入侵检测技术在网络安全中的应用与研究

收稿日期:2012-04-17;修订日期:2012-10-08作者简介:邓小盾（1979-），女，陕西泾阳人，讲师，研究方向：计算机网络。0前言在煤矿网络安全中，网络的开放性、共享性、广泛性是主要的安全隐患，在这种网络环境下常用的网络入侵检测只能检测到来自企业外网的攻击，而对于企业内部的网络攻击与病毒危险束手无策。因此，需要在煤矿企业中使用网络入侵检测技术来保证煤矿网络的安全通信。1影响煤矿网络安全的主要因素（1）网络的广泛性。网络的广泛性是指网络本身所具有的开放性与共享性。一是开放性，开放性意味着企业的网络的外侧是面向开放的互联网事件，这种环境下网络攻击包含数据物理传输的窃取、企业在外网部署的安全硬件、控制软件漏洞利用、底层网络通信协议恶意修改等攻击。二是全球性，由于企业外网是处于全球网络中，这样网路攻击行为也带有全球性。三是自由性，自由性是指互联网用户可以自由地在网络上获取数据信息。（2）防火墙的局限性。网络防火墙对于企业网络攻击防范起到很重要的作用，但其本身也具有局限性。在网络架构中，防火墙位于整个网络中不同网络间，用于隔离不用网络间的安全访问控制。这就意味着它的目标是为了隔离与隐藏受保护区域内部信息。若网络攻击行为是来自于内部用户间攻击，防火墙就起不到什么作用。同时防火墙也是由自身硬件与软件系统构成，若防火墙硬件或者软件控制存在些安全漏洞或者bug，则也容易被网络黑客和恶意攻击者突破，而使企业内网信息暴露于外网中。由于国内煤矿网络安全普遍存在类似问题，煤矿业网络安全管理也得到了广泛关注。2常见的煤矿网络安全管理技术（1）防火墙技术。防火墙分为软件防火墙和硬件防火墙。防火墙是互联网和企业内部网隔离的中间枢纽，它起到保护企业内部网络的作用。在工作原理上主要是通过访问控制来实现安全防范，即企业内部网用户要访问外网时，需要在这里设置访问控制列表。同时当互联网用户访问企业内部网络时，也需要满足相关访问控制原则，否则不给予访问。这样，对于未授权用户就不容易获取企业内部网络信息，起到保护企业内部网络的作用。（2）虚拟专用网技术。虚拟网络技术是指在互联网中开辟一条虚拟链路，通过在公共网络建立企业虚拟主机，外网用户通过该主机建立一条虚拟链路连接到企业内部网络中。此技术实现了远程互联网用户连接到企业内部网技术，为企业分支机构连接到企业核心内部网提供了安全、稳定的扩展技术，它是企业局域网的扩展。（3）安全扫描技术。网络安全扫描是指网络管理员通过该技术扫描企业硬件、软件安全漏洞。通过该技术，网络管理员可以及时发现现有网络硬件和软件中存在的安全漏洞，并能及时做相应的漏洞修补与制定新的网络安全侧率。它扫描的类型有很多种，例如它可以扫描到企业Web服务应用漏洞、服务器主机硬件和软件漏洞、底层通信协议安全漏洞、以及缓冲区溢出攻击或者拒绝服务攻击的漏洞问题等。第32卷第2期2013年2期煤炭技术CoalTechnologyVol.32,No.02February,2013入侵检测技术在煤矿网络安全中的应用研究邓小盾（西安外事学院，西安710077）摘要:随着网络技术的发展，网络攻击、网络密码安全盗取等安全问题越来越猖獗，行业网络安全也越来越受到企业的高度重视。文章重点讨论了在煤矿网络安全中入侵检测技术的应用、影响煤矿网络信息安全产生的原因及主要形式。关键词:计算机网络；信息安全；病毒防护；入侵检测中图分类号:TP393文献标识码:A文章编号:1008-8725（2012）12-0093-02ApplicationofIntrusionDetectionTechnologyinCoalMineNetworkSecurityDENGXiao-dun（Xi'anForeignAffairsCollege,Xi'an710077,China）Abstract:Withthedevelopmentofnetworktechnology,somesafeproblemsbecomemoreandmorerampant,suchasnetworkattack,networkpasswordstolenetc.Theindustrynetworksecurityhasbeenattachedbyenterprises.Inthepaper,Theapplicationofintrusiondetectiontechnologyincoalminenetworksecurityisdiscussed,thereasonsandthemainformofinfluencingnetworkinformationsecurityarealsodiscussed.Keywords:computernetwork;informationsecurity;virusprotection;intrusiondetection图2

