfc/rfc2704.txt.
[20]Schnackenberg D,Djahandari K,S trene D,et al.C oopera2
tive intrusion traceback and response architecture(CITRA)
[A].In:Proc o f the2nd DARP A Information Survivability
Conference and Exposition(DISCEXII)[C].Anaheim,
C A,2001.
[21]Feiertag Rich,K ahn Cliff,P orras Phil,et al.A comm on in2
trusion specification language(CIS L)[E B/O L].http://
w w https://www.wendangku.net/doc/2014762000.html,/～brian/cid f/drafts/language.txt,1999-06
-12/2001-05-07.
[22]Savage https://www.wendangku.net/doc/2014762000.html,w ork support for IP traceback[J].IEEE/
ACM Transaction on Networking,2001,9(3).
[23]Snoeren Alex C,Partridge Craig,Sanchez Luis A,et al.
Hash2based IP traceback[A].In:Proc o f the ACM/SIG2
COMM2001Conference on Applications,Technologies,Ar2
chitectures,and Protocols for Computer Communication
[C].San Dieg o,C A,2001.314.http://w w w.acm.
org/sigcomm/sigcomm2001/p12snoeren.pd f.
[24]Cheung S,Levitt K N.A formal2specification based ap2
proach for protecting the domain name system[A].In:
Proc o f the International Conference on Dependable Systems
and Networks[C].New Y ork,2000.641651.http://
online.security https://www.wendangku.net/doc/2014762000.html,/data/library/dsn00.ps.
033东南大学学报(自然科学版)第32卷
网络安全技术习题及答案 入侵检测系统
第9章入侵检测系统 1. 单项选择题 1)B 2)D 3)D 4)C 5)A 6)D 2、简答题 （1）什么叫入侵检测，入侵检测系统有哪些功能？ 入侵检测系统（简称“IDS”）就是依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。 入侵检测系统功能主要有： 识别黑客常用入侵与攻击手段 监控网络异常通信
鉴别对系统漏洞及后门的利用 完善网络安全管理 （2）根据检测对象的不同，入侵检测系统可分哪几种？ 根据检测对象的不同，入侵检测系统可分为基于主机的入侵检测基于网络的入侵检测、混合型三种。主机型入侵检测系统就是以系统日志、应用程序日志等作为数据源。主机型入侵检测系统保护的一般是所在的系统。网络型入侵检测系统的数据源是网络上的数据包。一般网络型入侵检测系统担负着保护整个网段的任务。混合型是基于主机和基于网络的入侵检测系统的结合，它为前两种方案提供了互补，还提供了入侵检测的集中管理，采用这种技术能实现对入侵行为的全方位检测。 （3）常用的入侵检测系统的技术有哪几种？其原理分别是什么？ 常用的入侵检测系统的技术有两种，一种基于误用检测（Anomal Detection），另一种基于异常检测（Misuse Detection）。 对于基于误用的检测技术来说，首先要定义违背安全策略事件的特征，检测主要判别这类特征是否在所收集到的数据中出现，如果检测到该行为在入侵特征库中，说明是入侵行为，此方法非常类似杀毒软件。基于误用的检测技术对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。 基于异常的检测技术则是先定义一组系统正常情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象。这种检测方式的核心在于如何定义所谓的正常情况。异常检测只能识别出那些与正常过程有较
入侵检测技术 课后答案
精品文档 . 第1章入侵检测概述 思考题： （1）分布式入侵检测系统（DIDS）是如何把基于主机的入侵检测方法和基于网络的入侵检测方法集成在一起的？ 答：分布式入侵检测系统是将主机入侵检测和网络入侵检测的能力集成的第一次尝试，以便于一个集中式的安全管理小组能够跟踪安全侵犯和网络间的入侵。DIDS的最初概念是采用集中式控制技术，向DIDS中心控制器发报告。 DIDS解决了这样几个问题。在大型网络互联中的一个棘手问题是在网络环境下跟踪网络用户和文件。DIDS允许用户在该环境中通过自动跨越被监视的网络跟踪和得到用户身份的相关信息来处理这个问题。DIDS是第一个具有这个能力的入侵检测系统。 DIDS解决的另一个问题是如何从发生在系统不同的抽象层次的事件中发现相关数据或事件。这类信息要求要理解它们对整个网络的影响，DIDS用一个6层入侵检测模型提取数据相关性，每层代表了对数据的一次变换结果。 （2）入侵检测作用体现在哪些方面？ 答：一般来说，入侵检测系统的作用体现在以下几个方面： ●监控、分析用户和系统的活动； ●审计系统的配置和弱点； ●评估关键系统和数据文件的完整性； ●识别攻击的活动模式； ●对异常活动进行统计分析； ●对操作系统进行审计跟踪管理，识别违反政策的用户活动。 （3）为什么说研究入侵检测非常必要？ 答：计算机网络安全应提供保密性、完整性以及抵抗拒绝服务的能力，但是由于连网用户的增加，网上电子商务开辟的广阔前景，越来越多的系统受到入侵者的攻击。为了对付这些攻击企图，可以要求所有的用户确认并验证自己的身份，并使用严格的访问控制机制，还可以用各种密码学方法对数据提供保护，但是这并不完全可行。另一种对付破坏系统企图的理想方法是建立一个完全安全的系统。但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术和强访问控制策略来保护数据。而从实际上看，这根本是不可能的。 因此，一个实用的方法是建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统。入侵检测系统就是这样一类系统，现在安全软件的开发方式基本上就是按照这个思路进行的。就目前系统安全状况而言，系统存在被攻击的可能性。如果系统遭到攻击，只要尽可能地检测到，甚至是实时地检测到，然后采取适当的处理
第八章入侵检测系统
第八章入侵检测系统 第一节引言 通过电子手段对一个组织信息库的恶意攻击称为信息战(information warfare)。攻击的目的可能干扰组织的正常活动，甚至企图对组织的信息库造成严重的破坏。对信息战的各种抵抗措施都可归结为三类：保护、检测、响应。 保护 (入侵的防范)指保护硬件、软件、数据抵御各种攻击的技术。目前各种网络安全设施如防火墙及VPN，各种加密技术，身份认证技术，易攻击性扫描等都属于保护的范围之内，它们是计算机系统的第一道防线。 检测 (入侵的检测)研究如何高效正确地检测网络攻击。只有入侵防范不足以保护计算机的安全，任何系统及协议都不可避免地存在缺陷，可能是协议本身也可能是协议的实现，还有一些技术之外的社会关系问题，都能威胁信息安全。因此即使采用这些保护措施，入侵者仍可能利用相应缺陷攻入系统，这意味着入侵检测具有其他安全措施所不能代替的作用。 响应 (入侵的响应)是入侵检测之后的处理工作，主要包括损失评估，根除入侵者留下的后门，数据恢复，收集入侵者留下的证据等。这三种安全措施构成完整的信息战防御系统。 入侵检测（Intrusion Detection，ID）是本章讨论的主题之一，它通过监测计算机系统的某些信息，加以分析，检测入侵行为，并做出反应。入侵检测系统所检测的系统信息包括系统记录，网络流量，应用程序日志等。入侵（Intrusion）定义为未经授权的计算机使用者以及不正当使用(misuse)计算机的合法用户(内部威胁)，危害或试图危害资源的完整性、保密性、可用性的行为。入侵检测系统（Intrusion Detection System，IDS）是实现入侵检测功能的硬件与软件。入侵检测基于这样一个假设，即：入侵行为与正常行为有显著的不同，因而是可以检测的。入侵检测的研究开始于20世纪80年代，进入90年代入侵检测成为研究与应用的热点，其间出现了许多研究原型与商业产品。 入侵检测系统在功能上是入侵防范系统的补充，而并不是入侵防范系统的替代。相反，它与这些系统共同工作，检测出已经躲过这些系统控制的攻击行为。入侵检测系统是计算机系统安全、网络安全的第二道防线。 一个理想的入侵检测系统具有如下特性： ?能以最小的人为干预持续运行。 ?能够从系统崩溃中恢复和重置。 ?能抵抗攻击。IDS必须能监测自身和检测自己是否已经被攻击者所改变。
【CN110012019A】一种基于对抗模型的网络入侵检测方法及装置【专利】
(19)中华人民共和国国家知识产权局 (12)发明专利申请 (10)申请公布号 (43)申请公布日 (21)申请号 201910288349.2 (22)申请日 2019.04.11 (71)申请人 鸿秦（北京）科技有限公司 地址 100085 北京市海淀区上地九街9号9 号2层207 (72)发明人 张涛 周洋 赵琨 陈财森 应书皓 苏绍帆 (74)专利代理机构 北京世誉鑫诚专利代理事务 所(普通合伙) 11368 代理人 孙国栋 (51)Int.Cl. H04L 29/06(2006.01) H04L 12/24(2006.01) G06N 3/08(2006.01) G06N 3/04(2006.01) (54)发明名称 一种基于对抗模型的网络入侵检测方法及 装置 (57)摘要 本发明属于网络行为分析和安全技术领域， 尤其为一种基于对抗模型的网络入侵检测方法 及装置，包括以下步骤：S1、通过大量的数据收 集，获取大量的个人上网行为数据，给它们做好 标签，分类存放；S2、数据集的划分真实数据和生 成数据两个部分，并对生成的最后模型进行论证 比较分析；S3、对于其中的数据进行清洗和整理， 寻找时间序列的关系；能够作用于网络异常行为 入侵检测时，可对网络行为做出判断与预测，分 类得到精准的行为标签，并且通过实时跟踪，对 被分类为存在异常行为的后续动作实时跟踪，判 断模型的准确性，通过建立对抗神经网络模型， 模拟异常行为的发生，对判断器模型进行不断的 优化和改进， 达到较高的判断准确率。权利要求书1页 说明书6页 附图3页CN 110012019 A 2019.07.12 C N 110012019 A
入侵检测部署方案
