計算機網絡安全5入侵檢測技術(編輯修改稿)

　

【文章內容簡介】 誤用檢測還是異常檢測來說，都可以得到很好的應用。返回本章首頁第五章 入侵檢測技術 1．神經網絡（ Neural Network） 作為人工智能（ AI） 的一個重要分支，神經網絡（ Neural Network） 在入侵檢測領域得到了很好的應用，它使用自適應學習技術來提取異常行為的特征，需要對訓練數據集進行學習以得出正常的行為模式。這種方法要求保證用于學習正常模式的訓練數據的純潔性，即不包含任何入侵或異常的用戶行為。 返回本章首頁第五章 入侵檢測技術 2． 免疫學方法 New Mexico大學的 Stephanie Forrest提出了將生物免疫機制引入計算機系統的安全保護框架中。免疫系統中最基本也是最重要的能力是識別 “自我 /非自我 ”（ self/nonself）， 換句話講，它能夠識別哪些組織是屬于正常機體的，不屬于正常的就認為是異常，這個概念和入侵檢測中異常檢測的概念非常相似。 返回本章首頁第五章 入侵檢測技術 3． 數據挖掘方法 Columbia大學的 Wenke Lee在其博士論文中，提出了將數據挖掘（ Data Mining, DM） 技術應用到入侵檢測中，通過對網絡數據和主機系統調用數據的分析挖掘，發現誤用檢測規則或異常檢測模型。具體的工作包括利用數據挖掘中的關聯算法和序列挖掘算法提取用戶的行為模式，利用分類算法對用戶行為和特權程序的系統調用進行分類預測。實驗結果表明，這種方法在入侵檢測領域有很好的應用前景。返回本章首頁第五章 入侵檢測技術 4． 基因算法 基因算法是進化算法（ evolutionary algorithms） 的一種，引入了達爾文在進化論中提出的自然選擇的概念（優勝劣汰、適者生存）對系統進行優化。該算法對于處理多維系統的優化是非常有效的。在基因算法的研究人員看來，入侵檢測的過程可以抽象為：為審計事件記錄定義一種向量表示形式，這種向量或者對應于攻擊行為，或者代表正常行為。 返回本章首頁第五章 入侵檢測技術 5． 基于代理的檢測 近年來，一種基于 Agent的檢測技術（ AgentBased Detection） 逐漸引起研究者的重視。所謂 Agent， 實際上可以看作是在執行某項特定監視任務的軟件實體。基于 Agent的入侵檢測系統的靈活性保證它可以為保障系統的安全提供混合式的架構，綜合運用誤用檢測和異常檢測，從而彌補兩者各自的缺陷。返回本章首頁第五章 入侵檢測技術 分布式入侵檢測 分布式入侵檢測（ Distributed Intrusion Detection） 是目前入侵檢測乃至整個網絡安全領域的熱點之一。到目前為止，還沒有嚴格意義上的分布式入侵檢測的商業化產品，但研究人員已經提出并完成了多個原型系統。通常采用的方法中，一種是對現有的 IDS進行規模上的擴展，另一種則通過 IDS之間的信息共享來實現。具體的處理方法上也分為兩種：分布式信息收集、集中式處理；分布式信息收集、分布式處理。返回本章首頁第五章 入侵檢測技術 分布式入侵檢測的優勢 分布式入侵檢測由于采用了非集中的系統結構和處理方式，相對于傳統的單機 IDS具有一些明顯的優勢： （ 1）檢測大范圍的攻擊行為 （ 2）提高檢測的準確度 （ 3）提高檢測效率 （ 4）協調響應措施返回本章首頁第五章 入侵檢測技術 分布式入侵檢測的技術難點 與傳統的單機 IDS相比較，分布式入侵檢測系統具有明顯的優勢。然而，在實現分布檢測組件的信息共享和協作上，卻存在著一些技術難點。 Stanford Research Institute（ SRI） 在對EMERALD系統的研究中，列舉了分布式入侵檢測必須關注的關鍵問題：事件產生及存儲、狀態空間管理及規則復雜度、知識庫管理、推理技術。 返回本章首頁第五章 入侵檢測技術 分布式入侵檢測現狀 盡管分布式入侵檢測存在技術和其它層面的難點，但由于其相對于傳統的單機 IDS所具有的優勢，目前已經成為這一領域的研究熱點。 1． Snort 它通過對傳統的單機 IDS進行規模上的擴展，使系統具備分布式檢測的能力，是基于模式匹配的分布式入侵檢測系統的一個具體實現。主要包括三個組件：網絡感應器 、 代理守護程序和監視控制臺 。返回本章首頁第五章 入侵檢測技術 2． AgentBased 基于 Agent的 IDS由于其良好的靈活性和擴展性，是分布式入侵檢測的一個重要研究方向。國外一些研究機構在這方面已經做了大量工作，其中 Purdue大學的入侵檢測自治代理（ AAFID） 和 SRI的 EMERALD最具代表性。 AAFID的體系結構如圖 510所示，其特點是形成了一個基于代理的分層順序控制和報告結構。 返回本章首頁第五章 入侵檢測技術 返回本章首頁第五章 入侵檢測技術 3． DIDS DIDS（ Distributed Intrusion Detection System） 是由 UC Davis的 Security Lab完成的，它集成了兩種已有的入侵檢測系統， Haystack和NSM。 前者由 Tracor Applied Sciences and Haystack實驗室針對多用戶主機的檢測任務而開發，數據源來自主機的系統日志。 NSM則是由UC Davis開發的網絡安全監視器，通過對數據包、連接記錄、應用層會話的分析，結合入侵特征庫和正常的網絡流或會話記錄的模式庫，判斷當前的網絡行為是否包含入侵或異常。 返回本章首頁第五章 入侵檢測技術 4． GrIDS GrIDS（ Graphbased Intrusion Detection System） 同樣由 UC Davis提出并實現，該系統實現了一種在大規模網絡中使用圖形化表示的方法來描述網絡行為的途徑，其設計目標主要針對大范圍的網絡攻擊，例如掃描、協同攻擊、網絡蠕蟲等。 GrIDS的缺陷在于只是給出了網絡連接的圖形化表示，具體的入侵判斷仍然需要人工完成，而且系統的有效性和效率都有待驗證和提高。 返回本章首頁第五章 入侵檢測技術 5． Intrusion Strategy Boeing公司的 MingYuh Huang從另一個角度對入侵檢測系統進行了研究，針對分布式入侵檢測所存在的問題，