基于啟發式規則的入侵檢測技術研究畢業論文(文件)

　

【正文】 庫中數據項的特征屬性并生成分類模型的方法，可以用來提取入侵特征，在此基礎上建立檢測模型實現入侵檢測。生物免疫學與計算機科學的交叉滲透非常有益，通過研究和借鑒生物免疫系統的運行機制有助于設計更安全的計算機系統。 基于支持向量機的檢測技術 支持向量機 (Support Vector Machine， SVM)是一種建立在統計學習理論( Statistical Learning Theory， SLT)基礎上的學習方法。如繞鮮等提出了基于支持向量機的入侵檢測模型，并以系統調用執行跡為例，討論了建立檢測模型的過程。 入侵檢測系統結構 分析 隨著網絡系統結構復雜化和規模的日益增大，入侵檢測面臨著許多新的問題 ： (1)系統的弱點或漏洞分散在網絡中各個主機上，這些弱點有可能被入侵者一起用來攻擊網絡，而依靠唯一的主機或網絡 IDS 不能發現入侵行為 ； (2)入侵行為不再是單一的行為，而是表 現出相互協作入侵特點。 集中式 IDS 集中式協同檢測僅僅將其數據收集組件分布到網絡中，而數據處理任務仍然由一個或固定的幾個組件承擔。 DIDS 由主機代理 (Host Agent)， LAN 代理 (LAN Agent)和管理器 (DIDS Director)三大部分組成。主機代理并不是安裝在 LAN 中所有的主機上，而是按照特定的安全需求做出決定。 (2)數據處理組件需要處理眾多數據收集組件發送來的數據，因此要求有高性能的處理能力和很高的網絡吞吐能力。如圖： 圖 2 等級式 IDS 結構示意圖 AAFID 結構中有三個部件 ： 代理 (agents)、收發器 (transceivers)和監控器 (monitors)，代理是獨立運行的檢測主機的實體，收發器布置在每個被監控的主機上，監控器是高層的控制和處理實體。 EMERALD 將所監測的網絡分成三個層級 ： 服務 (service analysis)、域(domainwide analysis)和企業 (enterprisewide analysis)，每層有相應的服務監控器 (servicemonitors)執行分析功能。 SHOMAR 支持任意兩個實體的通信，而無需考慮他們在分層中的位置，因而它結合了對等和分層的有點，具有很強的靈活性。 SHOMAR 是一種更為靈活的分層結構。收發器接收和處理代理發送來的報告，監控器接收和處理它所控制的收發器發來的簡化過的信息。數據處理組件劃分為多個級別，低沉組件從數據收集組件獲得原始數據，經過提煉、精減后提交給更高層的數據處理組件。 集中式協同檢測系統具有明顯的缺陷 ： (1)數據處理組件是集中式協同檢測系統中最為重要的組件，一旦失效，那么整個入侵檢測系統也隨之癱瘓。同樣， LAN 代理 檢測局域網的安全，依據搜集到的網絡數據包信息產生局域網安全事件，也把這些局域網安全事件傳給管理器。在分布式入侵檢測系統中，不僅數據收集組件是分布的，數據處理組件數量 也應與網絡中被檢測主機的數量成正比。 分布式入侵檢測系統因此應運而生。 . Sun 等利用支持向量機和神經網絡做了入侵檢測特征屬性對分類準確率影 響的排序和精選工作。支持向量機的基本思想是首先通過某種非線性映射將輸入空間變換到一個高維空間，然后在這個高維空間中構造最優分類面。 基于人工免疫的檢測技術通過結合生物免疫系統的思想，模擬生物免疫學中的基因庫更新、否定選擇和克隆選擇等抗體生成過程建立入侵檢測分類模型，將正常和異常的網絡行為區分為自我和非我，從而達到判別入侵的目的。同時，對末知攻擊的檢測也不夠理想。關聯分析所提取的關聯規則是形如 XY? 的一種數據隱含規則，一般可以用置信度、支持度、期望置信度和作用度四個參數來描述個關聯規則的屬性。 基于遺傳算法的入侵檢測技術的問題在于 ： 交叉、變異和選擇算子的設計目前主要依靠經驗和實驗的方法選取，若選擇不合理，則會產生過早收斂的問題。 將遺傳算法應用于入侵檢測，主要是將遺傳算法用于攻擊規則的生成和入侵特征的提取。然而也存在一些問題，比如通常神經網絡的訓練時間長，容易陷入局部極小點，同時神經網絡不能為建立的 檢測模型提供合理的解釋或說明信息。 基于神經網絡的入侵檢測技術的研究主 要集中在入侵特征的選擇以及檢測模型的建立上。同時在實際環境中，各個特征之間是相互影響的，因此為了檢測的準確性，必須要考慮到特征之間的相關性。 I 表示系統受到攻擊， I? 