1.1 入侵检测部署方案 1.1.1需求分析 利用防火墙技术，经过仔细的配置，通常能够在内外网之间提供安全的网络保护，降低了网络安全风险，但是入侵者可寻找防火墙背后可能敞开的后门，或者入侵者也可能就在防火墙内。通过部署安全措施，要实现主动阻断针对信息系统的各种攻击，如病毒、木马、间谍软件、可疑代码、端口扫描、DoS/DDoS等，能防御针对操作系统漏洞的攻击，能够实现应用层的安全防护，保护核心信息资产的免受攻击危害。 针对网络的具体情况和行业特点，我们得到的入侵检测的需求包括以下几个方面： ●入侵检测要求 能够对攻击行为进行检测，是对入侵检测设备的核心需求，要求可以检测的种类包括：基于特征的检测、异常行为检测（包括针对各种服务器的攻击等）、可移动存储设备检测等等。 ●自身安全性要求 作为网络安全设备，入侵检测系统必须具有很高的安全性，配置文件需要加密保存，管理台和探测器之间的通讯必须采用加密的方式，探测器要可以去除协议栈，并且能够抵抗各种攻击。 ●日志审计要求 系统能对入侵警报信息分类过滤、进行统计或生成报表。对客户端、服务器端的不同地址和不同服务协议的流量分析。可以选择不同的时间间隔生成报表，反映用户在一定时期内受到的攻击类型、严重程度、发生频率、攻击来源等信息，使管理员随时对网络安全状况有正确的了解。可以根据管理员的选择，定制不同形式的报表。 ●实时响应要求
当入侵检测报警系统发现网络入侵和内部的违规操作时，将针对预先设置的规则，对事件进行实时应急响应。根据不同级别的入侵行为能做出不同方式告警，用以提醒管理人员及时发现问题，并采取有效措施，控制事态发展。报警信息要分为不同的级别：对有入侵动机的行为向用户显示提示信息、对严重的违规现象实行警告通知、对极其危险的攻击可通过网管或者互动防火墙进行及时阻断、以及向安全管理中心报告。另外，必须在基于规则和相应的报警条件下，对不恰当的网络流量进行拦截。 联动要求 入侵检测系统必须能够与防火墙实现安全联动，当入侵检测系统发现攻击行为时，能够及时通知防火墙，防火墙根据入侵检测发送来的消息，动态生成安全规则，将可疑主机阻挡在网络之外，实现动态的防护体系！进一步提升网络的安全性。 1.1.2方案设计 网络入侵检测系统位于有敏感数据需要保护的网络上，通过实时侦听网络数据流，寻找网络违规模式和未授权的网络访问尝试。当发现网络违规行为和未授权的网络访问时，网络监控系统能够根据系统安全策略做出反应，包括实时报警、事件登录，或执行用户自定义的安全策略等。 入侵检测系统可以部署在网络中的核心，这里我们建议在网络中采用入侵检测系统，监视并记录网络中的所有访问行为和操作，有效防止非法操作和恶
网络入侵检测原理与技术
网络入侵检测原理与技术 摘要：计算机网络技术的发展和应用对人类生活方式的影响越来越大，通过Internet人们的交流越来越方便快捷，以此同时安全问题也一直存在着，而人们却一直未给予足够的重视，结果连接到Internet上的计算机暴露在愈来愈频繁的攻击中，基于计算机、网络的信息安全问题已经成为非常严重的问题。 关键词：入侵检测；入侵检测系统；入侵检测系统的原理、方法、技术 一、网络入侵及其原因 简单来说，网络安全问题可以分为两个方面： 1)网络本身的安全； 2)所传输的信息的安全。 那么，我们之所以要进行网络入侵检测，原因主要有以下几个：1）黑客攻击日益猖獗 2）传统安全产品存在相当多的问题 二、入侵检测原理、方法及技术 1、入侵检测概念 入侵检测是指对潜在的有预谋的未经授权的访问信息、操作信息以及致使系统不可靠、不稳定或者无法使用的企图的检测和监视。它是对安全保护的一种积极主动地防御策略，它从计算机网络系统中的若干关键点收集信息，并进行相应的分析，以检查网路中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后第二道安全闸门，在不影响网路性能的前提下对网络进行监测，从而提供对内外部攻击和误操作的实时保护。 2、入侵检测模型
3、入侵检测原理 根据入侵检测模型，入侵检测系统的原理可以分为以下两种： 1）异常检测原理 该原理根据系统或者用户的非正常行为和使用计算机资源的非正常情况来检测入侵行为。 异常检测原理根据假设攻击和正常的活动的很大的差异来识别攻击。首先收集一段正常操作的活动记录，然后建立代表用户、主机或网络连接的正常行为轮廓，再收集事件数据同时使用一些不同的方法来决定所检测到的事件活动是否正常。 基于异常检测原理的入侵检测方法和技术主要有以下几种方法： a)统计异常检测方法； b)特征选择异常检测方法； c)基于贝叶斯推理异常的检测方法； d)基于贝叶斯网络异常检测方法； e)基于模式预测异常检测方法。 其中比较成熟的方法是统计异常检测方法和特征选择异常检测方法，对这两种方法目前已有由此而开发成的软件产品面市，而其他方法都还停留在理论研究阶段。 异常检测原理的优点：无需获取攻击特征，能检测未知攻击或已知攻击的变种，且能适应用户或系统等行为的变化。 异常检测原理的缺点：一般根据经验知识选取或不断调整阈值以满足系统要求，阈值难以设定；异常不一定由攻击引起，系统易将用户或系统的特殊行为(如出错处理等)判定为入侵，同时系统的检测准确性受阈值的影响，在阈值选取不当时，会产生较多的检测错误，造成检测错误率高；攻击者可逐渐修改用户或系统行为的轮廓模型，因而检测系统易被攻击者训练；无法识别攻击的类型，因而难以采取适当的措施阻止攻击的继续。 2）误用检测原理 误用检测，也称为基于知识或基于签名的入侵检测。误用检测IDS根据已知攻击的知识建立攻击特征库，通过用户或系统行为与特征库中各种攻击模式的比较确定是否发生入侵。常用的误用检测方法和技术主要有： a)基于专家系统的检测方法； b)基于状态转移分析的检测方法； c)基于条件的概率误用检测方法； d)基于键盘监控误用检测方法； e)基于模型误用检测方法。 误用检测技术的关键问题是：攻击签名的正确表示。误用检测是根据攻击签名来判断入侵的，如何用特定的模式语言来表示这种攻击行为，是该方法的关键所在。尤其攻击签名必须能够准确地表示入侵行为及其所有可能的变种，同时又不会把非入侵行为包含进来。由于大部分的入侵行为是利用系统的漏洞和应用程序的缺陷进行攻击的，那么通过分析攻击过程的特征、条件、排列以及事件间的关系，就可具体描述入侵行为的迹象。 4、入侵检测方法 1）基于概率统计的检测 该方法是在异常入侵检测中最常用的技术，对用户行为建立模型并根据该模型，当发现出现可疑行为时进行跟踪，监视和记录该用户的行为。优越性在于理论成熟，缺点是匹配用
