入侵检测技术

２００２年５月　第２５卷第３期　四川师范大学学报（自然科学版）　Ｊｏｕｒｎａｌ　ｏｆ　ＳｉｃＩｌｕａｎ　Ｎｏｒｍａｌ　Ｕｎｉｖｅｒｓｉｔｙ（Ｎａｔｕｒａｌ　Ｓｃｉｅｎｃｅ）　Ｍａｖ．２００２　ｖ。ｌ　２５．Ｎ。．３　

网络安全与入侵检测技术　

张鹰，王朝斌　

（￣１）ｌｌ师范学院计算机科学系，四川南充６３７００２）　

摘要：网络安全问题已经不再只是金融、军事领域关心的问题，对网络安全中的Ｅｌ夺、缓冲区溢出、程　

序、网络监听、拒绝服务等攻防技术作了简要介绍，尤其是对保证网络安全．对内部攻击、外部攻击和误操作　

提供宴时保护等方面具有重要作用的人侵检测技术作了详细介绍和分折．　

关键词：网络安全；＾侵检测；网络攻击；网络舫护　

中图分类号；ＴＰ３９３．Ｏ８　文献标识码：Ａ　文章编号：１００１．８３９５（２００２）０３４３３２４－０４　

０引言　

随着Ｉｎｔｅｍｅｔ／Ｉｎｔｒａｎｅｔ迅速发展，电子商务的概　

念逐步深入人心，网络正在改变人们的生活、工作　

方式．同时也给我们带来许多挑战，尤其是Ｉｎｔｅｍｅｔ　

网上黑客猖獗，网上资源的安全问题变得越来越重　

要，对国家的安全和国民经济有重大的影响．信息　

安全的研究是一个综合性的系统工程，要求我们在　

具有自主知识产权的网络安全技术研究和应用领　

域做长期的规划和研究　

资源的共享和信息安全是一对矛盾，网络的发　

展要求资源共享程度越来越高，但随之而来的信息　

安全问题日益突出．网络系统的安全威胁主要来自　

黑客攻击、计算机病毒，近年来人们也开始重视来　

自阿络内部的安全威胁．黑客攻击早在主机终端时　

代就已经出现，随着Ｉｎｔｅｍｅｔ的发展，现代黑客则从　

以系统为主的攻击转变到以网络为主的攻击，其手　

法也多种多样，如通过阿络监听获取网上用户的帐　

号和密码；监听密钥分配过程，攻击密钥管理服务　

器，得到密钥或认证码，从而取得合法资格；利用　

ＵＮＩＸ操作系统的守护进程的缺省帐户进行攻击；　

利用Ｆｉｎｇｅｒ、Ｓｅｎ＆ｎａｉｌ、ＣＧＩ等程序佩洞进行攻击；通　

入侵检测技术综述

胡征兵1 Shirochin V.P.2

乌克兰国立科技大学

摘要 Internet蓬勃发展到今天，计算机系统已经从独立的主机发展到复杂、互连的开放式系统，这给人们在信息利用和资源共享上带来了很大的便利。由Internet来传递和处理各种生活信息，早已成为人们重要的沟通方式之一，随之而来的各种攻击事件与入侵手法更是层出不穷，引发了一系列安全问题。本文介绍现今热门的网络安全技术-入侵检测技术，本文先讲述入侵检测的概念、模型及分类，并分析了其检测方法和不足之处，最后说描述了它的发展趋势及主要的IDS公司和产品。

关键词 入侵检测 入侵检测系统 网络安全 防火墙

1 引言

随着个人、企业和政府机构日益依赖于Internet进行通讯，协作及销售。对安全解决方案的需求急剧增长。这些安全解决方案应该能够阻止入侵者同时又能保证客户及合作伙伴的安全访问。虽然防火墙及强大的身份验证能够保护系统不受未经授权访问的侵扰，但是它们对专业黑客或恶意的经授权用户却无能为力。企业经常在防火墙系统上投入大量的资金，在Internet入口处部署防火墙系统来保证安全， 依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击,对信息流的控制缺乏灵活性，从外面看似非常安全，但内部缺乏必要的安全措施。据统计，全球80%以上的入侵来自于内部。由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设。

