基于啟發(fā)式規(guī)則的入侵檢測技術(shù)研究畢業(yè)論文-wenkub

　

【正文】 人面對重要數(shù)據(jù)的丟失往往是欲哭無淚，訴求無門。數(shù)據(jù)損毀主要是對數(shù)據(jù)完整性的破壞，包括數(shù) 據(jù)的損壞和丟失，導(dǎo)致數(shù)據(jù)損毀的原因是多方面的，有人為的因素，如入侵者的刪除和蓄意破壞用戶個人的錯誤操作，誤刪或沒有保存。信息泄漏的危害很大，甚至?xí){到政府和國家的安全。 2)信息泄漏 ： 企業(yè)網(wǎng)絡(luò)及個人的主機(jī)上有許多重要信 息和資料，有些保密第一章 緒 論 2 級別很高，不能對外公開。首先，在當(dāng)前的網(wǎng)絡(luò)狀況下，各種病毒和攻擊方法不斷更新?lián)Q代，安全威脅的種類 越來越多，升級的頻率越來越快，所能影響的范圍也越來越廣。 同時 也為 網(wǎng)絡(luò) 攻擊提供了 便利 條件 ， 攻擊技術(shù)快速發(fā)展，呈現(xiàn)出多元化、復(fù)雜化和智能化的 發(fā)展 趨勢， 攻擊 頻度和規(guī)模逐年遞增 。 第一章 緒 論 1 第一章 緒 論 研究 背景 隨著網(wǎng)絡(luò)和計(jì)算機(jī)技術(shù)的不斷發(fā)展，人類社會進(jìn)入了一個嶄新的互聯(lián)網(wǎng)時代。該模型具有數(shù)據(jù)處理效率高，誤報率低，協(xié)作性好，自學(xué)習(xí)能力強(qiáng)，安全性高等特點(diǎn)。 其次，論文討論了誤用入侵檢測中模式識別算法，針對模式匹配方法存在的匹配速度慢、誤報率較高、模型庫動態(tài)更新難等 問題，論文提出了一種改進(jìn)的 ACBM 算法 ，進(jìn)一步提高了算法的匹配速度，設(shè)計(jì)的 MRRT 規(guī)約樹能支持多線程歸約和在線動態(tài)調(diào)整，特別適用于大規(guī)模多模式匹配 。由于網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大，網(wǎng)絡(luò)流量的不斷增長和黑客技術(shù) 的不斷發(fā)展，對入侵檢測的性能提出了更高的要求。摘 要 摘 要 北京朱文杰代寫論文不付款，特此公告之 計(jì)算機(jī)和網(wǎng)絡(luò)技術(shù)的普及，在給人們的生活帶來極大便利的同時，也將安全隱患傳播到整個網(wǎng)絡(luò)。本文以提高入侵檢測技術(shù)的檢測正確率，降低誤警率和漏警率以及提高檢測效率為技術(shù) 目標(biāo) ，在檢測技術(shù)、告警融合和分布式入侵檢測系 統(tǒng)的體系結(jié)構(gòu)等方面進(jìn)行了深入系統(tǒng)的研究，取得了一些創(chuàng)新性的研究成果，主要內(nèi)容包括： 入侵檢測技術(shù)分為異常檢測和誤用檢測兩大類。 再次，論文 針對異常檢測技術(shù)存在計(jì)算量大、訓(xùn)練時間長、在小樣本情況下分類精度低的問題，論文 研究了特征選擇和 SVM 分類器 ，通過 SVM 在訓(xùn)練過程中主動挑選學(xué)習(xí)樣本，從而有效地減少訓(xùn)練樣本數(shù)量，縮短訓(xùn) 練時間。 論文最后對所作的研究工作進(jìn)行了總結(jié)，并指出了今后的研究方向。科技發(fā)展的日新月異，對推動社會發(fā)展和人類進(jìn)步具有不可忽視的重要意義。 以國家計(jì)算機(jī)網(wǎng)絡(luò)應(yīng)急技術(shù)處理協(xié)調(diào)中心 (CNCERT/CC)在 2020 年發(fā)布的報告為例， 2020 年， CNCERT/CC 接收的網(wǎng)絡(luò)仿冒、垃圾郵件和網(wǎng)頁惡意代碼等非掃描類網(wǎng)絡(luò)安全事件報告總數(shù)為 4390 件，大大超出去年同期水平，與 2020年相比，網(wǎng)絡(luò)仿冒事件增長 倍，垃圾郵件事件增長 1 倍，網(wǎng)頁惡意代碼事件增長 倍。 