基于啟發式規則的入侵檢測技術研究畢業論文(留存版)

　　

【正文】 ................... 98 本章小結 .................................................... 99 第七章 總結與展望 ...................................... 100 本論文對相關項目的貢獻 ..................................... 100 本論文的總結 ............................................... 100 關于未來研究的展望 ......................................... 101 參考文獻 .............................................. 102 致 謝 ................................................ 104 在讀期間發表的學術論文與取得的其他研究成果 錯誤 !未定義書簽。對于企業來說，商場如戰場，而商機往往由及時可靠的信息獲取來決定，許多公司企業的網絡中往往會存在一些涉及商業機密的重要文件，這些文件往往成為一些商業計劃成敗的關鍵，一旦泄漏，對公司企業的打擊 是沉重的。 國內外研究現狀 入侵檢測的研究可追溯到 20 世紀 80 年代，早在 1980 年， Anderson 等人就給出了入侵檢測的概念，并提出利用審計信息來跟蹤用戶可疑行為的入侵檢測方法。國內在入侵檢測研究方面雖然起步較晚，但發展很快，目前在公安部取得銷售許可證的安全廠商已有 30 余家，主要的企業及其產品有 ： 啟明星辰 (VenusTech)的天聞、北方計算 中心 的 NIDS detector、遠東科技的黑客煞星、金諾網安的KIDS、綠盟的冰之眼 IDS 等。目前，網絡攻擊圖自動生成的研究主要有兩種方法 ： 基于模型檢測技術的方法和基于圖論的方法 。 (2)誤用的 (Misuse)IDS： 誤用檢測也叫基于知識的檢測，是指運用已知的攻擊方法，根據已定義好的入侵模式，通過判斷這些入侵模式是否出現來檢測入侵。 在早期的入侵檢測系統中，都是采取被動響應方式。如上所述，入侵檢測研究的領域很多，本文對其中若干子課題作了研究，分別是網絡攻擊模型研究、入侵檢測方法研究以及 IDS 體系結構研究。詳細分析了論文的研究背景、意義及技術難點，給出了論文的主 要研究工作和創新點。根據所檢測數據的來源不同，入侵檢測技術經歷了基于主機的入侵檢測技術、基于網絡的入侵檢測技術和分布式入侵檢測技術三個發展時期。而且隨著分布式網絡攻擊的出現，分布式入侵檢測技術也應運而生。 異常檢測 (Anomaly Detection)的概念在 James Anderson 早期的文章中就有體現 ， 他提出可以根據用戶行為的一些統計信息來判定系統的不正常使用模式，從而發現“偽裝者”，這正是異常檢測的基本思想。 學習能力是指入侵檢測技術能夠從實際應用中學習到新模式的能力，從而能夠自適應地對檢測模型進行更新和調整，適應網絡環境的變化。如果到達危險狀態，表示當前可能正在發生入侵事件。然而，增加了創建每一種入侵檢測模型的開銷是這種方法的缺點。如果入侵者知道自己的入侵行為被這樣的異常檢測器監視，那么他就可以誘導這個系統，使得那些大部分依靠行為統計測量的入侵檢測系統方法對監視的特定的事件模式失效； 3)難以確定異常閥值，閥值設置偏低或高均會導致誤警事件 。然而也存在一些問題，比如通常神經網絡的訓練時間長，容易陷入局部極小點，同時神經網絡不能為建立的 檢測模型提供合理的解釋或說明信息。同時，對末知攻擊的檢測也不夠理想。 分布式入侵檢測系統因此應運而生。數據處理組件劃分為多個級別，低沉組件從數據收集組件獲得原始數據，經過提煉、精減后提交給更高層的數據處理組件。 EMERALD 將所監測的網絡分成三個層級 ： 服務 (service analysis)、域(domainwide analysis)和企業 (enterprisewide analysis)，每層有相應的服務監控器 (servicemonitors)執行分析功能。 DIDS 由主機代理 (Host Agent)， LAN 代理 (LAN Agent)和管理器 (DIDS Director)三大部分組成。 