基于啟發式規則的入侵檢測技術研究畢業論文-文庫吧

【正文】 ...................... 96 匹配性能 ....................................................... 96 分類器性能 ..................................................... 98 本章小結 .................................................... 99 第七章 總結與展望 ...................................... 100 本論文對相關項目的貢獻 ..................................... 100 本論文的總結 ............................................... 100 關于未來研究的展望 ......................................... 101 參考文獻 .............................................. 102 致 謝 ................................................ 104 在讀期間發表的學術論文與取得的其他研究成果 錯誤 !未定義書簽。 第一章 緒 論 1 第一章 緒 論 研究 背景 隨著網絡和計算機技術的不斷發展，人類社會進入了一個嶄新的互聯網時代。科技發展的日新月異，對推動社會發展和人類進步具有不可忽視的重要意義。而以計算機和網絡技術為代表的 IT 產業更 是位于科技發展的技術前沿，并且直接引導了互聯網的一次次技術革命， 人類社會的各個領域都在發生著前所未有的重大變革，人類社會正在走進信息化社會 。 然而 隨著網絡技術、網絡規模和網絡應用的高速發展 ， 個人和 各種 組織 ，包括政府、企業、軍隊，都越來越依賴于信息系統、 通信 網絡以及與之相關的自動 化應用 。 同時 也為 網絡 攻擊提供了 便利 條件 ， 攻擊技術快速發展，呈現出多元化、復雜化和智能化的 發展 趨勢， 攻擊 頻度和規模逐年遞增 。 以國家計算機網絡應急技術處理協調中心 (CNCERT/CC)在 2020 年發布的報告為例， 2020 年， CNCERT/CC 接收的網絡仿冒、垃圾郵件和網頁惡意代碼等非掃描類網絡安全事件報告總數為 4390 件，大大超出去年同期水平，與 2020年相比，網絡仿冒事件增長 倍，垃圾郵件事件增長 1 倍，網頁惡意代碼事件增長 倍。同時據抽樣顯示， 2020 年，境內外控制者利用木馬控制端對主機進行控制的事件中，木馬控制端 IP 地址總數為 433， 429 個，被控制端 IP 地址總數為 2， 861， 621 個，比去年同期均有較大幅度的增長。 下面對目前的網絡安全現狀進行具體分析。首先，在當前的網絡狀況下，各種病毒和攻擊方法不斷更新換代，安全威脅的種類 越來越多，升級的頻率越來越快，所能影響的范圍也越來越廣。 目前存在的安全威脅主要有以下幾種 ： 1)系統破壞 ： 入侵行為往往對系統造成極大的破壞，主要表現在網絡性能變差，影響網絡服務的質量甚至無法提供正常的服務，主機速度變慢，程序運行異常，系統無法正常工作，嚴重時導致系統崩潰。系統遭到破壞產生的直接后果就是用戶無法使用電腦進行正常工作。目前，網絡已經成為許多企業和用戶工作的重要工具，系統的破壞將嚴重影響企業的正常運營和用戶的工作，對企業和個人造成重大的經濟損失。 2)信息泄漏 ： 企業網絡及個人的主機上有許多重要信 息和資料，有些保密第一章 緒 論 2 級別很高，不能對外公開。對于個人來說，個人隱私的泄漏會給人們帶來許多不必要的麻煩，如各種電話、短信、垃圾郵件的騷擾等，嚴重時會對人們的生活造成極大的影響。此外，個人網上銀行賬戶的泄漏會對個人的財產造成重大的損失，某些網絡賬號和密碼的被竊，會被入侵者用來做一些違背用戶個人意愿的事情，有時甚至會是違法的事情。對于企業來說，商場如戰場，而商機往往由及時可靠的信息獲取來決定，許多公司企業的網絡中往往會存在一些涉及商業機密的重要文件，這些文件往往成為一些商業計劃成敗的關鍵，一旦泄漏，對公司企業的打擊 是沉重的。信息泄漏的危害很大，甚至會威脅到政府和國家的安全。