表示系統未受到攻擊。如果入侵者知道自己的入侵行為被這樣的異常檢測器監視，那么他就可以誘導這個系統，使得那些大部分依靠行為統計測量的入侵檢測系統方法對監視的特定的事件模式失效； 3)難以確定異常閥值，閥值設置偏低或高均會導致誤警事件 。另 外， 也可 以使用 各指 標閥 值的 帶權平 方和2 2 21 1 2 2 nna S a S a S? ? ?( 0ia? ，其中 ia 為 iS 的權值 )作為比較標準。每一個活動特征保存記錄主體當前行為，并定時地將當前的活動特征與存儲的活動特征合并。目前應用于基于異常的入侵檢測方式主要有 ： 統計方法、貝葉斯推理、神經網絡 、遺傳算法 、 數據挖掘、 免疫學、支持向量機等。然而，增加了創建每一種入侵檢測模型的開銷是這種方法的缺點。同時系統中嵌入證據推理分析功能，這樣就允許更新活動模型列表中的攻擊場景出現的概率，根據攻擊場景概率的大小進行推斷檢測入侵。入侵檢測系統根據當前的活動模型，預警器產生下一步行為，用來在審計跟蹤時作驗證使用。 基于模型 推理 誤用的檢測技術 基于模型 推理 誤用入侵檢測方法是通過建立誤用證據模型，根據證據推理來作出誤用發 生判斷結論。如果到達危險狀態，表示當前可能正在發生入侵事件。 令 ES (Event Sequence)表示事件序列，事件出現的概率為 P(ES)，先驗概率為 P(I) ，后驗概率為 P(ES | I)，則有 ()( | ) ( | ) ()PIP I E S P E S I P E S? () 通常網絡安全專家可以給出先驗概率 P(I)，對入侵報告數據進行統計處理得出 ( | )PES I 和 ( | )P ES I? ， 于是可以計算出 ： ( ) ( ( ( | ) ( | ) ) ( ) ( | )P ES P ES I P ES I P I P ES I? ? ? ? ? ? () 故可以通過事件序列的觀測，從而推算出 ( | )PI ES 。同時規則庫的建立與維護代價高，且容易出現冗余、矛盾、蘊含等問題。專家的經驗知識從邏輯上可以表示為產生式規則、層次樹和狀態轉移圖等形式。 學習能力是指入侵檢測技術能夠從實際應用中學習到新模式的能力，從而能夠自適應地對檢測模型進行更新和調整，適應網絡環境的變化。 前 面三個指標都是從檢測的正確性方面衡量入侵檢測技術的優劣，而檢測時延則是從入侵檢測技術的檢測效率方面衡量檢測技術的優劣。 分類正確率是指被正確分類的測試樣本個數與全體測試樣本個數的比值 ： ? 被 正 確 分 類 的 測 試 樣 本 個 數分 類 正 確 率 全 體 測 試 樣 本 個 數 () 這是一個評價入侵檢測技術對于正常樣本和攻擊樣本區分能力的總體評價指標，從一定程度上反應了入侵檢測技術的總體檢測能力，我們期望分類正確率越高越好。但是這種技術普遍存在誤報率高的缺點。 異常檢測 (Anomaly Detection)的概念在 James Anderson 早期的文章中就有體現 ， 他提出可以根據用戶行為的一些統計信息來判定系統的不正常使用模式，從而發現“偽裝者”，這正是異常檢測的基本思想。誤用檢測判斷入侵的典型過程是根據已知的攻擊建立檢測模型，將待檢測數據與模型進行比較，如果能夠匹配上檢測模型，待檢測數據將被認為是攻擊。同年提出的基于圖的入侵檢測系統 (Graph base Intrusion Detection System， GrIDS) 則是考慮到入侵檢測系統擴展性不強的問題，針對大規模網絡的協同攻擊，提出了使用圖對網絡行為進行建模的方法。雖然 DIDS 存在很多不足之處，但它畢竟是對分布式入侵檢測技術研究的有益嘗試。而且隨著分布式網絡攻擊的出現，分布式入侵檢測技術也應運而生。 1990 年，由 開發了第一個網絡入侵檢測系統網絡安全監視器( Network Security Monitor， NSM )，通過在共享網段上對通信數據的監聽和采集，檢測所有數據包的包頭信息，分析可能出現的攻擊現象，從而達到對整個網段的入侵檢測和保護。該系統可以用于檢測主機系統上發生的入侵行為，是一個與系統平臺無關的專家檢測系統。 1987 年， Dorothy Denning 博士提出了 IDS 的抽象模型，模型主要 由主體( Subjects )、對象 (Objects )、審計記錄 (Audit Records )、行為輪廓 (Profiles )、異常記錄 (Anomaly Records)及活動規則 (Activity Rules)組成，這是一個入侵檢測系統的通用框架。