防火墙系统中入侵检测的研究

关键词　网络安全防火墙入侵检测入侵防御　一　问题的提出　随着计算机技术的发展，以Ｉｎｔｅｒｎｅｔ为代表的信息网　络技术正日益普及，应用领域已从小型的应用系统逐渐向　大型关键业务系统扩展，信息网络已经深入到我们生活的　各个领域，它无处不在，正改变着我们的工作方式和生活　方式。随之而来，网络安全问题也已成为人们关注的问　题。通常，一般采用防火墙作为第一道防线，入侵检测系　统（ＩＤＳ）作为第二道防线。但是从近期网络安全事件对　网络造成的巨大破坏中可以感受到，目前单一的防火墙加　入侵检测系统策略，已无法满足对网络安全要求较高的部　门之需。正是在此背景下，入侵防御系统成为安全领域研　究的热点。　二．　防火墙和入侵检测系统的弱点　当前，很多局域网都是由防火墙和入侵检测系统构成　一个相对安全的防御体系。然而传统意义上的防火墙在使　用过程中存在着许多不足：　（１）通常意义上的防火墙使用不够灵活，策略定制不　方便，管理比较烦琐；　（２）对于内网的攻击，防火墙通常无能为力。防火墙　的功能通常是对外屏蔽内网的拓扑结构，封闭外网用户连　接内网的重要站点和一些端口；对内可屏蔽外部危险网站。　故防外不防内；　（３）防火墙对病毒没有办法完全阻挡。如恶意代码夹　在电子邮件中躲过防火墙的检验；当病毒感染了０Ａ服务　器后，０Ａ服务器就会成为病毒的中转站；当内网的的客　户机中毒后，客户机也会成为攻击点。　入侵检测系统是一种能够及时发现网络隐患的安全技　统的研究　肇庆广播电视大学蔡俊杰　传统的防火墙、入侵检测系统在一定程度上构　动响应功能，并随着网络入侵行为的增加和网　护措施已经不能挡住各种攻击，企事业单位更　防御系统（ｆＰＳ）已成为必须。　术，当前已成为很多内网防御体系的重要组成部分，成为　防火墙的有力补充，它不但有助于防火墙对付网络攻击，　而且扩展了系统管理员的管理能力，但目前技术上仍然存　在较多问题：　（１）入侵检测系统响应机制中防火墙定制的策略或协　议的重置都会造成延时；　（２）入侵检测系统无法分析网络中加密的数据流；　（３）入侵检测系统对新的或者变异的入侵行为识别率　较低｝　（４）入侵检测系统只能检测到一部分攻击，而不能阻　断攻击。　随着网络入侵事件的不断增加和黑客攻击水平的不断　提高，尤其是混合攻击技术不断发展，单一的防护已不能　满足客户的要求，企业要求得到多层次、深层次的防御保　护，传统意义上的防火墙加入侵检测系统已显得力不从心，　这就必需引入一种新的技术——入侵防御系统（ＩＰＳ）。　Ｉ　ＰＳ提供真正意义上的深层次防御体系，它不但能够　发现恶意代码，而且能够主动抵御恶意代码的攻击。　三　入侵防御系统的工作原理　ＩＰＳ作为一种新型防御技术已经成为当前研究的热　点。ＩＰＳ与传统的ＩＤＳ相比，在实时发现、阻断攻击、防　御未知攻击和防御主动性方面均有着无可比拟的优势。　ＩＰＳ在物理上的结构实现以及设计思想都沿袭了ＩＤＳ　的设计特点，但在数据的处理和语法规则等方面均作了较　大的改进，主要表现为添加策略更加方便，同时又能检测　出新的未知攻击。它首先由信息采集模块实施信息采集，　包括数据包、系统审计数据、用户活动状态及网络行为等，