目前存在的安全威脅主要有以下幾種 ： 1)系統(tǒng)破壞 ： 入侵行為往往對系統(tǒng)造成極大的破壞，主要表現(xiàn)在網(wǎng)絡(luò)性能變差，影響網(wǎng)絡(luò)服務(wù)的質(zhì)量甚至無法提供正常的服務(wù)，主機(jī)速度變慢，程序運(yùn)行異常，系統(tǒng)無法正常工作，嚴(yán)重時導(dǎo)致系統(tǒng)崩潰。對于個人來說，個人隱私的泄漏會給人們帶來許多不必要的麻煩，如各種電話、短信、垃圾郵件的騷擾等，嚴(yán)重時會對人們的生活造成極大的影響。政府的重要文件和國家機(jī)密作為一個國家最為重要的信息，往往決定著國家的重大決策，把握著國家的經(jīng)濟(jì)命脈，影響范圍十分廣泛，涉及國家金融、經(jīng)濟(jì)、軍事、安全的各個方面，現(xiàn)在政府都建立了自己的網(wǎng)站，方便政府的辦公，但是同時也增加了這些重要的文件及機(jī)密泄漏的風(fēng)險。也有來自系統(tǒng)本身的原因，如系統(tǒng)崩潰導(dǎo)致數(shù)據(jù)損毀，存儲介質(zhì)故障導(dǎo)致數(shù)據(jù)損毀。 4)非法控制 ： 入侵者在成功入侵某些機(jī)關(guān)、企業(yè)或個人的主機(jī)后，往往會在被入侵主機(jī)中 植入木馬，留下后門，方便其對主機(jī)進(jìn)行長期的非法控制。同時，正是由于當(dāng)前的網(wǎng)絡(luò)規(guī)模不斷大，所涉及的用戶范圍不斷增加，一旦發(fā)生有 組織，大規(guī)模的網(wǎng)絡(luò)入侵事件，所造成的影響也就越惡劣， 據(jù)國際網(wǎng)絡(luò)安全專家分析，目前世界范圍內(nèi)的網(wǎng)絡(luò)第一章 緒 論 3 安全防護(hù)仍然處于薄弱狀態(tài)：百分之九十五的網(wǎng)絡(luò)攻擊沒有被檢測到，而所檢測到的網(wǎng)絡(luò)攻擊也只有百分之十五被報告；中國國內(nèi) 80％的網(wǎng)站存在安全隱患， 20％的網(wǎng)站有嚴(yán)重安全問題 。 目前國內(nèi)外關(guān)于信息安全的國際會議已有上百個，比較有影響的有IFIP/SEC， ACM CCS， ISC， ICICS， CIS， CNCC， NDSS 等。需要特別提到的是 2020 年世界計(jì)算機(jī)大會IFIP/WCC2020 在北京舉行，江澤民主席在會議開幕式上致詞，國內(nèi)著名信息安全專家卿斯?jié)h為 IFIP/SEC2020 程序委員會主席，充分說明信息安全問題在中國已經(jīng)受到了足夠的關(guān)注和重視，相關(guān)的研究已經(jīng)與國際社會接軌，并得到國際社會的認(rèn)可。其中， SRI/CSL、普渡大學(xué)、加州大學(xué)戴維斯分校、洛斯阿拉莫斯國家實(shí)驗(yàn)室、哥倫比亞大學(xué)、新墨西哥大學(xué)等機(jī)構(gòu)在這些方面的研究代表了當(dāng)前的最高水平。 近幾年，隨著人們對信息安全的認(rèn)識不斷提升，信息安全問題越來越引起人們的重視，入侵檢測系統(tǒng)的市場更是飛速發(fā)展，許多公司投入到這一領(lǐng)域，推出了自己的產(chǎn)品。網(wǎng)絡(luò)入侵檢測各領(lǐng)域研究現(xiàn)狀如下 ： 1) IDS 體系結(jié)構(gòu)研究 IDS 體系結(jié)構(gòu)研究的內(nèi)容是系統(tǒng)各功能部件以及部件之間的聯(lián)系，它定義了 IDS 的各個功能模塊以及模塊間的關(guān)系，決定了 IDS 的功能、性能以及適用的場合。