滨江学院课程论文题目入侵检测技术的发展院系计算机系专业软件工程学生姓名学号指导教师职称副教授二Ｏ一二年十二月十五日入侵检测技术的发展黄杰飞南京信息工程大学滨江学院软件工程专业，南京210044摘要入侵检测是一种更深层次上进行“主动”网络安全防御的措施，它不仅可以通过监测网络实现对内部的攻击、外部入侵和误操作的实时保护，有效地弥补防火墙的不足，而且能结合其他网络安全产品，对网络进行全方位的保护，具有主动性和实时性的特点。
通过这次的研究，一定能对入侵检测有更加深刻的了解，在此期间我可通过看书、查阅资料、询问老师等途径，进行了深入的了解。
现在不仅明白了入侵检测的发展趋势，还学会了如何使用入侵检测软件，今后会进行更加深刻的研究。
关键词入侵检测概述入侵检测系统分类分布式入侵检测入侵检测技术发展趋势1引言1.1研究背景计算机网络特别是Internet的高速发展和大范围的普及，个人、企业以及政府部门越来越多地依靠网络传递信息, 然而网络的开放性与共享性容易使它受到外界的攻击与破坏,信息的安全保密性受到严重影响。
在计算机上处理业务已由基于单机的数学运算、文件处理，基于简单连结的内部网络的内部业务处理、办公自动化等发展到基于企业复杂的内部网、企业外部网、全球互联网的企业级计算机处理系统和世界范围内的信息共享和业务处理。
在信息处理能力提高的同时，系统的连结能力也在不断的提高。
但在连结信息能力、流通能力提高的同时，基于网络连接的安全问题也日益突出，黑客攻击日益猖獗，防范问题日趋严峻。
绝大多数人在谈到网络安全时，首先会想到防火墙、杀毒软件、加密软件等。
但是，防火墙、杀毒软件、加密软件等关注于被动的“防护”，随着攻击者知识的日趋成熟，攻击工具与手法的日趋复杂多样，人们越来越清醒地认识到，仅仅依靠现有的防护措施来维护系统安全是远远不够的。
1.2开发意义在入侵检测技术之前，大量的安全机制都是根据从主观的角度设计的,他们没有根据网络攻击的具体行为来决定安全对策，因此，它们对入侵行为的反应非常迟钝，很难发现未知的攻击行为，不能根据网络行为的变化来及时地调整系统的安全策略。
而入侵检测技术正是根据网络攻击行为而进行设计的，它不仅能够发现已知入侵行为，而且有能力发现未知的入侵行为，并可以通过学习和分析入侵手段，及时地调整系统策略以加强系统的安全性。
2．入侵检测概述网络入侵可以破坏信息系统的完整性、机密性、可信性的任何网络活动。
防范网络入侵最常用的方法就是防火墙。
防火墙（Firewall）是设置在不同网络（如可信任的企业内部网和不可信任的公共网）或网络安全域之间的一系列部件的组合,它属于网络层安全技术,其作用是为了保护与互联网相连的企业内部网络或单独节点。
它具有简单实用的特点，并且透明度高，可以在不修改原有网络应用系统的情况下达到一定的安全要求。
但是，防火墙只是一种被动防御性的网络安全工具，仅仅使用防火墙是不够的。
首先，入侵者可以找到防火墙的漏洞，绕过防火墙进行攻击。
其次，防火墙对来自内部的攻击无能为力。
它所提供的服务方式是要么都拒绝，要么都通过,不能检查出经过他的合法流量中是否包含着恶意的入侵代码，这是远远不能满足用户复杂的应用要求的。
2.1入侵检测的概念入侵检测是指在计算机网络或计算机系统中的若干关键点收集信息并对收集到信息进行分析，从而判断网络或系统中是否有违反安全策略的行为和被攻击的迹象。
它是对入侵行为的发觉。
入侵检测作为安全技术，其主要目的在于：第一，识别入侵者；第二，识别入侵行为；第三，检测和监视已成功的某个突破；第四，为对抗入侵及时提供重要信息，阻止事件的发生和事态的扩大。