Ａｎａ１ｙｓｉ　Ｓ　ａｎｄ　Ｒｅｓｅａｒｃｈ　Ｏｉｌ　Ｉｎｖａｄｅ　ＤｅｔｅｃｔｉＯｉｌ　Ｓｙｓｔｅｍ　彭斌　Ｐｅｎｇ　Ｂｉｎ　（江西交通职业技术学院，南昌３３００１３）　（Ｊｉａｎｇｘｉ　Ｃｏｍｍｕｎｉｃａｔｉｏｎｓ　Ｖｏｃａｔｉｏｎａｌ　ａｎｄ　Ｔｅｃｈｎｉｃａｌ　Ｃｏｌｌｅｇｅ，Ｎａｎｃｈａｎｇ　３３００１３）　摘　要：介绍了一种新的网络安全技术…入侵检测系统，它是一种以攻为守的主动式防御措施，而且是针对网络内　部攻击进行防御。本文涉及了入侵检测系统的诸多方面，为进行入侵检测系统的研究提供相应的理论依据。　关键字：入侵检测系统（Ｉ　Ｄ　Ｓ）：数据挖掘：网络安全　中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　，文章编号：１　６７１—４７９２一（２００７）１—００４６—０３　Ａｂｓｔｒａｃｔ：ｉｎｔｒｏｄｕｃｅｓ　ａ　ｎｅｗ　ｓｅｃｕｒｉｔｙ　ｔｅｃｈｎｏｌｏｇｙ－－Ｉｎｖａｄｅ　Ｄｅｔｅｃｔｉｏｎ．Ｉｔ　ｉ　Ｓ　ａｎ　ａｃｔｉｖｅ　ｍｅａｓｕｒｅ　ｂａｓｅｄ　ｏｎ　ａｔｔａｃｋ．　Ｉｔ　ｌａｙｓ　ｅｍｐｈａｓｉｓ　ｏｎ　ｉｎｓｉｄｅ　ａｔｔａｃｋ．Ｔｈｉｓ　ａｒｔｉｃｌｅ　ｉｎｖｏｌｖｅｓ　ｍａｎｙ　ａｓｐｅｃｔｓ　ｏｆ　ｔｈｅ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ．Ｉｔ　ｏｆｆｅｒｓ　ｓｏｍｅ　ｔｈｅｏｒｉｅｓ　ｒｅｌｉａｎｃｅ　ｆｏｒ　ｔｈｅ　ｓｔｕｄｙ　ｏｆ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ．　Ｋｅｖｗｏｒｄｓ：ｌ　ｎｖａｄｅ　Ｄｅｔｅｃｔｉｏｎ　Ｓｙｓｔｅｍ：Ｄａｔａ　Ｍｉｎｉｎｇ；Ｎｅｔｗｏｒｋ　Ｓｅｃｕｒｉｔｙ　０引言　随着计算机网络技术的飞速发展，复杂的网络环境暴露　出来的安全隐患引起了我们的重视，网络入侵带来的严重问　题已不容我们忽视。而一些传统的网络安全技术，如访问控　制机制、加密、防火墙等已不能满足网络安全的要求，因此　逐渐成熟起来的入侵检测系统（ＩＤＳ）为我们提供了一定的保　障。　１入侵检测系统概述　１．１定义及功能　人侵检测，顾名思义，是对入侵的一种检测行为，它是　“通过从计算机网络或计算机系统中的若干关键点收集信息　并对其进行分析，从中发现网络或系统中是否有违反安全策　略的行为和遭到袭击的迹象”。作为一种主要的安全防护工　具，它弥补了防火墙的很多不足，甚至在很多方面可以取而　代之。相对于采用封锁、过滤等被动防御的防火墙而言，入　侵检测系统能实现主动的发现网络中非法入侵，并采取相应　的措施记录，报警，阻断网络等，防止危害的扩大。入侵检　测系统的主要功能是检测系统并分析用户和系统的活动，检　查系统配置中的安全漏洞，评估系统关键资源与数据库文件　的完整性，识别现有已知的攻击行为或用户滥用，统计并分　析异常行为，对系统日志的管理与维护。　１．２入侵检测系统的分类　传统的入侵检测系统是根据检测对象的不同可分成基于　主机的入侵检测系统（ＨＩＤＳ）和基于网络的入侵检测系统　（ＮＩＤＳ　ｏ　ＨＩＤＳ主要以系统日志、应用程序Ｆ１志为基础，分析　和审计单个主机的网络数据，从中寻找入侵的行为。ＮＩＤｓ一　般在共享式的网络中，通过嗅探、监听所有本网段的数据包　来分析可能的入侵痕迹。根据所采用的分析技术可分成异常　发现和模式匹配。基于模式匹配技术的入侵检测系统是建立　在对过去各种已知网络的入侵方法和系统缺陷的基础之上　的，它通过建立一个包含这些信息的库，然后根据收集的网　络数据信息与库中的项相比较。当发现符合条件的活动记录　后，根据管理员的配置做相应的反应，如记录或中断网络，　因此它可以快速准确的检测到已知的攻击行为。基于异常发　现技术的ＩＤＳ通过建立一组系统在正常条件下的资源与设备　的情况，然后将系统运行时的相应数据值与之相比，从而判　断系统是否有受攻击的迹象。基于模式匹配的ＩＤＳ虽然很快　速的检测到某种入侵行为，但它必须建立在人为收集的资料　库的之上的，就像杀毒软件一样，必须经常更新你的病毒库。　所以当出现新的入侵行为时，这种针对性很强的入侵检测就　无能为力了。基于异常的检测技术虽然能检测到所有的异　常，但是出现异常不等于有了攻击行为，因为存在四种可能　的模型：入侵而非异常，入侵异常，非入侵非异常，非入侵　