政府的重要文件和國家機密作為一個國家最為重要的信息，往往決定著國家的重大決策，把握著國家的經濟命脈，影響范圍十分廣泛，涉及國家金融、經濟、軍事、安全的各個方面，現在政府都建立了自己的網站，方便政府的辦公，但是同時也增加了這些重要的文件及機密泄漏的風險。所以信息泄漏是網絡安全領域的重要問題，危害十分嚴重。 3)數據損毀 ： 網絡中最重要的資源就是數據，網絡提供的一切服務以及在網絡中傳輸的任何信息，其實就是一堆數據。數據損毀主要是對數據完整性的破壞，包括數 據的損壞和丟失，導致數據損毀的原因是多方面的，有人為的因素，如入侵者的刪除和蓄意破壞用戶個人的錯誤操作，誤刪或沒有保存。也有來自系統本身的原因，如系統崩潰導致數據損毀，存儲介質故障導致數據損毀。還有一些外來的因素，如突然斷電造成的數據損毀。其中，因為入侵行為而導致的數據損毀是最為常見而又很難防范的。在沒有很好的數據保護管理機制的情況下，重要數據的損毀對企業和個人往往是災難性的，很多人面對重要數據的丟失往往是欲哭無淚，訴求無門。 4)非法控制 ： 入侵者在成功入侵某些機關、企業或個人的主機后，往往會在被入侵主機中 植入木馬，留下后門，方便其對主機進行長期的非法控制。在這種情況下，除了可能出現前面提到的三種情況外，還可能會出現一些意想不到的嚴重后果，造成災難性的危害。 2020 年，美國海軍航空中心的電腦被黑客入侵，通過對被入侵電腦的控制，該黑客甚至可以操控軍用導彈的發射，一場人為的災難就因為網絡系統的安全問題而掌握在入侵者的一念之間，其后果多么可怕。 網絡和計算機技術的進步，在給人類的生活帶來極大便利的同時，也為黑和惡意攻擊者提供了入侵的手段和條件。同時，正是由于當前的網絡規模不斷大，所涉及的用戶范圍不斷增加，一旦發生有 組織，大規模的網絡入侵事件，所造成的影響也就越惡劣， 據國際網絡安全專家分析，目前世界范圍內的網絡第一章 緒 論 3 安全防護仍然處于薄弱狀態：百分之九十五的網絡攻擊沒有被檢測到，而所檢測到的網絡攻擊也只有百分之十五被報告；中國國內 80％的網站存在安全隱患， 20％的網站有嚴重安全問題 。 這無疑給網絡安全技術提出了新的挑戰。 國內外研究現狀 入侵檢測的研究可追溯到 20 世紀 80 年代，早在 1980 年， Anderson 等人就給出了入侵檢測的概念，并提出利用審計信息來跟蹤用戶可疑行為的入侵檢測方法。隨著網絡的興起，網絡的安全問題日 益嚴重，入侵檢測得到了重視，廣泛的發展起來。 目前國內外關于信息安全的國際會議已有上百個，比較有影響的有IFIP/SEC， ACM CCS， ISC， ICICS， CIS， CNCC， NDSS 等。 ACM， Springer，Elsevier， IEEE 等國際知名組織和出版商每年都會刊登大量的相關文章，出版相應的論文集。其中，國際信息處理 聯合會 IFIP 召開的世界計算機大會(IFIP/WCC)下面的安全會議 (IFIP/SEC)是信息安全領域的國際頂級學術會議，因其引領技術潮流而備受各國信息安全界的關注，而入侵檢測一直是 IFIP/SEC會的主要議題之一。 IFIP/SEC 主要由 IFIP 信息安全專委會 TC11 負責，第一屆IFIP/SEC 信息安全國際會議于 1983 年 5 月在瑞典斯德哥爾摩召開，每年召開一次，到 2020 年已召開 24 屆。需要特別提到的是 2020 年世界計算機大會IFIP/WCC2020 在北京舉行，江澤民主席在會議開幕式上致詞，國內著名信息安全專家卿斯漢為 IFIP/SEC2020 程序委員會主席，充分說明信息安全問題在中國已經受到了足夠的關注和重視，相關的研究已經與國際社會接軌，并得到國際社會的認可。國際信息與通信安全會議 ICICS 是國內信息安全領域的頂級會議，也是國際公認的第一流國際會議，由中科院軟件研究所主辦。 ICICS 為國內外信息安全學者與專家齊聚一堂，探討國際信息安全前沿技術提供了難得的機會，對促進國內外的學術交流，促進我國信息安全學科的發展做出了重要的貢獻。 國外從事信息安全入侵檢測研究的主要機構有 ： 喬治敦大學，普渡大學COAST 實驗室， SRI 公司計算機科學實驗室 (SRI/CLS )， Haystack 實驗室，加州大學戴維斯分校，加州大學圣塔芭芭拉分校，洛斯阿拉莫斯國家實驗室、哥倫比亞大學、新墨西哥大學等。其中， SRI/CSL、普渡大學、加州大學戴維斯分校、洛斯阿拉莫斯國家實驗室、哥倫比亞大學、新墨西哥大學等機構在這些方面的研究代表了當前的最高水平。