网络安全之入侵检测技术
网络安全之入侵检测技 术 Revised as of 23 November 2020
网络安全之入侵检测技术 标签： 2012-07-31 14:07 中国移动通信研究院卢楠 摘要：入侵检测技术作为网络安全中的一项重要技术已有近30年的发展历史，随着中国移动网络的开放与发展，入侵检测系统（IDS）也逐渐成为保卫中国移动网络安全不可或缺的安全设备之一。在入侵检测技术发展过程中，逐步形成了2类方法、5种硬件架构，不同的方法与架构都存在其优势与不足。本文基于入侵检测的应用场景，对现有的主流技术原理、硬件体系架构进行剖析；详细分析IDS产品的测评方法与技术，并介绍了一个科学合理、方便操作的IDS测评方案。最后，从应用需求出发分析入侵检测技术的未来发展趋势。 1、背景 目前，互联网安全面临严峻的形势。因特网上频繁发生的大规模网络入侵和计算机病毒泛滥等事件使很多政府部门、商业和教育机构等都受到了不同程度的侵害，甚至造成了极大的经济损失。 随着互联网技术的不断发展，网络安全问题日益突出。网络入侵行为经常发生，网络攻击的方式也呈现出多样性和隐蔽性的特征。当前网络和信息安全面临的形势严峻，网络安全的主要威胁如图1所示。
图1 目前网络安全的主要威胁 说到网络安全防护，最常用的设备是防火墙。防火墙是通过预先定义规则并依据规则对访问进行过滤的一种设备；防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 、来源端口号、目的 IP 地址或端口号、(如 WWW 或是 FTP)。对于目前复杂的网络安全来说，单纯的防火墙技术已不能完全阻止网络攻击，如：无法解决木马后门问题、不能阻止网络内部人员攻击等。据调查发现，80%的网络攻击来自于网络内部，而防火墙不能提供实时入侵检测能力，对于病毒等束手无策。因此，很多组织致力于提出更多更强大的主动策略和方案来增强网络的安全性，其中一个有效的解决途径就是入侵检测系统IDS（Intrusion Detection Systems）。 2、入侵检测技术发展历史 IDS即入侵检测系统，其英文全称为：Intrusion Detection System。入侵检测系统是依照一定的安全策略，通过软件和硬件对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或攻击结果，以保证网络系统资源的机密性、完整性和可用性。IDS通用模型如图2所示。
(完整版)基于神经网络的网络入侵检测
基于神经网络的网络入侵检测 本章从人工神经网络的角度出发，对基于神经网络的网络入侵检测系统展开研究。在尝试用不同的网络结构训练和测试神经网络后，引入dropout层并给出了一种效果较好的网络结构。基于该网络结构，对目前的神经网络训练算法进行了改进和优化，从而有效避免了训练时出现的过拟合问题，提升了训练效率。 4.1 BP神经网络相关理论 本章从学习算法与网络结构相结合的角度出发，神经网络包括单层前向网络、多层前向网络、反馈神经网络、随机神经网络、竞争神经网络等多种类型。构造人工神经网络模型时主要考虑神经元的特征、网络的拓补结构以及学习规则等。本文选择反向传播神经网络(Back Propagation Neural Network, BPNN)作为基本网络模型。 BP神经网络是一种通过误差逆传播算法训练的多层前馈神经网络，是目前应用最广泛的神经网络模型形式之一。网络中每一层的节点都只接收上一层的输出，而每一层节点的输出都只影响下一层的输入，同层节点之间没有交互，相邻两层节点之间均为全连接模式。BP神经网络在结构上分为输入层、隐含层与输出层三部分，其拓扑结构如图4-1所示。 图4-1 BP神经网络拓扑结构 Figure 4-1 Topological Structure of BP Neural Network
这里隐含层既可以是一层也可以是多层，数据在输入后由隐含层传递到输出层，通过各层的处理最终得到输出结果。 传统的BP网络算法可分为两个过程:神经网络中信号的前向传播和误差函数的反向传播。算法在执行时会不断调整网络中的权值和偏置，计算输出结果与期望结果之间的误差，当误差达到预先设定的值后，算法就会结束。 (1)前向传播 隐含层第J个节点的输出通过式(4-1)来计算: (4-1) 式中ωij代表输入层到隐含层的权重，αj代表输入层到隐含层的偏置，n 为输入层的节点个数，f(.)为激活函数。输出层第k个节点的输出通过式(4-2)来计算: (4-2) 式中ωjk代表隐含层到输出层的权重，bk代表隐含层到输出层的偏置，l为隐含层的结点个数。 根据实际输出与期望输出来计算误差，见式(4-3)。 (4-3) 式中(Yk-Ok)用ek来表示，Yk代表期望输出，m为输出层的结点个数。 当E不满足要求时，就会进入反向传播阶段。 (2)反向传播 反向传播是从输出到输入的传播过程。从式((4-1)至式(4-3 )中，可以发现网络误差E是与各层权值和偏置有关的函数，所以如果想减小误差，需要对权值和偏置进行调整。一般采取梯度下降法反向计算每层的权值增量，令权值的变化量同误差的负梯度方向成正相关，调整的原则是令误差沿负梯度方向不断减少。权值的更新公式见式(4-4)，偏置的更新公式见式(4-5)。
网络安全现场检测表---入侵检测