实验一

PIX 防火墙配置

一

实验目的

通过该实验了解 PIX 防火墙的软硬件组成结构，掌握 PIX

防火墙的工作模式，熟悉 PIX 防火墙的 6 条基本指令，掌握 PIX 防火墙的动态、静态地址映射技术，掌握 PIX 防火墙的管道配置，熟悉

PIX 防火墙在小型局域网中的应用。

二、 实验任务观察 PIX 防火墙的硬件结构，掌握硬件连线方查看 PIX 防火墙的软件信息，掌握软件的配置了解 PIX 防火墙的 6 条基本指令，实现内网主机访问外网主机

三、 实验设备PIX501 防火墙一台， CISCO 2950

交换机两台，控制线一根，网络连接线若干， PC机若 干

四、 实验拓扑图及内容

实验过程：

1． 将路由器的模拟成个人电脑，配置 IP 地址，内网 IP 地址是 20.1.1.2 ，外网 IP 地址10.1.1.2 ，命令配置过程截图如下：

R1：

R2：

2． 在 PIX防火墙上配置内外网端口的 IP 地址，和进行静态地址翻译：

五、 实验总结

检查效果：

1． 内网 Ping 外网：

2． 外网 Ping 内网： 这次试验命令不多，有基本的 IP 地址配置、内外网之间使用 stataic 静态地址映射、再

使用访问控制列表允许 ping 命令。

实验二 ASA防火墙配置

一、 实验目的

通过该实验了解 ASA 防火墙的软硬件组成结构， 掌握

ASA防火墙的工作模式， 熟悉 ASA

防火墙的基本指令，掌握 ASA 防火墙的动态、静态地址映射技术，掌握 ASA 防火墙的访问

控制列表配置，熟悉 ASA防火墙在小型局域网中的应用。

２０１３年第５期　第１２卷（总第６８期）　商丘职业技术学院学报　ＪＯＵＲＮＡＬ　ＯＦ　ＳＨＡＮＧＱＩＵ　ＶＯＣＡＴＩＯＮＡＬ　ＡＮＤ　ＴＥＣＨＮＩＣＡＬ　ＣＯＬＬＥＧＥ　Ｖｏ１．１２，Ｎｏ．５　Ｏｃｔ．，２０１３　

文章编号：１６７１～８１２７（２０１３）０５—００２４—０３　

入侵检测系统研究现状及发展趋势　

李东灵　，王　健　

（１．商丘职业技术学院，河南商丘４７６１００；２．国家电网河南省电力公司商丘供电公司，河南商丘４７６１０Ｏ）　

摘要：本文对入侵检测系统进行了详细论述，并从不同的分类进行分别研究分析，最后提出对目前的入侵检　测系统应当改进的地方提出新的想法及以后的发展趋势．　关键词：网络；入侵检测；防火墙　

中图分类号：ＴＰ３９３．０８　文献标识码：Ａ　

防火墙系统本身可以很好的控制那些不被允许访问您内部网络的一种行为，传统的入侵检测系统可以　

监管网络内部的一切网络行为，但对于有权力进入内部网络的入侵行为来说，必须要有一套防御措施才能有　

效地抵御传统防火墙系统所不能发现的攻击行为．正如权威机构Ｇａｒｔｎｅｒ在２００３年６月发布的一个相关研　

究报告中称，传统的防火墙技术已“死”，而单纯的网络安全技术不但不能给网络带来安全，相反会增加管理　

员的维护难度，建议用户使用ＤＩＤＳ来代替．　

１　入侵检测系统简介　

入侵攻击的定义是指试图破坏系统网络资源的完整性、可靠性、机密性和可用性的一个动作集合．从目　

前的各个分类角度来看，可以有伪装、入侵、拒绝服务、系统渗透、恶意、泄漏使用等６种类型［１］．　

入侵检测技术就是为了对系统网络资源上的各种非法行为进行识别，并进行相应处理的过程，用来帮助　

系统对应来自网络外部和内部攻击的一种解决方案．采用主动防护的方式，对网络协议的各层次进行全面的　

人侵检测，以提早检测出并防止系统可能遭受的攻击，这样做不仅可以有效地检测出来自网络外部的入侵，　

同时也可以检测到网络内部的行为．入侵检测极大地提高了网络管理员的网络管理能力，保证了信息安全结