基于啟發(fā)式規(guī)則的入侵檢測(cè)技術(shù)研究畢業(yè)論文-wenkub.com

　 　

【正文】 通過一個(gè) IDS 管理器 (IDS Manager)組織不同的檢測(cè)器 (ID Services)成為一個(gè) IDS 集群 (IDS Cluster)，而底層的 IDS集群又可以成為上層 IDS 集群的檢測(cè)器。因此， AAFID 對(duì)數(shù)據(jù)的處理是層層精減的，并且只能在一個(gè)主機(jī)內(nèi)部實(shí)現(xiàn)主動(dòng)的數(shù)據(jù)請(qǐng)求。 AAFID、 EMERALD 和 SHOMAR 是層次化系統(tǒng)第二 章 入侵檢測(cè)技術(shù)研究綜述 23 檢測(cè)的例子。攻擊者可能針對(duì)這一點(diǎn)，對(duì)系統(tǒng)中的數(shù)據(jù)處理組件發(fā)動(dòng)攻擊 ，形成這類系統(tǒng)典型的單點(diǎn)失效問題。管理器根據(jù)安全專家知識(shí)、主機(jī)安全事件和網(wǎng)絡(luò)安全事件進(jìn)行入侵檢測(cè)推理分析，最后得出整個(gè)網(wǎng)絡(luò)的安全狀態(tài)結(jié)論。 如圖： 第二 章 入侵檢測(cè)技術(shù)研究綜述 22 圖 1 集中式 IDS 結(jié)構(gòu)示意圖 DIDS 是典型的這類系統(tǒng)。分布式入侵檢測(cè)系統(tǒng)的體系結(jié)構(gòu)可分為 3 類 ： 集中式 、等級(jí)式 和 分布 式。 基于支持向量機(jī)的入侵檢測(cè)技術(shù)的不足之處在于，對(duì)分類正確率產(chǎn)生重要影響的核函數(shù)及其參數(shù)的選擇目前只能根據(jù)經(jīng)驗(yàn)，同時(shí)支持向量機(jī)只能處理一二分類問題，如果要進(jìn)行多分類檢測(cè)，區(qū)分不同的攻擊類型，需要對(duì)二分類支持向量機(jī)進(jìn)行擴(kuò)展。 第二 章 入侵檢測(cè)技術(shù)研究綜述 21 利用支持向量機(jī)建立入侵檢測(cè)模型己經(jīng)取得了一系列的進(jìn)展。代一表性 的研究小組包括新墨西哥 (New Mexico)大學(xué)的 Forrest小組和 Memphis 大學(xué)的 Dasgupta 小組，這種檢測(cè)技術(shù)具有極大的潛力，但是仍然需要完善基于人工免疫的模型，同時(shí)要找到合適的否定選擇算法和克隆選擇算法。 基于人工免疫的檢測(cè)技術(shù) 免疫學(xué)是生命科學(xué)的一個(gè)重要組成部分，是研究機(jī)體自我識(shí)別和對(duì)抗原性異物排斥反應(yīng)的一門新興學(xué)科。序列分析則是用來 發(fā)現(xiàn)數(shù)據(jù)記錄間相關(guān)性的方法，可以用來分析不同入侵特征之間的相關(guān)性。同時(shí)適應(yīng)度函數(shù)的選擇也會(huì)對(duì)算法性能產(chǎn)生重要影響。采用遺傳進(jìn)化操作啟發(fā)式地搜索 網(wǎng)絡(luò)特征數(shù)據(jù)空間，通過遺傳算子進(jìn)行遺傳操作，產(chǎn)生出具有高適應(yīng)度的個(gè)體，從而自動(dòng)歸納出某種入侵的共同屬性。 基于遺傳算法的檢測(cè)技術(shù) 遺傳算法 (Geic Algorithm GA ) 是一種模擬生物進(jìn)化機(jī)制的搜索優(yōu)化算法。如付小青等提出的利用自組織映射 (SelfOrganizing Map， SOM)網(wǎng)絡(luò)中相似模式激活神經(jīng)元的物理位置臨近的特點(diǎn)，根據(jù)輸入模式的類型對(duì)激活神經(jīng)元?jiǎng)澐郑⒋龣z測(cè)數(shù)據(jù)的基本特征與推導(dǎo)特征結(jié)合，對(duì)待檢測(cè)數(shù)據(jù)進(jìn)行分類。 