根據所檢測數據的來源不同，入侵檢測技術經歷了基于主機的入侵檢測技術、基于網絡的入侵檢測技術和分布式入侵檢測技術三個發展時期。對本文的工作進行總結，并對進一步的研究工作進行展望。 介紹了異常入侵檢測分類問題，對傳統 的 SVM 分類器作了介紹，針對傳統 S VM 分類器存在的主要問題，提出了一種基于超球面邊界樣本點篩選算法的 SVM 分類器 (INNSVM)，比較分析了 INNSVM 分類器與其它 SVM 分類器對入侵檢測的性能。 介紹了誤用入侵檢測模式匹配問題，重點分析介紹了 ACBM多模式匹配算法，提出了一種改進的 ACBM算法 IACBM，比較分析了兩種算法入侵檢測的性能。詳細分析了論文的研究背景、意義及技術難點，給出了論文的主 要研究工作和創新點。 3)提出了一種基于 啟發式規則的 混合入侵檢測系統模型。在異常入侵檢測中 SVM 分類器可用 于對未知入侵進行檢測，而 SVM 分類器的構造目前主要受到兩個方面的困擾 ： 一是當訓練樣本規模較大時，分類器的訓練時間過長 ； 二是離群點的存在嚴重影響分類器的泛化能力。 改進后的 ACBM算法具有更好的性能，提高了入侵檢測中模式匹配的速度。如上所述，入侵檢測研究的領域很多，本文對其中若干子課題作了研究，分別是網絡攻擊模型研究、入侵檢測方法研究以及 IDS 體系結構研究。 CIDF 的規格文檔主要包括 4 部分 ： 體系結構、 IDS 通信機制、通用入侵描述語言 ( Common Intrusion Specification Language， CISL )、應用編程接口 API。基于分布式智能代理技術的實時響應機制與入侵檢測系統的體系結構研究休戚相關，采用的是主體型體 系結構，需要有效設計系統中的各個功能模塊及它們之間的通信協議。 傳統的響應方法是系統自動根據事先定制的規則進行反應，由于新的入侵手段的出現以及規則庫的相對低智能，這種方法很難實現準確無誤的響應。 在早期的入侵檢測系統中，都是采取被動響應方式。 5)IDS 響應機制研究 IDS 響應機制是入侵檢測的重要功能模塊。而誤用入侵檢測無法識別新的入侵行為，只能識別那些在其規則庫中存在的入侵行為，具有較高的漏警率，但是卻有很低的誤警率。混合型 IDS 中異常檢測器和誤用檢測器之間應該是互相約束的。 (2)誤用的 (Misuse)IDS： 誤用檢測也叫基于知識的檢測，是指運用已知的攻擊方法，根據已定義好的入侵模式，通過判斷這些入侵模式是否出現來檢測入侵。 (1)異常 (Anomaly)IDS： 異常檢測也叫基于行為的檢測，是利用統計的方法來檢測系統的異常行 為。 近幾年，基于主成分分析 (Principal Component Analysis， PCA)和獨立成分第一章 緒 論 6 分析 ( Independent Component Analysis， ICA)的特征提取方法成為研究的熱點 。一個特征應該是一個數據獨有的特性，提取出來的特征應該能夠準確、完整的描述該數據或行為，從而為判斷入侵提供依據。目前，網絡攻擊圖自動生成的研究主要有兩種方法 ： 基于模型檢測技術的方法和基于圖論的方法 。 2)網絡攻擊模型研究 網絡攻擊模型的建立對于了解網絡攻擊原理，分析網絡入侵過程，評估網絡安全程度有著重要的意義，對于 IDS 的部署有著重要的指導 作用。它用來監控大型網絡，定義了若干個分等級的監控區，每個 IDS 負責一個區，每一級 IDS 只負第一章 緒 論 5 責所監控區的分析，然后將當地的分析結果傳送給上一級 IDS。審計程序把當地收集到的數據發送給中央服務器進行分析處理。國內在入侵檢測研究方面雖然起步較晚，但發展很快，目前在公安部取得銷售許可證的安全廠商已有 30 余家，主要的企業及其產品有 ： 啟明星辰 (VenusTech)的天聞、北方計算 中心 的 NIDS detector、遠東科技的黑客煞星、金諾網安的KIDS、綠盟的冰之眼 IDS 等。近年來，以信息安全專家卿斯漢、方濱興、馮登國、李建華、周仲義、陳恭亮、唐正軍為代表的眾多國內信息安全研究人員在入侵檢測領域取得了豐碩的研究成果，發表了大量的文獻和專著 。 ICICS 為國內外信息安全學者與專家齊聚一堂，探討國際信息安全前沿技術提供了難得的機會，對促進國內外的學術交流，促進我國信息安全學科的發展做出了重要的