测评中心控制编号：BJ-4122-08 / 修改记录：第0次 编号：BC-2012-1019/19 重要信息系统安全等级测评 现场检测表 被测单位名称： 被测系统名称： 测试对象编号： 测试对象名称： 配合人员签字： 测试人员签字： 核实人员签字： 测试日期： 测评中心 测试类别等级测评（二级） 测试对象 测试类网络安全 测试项安全审计 测试要求： 1.应对网络系统中的网络设备运行状况、网络流量、用户行为等进行日志记录； 2.审计记录应包括事件的日期和时间、用户、事件类型、事件是否成功及其他和审计相关的信 息。 测试内容： 1.应访谈安全审计员，询问边界和关键网络设备是否开启审计功能，审计内容包括哪些项；询 问审计记录的主要内容有哪些； 2.应检查边界和关键网络设备，查看其审计策略是否包括网络设备运行状况、网络流量、用户 行为等； 3.应检查边界和关键网络设备，查看其事件审计记录是否包括：事件的日期和时间、用户、事 件类型、事件成功情况及其他和审计相关的信息。
1.入侵检测设备是否启用系统日志功能？ □否□是 2.网络中是否部署网管软件？ □否□是，软件名称为：________________ 3.日志记录是否包括设备运行状况、网络流量、用户行为等？ □否□是 4.日志审计内容包括： □时间 □类型 □用户 □事件类型 □事件是否成功 □其他_________ 备注： 测试类别等级测评（二级） 测试对象 测试类网络安全 测试项入侵防范 测试要求： 1)能在网络边界处监视以下攻击行为:端口扫描、强力攻击、木马后门攻击、拒绝服务攻击、 缓冲区溢出攻击、IP 碎片攻击、网络蠕虫攻击等入侵事件的发生。 测试内容： 1)访谈安全管理员，询问网络入侵防范措施有哪些；询问是否有专门设备对网络入侵进行防范； 2)评测网络入侵防范设备，查看是否能检测以下攻击行为：端口扫描、强力攻击、木马后门攻 击、拒绝服务攻击、缓冲区溢出攻击、IP碎片攻击、网络蠕虫攻击等； 3)评测网络入侵防范设备，查看其规则库是否为最新； 4)测试网络入侵防范设备，验证其检测策略是否有效。
网络安全技术习题及答案第章入侵检测系统
第9章入侵检测系统1. 单项选择题 1) B 2) D 3) D 4) C 5) A 6) D 2、简答题 （1）什么叫入侵检测，入侵检测系统有哪些功能？ 入侵检测系统（简称“IDS”）就是依照一定的，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果，以保证网络系统资源的机密性、完整性和可用性。 入侵检测系统功能主要有： ●识别黑客常用入侵与攻击手段 ●监控网络异常通信 ●鉴别对系统漏洞及后门的利用 ●完善网络安全管理 （2）根据检测对象的不同，入侵检测系统可分哪几种？ 根据检测对象的不同，入侵检测系统可分为基于主机的入侵检测基于网络的入侵检测、混合型三种。主机型入侵检测系统就是以系统日志、应用程序日志等作为数据源。主机型入侵检测系统保护的一般是所在的系统。网络型入侵检测系统的数据源是网络上的数据包。一般网络型入侵检测系统担负着保护整个网段的任务。混合型是基于主机和基于网络的入侵检测系统的结合，它为前两种方案提供了互补，还提供了入侵检测的集中管理，采用这种技术能实现对入侵行为的全方位检测。 （3）常用的入侵检测系统的技术有哪几种？其原理分别是什么？ 常用的入侵检测系统的技术有两种，一种基于误用检测（Anomal Detection），另一种基于异常检测（Misuse Detection）。 对于基于误用的检测技术来说，首先要定义违背安全策略事件的特征，检测主要判别这类特征是否在所收集到的数据中出现，如果检测到该行为在入侵特征库中，说明是入侵行为，此方法非常类似杀毒软件。基于误用的检测技术对于已知的攻击，它可以详细、准确的报告出攻击类型，但是对未知攻击却效果有限，而且知识库必须不断更新。 基于异常的检测技术则是先定义一组系统正常情况的数值，如CPU利用率、内存利用率、文件校验和等（这类数据可以人为定义，也可以通过观察系统、并用统计的办法得出），然后将系统运行时的数值与所定义的“正常”情况比较，得出是否有被攻击的迹象。这种检测方式的核心在于如何定义所谓的正常情况。
入侵检测技术
入侵检测技术 一、入侵检测技术 入侵检测的研究最早可追溯到James Aderson在1980年的工作,他首先提出了入侵检测的概念,在该文中Aderson提出审计追踪可应用于监视入侵威胁，但由于当时所有已有的系统安全程序都着重于拒绝未经认证主体对重要数据的访问,这一设想的重要性当时并未被理解。1987年Dorothy.E.Denning[2]提出入侵检测系统(Intrusion Detection System，IDS)的抽象模型,首次将入侵检测的概念作为一种计算机系统安全防御问题的措施提出，与传统加密和访问控制的常用方法相比,IDS是全新的计算机安全措施。1988年的Morris Internet蠕虫事件使得Internet近5天无法使用。该事件使得对计算机安全的需要迫在眉睫,从而导致了许多IDS系统的开发研制。 入侵检测（Intrusion Detection）的定义为：识别针对计算机或网络资源的恶意企图和行为，并对此作出反应的过程。IDS则是完成如上功能的独立系统。IDS能够检测未授权对象（人或程序）针对系统的入侵企图或行为(Intrusion)，同时监控授权对象对系统资源的非法操作(Misuse)。 ●从系统的不同环节收集信息； ●分析该信息，试图寻找入侵活动的特征； ●自动对检测到的行为做出响应； ●纪录并报告检测过程结果。 入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。入侵检测系统能很好的弥补防火墙的不足，从某种意义上说是防火墙的补充[1]。 二、入侵检测的分类 现有的分类，大都基于信息源和分析方法进行分类。 2.1 根据信息源的不同，分为基于主机型和基于网络型两大类 2.1.1 基于主机的入侵检测系统 基于主机的IDS可监测系统、事件和Windows NT下的安全记录以及Unix环境下的系统记录。当有文件被修改时，IDS将新的记录条目与已知的攻击特征相比较，看它们是否匹配。如果匹配，就会向系统管理员报警或者作出适当的响应。 基于主机的IDS在发展过程中融入了其他技术。检测对关键系统文件和可执行文件入侵