②系統(tǒng)安全性脆弱，一旦中央服務(wù)器出現(xiàn)故障，整個系統(tǒng)就會陷入癱瘓 ； ③根據(jù)各個主機(jī)不同需求配置服務(wù)器也非常復(fù)雜。 (3)分布式 ： 將中央檢測服務(wù)器的任務(wù)分配給多個基于主機(jī)的 IDS，這些 IDS不分等級，各司其職，負(fù)責(zé)監(jiān)控當(dāng)?shù)刂鳈C(jī)的某些活動。其中攻擊圖的建模方法最為有效，也是目前研究的重點(diǎn)。 網(wǎng)絡(luò)系統(tǒng)中的數(shù)據(jù)源有兩種 ： 一種是主機(jī)系統(tǒng)中的審計(jì)數(shù)據(jù)、安全日志、行為記錄等信息 ； 一種是網(wǎng)絡(luò)協(xié)議數(shù)據(jù)包。目前，網(wǎng)絡(luò)攻擊分類方法主要有四種 ： 基于經(jīng)驗(yàn)術(shù)語的分類方法 、 基于單一屬性的分類方法 、 基于多屬性的分類方法 、 基于應(yīng)用的分類方法。 ICA 也是一種用于數(shù)據(jù)特征提取的線性變換技術(shù)，與 PCA 的主要區(qū)別是 ： PCA 分析僅利用數(shù)據(jù)的二階統(tǒng)計(jì)信息，所得的數(shù)據(jù)特征彼此正交 ； 而 ICA 分析利用了數(shù)據(jù)的高階統(tǒng)計(jì)信息，強(qiáng)調(diào)的是數(shù)據(jù)特征之間的獨(dú)立性。它首先建立統(tǒng)計(jì)概率模型，明確所觀察對象的正常情況，然后決定在何種程度上將一個行為標(biāo)為“異常”，再通過檢測系統(tǒng)的行為或使用情況的變化來完成對“異常”行為的檢測。但這種方法對攻擊的變種和新的攻擊幾乎無能為力 ； 同時由于對具體系統(tǒng)的依賴性太強(qiáng)，系統(tǒng)移植性不好，維護(hù)工作量大，并且檢測范圍受已知知識的局限。許多科研人員正在努力研究能應(yīng)用于實(shí)際入侵檢測系統(tǒng)的異常檢測器。考慮到這些特性，目前大多數(shù)入侵檢測系統(tǒng)都同時采用了這兩種方法，即混合型檢測方法，主要有 ：第一章 緒 論 7 基于規(guī)范的檢測方法，基于生物免疫 的檢測方法，基 于偽裝的檢測方法，基于入侵報警的關(guān)聯(lián)檢測方法。針對數(shù)據(jù)源，響應(yīng)機(jī)制可以要求數(shù)據(jù)源提供更為詳細(xì)的信息、調(diào)整監(jiān)視策略、改變收集的數(shù)據(jù)類型 ； 針對分析引擎，可以更改檢 測規(guī)則、調(diào)整系統(tǒng)運(yùn)行參數(shù)等。主動響應(yīng)采取的措施有 ： 追蹤入侵、切斷攻擊發(fā)起主機(jī)或網(wǎng)絡(luò)的連接、反向攻擊入侵主機(jī)等，更為先進(jìn)的主動響應(yīng)手段包括自動修補(bǔ)目標(biāo)系統(tǒng)的安全漏洞、動態(tài)更改檢測系統(tǒng)的檢 測規(guī)則集合等方法，甚至包括與“蜜罐” (HoneyPort)系統(tǒng)密切合作，積極收集攻擊行為的信息和入侵證據(jù)等。分布式智能代理技術(shù)是當(dāng)前遠(yuǎn)程 通信發(fā)展最快的領(lǐng)域之一，它是指在分布式環(huán)境中，一組不同的代理彼此協(xié)作，互相通信，使各代理能夠做出最理想的決策 。 自 1997 年起，美國國防高級研究計(jì)劃署 (DARPA)和互聯(lián)網(wǎng)工程任務(wù)組(IETF)的入侵檢測工作組 (IDWG)發(fā)起制定了一系列建議草案，從體系結(jié)構(gòu)、API、通信機(jī)制、語言格式等方面規(guī)范了 IDS 的標(biāo)準(zhǔn)。 