所以说，入侵检测对建立一个安全系统来说是非常有必要的，它可以弥补传统安全保护措施的不足。
因此，入侵检测系统可以弥补防火墙的不足，为网络提高实时的入侵检测并采取相应的防护手段。
入侵检测系统可以看做是防火墙之后的第二道安全闸门，是对防火墙的重要补充，它在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时检测。
对一个成功的入侵检测技术系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。
更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。
而且，入侵检测技术的规模还应根据网络威胁、系统构造和安全需求的改变而改变。
入侵检测技术系统在发现入侵后，会及时做出响应，包括切断网络连接、记录事件和报警等。
2.2入侵检测过程入侵检测技术的典型过程是：信息收集、信息（数据）预处理，数据的检测分析、根据安全策略做出响应。
有的还包括检测效果的评估。
信息收集是指从网络或系统的关键点得到原始数据，这里的数据包括原始的网络数据包，系统的审计日志、应用程序日志等原始信息；数据预处理是指对收集到数据进行预处理，将其转化为检测器所需要的格式，也包括对冗余信息的去除，即数据简约；数据的检测分析是指利用各种算法建立检测器模型，并对输入的数据进行分析，以判断入侵行为的发生与否。
入侵检测的效果如果如何将直接取决于检测算法的好坏。
这里所说的响应是指产生检测报告，通知管理员，断开网络连接，或更改防火墙的配置等积极的防御措施。
入侵检测被认为是防火墙之后的第二道防线，是动态安全的核心技术之一。
入侵检测技术利用的信息一般来自以下四个方面：系统和网络日志文件：黑客经常在系统日志文件中留下他们的踪迹，因此，充分利用系统和网络日志文件信息是检测技术入侵的必要条件。
日志中包含发生在系统和网络上的不寻常和不期望活动的证据，这些证据可以指出有人正在入侵或已成功入侵了系统。
通过查看日志文件，能够发现成功的入侵或入侵企图，并很快地启动相应的应急响应程序。
日志文件中记录了各种行为类型，每种类型又包含不同的信息，例如记录“用户活动”类型的日志，就包含登录、用户ID改变、用户对文件的访问、授权和认证信息等内容。
很显然地，对用户活动来讲，不正常的或不期望的行为就是重复登录失败、登录到不期望的位置以及非授权的企图访问重要文件等等。
●目录和文件中的不期望的改变：网络环境中的文件系统包含很多软件和数据文件，包含重要信息的文件和私有数据文件经常是黑客修改或破坏的目标。
目录和文件中的不期望的改变（包括修改、创建和删除），特别是那些正常情况下限制访问的，很可能就是一种入侵产生的指示和信号。
黑客经常替换、修改和破坏他们获得访问权的系统上的文件，同时为了隐藏系统中他们的表现及活动痕迹，都会尽力去替换系统程序或修改系统日志文件。
●程序执行中的不期望行为：网络系统上的程序执行一般包括操作系统、网络服务、用户起动的程序和特定目的的应用，例如数据库服务器。
每个在系统上执行的程序由一到多个进程来实现。
每个进程执行在具有不同权限的环境中，这种环境控制着进程可访问的系统资源、程序和数据文件等。
一个进程的执行行为由它运行时执行的操作来表现，操作执行的方式不同，它利用的系统资源也就不同。
操作包括计算、文件传输、设备和其它进程，以及与网络间其它进程的通讯。
一个进程出现了不期望的行为可能表明黑客正在入侵你的系统。
黑客可能会将程序或服务的运行分解，从而导致它失败，或者是以非用户或管理员意图的方式操作。
