基于啟發式規則的入侵檢測技術研究畢業論文-免費閱讀

　　

【正文】 每層的監控器之 間 可以通過基于訂閱(subscriptionbased)的通信機制互助協作，但層與層之間不能通過這種機制傳遞數據，上層監控器通過接收下層監控器發送的報告建立對監控域狀態的視圖。 等級式 IDS 顧名思義，等級式就是以層次化結構部署數據處理組件。主機代理負責檢測某臺主機的安全，依據搜集到這臺主機活動的信息產生主機安全事件，并將這些安全事件傳送到管理器。如分布式拒絕服務攻擊 (DDOS) 和 Mitnick 入侵檢測所依靠的數據來源分散化，收集原始的檢測數據變得困難，如交換型網絡使得監聽網絡數據包受到限制 ； (4)網絡規模越來越大，網絡速度傳輸加快，網絡的流量大，集中處理原始的數據方式往往造成檢測瓶頸，從而導致漏警。它基于 Vapnik 結構風險最小化原則，克服了傳統的基于經驗風險最小化學習 方法的缺陷，能夠提高學習機的泛化能力。 典型的基于數據挖掘的入侵檢測系統是哥倫比亞 (Columbia)大學的 Lee 研究小組提出的 MADAMID ( Mining Audit Data for Automated Models for Intrusion Detection )框架但是這種技術需要大量的審計數據，學習過程較慢。法國理工大學 Ludovie Me 開發的 GASSATA (Geic Algoritlun for Security Audit Trails Analysis)也是使用遺傳算法對安全審計跡進行分析的入侵檢測系統。 基于神經網絡的入侵檢測技術實現簡單，能夠處理噪聲數據。該方法的缺點是先驗知識的準確性對檢測性能影響很大，表達入侵的特征選取對性能影響也非常明顯。統計入侵檢測系統有以下幾點不利 ： 1)統計測量對事件的發生的次序不敏感，單純的統計入侵檢測系統可能不會發覺事件當中相互依次相連的入侵行為； 2)單純的統計入侵檢測系統將逐漸地訓練成單一點，要么行為是異常的，要么是正常的。活動特征含有若干指標 (Measure)值，每個指標值代表系統安全性某個方面的閥值，這些指標值根據經驗或者一段時間內的統計得到。而且可以減少審計數據量。每個入侵場景表示成一個入侵行為序列，在任意的給定時刻，入侵場景的子集都被用來推斷系統是否遭受入侵。狀態間用有向弧連接，當弧上的特征行為發生時，狀態發生轉移。但是它只能發現已知攻擊，難以準確識別同一種攻擊的變種，對未知攻擊不具備檢測的能力。我們期望檢測時延越小越好，這意味著單位時間內可以處理更多的待檢測數據，可以更及時地發現攻擊，從而為制訂安全策略贏得寶貴的時間。主要的評價指標包括分類正確率、漏警率、誤警率、檢測 時延和學習能力等。同時維護規則的代價比較高，靈活性和自適應性較差。 CSM 實現了分布采集，分布決策的思想。然而不論是基于主機的入侵檢測系統還是基于網絡的入侵檢測系統，早期的結構都是集中式的，數據采集模塊和數據分析模塊都位于同一臺機器上，這和網絡逐漸走向分布式、異構性的趨勢并不符合。 1988 年， Denning 博士提出的模型由 SRI International 公司 實現，稱之為入侵檢測專家系統 (Intrusion Detection Expert System， IDES。 檢測技術的發展史 早在 20 世紀 80 年代就已經展開了對入侵檢測技術的研究，發展至今已有近 30 年的歷程。 第五章， 異常入侵檢測中的 SVM 分類器研究 。 本 文 的 組織結構 本文的章節安排如下 ： 第一章，緒論。 2)對 IDS 中的 SVM 分類器作了研究，提出了一種基于超球面邊界樣本點篩選算法的 SVM 分類器。 本文 的主要工作 入侵檢測在網絡安全防護中發揮著重要的作用，具有重大的研究意義。 它具有高度的智能化能夠獨立做出各種決策來檢測入侵并消除負面影響。 (1)被動響應 IDS： 系統檢測到入侵后，僅僅記錄所檢測到的異常活動信息，并將警報信息報告給系統管理員，由系統管理員決定接下來應該采取什么措施。 異常入侵檢測能夠識別新的入侵行為，具有較低的漏警率，但是卻有很高的誤警率。異常檢測只能識別出那些與正常過程有較大偏差的行為，由于對各種網絡環境的適應性不強，且缺乏精確的判定標準，異常檢測經常會出現誤報的現象。其中基于多屬性的攻擊分類方法將攻擊看成是一個動態的過程，并將其分解成相互關聯的多個獨立的階段，再對每個階段的屬性進行獨立的描述，具有很好的擴展性，能夠全面地、準確地表述攻擊過程，得到了廣泛的研究和應用。