入侵检测技术实验Snort网络入侵检测
学院：
班级：
姓名：
学号：
一、实验目的
1)掌握数据库的使用方法和MySQLfront的安装使用方法
2)掌握wireshark抓取数据包分析关键特征以及相关格式内容
3)掌握病毒的工作原理和通信过程，交互的信息
4)将这门课的内容结合实际进行分析和实践
二、实验原理
1)实验环境：
WinPcap_4_1_2.exe 网络数据包截取驱动程序
Snort_2_9_1_Installer.exe Windows 版本的Snort 安装包
mysql-5.5.18-win32.msi Windows 版本的mysql安装包
MySQL_Front_Setup.1765185107.exe mysql数据库可视化软件
snortrules-snapshot-CURRENT.tar.gz Snort规则库
Wireshark-win32-1.12.0.1410492379.exe抓包分析工具
2)实验环境的搭建
按照所给文档“Windows XP下安装配置Snort”的提示安装所需的软件，下面几个图片是成功安装的图片：
图（1）建立snort库
图（2）成功建立snort库
图（3）成功启动snort进行检测
至此，实验环境搭配成功。
三、实验内容
1)测试检测效果
测试虽然成功启动snort，但不能确定是否成功，故此测试任意IP端口
进行测试
配置此时的规则，修改local.rules文件，改规则为：alert ip any any -> any any (msg: "IP Packet detected";sid:1000000;)
此时结果如下图：
图（4）检测测试成功下面对选择的5款软件进行测试：
2)凤凰RemoteABC 2008
图（4）凤凰RemoteABC 2008抓取通信数据包分析特征：
此时知道关键字为“8b4ca58172880bb”，通信协议为tcp，用此关键字作为特征进行抓取
具体规则为：
alert tcp any any -> any any (msg: "fenghuang";content:
"8b4ca58172880bb"sid:104;)
3)iRaT_Client
抓取通信数据包进行分析：
此时知道关键字为”Tnhou3JjfA==”，通信协议为tcp
那么制作规则为：
alert tcp any any -> any any (msg: "IRAT";content: "Tnhou3JjfA=="sid:100;)
成功截取iRaT_Client的存在4)pcshare
截取通信数据包进行分析：
此时知道关键字为“Innnnnnnnnnnnnnnnnnnnnnnnn”，通信协议为tcp 则规则为：
alert tcp any any -> any any (msg: "pcshare";content:
"Innnnnnnnnnnnnnnnnnnnnnnnn "sid:1000;)
检测pcshare成功
5)任我行netsys
截取通信数据包进行分析知，关键字为“UELHRU9ODQONC”,通信协议为tcp
规则为：
alert tcp any any -> any any (msg: "renwoxing";content: "UELHRU9ODQONC "sid:2110;)
此时检测成功6)红黑远控
截取通信数据包进行分析知，关键字为“Msg0008”,通信协议为tcp
规则为：
alert tcp any any -> any any (msg: "honghei";content: "Msg0008 "sid:102;)
此时检测成功
至此，五个小软件都测试成功。
四、实验小结和收获
1)出现问题
（1）刚开始检测不到任何东西，不知是配置文件错了还是其他原因？
答：是因为配置文件里出现的一些问题，没有成功配置，
要细心每一个细节。
（2）病毒木马之间不能通信？
答：是因为IP没有一个局域网段内，而且防火墙没有关
闭，没有配置正确的IP进行通信。
（3）怎么分析关键字？
答：在一些特殊的流里一般会有一些重复出现的字符串，
关键字，最好是在操作木马的时候截取的。
（4）怎么制定规则？
答：根据协议，关键字，IP，协议等关键字段进行制定。
2)思考感悟
（1）这是一个实践课程，需要我们更多去探索，多去学习，而不能仅仅局限在课本里面
（2）多和教员交流，可以增加自己的效率和减少工作的时间，取得更多的进步
（3）以前学过的知识还会在将来使用到，学过wireshark使用，现在任然需要使用
（4）学会快速使用各种软件，学会尝试新的东西，快速掌握软的
收稿日期:2002-10-20. 作者简介:肖道举(1954-),男,副教授;武汉,华中科技大学计算机科学与技术学院(430074). BP 神经网络在入侵检测中的应用 肖道举 毛 辉 陈晓苏 (华中科技大学计算机科学与技术学院) 摘要:对如何检测未知入侵手段的问题进行了探讨.在被监测程序输入条件已知情况下,借助程序行为简档,给出了一种基于BP 神经网络的入侵检测方法,阐述了所用BP 神经网络的基本结构以及训练方法,最后在LIN U X 环境下进行了实验验证.结果表明,在程序行为简档内容比较清晰的条件下,运用BP 神经网络检测入侵,可在一定程度上提高入侵检测系统的准确检测率.关 键 词:入侵检测;BP 神经网络;程序行为简档 中图分类号:T P393 文献标识码:A 文章编号:1671-4512(2003)05-0006-03 网络入侵本质上都是入侵者利用服务器提供的服务程序的弱点进行非法操作以期获得所想要得到的结果.例如LINUX 下的lpr ,sendm ail ,xterm 和eject 等被广泛使用的服务程序都存在一些缓冲区溢出的漏洞,这些漏洞容易被网络入侵者用来获取root 权限.由于这些程序漏洞不易被发现,而且很难修补,无法通过软件升级完全解决,这就要求入侵检测系统应该能够对此类利用服务程序漏洞的攻击作出正确响应[1].本文依据系统服务程序行为简档,提出了一种基于BP 神经网络的入侵检测方法,以求提升入侵检测系统的准确检测率. 