入侵檢測系統(tǒng)的標(biāo)準(zhǔn)化工作提高了 IDS 產(chǎn)品、組件與其它安全產(chǎn)品之間的互操作性和 互用性，使得多種安全技術(shù)及其產(chǎn)品能夠協(xié)同工作，共同保障系統(tǒng)安全。 ACBM 算法在誤用入侵檢測基于規(guī)則的模式匹配中得到廣泛的應(yīng)用，然而在實(shí)際的應(yīng)用中還存在以下問題 ： 對短模式處理效果差 ； 不支持 多用戶等 。因而，需要在不降低 (或盡量不降低 )檢測準(zhǔn)確度的前提下，采用一定的算法，盡量降低特征空間的維數(shù)，這就是特征選擇。實(shí)驗(yàn)結(jié)果表明通過選擇適當(dāng)?shù)呐R近點(diǎn)個數(shù)及超球面半徑 ，能夠有效的提取邊界樣本點(diǎn)，達(dá)到消除離群點(diǎn)和精簡訓(xùn)練樣本集的目的，而且精簡后的樣本集不會影響分類器的泛化能力。整個模型具有很好的可擴(kuò)展性、可靠性、穩(wěn)定性和可用性，能夠適用于大規(guī)模的高速的網(wǎng)絡(luò)環(huán)境。 介紹了入侵檢測的概念和通用模型以及入侵檢測的技術(shù)分類，系統(tǒng)結(jié)構(gòu)分析，以及使用的規(guī)則描述語言和實(shí)驗(yàn)數(shù)據(jù)等第一章 緒 論 10 內(nèi)容。 介紹我們提出的基于變量相似性的特征選擇算法。 介紹了 IDS 系統(tǒng)體系結(jié)構(gòu)的發(fā)展， 提出了一種基于啟發(fā)式規(guī)則的混合入侵檢測模型，把連接上下行數(shù)據(jù)分別采用誤用檢測技術(shù)和異常檢測技術(shù)， 并對檢測到得結(jié)果 通過混合分析引擎擬合 ， 對模型的性能作了測試。最后介紹了入侵檢測系統(tǒng)的體系結(jié)構(gòu)、規(guī)則描述語言和實(shí)驗(yàn)數(shù)據(jù)等。在這篇文章中，他提到了審計(jì)數(shù)據(jù)對于入侵檢測的重要性 ，通過監(jiān)視和存儲相關(guān)的審計(jì)數(shù)據(jù)信息，建立用戶審計(jì)信息模型，再根據(jù)這些統(tǒng)計(jì)模型發(fā)現(xiàn)系統(tǒng)當(dāng)中存在的異常行為。這篇文獻(xiàn)可以看成是在入侵檢測技術(shù)的發(fā)展歷史中具有里程碑意義的重要論著。后來入侵檢測的原型系統(tǒng)被陸續(xù)開發(fā)，如下一代入侵檢測系統(tǒng) ( NextGeneration Intrusion Detection System， NIDES )、Haystack 系統(tǒng)等。這種方法擴(kuò)展了入侵檢測技術(shù)的應(yīng)用范圍，同時由于采用的是監(jiān)聽的方式獲取待檢測數(shù)據(jù)，沒有增加網(wǎng)絡(luò)負(fù)擔(dān)，也不會占用網(wǎng)絡(luò)上其他主機(jī)的資源。該系統(tǒng)由三個部分組成 ： 主機(jī)管理單元、網(wǎng)絡(luò)管理單元和中央管理單元。每個 CSM 單元都由 本地入侵檢測單元、安全管理器、圖形用戶界面、入侵處理單元、命令監(jiān)視器和通信處理器組成。 檢測技術(shù)的分類 根據(jù)采用檢測方法的不同，現(xiàn)有的入侵檢測 技術(shù)從總體上可以分為三類 ：第二 章 入侵檢測技術(shù)研究綜述 13 誤用檢測，異常檢測和混合檢測。從誤用檢測技術(shù)的思想來看，這種技術(shù)能夠很好地發(fā)現(xiàn)跟己知攻擊行為具有相同特征的攻擊，檢測已知攻 擊的正確率很高，然而存在的問題是不能發(fā)現(xiàn)新的攻擊，甚至不能發(fā)現(xiàn)同一種攻擊的變種，因此存在漏報的可能。