基于神經(jīng)網(wǎng)絡(luò)的檢測(cè)技術(shù) 神經(jīng)網(wǎng)絡(luò) (Neural Network NN)是由大量的處理單元 (神經(jīng)元 )互相連接而成的網(wǎng)絡(luò)。則由條件概率公式得： 1 2 1 2 12 ()( | , , , ) ( , , , | ) ( , , , )NN NPIP I A A A P A A A I P A A A? () 在假設(shè)每個(gè)特征 A； 僅與 I 相關(guān)，而與其他特征無關(guān)的情況下，則有 12 1( , , , | ) ( | )NNiiP A A A I P A I?? ? () 12 1( , , , | ) ( | )NNiiP A A A I P A I?? ? ?? () 從而可以推得 1 2 1121( ) ( | )( | , , , )( | , , , ) ( ) ( | )NiNiNN iiP I P A IP I A A AP I A A A P I P A I???????? () 根據(jù)入侵發(fā)生的先驗(yàn)概率以及入侵發(fā)生和不發(fā)生時(shí)各種特征出現(xiàn)的概率，就可以計(jì)算出入侵發(fā)生的概率。 第二 章 入侵檢測(cè)技術(shù)研究綜述 18 基于貝葉斯推理的檢測(cè)技術(shù) 利用貝葉斯推理進(jìn)行入侵檢測(cè)是一種基于概率統(tǒng)計(jì)理論的檢測(cè)技術(shù)。 統(tǒng)計(jì)異常檢測(cè)方法的有利之處是 所應(yīng)用的技術(shù)方法在統(tǒng)計(jì)學(xué)得到很好的研究。通過比較當(dāng)前的活動(dòng)特征與己存儲(chǔ)的活動(dòng)特征來判斷異常行為，從而檢測(cè)出入侵活動(dòng)。 基于統(tǒng)計(jì)方法的檢測(cè) 技術(shù) 統(tǒng)計(jì)方法是異常檢測(cè)較多采用的分析方法。 第二 章 入侵檢測(cè)技術(shù)研究綜述 17 異常檢測(cè)技術(shù) 異常檢測(cè)根據(jù)系統(tǒng)的異常行為或者對(duì)資源的異常存取來判斷是否發(fā)生入侵事件，異常檢測(cè)需要建立一個(gè)閥值 來區(qū)分正常事件與入侵事件。 這種方法的優(yōu)點(diǎn)在于具有堅(jiān)實(shí)的數(shù)據(jù)未確定推理理論作為基礎(chǔ)。規(guī)劃者負(fù)責(zé)判斷假設(shè)的行為是如何反映在審計(jì)跟蹤數(shù)據(jù)上，以及將假設(shè)的行為變成與系統(tǒng)相關(guān)的審計(jì)跟蹤進(jìn)行匹配。 Garvey 和 Lunt 首先提出這種方法。 Ilgun 等提出的 STAT 就采用狀態(tài)轉(zhuǎn)移分析方法，并在 UNIX 平臺(tái)上實(shí)現(xiàn)了一個(gè)原型系統(tǒng) USTAT。 基于條件概率誤用入侵檢測(cè)方法是在概率理論基礎(chǔ)上的一個(gè)普遍的方法，它是對(duì)貝葉斯方法的改進(jìn)，其缺點(diǎn)就是先驗(yàn)概率難以給出，而且事件的獨(dú)立性難以滿足。因此運(yùn)用機(jī)器學(xué)習(xí)技術(shù)使知識(shí)庫的建造智能化是未來的發(fā)展趨勢(shì)。基于規(guī)則的入侵檢測(cè)技術(shù)多應(yīng)用于早期的入侵檢測(cè)系統(tǒng)，如基于產(chǎn)生式規(guī)則的專家系統(tǒng)工具集(Productionbased Expert System Toolset， PBEST)是采用產(chǎn)生式規(guī)則的入侵檢測(cè)系統(tǒng) ，加利福尼亞 (California)大學(xué)桑塔芭芭拉 (Santa Barbara)分校研究開發(fā)的狀態(tài)轉(zhuǎn)移分析工具 (State Transition Analysis Tool， STAT)是基于狀態(tài)轉(zhuǎn)移圖的入侵檢測(cè)系統(tǒng)。 