1 程序行为分析与检测方法的基本 特征 1.1 程序行为分析 检测未知入侵手段的一种方法是通过建立用户活动简档来记录所有用户在服务器上的活动情况.该方法的基础建立在对用户历史行为的学习之上,通过不断更新用户活动简档,并以此与当前用户行为相比较,一旦发现当前用户行为显著背离正常行为,系统就认定发生了网络入侵.基于用户活动简档的入侵检测方法通常基于这样一个假设,即:入侵者总是突然地改变其行为.因此,如果入侵者缓慢地改变他的行为特征,往往易导致入侵检测系统产生漏报. 应该看到,与用户行为相比,系统服务程序则具有相对稳定的行为特征,因而本文选取系统服 务程序的行为作为研究对象,以期尽可能多地发 现未知的入侵行为.基本做法是对不同系统服务程序分别建立程序行为简档,同时在分析这些简档的基础上求取正常程序行为的期望值,一旦当前程序行为偏离给定期望值过大,即认为攻击发生.这样做的一个优点在于不再需要重复记录用户的正常行为,大大降低了系统开销,同时也可避免因入侵者行为的缓慢改变而导致的系统漏报. 一般而言,程序行为特征至少可表现在以下两个方面:程序的外部特征.例如它的输入;程序的内部特征.例如某些内部变量的取值.1.2 检测方法的基本特征 对程序行为的检测实际上就是对系统服务程序的行为进行分类和识别.为了达到这一目的,要求入侵检测系统不仅应具有系统中每一个服务程序行为模式的知识,而且还应能适应程序行为的改变.显然,采用传统的统计分析方法很难满足这些要求.为此,本文采用BP 神经网络作为入侵检测的基本分析工具. 神经网络有多种模型,本文采用了误差反向传递神经网络(Erro r Back Propagation Neural Netw ork ,简称BP -NN ).BP -NN 采用BP (Back Propagation )算法进行训练.该算法实际上是工程上常用的最小均方误差算法的一种广义形式,它使用梯度最速下降搜索技术,按代价函数(网络的实际输出和期待输出的均方误差)最小的准则递归求解网络的权值和各结点的阈值[2]. 第31卷第5期 华 中 科 技 大 学 学 报(自然科学版) V ol .31 No .52003年 5月 J .Huazhong U niv .of Sci .&Tech .(N ature Science Editio n ) M ay 2003 DOI :10.13245/j .hust .2003.05.003
精品文档 . 第1章入侵检测概述 思考题： （1）分布式入侵检测系统（DIDS）是如何把基于主机的入侵检测方法和基于网络的入侵检测方法集成在一起的？ 答：分布式入侵检测系统是将主机入侵检测和网络入侵检测的能力集成的第一次尝试，以便于一个集中式的安全管理小组能够跟踪安全侵犯和网络间的入侵。DIDS的最初概念是采用集中式控制技术，向DIDS中心控制器发报告。 DIDS解决了这样几个问题。在大型网络互联中的一个棘手问题是在网络环境下跟踪网络用户和文件。DIDS允许用户在该环境中通过自动跨越被监视的网络跟踪和得到用户身份的相关信息来处理这个问题。DIDS是第一个具有这个能力的入侵检测系统。 DIDS解决的另一个问题是如何从发生在系统不同的抽象层次的事件中发现相关数据或事件。这类信息要求要理解它们对整个网络的影响，DIDS用一个6层入侵检测模型提取数据相关性，每层代表了对数据的一次变换结果。 （2）入侵检测作用体现在哪些方面？ 答：一般来说，入侵检测系统的作用体现在以下几个方面： ●监控、分析用户和系统的活动； ●审计系统的配置和弱点； ●评估关键系统和数据文件的完整性； ●识别攻击的活动模式； ●对异常活动进行统计分析； ●对操作系统进行审计跟踪管理，识别违反政策的用户活动。 （3）为什么说研究入侵检测非常必要？ 答：计算机网络安全应提供保密性、完整性以及抵抗拒绝服务的能力，但是由于连网用户的增加，网上电子商务开辟的广阔前景，越来越多的系统受到入侵者的攻击。为了对付这些攻击企图，可以要求所有的用户确认并验证自己的身份，并使用严格的访问控制机制，还可以用各种密码学方法对数据提供保护，但是这并不完全可行。另一种对付破坏系统企图的理想方法是建立一个完全安全的系统。但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术和强访问控制策略来保护数据。而从实际上看，这根本是不可能的。 因此，一个实用的方法是建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统。入侵检测系统就是这样一类系统，现在安全软件的开发方式基本上就是按照这个思路进行的。就目前系统安全状况而言，系统存在被攻击的可能性。如果系统遭到攻击，只要尽可能地检测到，甚至是实时地检测到，然后采取适当的处理
第八章入侵检测系统 第一节引言 通过电子手段对一个组织信息库的恶意攻击称为信息战(information warfare)。攻击的目的可能干扰组织的正常活动，甚至企图对组织的信息库造成严重的破坏。对信息战的各种抵抗措施都可归结为三类：保护、检测、响应。 保护 (入侵的防范)指保护硬件、软件、数据抵御各种攻击的技术。目前各种网络安全设施如防火墙及VPN，各种加密技术，身份认证技术，易攻击性扫描等都属于保护的范围之内，它们是计算机系统的第一道防线。 检测 (入侵的检测)研究如何高效正确地检测网络攻击。只有入侵防范不足以保护计算机的安全，任何系统及协议都不可避免地存在缺陷，可能是协议本身也可能是协议的实现，还有一些技术之外的社会关系问题，都能威胁信息安全。因此即使采用这些保护措施，入侵者仍可能利用相应缺陷攻入系统，这意味着入侵检测具有其他安全措施所不能代替的作用。 响应 (入侵的响应)是入侵检测之后的处理工作，主要包括损失评估，根除入侵者留下的后门，数据恢复，收集入侵者留下的证据等。这三种安全措施构成完整的信息战防御系统。 入侵检测（Intrusion Detection，ID）是本章讨论的主题之一，它通过监测计算机系统的某些信息，加以分析，检测入侵行为，并做出反应。