國內從事信息安全入侵檢測研究的主要機第一章 緒 論 4 構有 ： 中科院，國防科技大學、哈爾濱工業大學、上海交通大學、北京郵電大學等。近年來，以信息安全專家卿斯漢、方濱興、馮登國、李建華、周仲義、陳恭亮、唐正軍為代表的眾多國內信息安全研究人員在入侵檢測領域取得了豐碩的研究成果，發表了大量的文獻和專著 。 卿斯漢等人定期會撰寫介紹入侵檢測研究現狀的文章，發表在國內權威期刊上，這對于國內信息安全研究人員了解相關 領域的研究動態起了很好的幫助作用。 近幾年，隨著人們對信息安全的認識不斷提升，信息安全問題越來越引起人們的重視，入侵檢測系統的市場更是飛速發展，許多公司投入到這一領域，推出了自己的產品。國外的企業及其產品有 ： Sourcefire 公司 (現被 Barracuda Networks INC 收購 )的 Snort， ISS(Inter Security System)公司的 RealSecure， Cisco 公司的 Secure IDS(前身為 NetRanger )， Axent Technologies 公司 (現被Symantec 收購 )的 Netprowler/Intruder Alert， CA 公司的 SessionWall3/eTrust Intrusion Detection， NFR 公司的 NID， NAI 公司的 C 如 erCop Monitor 等。國內在入侵檢測研究方面雖然起步較晚，但發展很快，目前在公安部取得銷售許可證的安全廠商已有 30 余家，主要的企業及其產品有 ： 啟明星辰 (VenusTech)的天聞、北方計算 中心 的 NIDS detector、遠東科技的黑客煞星、金諾網安的KIDS、綠盟的冰之眼 IDS 等。 經過二十來年的 研究與發展，入侵檢測已經從最初簡單的基于審計信息的單機檢測模式，發展到以網絡為平臺，研究內容豐富，涉及領域廣泛的一門綜合性學科。網絡入侵檢測各領域研究現狀如下 ： 1) IDS 體系結構研究 IDS 體系結構研究的內容是系統各功能部件以及部件之間的聯系，它定義了 IDS 的各個功能模塊以及模塊間的關系，決定了 IDS 的功能、性能以及適用的場合。 (1)集中式 ： 這種結構的工 DS 可能有多個分布于不同主機上的審計程序，但只有一個中央入侵檢測服務器。審計程序把當地收集到的數據發送給中央服務器進行分析處理。 這種結構的 IDS 無法 適應大規模網絡環境，在可伸縮性、可配置性方面存在致命缺陷 ： ①隨著網絡規模的增加，導致網絡性能大大降低。②系統安全性脆弱，一旦中央服務器出現故障，整個系統就會陷入癱瘓 ； ③根據各個主機不同需求配置服務器也非常復雜。 (2)等級式 ： 為了克服集中的缺點，等級式 IDS 被提出來。它用來監控大型網絡，定義了若干個分等級的監控區，每個 IDS 負責一個區，每一級 IDS 只負第一章 緒 論 5 責所監控區的分析，然后將當地的分析結果傳送給上一級 IDS。 這種結構仍存在兩個問題 ： ①當網絡拓撲結構改變時，區域分析結果的匯總機制也需要做相應的調整 ； ②這種結 構的 IDS 最后還是要把各地收集到的結果傳送到最高級的檢測服務器進行全局分析，所以系統的安全性并沒有實質性的改進。 (3)分布式 ： 將中央檢測服務器的任務分配給多個基于主機的 IDS，這些 IDS不分等級，各司其職，負責監控當地主機的某些活動。所以，其可伸縮性、安全性都得到了顯著的提高，但維護成本卻高了很多，并且增加了所監控主機的工作負荷，如通信機制、審計開銷、蹤跡分析等。 2)網絡攻擊模型研究 網絡攻擊模型的建立對于了解網絡攻擊原理，分析網絡入侵過程，評估網絡安全程度有著重要的意義，對于 IDS 的部署有著重要的指導 作用。 網絡攻擊模型的建模方法主要有四種，分別是攻擊樹、攻擊網、狀態轉移圖和攻擊圖。其中攻擊圖的建模方法最為有效，也是目前研究的重點。早期，攻擊圖由 Red Teams 通過對系統的脆弱性分析，手動生成，當網絡規模較大時，這種方式效率很低。目前，網絡攻擊圖自動生成的研究主要有兩種方法 ： 基于模型檢測技術的方法和基于圖論的方法 。 3)入侵行為特征提取方法研究 數據源是入侵檢測系統的重要模塊，為入侵檢測提供原始數據，面對網絡系統中大量的數據信息，有效的提取入侵行為的特征對于入侵檢測的檢測率、可靠性及實時性都有著重要的 影響。 網絡系統中的數據源有兩