●物理形式的入侵信息：这包括两个方面的内容，一是未授权的对网络硬件连接；二是对物理资源的未授权访问。
黑客会想方设法去突破网络的周边防卫，如果他们能够在物理上访问内部网，就能安装他们自己的设备和软件。
依此，黑客就可以知道网上的由用户加上去的不安全（未授权）设备，然后利用这些设备访问网络。
例如，用户在家里可能安装Modem以访问远程办公室，与此同时黑客正在利用自动工具来识别在公共电话线上的Modem，如果一拨号访问流量经过了这些自动工具，那么这一拨号访问就成为了威胁网络安全的后门。
黑客就会利用这个后门来访问内部网，从而越过了内部网络原有的防护措施，然后捕获网络流量，进而攻击其它系统，并偷取敏感的私有信息等等。
入侵检测的一个基本工具是审计记录。
审计记录包含主体、动作、客体、异常条件、资源使用、时间戳等六个领域，用户活动的记录应作为入侵检测系统的输入。
一般采用下面两种方法：●原始审计记录：几乎所有的多用户操作系统都有收集用户活动信息的审计软件。
使用这些信息的好处是不需要再额外使用收集软件。
其缺点是审计记录可能没有包含所需的信息，或者信息没有以方便的形式保存。
●检测专用的审计记录：使用的收集工具可以只记录入侵检测系统所需要的审计记录。
此方法的优点在于提供商的软件可适用于不同的系统。
缺点是一台机器要运行两个审计包管理软件，需要额外的开销。
2.3入侵检测系统入侵检测系统是完成入侵检测功能的软件、硬件的组合。
入侵检测系统是对敌对攻击在适当的时间内进行检测并做出响应的一种工具。
入侵检测系统是网络安全防护体系的重要组成部分，是一种主动的网络安全防护措施。
IDS从系统内部和各种网络资源中主动采集信息，从中分析可能的网络入侵或攻击。
一般来说IDS还应对入侵行为做出紧急响应。
IDS包括事件生成器、事件分析器、事件数据库、响应单元、目录服务器等五个实体。
一般来说，入侵检测系统的主要功能有：●监测并分析用户和系统的活动；●检查系统配置与漏洞；●识别已知的攻击行为并报警；●统计并分析异常行为●对操作系统进行日志管理，并识别违反安全策略的用户活动。
3.入侵检测系统分类对现有的入侵检测系统可以用以下几种方法进行分类：根据检测的对象分为基于主机的入侵检测、基于网络的入侵检测、基于主机和基于网络的混合型入侵检测；根据检测技术原理分为异常检测和误用检测；根据其工作方式分为离线检测系统和在线检测系统；根据体系结构可分为集中式和分布式；还可以根据其他一些特征进行分类；等等。
3.1基于检测对象分类按照检测对象或者数据来源的不同，可分为基于主机的入侵检测系统、基于网络的入侵检测系统和混合入侵检测系统三类。
基于主机的入侵检测系统原理是在每一个需要保护的主机上运行一个代理程序，根据主机的审计数据和系统的日志发现可疑事件，监测系统可以运行在被检测的主机上，从而实现监控。
基于主机的入侵检测系统如图：基于主机的入侵检测系统的优点：●能确定攻击是否成功。
●监控更为细致。
●配置灵活。
●适用于加密和交换的环境。
●对网络流量不敏感。
基于主机的入侵检测系统的缺点：●无法了解发生在下层协议的入侵活动。
●监测不到网络上的情况，只能为单机提供安全防护。
●占用一定的主机资源，使服务器产生额外的开销。
●缺乏对平台的支持，可移植性差。
基于网络的入侵检测系统通过监听网络中的分组数据包来获得分析攻击的数据源，分析可疑现象。
它通常使用报文的模式匹配或模式匹配序列来定义规则，检测时将监听到的报文与规则相比较，根据比较的结果来判断是否有非正常的网络行为。
![入侵检测技术[论文]](https://img.taocdn.com/s1/m/d24be0090740be1e650e9a53.png)