龙源期刊网

入侵检测技术在网络安全中的应用分析

作者：王朱劳

来源：《数字技术与应用》2019年第01期

摘要：近些年网络安全受到社会各界的关注，本文主要分析了入侵检测技术在网络安全检测中的的应用流程、入侵检测技术分类，最后以BP神经网络算法为例分析了网络安全入侵检测的具体应用，期望为网络安全的发展提供理论支持。

关键词：入侵检测技术；网络安全；BP神经网络算法

中图分类号：TN9 文献标识码：A 文章编号：1007-9416（2019）01-0209-02

近些年来网络安全事件频发，出现了很多非法入侵、窃取信息、篡改信息的情况，造成了不良影响和巨大的损失。传统的安全技术包括加密技术和防火墙等，这些技术是一种被动式的、静态的防御措施，但是对于内部攻击毫无防御能力。而入侵检测技术有效弥补了传统的安全技术存在的不足，对Dos攻击、Arp攻击等对网络安全造成威胁的入侵行为进行实时动态监控、检测、抵御，是当前网络安全技术的主要研究方向。

1 入侵检测技术在网络安全检测中的应用流程

1.1 收集网络运行信息

入侵检测技术的第一步是收集网络运行信息，包括网络中的活动行为信息、网络数据等，收集的信息要尽可能全面、准确。

1.2 分析已收集的信息

入侵检测技术的信息分析包括模式匹配分析、完整分析、统计分析等，需要结合具体的网络环境选择分析方式。

1.3 实时记录网络信息制定反击措施

入侵检测技术在网络安全检测过程中需要实时记录网络信息以判定是否存在入侵的风险，如果被入侵的风险较高则及时制定反击措施。如切断网络连接重新修复网络安全防火墙。

2 网络中应用的入侵检测技术分类

2.1 基于统计分析入侵检测技术 龙源期刊网

第５期　２０ｏ６年ｌ０月　广东水利水电　ＧＵＡＮＧＤＯＮＧ　ＷＡＴＥＲ　ＲＥＳＯＵＲＣＥＳ　ＡＮＤ　ＨＹＤＲＯＰＯＷＥＲ　Ｎｏ．５　ＯＣＴ　２０ｏ６　

入侵检测技术在网络安全系统中的设计与应用　

孙书，张世发　（广东省水利水电信息中心，广东广州　５１０１５０）　

摘要：该文通过分析广东省水利厅的网络环境及现有的安全措施，论述了基于网络型的入侵检测系统在本单位网络安全系统中的设计与　实现，并分析了未来入侵检测系统的发展趋势。　关键词：网络安全；入侵检测；入侵检测系统　中图分类号：ＴＰ３９３，０８　文献标识码：Ｂ　文章编号：１００８－０１１２（２００６）０５－００７６－０３　

１入侵检测技术概述　随着网络在政府部门的应用越来越普及，网络安全的重要　性也越来越被人们重视。在众多网络安全技术手段中，入侵检测　技术是关键技术之一。入侵检测（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ）技术是指　对入侵行为的发觉并做出反应的过程，它通过监视来自网络的　攻击、非法的闯入、异常进程，实时地检测出是否有违反安全策略　的行为和被攻击的对象，并做出诸如切断服务／重启服务进程／发　出警报／记录入侵过程等动作。进行入侵检测的软件和硬件的组　合就是入侵检测系统（Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ）。　２入侵检测技术的基本原理　入侵检测技术的基础是系统日志和审计跟踪。日志记录了　用户注册时间、地点及要做什么内容，还记录了管理员为以后分　析保存的任何其他动作。审计跟踪能够为系统管理员提供有关　追踪安全侵害和入侵的有价值的信息。其功能原理如图１所示。　