入侵检测系统所检测的系统信息包括系统记录，网络流量，应用程序日志等。入侵（Intrusion）定义为未经授权的计算机使用者以及不正当使用(misuse)计算机的合法用户(内部威胁)，危害或试图危害资源的完整性、保密性、可用性的行为。入侵检测系统（Intrusion Detection System，IDS）是实现入侵检测功能的硬件与软件。入侵检测基于这样一个假设，即：入侵行为与正常行为有显著的不同，因而是可以检测的。入侵检测的研究开始于20世纪80年代，进入90年代入侵检测成为研究与应用的热点，其间出现了许多研究原型与商业产品。 入侵检测系统在功能上是入侵防范系统的补充，而并不是入侵防范系统的替代。相反，它与这些系统共同工作，检测出已经躲过这些系统控制的攻击行为。入侵检测系统是计算机系统安全、网络安全的第二道防线。 一个理想的入侵检测系统具有如下特性： ?能以最小的人为干预持续运行。 ?能够从系统崩溃中恢复和重置。 ?能抵抗攻击。IDS必须能监测自身和检测自己是否已经被攻击者所改变。
Windows平台下基于snort的入侵检测系统安装详解 序言：最近公司网络总是不间断出现点问题，也搭建了一些流量监控服务器进行监控和分析；也一直在关注网络安全方面的知识。看到snort IDS是一个开源的软件，突然想学习下。就有了搭建Windows下Snort IDS的想法。一下内容参考网络上的资料。 1.软件准备 Apache，php,mysql,winpcap,snort,acid,adodb,jpgraph等 2.软件安装 window平台：windows xp sp3 (1)apache的安装 一路下一步，具体配置如下图：
安装完成后验证web服务是否运行正常 (2)mysql安装
(3)php安装 解压php压缩包到C盘下并命名为php 复制c:\php\phpini-dist到c:\windows下并重命名为php.ini 复制c:\php\php5ts.dll，c:\php\libmysql.dll 到 c:\windows\system32下复制c:\php\ext\php_gd2.dll到c:\windows\system32下 修改 c:\apache\conf\httpd配置文件 添加LoadModule php5_module c:/php/php5apache2_2.dll AddType application/x-httpd-php .php 重启apache服务 在c:\apache\htdocs\下新建test.php http://x.x.x.x/test.php验证php能否工作
习题答案 第1章入侵检测概述 思考题： （1）分布式入侵检测系统（DIDS）是如何把基于主机的入侵检测方法和基于网络的入侵检测方法集成在一起的？ 答：分布式入侵检测系统是将主机入侵检测和网络入侵检测的能力集成的第一次尝试，以便于一个集中式的安全管理小组能够跟踪安全侵犯和网络间的入侵。DIDS的最初概念是采用集中式控制技术，向DIDS中心控制器发报告。 DIDS解决了这样几个问题。在大型网络互联中的一个棘手问题是在网络环境下跟踪网络用户和文件。DIDS允许用户在该环境中通过自动跨越被监视的网络跟踪和得到用户身份的相关信息来处理这个问题。DIDS是第一个具有这个能力的入侵检测系统。 DIDS解决的另一个问题是如何从发生在系统不同的抽象层次的事件中发现相关数据或事件。这类信息要求要理解它们对整个网络的影响，DIDS用一个6层入侵检测模型提取数据相关性，每层代表了对数据的一次变换结果。 （2）入侵检测作用体现在哪些方面？ 答：一般来说，入侵检测系统的作用体现在以下几个方面： ●监控、分析用户和系统的活动； ●审计系统的配置和弱点； ●评估关键系统和数据文件的完整性； ●识别攻击的活动模式； ●对异常活动进行统计分析； ●对操作系统进行审计跟踪管理，识别违反政策的用户活动。 （3）为什么说研究入侵检测非常必要？ 答：计算机网络安全应提供保密性、完整性以及抵抗拒绝服务的能力，但是由于连网用户的增加，网上电子商务开辟的广阔前景，越来越多的系统受到入侵者的攻击。为了对付这些攻击企图，可以要求所有的用户确认并验证自己的身份，并使用严格的访问控制机制，还可以用各种密码学方法对数据提供保护，但是这并不完全可行。另一种对付破坏系统企图的理想方法是建立一个完全安全的系统。但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术和强访问控制策略来保护数据。而从实际上看，这根本是不可能的。 因此，一个实用的方法是建立比较容易实现的安全系统，同时按照一定的安全策略建立相应的安全辅助系统。入侵检测系统就是这样一类系统，现在安全软件的开发方式基本上就是按照这个思路进行的。就目前系统安全状况而言，系统存在被攻击的可能性。如果系统遭到攻击，只要尽可能地检测到，甚至是实时地检测到，然后采取适当的处理 –– 1
入侵检测技术 注意：本文只是对入侵检测技术的粗略的汇总，可供平时了解与学习，不能作为科研使用！ 入侵检测分析系统可以采用两种类型的检测技术:异常检测(Anomaly Detection)和误用 检测(Misuse Detection). 异常检测 异常检测也被称为基于行为的检测，基于行为的检测指根据使用者的行为或资源使用状况来判断是否入侵。基于行为的检测与系统相对无关，通用性较强。它甚至有可能检测出以前未出现过的攻击方法，不像基于知识的检测那样受已知脆弱性的限制。但因为不可能对整个系统内的所有用户行为进行全面的描述，况且每个用户的行为是经常改变的，所以它的主要缺陷在于误检率很高。尤其在用户数目众多，或工作目的经常改变的环境中。其次由于统计简表要不断更新，入侵者如果知道某系统在检测器的监视之下，他们能慢慢地训练检测系统，以至于最初认为是异常的行为，经一段时间训练后也认为是正常的了。 异常检测主要方法： （1）统计分析 概率统计方法是基于行为的入侵检测中应用最早也是最多的一种方法。