网络入侵检测技术综述
止管理主机被攻击者攻破后用来作为发起攻击的“跳板”；对所有出入系统的连接进行日志记录。 3.3系统VPN 的合理设计 使用VPN ，可以在电子政务系统所连接不同的政府部门 之间建虚拟隧道，使得两个政务网之间的相互访问就像在一个专用网络中一样。使用VPN ，可以使政务网用户在外网就象在内网一样地访问政务专用网的资源。使用VPN ，也可以实现政务网内特殊管理的需要。VPN 的建立有3种方式：一种是 Internet 服务商（ISP ）建设，对企业透明；第二种是政府部门自 身建设，对ISP 透明；第三种是ISP 和政府部门共同建设。 在政务网的基础上建立VPN ，第二种方案比较合适，即政府部门自身建设，对ISP 透明。因为政务网是地理范围在政务网内的计算机网络，它有运行于Internet 的公网IP 地址，有自己的路由设备，有自己的网络管理和维护机构，对政务网络有很强的自主管理权和技术支持。所以，在政务网基础上建立 VPN ，完全可以不依赖于ISP ，政府部门自身进行建设。这样可 以有更大的自主性，也可以节省经费。 3.4其他信息安全技术的使用 此外，电子政务系统的安全性可以采用如下的措施加以保 证：控制对网络设备的SNMP 和telnet ，在所有的骨干路由器上建立access－list 只对网管中心的地址段做permit ，即通过网管中心的主机才能远程维护各骨干路由设备；路由协议在不安全的端口上进行Passive 防止不必要的路由泄露；将所有重要事件进行纪录通过日志输出；采用防火墙设备对政务局域网进行保护。 参考文献：［1］陈昊潭.试论黄委基层电子政务建设中存在的问题及对策［J ］.办公自动化，2009（10）. ［2］张艳.电子政务系统中的数据安全技术研究［J ］.现代计算机（专业版），2009（8）. ［3］ 江琴.浅谈电子政务信息的安全管理［J ］.科技资讯，2009（25）. （责任编辑：卓 光） 网络入侵检测技术综述 姚丽娟 （长江水利委员会网络与信息中心，湖北武汉430010） 摘 要：随着网络技术飞速发展和网络规模的不断扩大，网络安全已经成为全球性的重要问题之一。概述了网络入 侵检测技术的发展历史及其通用模型，对入侵检测系统的分类和入侵检测的方法进行了分析，讨论了该领域尚存在的问题。 关键词：网络攻击；入侵检测；网络安全中图分类号：TP393.08 文献标识码：A 文章编号：1672-7800（2010）06－0160－03 1入侵检测的概念、原理和模型 “入侵”是个广义的概念，不仅包括发起攻击的人取得超出 合法范围的系统控制权，也包括收集漏洞信息，造成拒绝服务访问（DoS ）等对计算机造成危害的行为。早在上世纪80年代初期，Anderson 将入侵定义为：未经授权蓄意尝试访问信息、篡改信息、使系统不可靠或不能使用。美国国际计算机安全协会对入侵检测的定义是：入侵检测是通过从计算机网络或计算机 系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击迹象的一种安全技术。 从系统构成上看，人侵检测系统至少包括数据提取、人侵分析、响应处理3部分。数据提取是入侵检测系统的数据采集器，负责提取反映受保护系统运行状态的运行数据，并完成数据的过滤和预处理。人侵分析是核心模块，负责对原始数据进行同步、整理、组织、分类、特征提取以及各种细致分析。 最早的入侵检测模型是由Denning 给出的，该模型主要根 软件导刊 Software Guide 第9卷%第6期 2010年6月Vol.9No.6Jun.2010 作者简介：姚丽娟（1983－），女，湖北武汉人，长江水利委员会网络与信息中心助理工程师，研究方向为网络通讯。
浅谈网络安全中入侵检测技术的应用
浅谈网络安全中入侵检测技术的应用 发表时间：2019-02-28T15:08:00.887Z 来源：《基层建设》2018年第36期作者：牛晓娟 [导读] 摘要：信息社会的不断进步与发展，网络给人们带来了前所未有的便利，同时也带来了全新的挑战。 三河发电有限责任公司河北三河 065201 摘要：信息社会的不断进步与发展，网络给人们带来了前所未有的便利，同时也带来了全新的挑战。在网络安全问题备受关注的影响下，极大地促进了入侵检测技术的应用与实施。通过入侵检测技术的应用，可以切实维护好计算机网络的安全性与可靠性，避免个人信息出现泄漏、盗窃现象。本文主要阐述了入侵检测技术，然后针对入侵检测技术在网络安全中的应用进行了研究，以供相关人士的借鉴。 关键词：网络；安全；入侵检测技术；应用 目前，入侵检测技术在网络安全中得到了广泛的应用，发挥着不可比拟的作用和优势，已经成为了维护网络安全的重要保障。在实际运行中，威胁网络安全的因素比较多，带给了网络用户极大的不便。因此，必须要加强入侵检测技术的应用，对计算机中的数据信息进行加密与处理，确保网络用户个人信息的完整性，创建良好的网络安全环境，更好地提升网络用户对网络的满意度。 1入侵检测技术的简述 1.1入侵检测的概述 入侵检测技术，是一种对计算机网络的程序进行入侵式的检测的先进技术，它作为网络安全中第二道防线，起到保护计算机网络安全的作用。入侵检测是通过收集与分析安全日志、行为、审计和其他可获得的信息以及系统的关键信息，以此检测出计算机网络中违反安全策略的行为和受攻击的对象的一个工作过程。它开展保护工作的过程具体可分为：监视、分析网络用户和网络系统活动；网络安全系统构造和弱点的审查评估；认定反映已知进攻活动并作出警示警告；网络系统异常行为的统计和分析4个步骤。