基于支持向量機的檢測技術 支持向量機 (Support Vector Machine， SVM)是一種建立在統計學習理論( Statistical Learning Theory， SLT)基礎上的學習方法。將系統各屬性表示為特征向量，從而將系統正常狀態分布在 n 維空間中，并使用遺傳算法檢測規則集覆蓋的異常空間，從而建立異常檢測模型。 基于貝葉斯推理的入侵檢測技術能夠巧妙地將問題轉換為相對容易獲得的概率間的計算 。正常的操作存在內在的統計規律， IDS 檢測主體 (如用戶 )的活動并 生成相應的活動特征 (Profile)。其方法要點是建立入侵場景數據庫、預警器和規劃者。 基于規則匹配的檢測技術具有誤報少 、準確率高的優點。 檢測技術的評價指標 為了評估檢測技術的優劣，需要一系列的定量評價指標。每個 CSM 單元都由 本地入侵檢測單元、安全管理器、圖形用戶界面、入侵處理單元、命令監視器和通信處理器組成。這篇文獻可以看成是在入侵檢測技術的發展歷史中具有里程碑意義的重要論著。 介紹我們提出的基于變量相似性的特征選擇算法。因而，需要在不降低 (或盡量不降低 )檢測準確度的前提下，采用一定的算法，盡量降低特征空間的維數，這就是特征選擇。分布式智能代理技術是當前遠程 通信發展最快的領域之一，它是指在分布式環境中，一組不同的代理彼此協作，互相通信，使各代理能夠做出最理想的決策 。許多科研人員正在努力研究能應用于實際入侵檢測系統的異常檢測器。目前，網絡攻擊分類方法主要有四種 ： 基于經驗術語的分類方法 、 基于單一屬性的分類方法 、 基于多屬性的分類方法 、 基于應用的分類方法。②系統安全性脆弱，一旦中央服務器出現故障，整個系統就會陷入癱瘓 ； ③根據各個主機不同需求配置服務器也非常復雜。需要特別提到的是 2020 年世界計算機大會IFIP/WCC2020 在北京舉行，江澤民主席在會議開幕式上致詞，國內著名信息安全專家卿斯漢為 IFIP/SEC2020 程序委員會主席，充分說明信息安全問題在中國已經受到了足夠的關注和重視，相關的研究已經與國際社會接軌，并得到國際社會的認可。也有來自系統本身的原因，如系統崩潰導致數據損毀，存儲介質故障導致數據損毀。 以國家計算機網絡應急技術處理協調中心 (CNCERT/CC)在 2020 年發布的報告為例， 2020 年， CNCERT/CC 接收的網絡仿冒、垃圾郵件和網頁惡意代碼等非掃描類網絡安全事件報告總數為 4390 件，大大超出去年同期水平，與 2020年相比，網絡仿冒事件增長 倍，垃圾郵件事件增長 1 倍，網頁惡意代碼事件增長 倍。本文以提高入侵檢測技術的檢測正確率，降低誤警率和漏警率以及提高檢測效率為技術 目標 ，在檢測技術、告警融合和分布式入侵檢測系 統的體系結構等方面進行了深入系統的研究，取得了一些創新性的研究成果，主要內容包括： 入侵檢測技術分為異常檢測和誤用檢測兩大類。該模型具有數據處理效率高，誤報率低，協作性好，自學習能力強，安全性高等特點。 2)信息泄漏 ： 企業網絡及個人的主機上有許多重要信 息和資料，有些保密第一章 緒 論 2 級別很高，不能對外公開。 網絡和計算機技術的進步，在給人類的生活帶來極大便利的同時，也為黑和惡意攻擊者提供了入侵的手段和條件。 卿斯漢等人定期會撰寫介紹入侵檢測研究現狀的文章，發表在國內權威期刊上，這對于國內信息安全研究人員了解相關 領域的研究動態起了很好的幫助作用。 網絡攻擊模型的建模方法主要有四種，分別是攻擊樹、攻擊網、狀態轉移圖和攻擊圖。異常檢測假設 ： 任何對系統的入侵和誤操作都會導致系統異常。響應機制根據入侵檢測的結果，采取必要和適當的動作，阻止進一步的入侵行為或恢復受損害的系統，同時對數據源和入侵檢測的分析引擎產生影響。 IDWG 定義了數據格式和交換規程，用于入侵檢測與響應系統之間與需要交互的管理系統之間的信息共享，包括 三 部分 ： 入侵檢測消息交換格式(IDMEF )、入侵檢測交換協議 (IDXP)、隧道輪廓 (Tunnel Profile )。模型 專門 設計了混合 入侵檢測引擎 ，結合誤用入侵檢測和異常入侵檢測技術，降低了入侵檢測的誤警率和漏警率。第二 章 入侵檢測技術研究綜述 11 第二 章 入侵檢測技術研究綜述 本章綜述了入侵檢測技術的發展歷程，對現有的入侵檢測技術進行了分類，介紹了入侵檢測技術的評價指標，并以 典型的入侵檢測技術為例，分別介紹其技術要點，指出了它們的優缺點。 