首先，检测器根据用户对象的动作为每个用户都建立一个用户特征表，通过比较当前特征与已存储定型的以前特征，从而判断是否是异常行为。 用户特征表需要根据审计记录情况不断地加以更新。用于描述特征的变量类型有: 操作密度:度量操作执行的速率，常用于检测通过长时间平均觉察不到的异常行为； 审计记录分布:度量在最新纪录中所有操作类型的分布； 范畴尺度:度量在一定动作范畴内特定操作的分布情况； 数值尺度:度量那些产生数值结果的操作，如CPU 使用量，I/O 使用量等。 统计分析通过在一段时间内收集与合法用户行为相关的数据来定义正常的域值（Threshold ），如果当前的行为偏离了正常行为的域值，那么就是有入侵的产生。对于用户所生成的每一个审计记录，系统经计算生成一个单独的检测统计值T2，用来综合表明最近用户行为的异常程度较大的T2值将指示有异常行为的发生，而接近于零的T2值则指示正常的行为。统计值T2本身是一个对多个测量值异常度的综合评价指标。假设有n个测量值表示为Si ，（1<=i<=n ），则T2 =a1S12+a2S22+…+a n S n2，其中a i（1<=i<=n ）表示第i个测量值的权重。 其优点是能应用成熟的概率统计理论，检测率较高，因为它可以使用不同类型的审计数据，但也有一些不足之处，如:统计检测对事件发生的次序不敏感，也就是说，完全依靠统计理论可能漏检那些利用彼此关联事件的入侵行为。其次，定义是否入侵的判断阙值也比
实验：入侵检测系统（Snort）的安装与配置 一、实验目的 学会WINDOWS下SNORT的安装与配置 二、实验环境 WinXP虚拟机 三、实验步骤与结果 一．在“我的电脑”中C盘中建立文件夹“zhangxiaohong” 二．安装WinPcap，运行WinPcap_4_1_2.zip，默认安装。 三．安装mysql，运行mysql-5.0.22-win32.zip，选择自定义安装选择安装路径 C:\zhangxiaohong\mysql 下，安装时注意：端口设置为3306（以后要用到），密码本实验设置成123 四．安装apache 1.运行apache_ 2.2.4-win32-x86-no_ssl.zip，安装到c:\zhangxiaohong\Apache 2.安装Apache，配置成功一个普通网站服务器 3.出现Apache HTTP Server 2.0.55的安装向导界面，点“Next”继续 4.确认同意软件安装使用许可条例，选择“I accept the terms in the license agreement”，点“Next”继续 5.将Apache安装到Windows上的使用须知，请阅读完毕后，按“Next”继续 6.选择安装类型，Typical为默认安装，Custom为用户自定义安装，我们这里选 择Custom，有更多可选项。按“Next”继续 7.出现选择安装选项界面，如图所示，左键点选“Apache HTTP Server 2.0.55”，
选择“This feature, and all subfeatures, will be installed on local hard drive.” 8.即“此部分，及下属子部分内容，全部安装在本地硬盘上”。点选 “Change...”，手动指定安装目录。 9.我这里选择安装在“C:\zhangxiaohong\Apache”，各位自行选取了，一般建议 不要安装在操作系统所在盘，免得操作系统坏了之后，还原操作把Apache配置文件 也清除了。选“OK”继续。 10.返回刚才的界面，选“Next”继续。 11.好了现在我们来测试一下按默认配置运行的网站界面，在IE地址栏打 “.0.1”，点“转到”，就可以看到如下页面，表示Apache服务器已安装成功。 12. 五．安装和配置PHP53、安装winpcap 1.解压php-5. 2.5-Win32到c:\zhangxiaohong\php 2.添加gd图形库支持 复制c:\zhangxiaohong\php\php5ts.dll和c: \zhangxiaohong\php\libmysql.dll文件到 C:\Windows\system32 复制c: \zhangxiaohong\php\php.ini-dist到C:\Windows文件夹并重命名为php.ini， 修改php.ini，分别去掉“extension=php_gd2.dll”和“extension=php_mysql.dll”前的分号， 3.并指定extension_dir="c:\zhangxiaohong\php\ext"， 4.同时复制c:\zhangxiaohong\php\ext下的php_gd2.dll与php_mysql.dll到C:\Windows\system32 在C:\zhangxiaohong\apache\conf\httpd.conf中添加 LoadModule php5_module c:/zhangxiaohong/php/php5apache2.dll AddType application/x-httpd-php .php AddType application/x-httpd-php-source .phps AddType application/x-httpd-php .html AddType application/x-httpd-php .htm 5.重启Apache服务 在C:\zhangxiaohong\apache\htdocs目录下新建webinf.php（文件内容为：）并使用访问测试是否能够显示当前Apache服务器的信息，如果能够显示表明Apache和php工作基本正常 六．安装snort 1.运行Snort_2_9_0_5_Installer.exe 安装在C:\zhangxiaohong\Snort下即可， 运行C:\zhangxiaohong\Snort\bin\snort.exe或者在DOS中找到该位置， 如果安装Snort成功会出现一个可爱的小猪 2.并按照以下修改C:\zhangxiaohong\Snort\etc\snort.conf文件