入侵检测技术能够同时完成实时监控内部攻击、外部攻击和错误操作的任务，把对网络系统的危害阻截在发生之前，并对网络入侵作出响应，是一种相对传统的被动静态网络安全防护技术提出的一种积极动态网络安全防护技术。 1.2入侵检测技术的特性 入侵检测技术基本上不具有访问控制的能力，这一技术就像拥有多年经验的网络侦查员，通过对数据的分析，从数据中过滤可疑的数据包，将正常使用方式与已知的入侵方式进行比较，来确定入侵检测是否成功。网络安全管理员根据这些判断，就可以确切地知道所受到的攻击，并采取相应的措施来解决这一问题。入侵检测系统是网络安全管理员经验积累的一种体现，减轻了网络安全管理员的负担，降低了网络安全管理员的技术要求，并且提高了电力信息网络安全管理的有效性和准确性。其功能有：①监视用户和系统的功能，查找非法用户合合法用户的越权操作。②审计系统配置的正确性和安全漏洞，并提示管理员修补后动。③对用户的非正常活动进行统计分析，发现入侵行为的规律。④操作系统的审计跟踪管理，能够实时地对检测到的入侵行为进行反应，检查系统程序和数据的一致性与正确性。 1.3入侵检测技术的流程 具体如下图1所示。现如今网络安全问题已经引起了社会各界人士的广泛关注，如何在发挥计算机数据库功能的同时避免其遭受病毒的侵袭，需要技术人员给予足够的重视，不断提高自身的技术水平，了解入侵检测技术原理并实现技术的合理使用，最为关键的是要严格按照应用流程进行操作，具体操作要点包括如下几个步骤:①攻击者可以先通过某种方式在网络上注入网络攻击行为;②如果攻击者的攻击行为已经突破了防火墙，可以应用服务器，评估用户的安全证书;③未发现用户的欺骗验证行为，可以查看SQL语句;④使用传感器向控制台发出警报。 1.4入侵检测技术的工作原理 通过收集计算机系统中的关键信息点，并通过相应软件对计算机系统和网络中是否存攻击进行分析，如果检测到计算机某个系统正在受到网络病毒入侵、身份攻击、拒绝服务攻击，并做出正确的应对。其实入侵检测技术上也就是一种动态安全防护技术，在国际上称之为IDS，主要技术手段是发现计算机网络中存在异常和匹配模式。 1）异常入侵检测 异常入侵检测，是指将用户在使用数据库时所常用的行为特征信息储存到数据库当中，当产生新的数据库使用行为时，系统会自动将当前的使用行为特征与储存好的用户常用数据库使用行为特征相比较，如果两者相差比较大，就说明此次访问行为与平时有明显的不同，即访问出现异常现象。遇到这种现象时系统会自动开启安全防御系统，对异常现象进行处理。异常入侵检测可以适用于大部分的网络安全检测，具有较强的实用性，而且可以在大量数据中慢慢地掌握检测的方法和规则。 2）入侵检测的匹配模式 匹配模式就是把已经收集到的信息和已知网络入侵、系统错误模式数据库等进行对比，及时发现会对计算机网络系统造成侵害的入侵行为，以便制定有效的应对策略。此过程的重点是把所有入侵手段用计算机系统可以识别的模式进行表述，并建立入侵模式数据库。在具体检测过程中，要对收集到的数据特征模式是否在入侵模式库中进行判断，而批评模式的占有系统比较少，仅仅包含集中收集到的数据库，因此匹配成功的概率比较高，基本上不会出现在错报的情况，发展至今匹配模式在入侵检测技术中的应用已经趋于成熟，可以大范围推广使用。其主要缺点升级比较频繁，负责也就难以应对各种新型入侵攻击技术。 2入侵检测技术应用的必要性分析 互联网具备高度的开放性与自由性，而接入网络的计算机体系或软件没有绝对的安全，为确保计算机用户数据与体系的完整性、可用性和保密性，就一定要使用重要的安全防护方法。现阶段常用的安全防护方法有对系统实施完善、对数据实施加密、控制执行访问等。然而就现阶段技术发展来看，第一种方法在技术层面非常难完成；第二种方法短期内能对数据实施保护，然而加密技术自身完成过程中存在一些问题，被破解的可能性比较高；第三种措施会在一定程度上使网络用户的应用效率降低。综合来看，能够运用相对容易完成的安全系
网络入侵检测技术综述
电脑编程技巧与维护 网络入侵检测技术综述 谭兵１。吴宗文２。黄伟 （１．重庆大学软件学院，重庆４０００４４；２．成都军区７８０９８部队装备部，崇州６１１２３７） 摘要：入侵检测工作应在计算机网络系统中的关键节点上。介绍入侵检测的基本概念，阐述两类基本的检测技术，详细地论述了入侵检测过程及检测技术面临的挑战与发展趋势。 关键词：入侵检测；异常检测：误用检测 ＮｅｔｗｏｒｋＩｎｔｒｔｍｉｏｎＤｅｔｅｃｔｉｏｎＴｅｃｈｎｏｌｏｇｙ ＴＡＮⅨｎ矿，ＷＵ历耐．ＨＵＡＮＧＷｅｉ （１．ＴｈｅＳｃｈｏｏｌｏｆＳｏｆｔｗａｒｅＥｎｇｉｎｅｅｒｉｎｇ，ＣｈｏｎｇｑｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｃｈｏｎｇｑｉｎｇ４０００４４； ２．Ｃｈｅｎｇｄｕｍｉｌｉｔａｒｙｒｅｇｉｏｎ７８０９８ａｒｍｙｌｏｇｉｓｔｉｃｓｄｅｐａｒｔｍｅｎｔｓ，Ｃｈｏｎｇｚｈｏｕ６１１２３７） Ａｂｓｔｒａｃｔ：Ｔｈｅｗｏｒｋｉｎｔｈｅｃｏｍｐｕｔｅｒｎｅｔｗｏｒｋｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍ，ａｋｅｙｎｏｄｅ．Ｔｈｉｓｐａｐｅｒｉｎｔｒｏｄｕｃｅｓｔｈｅｂａｓｉｃｃｏｎｃｅｐｔｓｏｆｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ，ｄｅｓｃｒｉｂｅｄｔｗｏｔｙｐｅｓｏｆｂａｓｉｃｄｅｔｅｃｔｉｏｎｔｅｃｈｎｏｌｏｇｙ，ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎａｒｅｄｉｓｃｕｓｓｅｄｉｎｄｅｔａｉｌ ｔｈｅｐｒｏｃｅｓｓａｎｄｔｅｓｔｔｅｃｈｎｏｌｏｇｙ ｃｈａｌｌｅｎｇｅｓ ａｎｄｔｒｅｎｄｓ。 