图１入浸检测技术的功能原理　入侵检测技术分为误用检测（ｍｉｓｕｓｅ　ｄｅｔｅｃｔｉｏｎ）和异常检测（ａ．　ｎｏｍａｌｙ　ｄｅｔｅｃｔｉｏｎ）两种…。误用检测事先定义好哪些行为是非法　的（特征库），然后通过对比入侵过程模型及其在被观察系统中留　下的踪迹与特征行为的差异并作出判别。异常检测是通过建立系　统的正常模式轮廓，若实时获得的系统或用户的轮廓与正常的差　异超出指定的阈值，则系统就认为用户该活动为人侵行为。　一般说来，入侵检测系统分为主机型和网络型两种。基于主　机型（ＨＩＤＳ）的入侵检测系统运行于主机上，主要信息来源包括　网络、文件、进程、主机的审计数据和系统日志等。主要监视包括　用户和访问文件的活动，如文件访问、改变文件权限，试图建立新　的可执行文件并且／或者视网访问特殊的设备。基于网络的入侵　检测是监控所有流经网络的数据包，比较适用于大型网络。它将　网络分为若干级监控区，每个监控区都有一个ＩＤＳ，每个区的ＩＤＳ　只负责所监控区的分析，然后将本监控区的分析结果传送给上　一级ＩＤＳ　。　３入侵检测技术对广东省水利厅网络安全建设的意义　３．１　网络安全区域划分　广东省水利厅网络安全区域划分为如下３部分（见图２）：　

龙源期刊网

入侵检测系统及其在网络安全中的应用

作者：许飞 李烨

来源：《中国科技博览》2013年第30期

摘 要：本文首先介绍了网络的安全现状，指出网络的安全形式并没有随着技术的发展而有所缓和，相反却更为严峻，因此有必要研究网络安全问题和开发入侵检测系统。随后介绍了入侵检测系统的基本概念、常用检测方法，并对入侵检测系统的分类进行了阐述。最后提出了目前的入侵检测系统所存在的问题。

关键词：入侵检测系统、网络安全、HIDS、NIDS、IDS攻击

中图分类号：TP393.08

一、入侵检测系统提出的背景

随着计算机网络和Internet的发展，网络安全越来越受到人们的注重和关注。网络中存在的越来越多的攻击行为严重影响了网络性能并威胁着个人隐私的安全。入侵检测系统正是在这种应用背景下快速发展起来的，它是指对所有企图穿越被保护系统安全边界行为的识别并提供可能响应功能的系统。

入侵检测系统（IDS：Intrusion Detection System）作为一种重要的安全部件，是网络与信息安全防护体系的重要组成部分，是传统计算机安全机制的重要补充。IDS通常指入侵保护系统（Intrusion Protection System）或者入侵预防系统（Intrusion Prevention System）。

二、入侵检测的方法

IDS系统的检测方法主要有三种：基于异常的IDS、基于特征的IDS、基于策略的IDS。

1.基于异常的IDS（Anomaly-Based）

异常入侵检测系统记录用户在系统上的活动，并且根据这些记录创建活动的统计报告，如果报告表明它与正常用户的活动有明显的不同，那么检测系统就会将这种活动视为入侵。但如何定义正常的网络流量模式是棘手的。例如，正常情况下一个路由选择更新分组通常源自于网络路由器，但如果来源于一个用户就被视为异常。这种技术在黑客世界被称为欺骗。基于异常的IDS有两种类型：统计异常检测和非统计异常检测。统计异常检测方法在一个时间段内进行交互式流量模式学习。非统计方法中，IDS需要有一个预先定义的配置，定义可接受的或正常的流量模式。