基于神经网络的网络入侵检测 本章从人工神经网络的角度出发，对基于神经网络的网络入侵检测系统展开研究。在尝试用不同的网络结构训练和测试神经网络后，引入dropout层并给出了一种效果较好的网络结构。基于该网络结构，对目前的神经网络训练算法进行了改进和优化，从而有效避免了训练时出现的过拟合问题，提升了训练效率。 4.1 BP神经网络相关理论 本章从学习算法与网络结构相结合的角度出发，神经网络包括单层前向网络、多层前向网络、反馈神经网络、随机神经网络、竞争神经网络等多种类型。构造人工神经网络模型时主要考虑神经元的特征、网络的拓补结构以及学习规则等。本文选择反向传播神经网络(Back Propagation Neural Network, BPNN)作为基本网络模型。 BP神经网络是一种通过误差逆传播算法训练的多层前馈神经网络，是目前应用最广泛的神经网络模型形式之一。网络中每一层的节点都只接收上一层的输出，而每一层节点的输出都只影响下一层的输入，同层节点之间没有交互，相邻两层节点之间均为全连接模式。BP神经网络在结构上分为输入层、隐含层与输出层三部分，其拓扑结构如图4-1所示。 图4-1 BP神经网络拓扑结构 Figure 4-1 Topological Structure of BP Neural Network
这里隐含层既可以是一层也可以是多层，数据在输入后由隐含层传递到输出层，通过各层的处理最终得到输出结果。 传统的BP网络算法可分为两个过程:神经网络中信号的前向传播和误差函数的反向传播。算法在执行时会不断调整网络中的权值和偏置，计算输出结果与期望结果之间的误差，当误差达到预先设定的值后，算法就会结束。 (1)前向传播 隐含层第J个节点的输出通过式(4-1)来计算: (4-1) 式中ωij代表输入层到隐含层的权重，αj代表输入层到隐含层的偏置，n 为输入层的节点个数，f(.)为激活函数。输出层第k个节点的输出通过式(4-2)来计算: (4-2) 式中ωjk代表隐含层到输出层的权重，bk代表隐含层到输出层的偏置，l为隐含层的结点个数。 根据实际输出与期望输出来计算误差，见式(4-3)。 (4-3) 式中(Yk-Ok)用ek来表示，Yk代表期望输出，m为输出层的结点个数。 当E不满足要求时，就会进入反向传播阶段。 (2)反向传播 反向传播是从输出到输入的传播过程。从式((4-1)至式(4-3 )中，可以发现网络误差E是与各层权值和偏置有关的函数，所以如果想减小误差，需要对权值和偏置进行调整。一般采取梯度下降法反向计算每层的权值增量，令权值的变化量同误差的负梯度方向成正相关，调整的原则是令误差沿负梯度方向不断减少。权值的更新公式见式(4-4)，偏置的更新公式见式(4-5)。
1.黑客：早先对计算机的非授权访问称为“破解”，而hacking(俗称“黑”)则指那些熟练 使用计算机的高手对计算机技术的运用，这些计算机高手称为“黑客”。随着个人计算机及网络的出现，“黑客”变成一个贬义词，通常指那些非法侵入他人计算机的人。2.入侵检测（intrusion detection）：就是对入侵行为的发觉，它通过从计算机网络或计算机 系统中的若干关键点收集信息，并对其进行分析，从中发现网络或者系统中是否有违反安全策略的行为和被攻击的迹象。 3.入侵检测系统的六个作用：1）、通过检测和记录网络中的安全违规行为，惩罚网络犯罪， 防止网络入侵事件的发生。2）、检测其他安全措施未能阻止的攻击或安全违规行为。3）、检测黑客在攻击前的探测行为，预先给管理员发出警报。4）、报告计算机系统或网络中存在的安全威胁。5）、提供有关攻击的信息，帮助管理员诊断网络中存在的安全弱点，利于其进行修补。6）、在大型、复杂的计算机网络中布置入侵检测系统，可以显著提高网络安全管理的质量。 4.t P>t D+t Rd的含义：t p:保护安全目标设置各种保护后的防护时间。t D:从入侵者开始发动入 侵开始，系统能够检测到入侵行为所花费的时间。t R：从发现入侵行为开始，系统能够做出足够的响应，将系统调整到正常状态的时间。公式的含义：防护时间大于检测时间加上响应时间，那么在入侵危害安全目标之前就能检测到并及时采取防护措施。 5.入侵检测原理的四个阶段：数据收集、数据处理，数据分析，响应处理。 6.攻击产生的原因：信息系统的漏洞是产生攻击的根本原因。 7.诱发入侵攻击的主要原因：信息系统本身的漏洞或脆弱性。 8.漏洞的概念：漏洞是在硬件、软件、协议的具体实现或系统安全策略上存在的缺陷，它 是可以使攻击者能够在未授权的情况下访问或破坏系统。漏洞会影响到很大范围内的软件及硬件设备，包括操作系统本身及其支撑软件、网络客户和服务器软件、网络路由和安全防火墙等。漏洞是与时间紧密相关的，，一般是程序员编程时的疏忽或者考虑不周导致的。 9.漏洞的具体表现：存储介质不安全，数据的可访问性，信息的聚生性，保密的困难性， 介质的剩磁效应，电磁的泄漏性，通信网络的脆弱性，软件的漏洞。 10.漏洞iongde分类（按被利用的方式）：物理接触、主机模式、客户机模式、中间人模式。 11.入侵检测系统的基本原理主要分四个阶段：数据收集、数据处理、数据分析、响应处 理。 12.常用的5种检测模型：操作模型、方差模型、多元模型、马尔柯夫过程模型、时间序列 分析模型。 13.信息系统面临的三种威胁：非人为因素和自然力造成的数据丢失、设备失效、线路阻断； 人为但属于操作人员无意的失误造成的数据丢失；来自外部和内部人员的恶意攻击和入侵。 14.攻击的四个步骤：攻击者都是先隐藏自己；再踩点或预攻击探测，检测目标机器的各种 属性和具备的被攻击条件，然后采取相应的攻击行为，达到自己的目的，最后攻击者会清除痕迹删除自己的行为日志。 Ping扫描：ping是一个DOS命令，它的用途是检测网络的连通状况和分析网络速度。 端口扫描：端口扫描时一种用来查找网络主机开放端口的方法，正确的使用端口扫描，能够起到防止端口攻击的作用。 操作系统识别扫描：黑客入侵过程的关键环节是操作系统的识别与扫描。 漏洞扫描：主要是查找操作系统或网络当中存在什么样的漏洞，并给出详细漏洞报告，引导用户到相关站点下载最新系统漏洞补贴程序，确保系统永远处在最安全的状态下，以减少被攻击的可能性。