網絡入侵檢測技術通過分析數據包包頭信息、網絡流量和網絡連接的各個特征屬性來檢測網絡中存在的入侵行為，區分正常網絡應用和惡意 攻擊。典型的建立誤用檢測模型的方法包括專家系統，狀態轉移圖等。檢測時延是指入侵檢測技術從開始檢測到判定檢測樣本為攻擊或正常的時間消耗。 基于條件概率誤用入侵檢測方法是在概率理論基礎上的一個普遍的方法，它是對貝葉斯方法的改進，其缺點就是先驗概率難以給出，而且事件的獨立性難以滿足。 這種方法的優點在于具有堅實的數據未確定推理理論作為基礎。 統計異常檢測方法的有利之處是 所應用的技術方法在統計學得到很好的研究。如付小青等提出的利用自組織映射 (SelfOrganizing Map， SOM)網絡中相似模式激活神經元的物理位置臨近的特點，根據輸入模式的類型對激活神經元劃分，并將待檢測數據的基本特征與推導特征結合，對待檢測數據進行分類。序列分析則是用來 發現數據記錄間相關性的方法，可以用來分析不同入侵特征之間的相關性。 基于支持向量機的入侵檢測技術的不足之處在于，對分類正確率產生重要影響的核函數及其參數的選擇目前只能根據經驗，同時支持向量機只能處理一二分類問題，如果要進行多分類檢測，區分不同的攻擊類型，需要對二分類支持向量機進行擴展。攻擊者可能針對這一點，對系統中的數據處理組件發動攻擊 ，形成這類系統典型的單點失效問題。通過一個 IDS 管理器 (IDS Manager)組織不同的檢測器 (ID Services)成為一個 IDS 集群 (IDS Cluster)，而底層的 IDS集群又可以成為上層 IDS 集群的檢測器。管理器根據安全專家知識、主機安全事件和網絡安全事件進行入侵檢測推理分析，最后得出整個網絡的安全狀態結論。 第二 章 入侵檢測技術研究綜述 21 利用支持向量機建立入侵檢測模型己經取得了一系列的進展。同時適應度函數的選擇也會對算法性能產生重要影響。 基于神經網絡的檢測技術 神經網絡 (Neural Network NN)是由大量的處理單元 (神經元 )互相連接而成的網絡。通過比較當前的活動特征與己存儲的活動特征來判斷異常行為，從而檢測出入侵活動。規劃者負責判斷假設的行為是如何反映在審計跟蹤數據上，以及將假設的行為變成與系統相關的審計跟蹤進行匹配。因此運用機器學習技術使知識庫的建造智能化是未來的發展趨勢。 第二 章 入侵檢測技術研究綜述 14 漏警率是指攻擊樣本中被誤認為是正常樣本的個數與全體攻擊樣本個數的比值 ： ? 攻 擊 樣 本 中 被 認 為 是 正 常 樣 本 的 個 數漏 警 率 全 體 攻 擊 樣 本 個 數 () 這個值反應了入侵檢測技術對于攻擊 的識別能力，如果檢測樣本中含有大量訓練樣本中所沒有的新攻擊，這個值也從一定程度上反應了入侵檢測技術對未知攻擊的識別能力，表明了入侵檢測技術的擴展性和自適應性，我們期望漏警率越低越好。隨著網絡規模的不斷擴大和攻擊行為的協同性和分布式的趨勢，入侵檢測技術必然向著分布式檢測方向發展。這也是日后的誤用檢測方法的系統原型。 第六章，基于啟發式規則的混合入侵檢測模型。為了消除離群點并精簡訓練樣本集，考慮到分類器的劃分結果主要由位于兩類樣本點邊界處占樣本數少部分的支持向量決定，本文采用了以下方法對樣本集進行處理 ： 首先采用 KNN 算法對離群點進行消除 ； 然后構造以樣本點為球心的超球面，通過判斷超球面內樣本點類別的異同來判斷該作為球心的樣本點是否位于邊界，從而提取邊界樣本點。 6) IDS 標準化 第一章 緒 論 8 隨著網絡規模的擴大，網絡入侵方式、類型及特征日趨多樣化，入侵活動變得復雜而又難以捉摸，某些入侵行為單靠單一的入侵檢測系統無法檢測出來，需要多種安全措施協同工作才能有 效保障網絡系統的安全，這就要求各安全系統之間能夠交換信息，相互協作，形成一個整體有效的安全保障系統，這就是入侵檢測系統的標準化制定。因此，異常入侵檢測方法與誤用入侵檢測方法在功能上是互補的。PCA 技術可以將數據從高維數據空間變換到低維特征空間，能夠保留屬性中那些最重要的屬性，從而更精確的描 述入侵行為。 這種結構仍存在兩個問題 ： ①當網絡拓撲結構改變時，區域分析結果的匯總機制也需要做相應的調整 ； ②這種結 構的 IDS 最后還是要把各地收集到的結果傳送到最高級的檢測服務器進行全局分析，所以系統的安全性并沒有實質性的改進。 國外從事信息安全入侵檢測研究的主要機構有 ： 喬治敦大學，普