早期，攻擊圖由 Red Teams 通過對系統的脆弱性分析，手動生成，當網絡規模較大時，這種方式效率很低。 (2)等級式 ： 為了克服集中的缺點，等級式 IDS 被提出來。國外的企業及其產品有 ： Sourcefire 公司 (現被 Barracuda Networks INC 收購 )的 Snort， ISS(Inter Security System)公司的 RealSecure， Cisco 公司的 Secure IDS(前身為 NetRanger )， Axent Technologies 公司 (現被Symantec 收購 )的 Netprowler/Intruder Alert， CA 公司的 SessionWall3/eTrust Intrusion Detection， NFR 公司的 NID， NAI 公司的 C 如 erCop Monitor 等。國際信息與通信安全會議 ICICS 是國內信息安全領域的頂級會議，也是國際公認的第一流國際會議，由中科院軟件研究所主辦。 這無疑給網絡安全技術提出了新的挑戰。還有一些外來的因素，如突然斷電造成的數據損毀。此外，個人網上銀行賬戶的泄漏會對個人的財產造成重大的損失，某些網絡賬號和密碼的被竊，會被入侵者用來做一些違背用戶個人意愿的事情，有時甚至會是違法的事情。同時據抽樣顯示， 2020 年，境內外控制者利用木馬控制端對主機進行控制的事件中，木馬控制端 IP 地址總數為 433， 429 個，被控制端 IP 地址總數為 2， 861， 621 個，比去年同期均有較大幅度的增長。 摘 要 關鍵詞 ： 入侵檢測， 模式識別，啟發式，特征選擇， 支持向量機 Abstract ABSTRACT Intrusion Detection has shown great potential in work security research. Most existing intrusion detection methods treat all data in the work as a whole. However, in reality, data in the work could be divided into two categories: upload data and download data. When intrusion takes place,these two types of dataflow may have different characters. Based on this discovery,we proposed a novel intrusion detec172。本文分別針對異常檢測和誤用檢測技術中存在的問題，研究了其改進方法，并提出一種 基于啟發式規則的混合 入侵檢測模型。做為保護網絡安全手段之一的入侵檢測技術，一直被廣大國內外學者所關注。最后，論文提出 了一種 基于啟發式規則的混合 入侵檢測模型，系統通過各 對連接上下行數據分別采用誤用檢測方法和異常 檢測方法，并對檢測到得結果進行擬合，通過分析向用戶發布告警 入侵行為。 然而 隨著網絡技術、網絡規模和網絡應用的高速發展 ， 個人和 各種 組織 ，包括政府、企業、軍隊，都越來越依賴于信息系統、 通信 網絡以及與之相關的自動 化應用 。目前，網絡已經成為許多企業和用戶工作的重要工具，系統的破壞將嚴重影響企業的正常運營和用戶的工作，對企業和個人造成重大的經濟損失。 3)數據損毀 ： 網絡中最重要的資源就是數據，網絡提供的一切服務以及在網絡中傳輸的任何信息，其實就是一堆數據。 2020 年，美國海軍航空中心的電腦被黑客入侵，通過對被入侵電腦的控制，該黑客甚至可以操控軍用導彈的發射，一場人為的災難就因為網絡系統的安全問題而掌握在入侵者的一念之間，其后果多么可怕。其中，國際信息處理 聯合會 IFIP 召開的世界計算機大會(IFIP/WCC)下面的安全會議 (IFIP/SEC)是信息安全領域的國際頂級學術會議，因其引領技術潮流而備受各國信息安全界的關注，而入侵檢測一直是 IFIP/SEC會的主要議題之一。近年來，以信息安全專家卿斯漢、方濱興、馮登國、李建華、周仲義、陳恭亮、唐正軍為代表的眾多國內信息安全研究人員在入侵檢測領域取得了豐碩的研究成果，發表了大量的文獻和專著 。