入侵检测是对防火墙及其有益的补充，入侵检测系统能使在入侵攻击对系统发生危害前，检测到入侵攻击，并利用报警与防护系统驱逐入侵攻击。在入侵攻击过程中，能减少入侵攻击所造成的损失。在被入侵攻击后，收集入侵攻击的相关信息，作为防范系统的知识，添加入知识库内，增强系统的防范能力，避免系统再次受到入侵。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护,大大提高了网络的安全性[1]。

龙源期刊网

入侵检测技术

作者：李鹏程

来源：《电脑知识与技术·学术交流》2008年第22期

摘要：入侵检测（Intrusion Detection），顾名思义，即是对入侵行为的发觉。它在计算机网络或计算机系统中的若干关键点收集信息，通过对这些信息的分析来发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。进行入侵检测的软件与硬件的组合便是入侵检测系统（Intrusion Detection System，简称IDS）。与其他安全产品不同的是，入侵检测系统需要更多的智能，它必须能将得到的数据进行分析，并得出有用的结果。

关键词：入侵；检测；入侵检测系统；ISS RealSecure

中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)22-626-02

Intrusion Detection Technology

LI Peng-cheng

(Gaoyou Radio and Television Situation,Yangzhou 225600,China)

Abstract:Intrusion Detection (Intrusion Detection), as its name suggests, that is, the invasion of

that. Its computer network or computer systems in a number of key points to collect information,

through the analysis of such information to identify the network or system whether there is a breach of

security policy and the conduct of the signs of being attacked. For intrusion detection software and

入侵检测技术

注意：本文只是对入侵检测技术的粗略的汇总，可供平时了解与学习，不能作为科研使用！

入侵检测分析系统可以采用两种类型的检测技术:异常检测(Anomaly Detection)和误用检测(Misuse Detection).

异常检测

异常检测也被称为基于行为的检测，基于行为的检测指根据使用者的行为或资源使用状况来判断是否入侵。基于行为的检测与系统相对无关，通用性较强。它甚至有可能检测出以前未出现过的攻击方法，不像基于知识的检测那样受已知脆弱性的限制。但因为不可能对整个系统内的所有用户行为进行全面的描述，况且每个用户的行为是经常改变的，所以它的主要缺陷在于误检率很高。尤其在用户数目众多，或工作目的经常改变的环境中。其次由于统计简表要不断更新，入侵者如果知道某系统在检测器的监视之下，他们能慢慢地训练检测系统，以至于最初认为是异常的行为，经一段时间训练后也认为是正常的了。

异常检测主要方法：

（1） 统计分析

概率统计方法是基于行为的入侵检测中应用最早也是最多的一种方法。首先，检测器根据用户对象的动作为每个用户都建立一个用户特征表，通过比较当前特征与已存储定型的以前特征，从而判断是否是异常行为。

用户特征表需要根据审计记录情况不断地加以更新。用于描述特征的变量类型有:

操作密度:度量操作执行的速率，常用于检测通过长时间平均觉察不到的异常行为；

`

审计记录分布:度量在最新纪录中所有操作类型的分布；

范畴尺度:度量在一定动作范畴内特定操作的分布情况；

数值尺度:度量那些产生数值结果的操作，如 CPU 使用量，I/O 使用量等。

统计分析通过在一段时间内收集与合法用户行为相关的数据来定义正常的域值（Threshold ），如果当前的行为偏离了正常行为的域值，那么就是有入侵的产生。对于用户所生成的每一个审计记录，系统经计算生成一个单独的检测统计值T2 ，用来综合表明最近用户行为的异常程度 较大的T2 值将指示有异常行为的发生，而接近于零的T2 值则指示正常的行为。统计值 T2本身是一个对多个测量值异常度的综合评价指标。假设有n个测量值表示为Si ，（1<=i<=n ），则T2 =a1S12+a2S22+…+anSn2，其中 ai（1<=i<=n ） 表示第i个测量值的权重。