１引言 目前，网络的攻击手段越来越多，入侵手段也不断更新。抵制攻击常用的机制是防火墙，它是被动的网络安全机制，对许多攻击难以检测，尤其是来自内部网络的攻击。入侵检测它弥补了传统安全技术的不足，是一种主动的防御技术。根据ＣＩＤＦ（ＣｏｍｍｏｎＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＦｒａｍｅｗｏｒｋ）标准［１］。 ＩＤＳ就是通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象的网络安全技术。 根据入侵检测系统的信息源，通常将入侵检测系统分为三类［２］：基于主机的入侵检测系统（Ｈｏｓｔ－ＢａｓｅｄＩＤＳ）、基于网络的入侵检测系统（Ｎｅｔｗｏｒｋ－ＢａｓｅｄＩＤＳ）和基于应用程序的入侵检测系统（Ａｐｐｌｉｃａｔｉｏｎ－ＢａｓｅｄＩＤＳ）。基于主机的入侵检测系统检测的信息主要来自操作系统的审计踪迹和系统日志。基于网络的入侵检测系统的信息源是网络数据包。基于应用程序的入侵检测系统的信息源则是应用程序产生的事务日志，它实际上是基于主机的入侵检测系统的一个特例。三种入侵检测手段都具有自己的优点和不足，互相可作为补充。 不同的入侵检测算法将直接决定本系统的执行效率，所以选用好的入侵检测算法是非常重要的。入侵检测算法大致有简单模式匹配、专家系统、模型推理、状态转换分析等。目前多数商业化的入侵检测产品都采用简单模式匹配。其特点是原理简单、扩展性好、检测效率高、可以实时检测，但只能适用于比较简单的攻击方式，并且误报率高。由于人工神经网络在入侵检测中具有如下应用优势［３］：（１）人工神经网络具有卓越的非线性映射能力和知识归纳学习，可以通过对大量实例样本反复学习来逐渐调整和修改人工神经网络的权值分布，使人工神经网络收敛于稳定状态，从而完成知识的学习，获得预测能力。（２）人工神经网络能不断接受新的实例样本，并不断调整人工神经网络的权值分布，自适应能力强，具有动态特性。（３）人工神经网络具有良好的知识推理能力，当人工神经网络学会正常行为模式，就能够对偏离正常行为特征轮廓的事件做出反应，进而可 基于神经网络的实时入侵检测系统的研究和实现 仲兆满１，李存华２，３，管燕１，２ ＺＨＯＮＧＺｈａｏ－ｍａｎ１，ＬＩＣｕｎ－ｈｕａ２，３，ＧＵＡＮＹａｎ１，２ １．连云港师范高等专科学校计算机科学与技术系，江苏连云港２２２００６ ２．扬州大学信息工程学院，江苏扬州２２５００９ ３．淮海工学院，计算机科学与技术系，江苏连云港２２２００５ １．ＤｅｐａｒｔｍｅｎｔｏｆＣｏｍｐｕｔｅｒ，ＬｉａｎｙｕｎｇａｎｇＴｅａｃｈｅｒ’ｓＣｏｌｌｅｇｅ，Ｌｉａｎｙｕｎｇａｎｇ，Ｊｉａｎｇｓｕ２２２００６，Ｃｈｉｎａ ２．ＣｏｌｌｅｇｅｏｆＩｎｆｏｒｍａｔｉｏｎＥｎｇｉｎｅｅｒｉｎｇ，ＹａｎｇｚｈｏｕＵｎｉｖｅｒｓｉｔｙ，Ｙａｎｇｚｈｏｕ，Ｊｉａｎｇｓｕ２２５００９，Ｃｈｉｎａ ３．ＤｅｐａｒｔｍｅｎｔｏｆＣｏｍｐｕｔｅｒＳｃｉｅｎｃｅ，ＨｕａｉｈａｉＩｎｓｔｉｔｕｔｅｏｆＴｅｃｈｎｏｌｏｇｙ，Ｌｉａｎｙｕｎｇａｎｇ，Ｊｉａｎｇｓｕ２２２００５，Ｃｈｉｎａ Ｅ－ｍａｉｌ：ｚｈｏｎｇｚｈａｏｍａｎ＠１６３．ｃｏｍ ＺＨＯＮＧＺｈａｏ－ｍａｎ，ＬＩＣｕｎ－ｈｕａ，ＧＵＡＮＹａｎ．Ｉｎｓｔａｎｔｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍｂａｓｅｄｏｎｎｅｕｒａｌｎｅｔｗｏｒｋ．ＣｏｍｐｕｔｅｒＥｎｇｉｎｅｅｒｉｎｇａｎｄＡｐｐｌｉｃａｔｉｏｎｓ，２００７，４３（３０）：１２０－１２３． Ａｂｓｔｒａｃｔ：ＡｃｃｏｒｄｉｎｇｔｏｔｈｅｃｈａｒａｃｔｅｒｉｓｔｉｃｓｏｆｔｈｅａｔｔａｃｋｓａｇａｉｎｓｔＴＣＰ／ＩＰｐｒｏｔｏｃｏｌ，ｔｒａｎｓｆｅｒｒｉｎｇｌａｙｅｒｄａｔａｐａｃｋｅｔｓｃａｎｂｅｃｌａｓｓｉｆｉｅｄｉｎｔｏｔｈｒｅｅｔｙｐｅｓ（ｎａｍｅｌｙＵＤＰ，ＴＣＰａｎｄＩＣＭＰ）ａｎｄｈａｎｄｌｅｄｒｅｓｐｅｃｔｉｖｅｌｙ．Ｔｈｅｔｈｒｅｅｔｙｐｅｓｏｆｐａｃｋｅｔｓａｒｅｕｓｅｄａｓｉｎｐｕｔｔｏｔｒａｉｎａｎｄｆｏｒｍｕｌａｔｅｄｉｆｆｅｒｅｎｔｎｅｕｒａｌｎｅｔｗｏｒｋｓｆｏｒｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ．Ｗｉｔｈｔｈｅｐｒｏｐｏｓｅｄｍｅｔｈｏｄ，ａｎｏｖｅｌｉｎｓｔａｎｔｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍｉｓｄｅｓｉｇｎｅｄａｎｄａｃｈｉｅｖｅｄ．Ｔｈｅｓｙｓｔｅｍｈａｓｆａｖｏｒａｂｌｅｕｓａｂｉｌｉｔｙ，ｅｘｔｅｎｓｉｂｉｌｉｔｙａｎｄｔｈｅｐａｒａｍｅｔｅｒｓｏｆｔｈｅｎｅｔｗｏｒｋｓｔｒｕｃｔｕｒｅｃａｎｂｅｆｌｅｘｉｂｌｙａｄｊｕｓｔｅｄｔｏａｃｈｉｅｖｅｓａｔｉｓｆａｃｔｏｒｙｄｅｔｅｃｔｉｏｎｐｅｒｆｏｒｍａｎｃｅ．Ｅｘｐｅｒｉｍｅｎｔａｌｒｅｓｕｌｔｓｐｒｏｖｅｔｈａｔｄｉｓｐｏｓｉｎｇｄａｔａｐａｃｋｅｔｓｒｅｓｐｅｃｔｉｖｅｌｙｃａｎｒｅｄｕｃｅｔｈｅｔｉｍｅｏｆｎｅｕｒａｌｎｅｔｗｏｒｋｔｒａｉｎｉｎｇａｎｄｉｍｐｒｏｖｅｔｈｅａｃｃｕｒａｃｙｏｆｎｅｔｗｏｒｋｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ． Ｋｅｙｗｏｒｄｓ：ｎｅｔｗｏｒｋｓｅｃｕｒｉｔｙ；ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ；ＢＰｎｅｕｒａｌｎｅｔｗｏｒｋ；ｐａｃｋｅｔｓｏｆｔｒａｎｓｆｅｒｒｉｎｇｌａｙｅｒ 摘要：根据ＴＣＰ／ＩＰ协议族攻击的特征，提出在传输层上将捕获的数据包分成三类（ＵＤＰ、ＴＣＰ和ＩＣＭＰ）分别进行编码并输入到三个不同的神经网络中训练、检测。根据以上思想设计并实现了一个基于ＢＰ神经网络的实时入侵检测系统的原型。该原型系统具有通用性和可扩展性，能够根据需要灵活调整网络结构和训练参数，可以发展为更精确的网络入侵检测系统。最后给出了实验设计及其结果，证明了文中对数据包分类处理的方法既能减少网络训练的次数，又能提高网络检测的精度。 关键词：网络安全；入侵检测；ＢＰ神经网络；传输层数据包 文章编号：１００２－８３３１（２００７）３０－０１２０－０４文献标识码：Ａ中图分类号：ＴＰ３９３ 作者简介：仲兆满（１９７７－），男，讲师，主要研究方向为智能信息处理、网络安全等；李存华（１９６３－），男，教授，博士，主要研究方向为网络安全、数据挖掘等；管燕（１９７６－），女，讲师，主要研究方向为图像处理、模式识别等。