審計程序把當地收集到的數據發送給中央服務器進行分析處理。 2)網絡攻擊模型研究 網絡攻擊模型的建立對于了解網絡攻擊原理，分析網絡入侵過程，評估網絡安全程度有著重要的意義，對于 IDS 的部署有著重要的指導 作用。一個特征應該是一個數據獨有的特性，提取出來的特征應該能夠準確、完整的描述該數據或行為，從而為判斷入侵提供依據。 (1)異常 (Anomaly)IDS： 異常檢測也叫基于行為的檢測，是利用統計的方法來檢測系統的異常行 為。混合型 IDS 中異常檢測器和誤用檢測器之間應該是互相約束的。 5)IDS 響應機制研究 IDS 響應機制是入侵檢測的重要功能模塊。 傳統的響應方法是系統自動根據事先定制的規則進行反應，由于新的入侵手段的出現以及規則庫的相對低智能，這種方法很難實現準確無誤的響應。 CIDF 的規格文檔主要包括 4 部分 ： 體系結構、 IDS 通信機制、通用入侵描述語言 ( Common Intrusion Specification Language， CISL )、應用編程接口 API。 改進后的 ACBM算法具有更好的性能，提高了入侵檢測中模式匹配的速度。 3)提出了一種基于 啟發式規則的 混合入侵檢測系統模型。 介紹了誤用入侵檢測模式匹配問題，重點分析介紹了 ACBM多模式匹配算法，提出了一種改進的 ACBM算法 IACBM，比較分析了兩種算法入侵檢測的性能。對本文的工作進行總結，并對進一步的研究工作進行展望。 1987 年， Dorothy Denning 博士提出了 IDS 的抽象模型，模型主要 由主體( Subjects )、對象 (Objects )、審計記錄 (Audit Records )、行為輪廓 (Profiles )、異常記錄 (Anomaly Records)及活動規則 (Activity Rules)組成，這是一個入侵檢測系統的通用框架。 1990 年，由 開發了第一個網絡入侵檢測系統網絡安全監視器( Network Security Monitor， NSM )，通過在共享網段上對通信數據的監聽和采集，檢測所有數據包的包頭信息，分析可能出現的攻擊現象，從而達到對整個網段的入侵檢測和保護。雖然 DIDS 存在很多不足之處，但它畢竟是對分布式入侵檢測技術研究的有益嘗試。誤用檢測判斷入侵的典型過程是根據已知的攻擊建立檢測模型，將待檢測數據與模型進行比較，如果能夠匹配上檢測模型，待檢測數據將被認為是攻擊。但是這種技術普遍存在誤報率高的缺點。 前 面三個指標都是從檢測的正確性方面衡量入侵檢測技術的優劣，而檢測時延則是從入侵檢測技術的檢測效率方面衡量檢測技術的優劣。專家的經驗知識從邏輯上可以表示為產生式規則、層次樹和狀態轉移圖等形式。 令 ES (Event Sequence)表示事件序列，事件出現的概率為 P(ES)，先驗概率為 P(I) ，后驗概率為 P(ES | I)，則有 ()( | ) ( | ) ()PIP I E S P E S I P E S? () 通常網絡安全專家可以給出先驗概率 P(I)，對入侵報告數據進行統計處理得出 ( | )PES I 和 ( | )P ES I? ， 于是可以計算出 ： ( ) ( ( ( | ) ( | ) ) ( ) ( | )P ES P ES I P ES I P I P ES I? ? ? ? ? ? () 故可以通過事件序列的觀測，從而推算出 ( | )PI ES 。 基于模型 推理 誤用的檢測技術 基于模型 推理 誤用入侵檢測方法是通過建立誤用證據模型，根據證據推理來作出誤用發 生判斷結論。同時系統中嵌入證據推理分析功能，這樣就允許更新活動模型列表中的攻擊場景出現的概率，根據攻擊場景概率的大小進行推斷檢測入侵。目前應用于基于異常的入侵檢測方式主要有 ： 統計方法、貝葉斯推理、神經網絡 、遺傳算法 、 數據挖掘、 免疫學、支持向量機等。另 外， 也可 以使用 各指 標閥 值的 帶權平 方和2 2 21 1 2 2 nna S a S a S? ? ?( 0ia? ，其中 ia 為 iS 的權值 )作為比較標準。 I 表示系統受到攻擊， I? 表示系統未受到攻擊。 基于神經網絡的入侵檢測技術的研究主 要集中在入侵特征的選擇以及檢測模型的建立上。 將遺傳算法應用于入侵檢測，主要是將遺傳算法用于攻擊規則的生成和入侵特征的提取。關聯分析所提取的關聯規則是形如 XY? 的一種數據隱含規則，一般可以用置信度、支持度、期望置信