典型的建立異常檢測模型的方法包括閉值分析法、統(tǒng)計(jì)分析法、神經(jīng)網(wǎng)絡(luò)等。 檢測技術(shù)的評價指標(biāo) 為了評估檢測技術(shù)的優(yōu)劣，需要一系列的定量評價指標(biāo)。 誤警率是指正常樣本中被認(rèn)為是攻擊樣本的個數(shù)與全體正常樣本個數(shù)的比值 ： ? 正 常 樣 本 中 被 認(rèn) 為 是 攻 擊 樣 本 的 個 數(shù)誤 警 率 全 體 正 常 樣 本 個 數(shù) () 這個值反應(yīng)了入侵檢測技術(shù)對于正常樣本的識別能力。檢測時延在一定程度上反應(yīng)了檢測技術(shù)的實(shí)時性。預(yù)定義的入侵模式一般稱為入侵特征，因此誤用檢測又稱作基于特征的檢測。 基于規(guī)則匹配的檢測技術(shù)具有誤報少 、準(zhǔn)確率高的優(yōu)點(diǎn)。 基于條件概率的檢測技術(shù) 條件概率誤用入侵檢測方法將入侵方式對應(yīng)于一個事件序列，然后通過觀測到事件發(fā)生情況來推測入侵出現(xiàn)。 第二 章 入侵檢測技術(shù)研究綜述 16 基于狀態(tài)轉(zhuǎn)移分析的檢測技術(shù) 狀態(tài)轉(zhuǎn)移分析方法把入侵表示為一系列被監(jiān)控的系統(tǒng)狀態(tài)轉(zhuǎn)移，每一個 狀態(tài)對應(yīng)一個系統(tǒng)行為，每個狀態(tài)都必須滿足特定的布爾表達(dá)式。 攻擊模式只能說明事件序列，因此不能說明更復(fù)雜的事件。其方法要點(diǎn)是建立入侵場景數(shù)據(jù)庫、預(yù)警器和規(guī)劃者。由于行為到活動的映射必須很容易地在審計(jì)跟蹤中識別出，故 ( | )( | )P A c tiv ity B e h a v io rP A c tiv ity B e h a v io r?的值必須比較大。對于專家系統(tǒng)方法不容易處理未確定的中間結(jié)論，可以用模型證據(jù)推理解決。通常基于異常的 IDS 的檢測是針對某個特定的對象，這個對象可以是某個人也可以是某個程序。正常的操作存在內(nèi)在的統(tǒng)計(jì)規(guī)律， IDS 檢測主體 (如用戶 )的活動并 生成相應(yīng)的活動特征 (Profile)。 令 12, , , NS S S 表示指標(biāo) 12, , , NM M M 的閥值，從某段時間的審計(jì)記錄中提取當(dāng)前特征表 12( , , , )NT T T 。例如位于標(biāo)準(zhǔn)方差兩側(cè)的數(shù)據(jù)可認(rèn)為是異常的。該方法通過計(jì)算在任意給定的時刻，系統(tǒng)或網(wǎng)絡(luò)中的各種與判斷攻擊行為相關(guān)的特征的值來推斷系統(tǒng)是否遭到入侵。 基于貝葉斯推理的入侵檢測技術(shù)能夠巧妙地將問題轉(zhuǎn)換為相對容易獲得的概率間的計(jì)算 。神經(jīng)網(wǎng)絡(luò)的信息通過神經(jīng)元的相互作用來實(shí)現(xiàn)，知識與信息的存儲表第二 章 入侵檢測技術(shù)研究綜述 19 現(xiàn)為網(wǎng)絡(luò)元件 互連 分布式的物理聯(lián)系。 等人利用多層感知機(jī)和多層后向傳播神經(jīng)網(wǎng)絡(luò)建立入侵檢測模型，也取得了不錯的實(shí)驗(yàn)效果。根據(jù)大自然適者生存的原理，它模擬自然界中生命個體的繁殖、交配和突變現(xiàn)象。將系統(tǒng)各屬性表示為特征向量，從而將系統(tǒng)正常狀態(tài)分布在 n 維空間中，并使用遺傳算法檢測規(guī)則集覆蓋的異常空間，從而建立異常檢測模型。算法最終能否收斂到最優(yōu) 解也是值得考慮的問題。分類分析則是提取數(shù)據(jù)