基于神经网络的入侵检测技术 摘要：关于神经网络与入侵检测技术的结合一直是网络安全问题研究的一个热点，本文介绍了网络发展带来的问题，并详细阐述了入侵检测技术的基本概况，接着说明神经网络在入侵检测中的应用，最后对其提出了一些展望。 关键词：神经网络入侵检测激励函数模型 Abstract：On neural network and intrusion detection technology combined with network security issues has been a research focus, this paper brings the issue of network development, and elaborated on the basic overview of intrusion detection technology, and then the neural network intrusion detection Finally, some prospects of its proposed. Key words：neural network intrusion Detection Activation function model 1 引言 伴随着计算机网络技术的快速发展，网络的安全问题也日益突出，网络安全的一个主要威胁就是通过网络对信息系统的人侵。特别是系统中一些敏感及关键信息，经常遭受恶意和非法用户的攻击，使得这些信息被非法获取或破坏，造成严重的后果。目前在各个领域的计算机犯罪和网络非法入侵，无论是数量，手段，还是性质、规模，已经到了令人咋舌的地步。据统计，美国每年由于网络安全问题而造成的经济损失超过170亿美元，德国、英国也均在数十亿美元以上，法国、新加坡等其它国家问题也很严重[1]。在国际刑法界列举的现代社会新型犯罪排行榜上，计算机犯罪已名列榜首。2008年，CSI/FBI调查所接触的524个组织工作中，有56%遇到电脑安全事件，其中有38%遇到1-5起，16%以上遇到11起以上。因与互联网连接而成为频繁攻击点的组织连续3年不断增加，遭受拒绝服务攻击则从2005年的27%上升到2008的42%。所以，对网络及其信息的保护成为重要课题。对于网络安全现有的解决方案，我们知道防火墙、加密技术等都属于静态的防护手段，只能够被动的防御攻击，而对于已经发生的攻击则束手无策。鉴于此，能动态、主动地实现网络防卫的实时人侵检测技术日益成为网络安全领域的一个关键技术。 神经网络NN (Neural Network)具有检测准确度高且有良好的非线性映射和自学习能力、建模简单、容错性强等优点。神经网络技术具备相当强的攻击模式分析能力，能够较好地处理带噪声的数据，在概念和处理方法上都适合入侵检测系统的要求，已成为入侵检测技术领域研究的热点之一[2]。但由于传统的入侵检测技术存在着规则库难于管理、统计模型难以建立以及较高的误报率和漏报率等
入侵检测技术实验Snort网络入侵检测 学院： 班级： 姓名： 学号：
一、实验目的 1)掌握数据库的使用方法和MySQLfront的安装使用方法 2)掌握wireshark抓取数据包分析关键特征以及相关格式内容 3)掌握病毒的工作原理和通信过程，交互的信息 4)将这门课的内容结合实际进行分析和实践 二、实验原理 1)实验环境： WinPcap_4_1_2.exe 网络数据包截取驱动程序 Snort_2_9_1_Installer.exe Windows 版本的Snort 安装包 mysql-5.5.18-win32.msi Windows 版本的mysql安装包 MySQL_Front_Setup.1765185107.exe mysql数据库可视化软件 snortrules-snapshot-CURRENT.tar.gz Snort规则库 Wireshark-win32-1.12.0.1410492379.exe抓包分析工具 2)实验环境的搭建 按照所给文档“Windows XP下安装配置Snort”的提示安装所需的软件，下面几个图片是成功安装的图片：
图（1）建立snort库 图（2）成功建立snort库
图（3）成功启动snort进行检测 至此，实验环境搭配成功。 三、实验内容 1)测试检测效果 测试虽然成功启动snort，但不能确定是否成功，故此测试任意IP端口 进行测试 配置此时的规则，修改local.rules文件，改规则为：alert ip any any -> any any (msg: "IP Packet detected";sid:1000000;) 此时结果如下图：