Ｋｅｙｗｏｒｄｓ：Ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ；Ａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎ；Ｍｉｓｕｓｅｄｅｔｅｃｔｉｏｎ 入侵检测（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ），顾名思义，即是对入侵行为的发觉。它在计算机网络或计算机系统中的若干关键点收集信息，通过对这些信息的分析来发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。违反安全策略的行为有：入侵一非法用户的违规行为；滥用—用户的违规行为。 对于入侵检测的使用，人们总会问这样一个问题。如果已经安装了防火墙，给操作系统打了补丁，并为安全设置了密码，为什么还要检测入侵呢？答案非常简单：因为入侵会不断发生。举个例子，就像人们有时候会忘记锁上窗户，人们有时也会忘记正确的升级防火墙规则设置。 即使在最高级别的保护措施下，计算机系统也不是百分之百的安全。实际上，大多数计算机安全专家认为，既定的用户要求属性，如网络连接，还未能达到成为百分之百安全系统的要求。因此，必须发展入侵检测技术及系统以便及时发现并对计算机攻击行为做出反应。 ｌ入侵检测发展 起初，系统管理员们坐在控制台前监控用户的活动来进行人侵检测。他们通过观察，例如在本地登录的闲置用户或非正常激活的闲置打印机。尽管上述方法不是足够有效的，但这一早期入侵检测模式是临时的且不可升级。 入侵检测的下一步涉及到审计日志。审计日志即系统管理员所记录的非正常和恶意行为。 在上世纪７０年代末和８０年代初，管理员将审计日志打印在扇形折纸上，平均每周末都能累积四到五英尺高。很明显，要在这一堆纸里进行搜索是相当耗费时间的。由于这类 本文收稿日期：２００９—１１－１２ —１１０～信息量过于丰富且只能手动分析，所以管理员主要用审计日志作为判据，以便在发生特别安全事件后，确定引起这一事件的原阂。基本上不可能靠它发现正在进行的攻击。 随着存储器价格的降低，审计日志转移到网上且开发出了分析相关数据的程序。然而，分析过程慢且需频繁而密集计算，因此，入侵检测程序往往是在系统用户登录量少的夜间进行。所以，大多数的入侵行为还是在发生后才被检测到。 ９０年代早期，研究人员开发出了实时入侵检测系统，即对审计数据进行实时评估。由于实现了实时反应，且在一些情况下，可以预测攻击，因此，这就使攻击和试图攻击发生时即可被检测到成为可能。 近年来，很多入侵检测方面的努力都集中在一些开发的产品上，这些产品将被用户有效配置在广大网络中。在计算机环境不断持续变化和无数新攻击技术不断产生的情况下，要使安全方面也不断升级是个非常困难任务［１ｌ。 ２分类 目前，入侵检测技术可基本分为３类：异常检测、误用检测和混合检测。异常检测是假定所有入侵行为都是与正常行为不同的；误用检测是根据已知攻击的知识建立攻击特征库，通过用户或系统行为与特征库中的各种攻击模式的比较确定是否有入侵发生；混合检测模型是对异常检测模型和误用检测模犁的综合。文中详细介绍异常检测和误用检测。２．１异常检测模型 异常检测利用用户和应用软件的预期行为。将对正常行为的背离作为问题进行解释。异常检测的一个基本假设就是攻击行为异于正常行为。例如，对特定用户的日常行为（打字和数量）进行非常准确的模拟，假定某用户习惯上午ｌＯ点左右登录，看邮件，运行数据库管理，中午到下午ｉ点休息，有极少数文件的存取出现错误等等。如果系统发现相同的用 万方数据
计算机网络安全的入侵检测技术研究
计算机网络安全的入侵检测技术研究 计算机网络在给人类工作、生活、娱乐等带来极大便 利的同时，其中存在的安全问题也越来越突出。入侵检测技术作为一种重要的网络安全防护技术，受到了网络安全人员的青睐。本文对入侵检测技术的相关理论进行了介绍，对当前入侵检测技术存在的问题进行了详细的分析和讨论，并对入侵检测技术未来的发展趋势进行了展望。 关键词】计算机网络网络安全入侵检测 1 引言当前，计算机网络已经得到了广泛应用，人们工 作、学 习、生活、社交、娱乐等等各个方面几乎都离不开网络，然而，计算机网络中存在的安全问题也给人们造成了极大困扰，已经成为无法回避且亟待解决的重要问题，如果不能及时采取相应的防御或解决措施，将严重制约社会的发展和信息化进程。入侵检测技术作为一种解决网络安全问题的十分有效的技术之一，得到了网络安全人员的青睐。入侵检测技术能够有效检测来自网络内部和外部网络入侵，对网络提供实时保护。 2 入侵检测技术相关理?概述入侵检测技术能够及时检测 出当前系统中出现的异常 现象，该技术在系统中的关键节点收集信息，并通过对这些信息的分析，从中检测出系统当前是否遭到恶意侵袭或是否存在违反安全策略的行为出现。 入侵检测技术通常包括信息收集、信息分析和问题处理 等 3 个主要步骤。在信息分析部分，将收集到的信息传送给驻留在传感器中的检测引擎，利用统计分析、模式匹配等技术进行实时检测，利用完整性分析等技术进行事后检测分析，当出现误用模式时，将告警信息发送给控制台；在问题处理部分，
当控制台收到来自系统的告警信息时，根据事先定义的响应策略，采取终止进程、切断连接等措施。 在计算机网络安全应用中使用到的入侵检测技术主要 包括基于主机和基于网络的两种入侵检测系统。其中，基于主机的入侵检测系统的重点检测对象是计算机，通过预先对主机进行相应的设置，根据计算机的运行状态和相关参数来判断该主机是否收到非法入侵，基于主机的入侵检测系统能够对当前的攻击是否成功进行判断，为主机采取相应的措施提供可靠依据，基于入侵网络的入侵检测系统通常通过设置多个安全点。 3 存在问题和发展趋势 3.1 存在问题 3.1.1 入侵检测技术 相对落后随着计算机技术的不断发张，尽管入侵检测技术 在不断