Snort入侵检测系统 赵鹏通信一团技术室 摘要本文介绍了Snort入侵检测系统的结构、功能。具体介绍了Snort入侵检测系统各部件的功能，并分析了Snort入侵检测系统的优缺点。 关键词IDS 特征检测规则分析预处理净荷 1 概述 Snort是由一个简单的网络管理工具发展分布式入侵检测系统，被用于各种与入侵检测相关的活动，可以用作嗅探器、包记录器或者网络入侵检测系统NIDS。 作嗅探器时，Snort对发往同一个网络其他主机的流量进行捕获。嗅探器利用了以太网的共享特性。它将网路上传输的每一个包的内容都显示在你的监视器上，包括包头和包载荷。 以包记录器模式运行时，Snort以和嗅探器相似的方式抓包，不同的是将收集的数据记入日志而不是显示在屏幕上。 当Snort以网络入侵检测系统（NIDS）模式运行时，Snort也抓取并存储网络上传输的每一个包，关键的不同在于NIDS模式能对数据进行处理。这种处理不是简单的将数据写入文件或是显示在屏幕上，而是对每一个包进行检查以决定它的本质是良性的还是恶意的。当发现看似可疑的流量是，Snort就会发出报警。 NIDS因其能监控大片网段而比其他类型的IDS更受欢迎，这里要关注的是NIDS模式的Snort。 2 Snort入侵检测系统的组成 Snort有5个主要部件：捕包程序库libpcap、包解码器、预处理程序、检索引擎、输出组件。 图1 Snort组件数据流程图 捕包装置把包以原始状态捕获后送给解码器。解码器是进入Snort的第一步，它将特殊协议元素翻译成内部数据结构。它的目的是剥落包头。利用TCP-IP栈解码并且将包放入
一个数据结构中。在最初的捕包和解码完成后，有预处理程序处理流量。许多插入式预处理程序对包进行检查或操作后将它们交给下一个组件——检索引擎。检索引擎对每一个包的一个方面进行简单的检验以检测入侵。最后一个组件是输出插件，它对可疑行为产生报警。 2.1 捕包程序库libpcap和包解码器 大规模的应用程序很少采用单机模式，Snort通常采用分布式体系对网络进行入侵检测。最典型的安装方式是三层体系，即传感器层、服务器层、分析员控制台。 捕包程序库libpcap和包解码器运行在传感器上，负责对抓来的包进行解释并传递警报。由于传感器必须放置在要监控入侵的网段，为了保证安全，通常只安装Snort和它在之上运行的支撑应用程序。建议Linux或BSD等UNIX类型的操作系统。传感器的两块网卡一块用作捕包接口不分配IP，一块用作管理接口分配IP。捕包程序库libpcap运行在Libpcap平台上，由于Libpcap平台的独立性使得Snort可以被移植到任何地方，成为一个真正与平台无关的应用程序。 2.2 预处理程序 预处理是Snort的一类插件。它在检测引擎之前对数据进行处理，并且努力与不断变化的漏洞和攻击保持同步。可以添加新的协议为Snort提供支持。它既能对数据包操作以便检测引擎能正确分析包，又能检测特征检测所不能单独发现的可疑流量。按功能可以分为三类：数据标准化，协议分析和非特征匹配检测。 数据标准化 新的攻击方法和IDS躲避技术不断涌现，以至Snort的检测引擎要么不能检测，要么检测效率不高。预处理程序可以将数据标准化以便检测引擎能正确对其分析。 多态病毒是为了躲避反病毒程序的特征匹配引擎而将病毒代码任意改造和变异。同样的技术也被用于远程利用，shell代码具有多种形态。Fnord预处理程序能检测出变异的NO-OP sled，从而避免了由于缓冲区溢出使处理器强制执行恶意代码导致的程序崩溃。No-op sled能被许多IDS轻易地检测到，除非它在每次被使用时都做修改。如果没有Fnord预处理，Snort将无法检测多态shell代码。 协议分析 由于检测引擎能分析的协议很少，所以用协议处理程序来协助检测。ASNI_decode就能检测ASNI（Abstract Syntax Notation抽象语法标记）协议中的不一致性。较高的协议比如SNMP、LDAP和SSL都依赖ASNI。几乎所有起用SNMP的设备都受到缓冲区溢出或是拒绝服务（DoS）攻击的影响。 非特征匹配检测 这类预处理程序利用不同特征匹配的方法来捕获恶意流量。例如所谓的侦察攻击通常只是一个报警信号，无法确定是不是攻击。信息收集尝试利用了不合规格的流量，但这些流量通常在性质上是无害的。Portscan2和stream4就能发现这类流量和一些恶意黑客使用的躲避技术。 2.3 检测引擎 检测引擎是Snort的一个主要部件，有两个主要功能：规则分析和特征检测。检测引擎通过分析Snort规则来建立攻击特征。Snort规则被载入到检测引擎并以树形数据结构分
入侵检测技术 一、入侵检测技术 入侵检测的研究最早可追溯到James Aderson在1980年的工作,他首先提出了入侵检测的概念,在该文中Aderson提出审计追踪可应用于监视入侵威胁，但由于当时所有已有的系统安全程序都着重于拒绝未经认证主体对重要数据的访问,这一设想的重要性当时并未被理解。1987年Dorothy.E.Denning[2]提出入侵检测系统(Intrusion Detection System，IDS)的抽象模型,首次将入侵检测的概念作为一种计算机系统安全防御问题的措施提出，与传统加密和访问控制的常用方法相比,IDS是全新的计算机安全措施。1988年的Morris Internet蠕虫事件使得Internet近5天无法使用。该事件使得对计算机安全的需要迫在眉睫,从而导致了许多IDS系统的开发研制。 入侵检测（Intrusion Detection）的定义为：识别针对计算机或网络资源的恶意企图和行为，并对此作出反应的过程。IDS则是完成如上功能的独立系统。IDS能够检测未授权对象（人或程序）针对系统的入侵企图或行为(Intrusion)，同时监控授权对象对系统资源的非法操作(Misuse)。 ●从系统的不同环节收集信息； ●分析该信息，试图寻找入侵活动的特征； ●自动对检测到的行为做出响应； ●纪录并报告检测过程结果。 入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。入侵检测系统能很好的弥补防火墙的不足，从某种意义上说是防火墙的补充[1]。 二、入侵检测的分类 现有的分类，大都基于信息源和分析方法进行分类。 2.1 根据信息源的不同，分为基于主机型和基于网络型两大类 2.1.1 基于主机的入侵检测系统 基于主机的IDS可监测系统、事件和Windows NT下的安全记录以及Unix环境下的系统记录。当有文件被修改时，IDS将新的记录条目与已知的攻击特征相比较，看它们是否匹配。如果匹配，就会向系统管理员报警或者作出适当的响应。 基于主机的IDS在发展过程中融入了其他技术。检测对关键系统文件和可执行文件入侵