誤用檢測(cè) 技術(shù) 誤 用檢測(cè)分析系統(tǒng)活動(dòng)行為，尋找與預(yù)定義入侵模式匹配的事件或者事件集，從而發(fā)現(xiàn)入侵行為。檢測(cè)時(shí)延是指入侵檢測(cè)技術(shù)從開始檢測(cè)到判定檢測(cè)樣本為攻擊或正常的時(shí)間消耗。 第二 章 入侵檢測(cè)技術(shù)研究綜述 14 漏警率是指攻擊樣本中被誤認(rèn)為是正常樣本的個(gè)數(shù)與全體攻擊樣本個(gè)數(shù)的比值 ： ? 攻 擊 樣 本 中 被 認(rèn) 為 是 正 常 樣 本 的 個(gè) 數(shù)漏 警 率 全 體 攻 擊 樣 本 個(gè) 數(shù) () 這個(gè)值反應(yīng)了入侵檢測(cè)技術(shù)對(duì)于攻擊 的識(shí)別能力，如果檢測(cè)樣本中含有大量訓(xùn)練樣本中所沒有的新攻擊，這個(gè)值也從一定程度上反應(yīng)了入侵檢測(cè)技術(shù)對(duì)未知攻擊的識(shí)別能力，表明了入侵檢測(cè)技術(shù)的擴(kuò)展性和自適應(yīng)性，我們期望漏警率越低越好。 混合入侵檢測(cè)技術(shù)則是綜合了誤用檢測(cè)和異常檢測(cè)的優(yōu)點(diǎn)而提出的，同時(shí)分析異常模型和正常模型從而做出更為準(zhǔn)確的決策，典型的方法有基于規(guī)范的檢測(cè)方法，基于生物免疫的檢測(cè)方法等。在假定正常行為和攻擊行為存在本質(zhì)差別的情況下，通過分析正常連接的統(tǒng)計(jì)特性建立檢測(cè)模型，將待檢測(cè)行為與統(tǒng)計(jì)模型進(jìn)行比較，如果能夠匹配上，則判定該行為是 正常行為。典型的建立誤用檢測(cè)模型的方法包括專家系統(tǒng)，狀態(tài)轉(zhuǎn)移圖等。隨著網(wǎng)絡(luò)規(guī)模的不斷擴(kuò)大和攻擊行為的協(xié)同性和分布式的趨勢(shì)，入侵檢測(cè)技術(shù)必然向著分布式檢測(cè)方向發(fā)展。 為了克服 DIDS 存在系統(tǒng)瓶頸的問題， 1996 年提出的合作式安全管理器(Cooperating Security Manager， CSM ) 通過運(yùn)行于每臺(tái)主機(jī)之上的 CSM 單元合作檢測(cè)入侵行為。 1991 年提出的分布式入侵檢測(cè)系統(tǒng) (Distributed Intrusion Detection System， DIDS)是第一個(gè)分布 式的系統(tǒng)，它將主機(jī)入侵檢測(cè)和網(wǎng)絡(luò)入侵檢測(cè)結(jié)合，能適應(yīng)異構(gòu)環(huán)境。 網(wǎng)絡(luò)入侵檢測(cè)技術(shù)通過分析數(shù)據(jù)包包頭信息、網(wǎng)絡(luò)流量和網(wǎng)絡(luò)連接的各個(gè)特征屬性來檢測(cè)網(wǎng)絡(luò)中存在的入侵行為，區(qū)分正常網(wǎng)絡(luò)應(yīng)用和惡意 攻擊。這也是日后的誤用檢測(cè)方法的系統(tǒng)原型。在這篇文章中將入侵檢測(cè)技術(shù)與加密、認(rèn)證、訪問控制等安全技術(shù)相比，肯定了入侵檢測(cè)對(duì)于保證系統(tǒng)安全的重要作用。 1980 年， James 先生在他的開山之作《 Computer Security Threat Monitoring and Surveiliance》 沖首次提出了入侵檢測(cè)的概念，由此開始了對(duì)入侵檢測(cè)技術(shù)的研究。第二 章 入侵檢測(cè)技術(shù)研究綜述 11 第二 章 入侵檢測(cè)技術(shù)研究綜述 本章綜述了入侵檢測(cè)技術(shù)的發(fā)展歷程，對(duì)現(xiàn)有的入侵檢測(cè)技術(shù)進(jìn)行了分類，介紹了入侵檢測(cè)技術(shù)的評(píng)價(jià)指標(biāo)，并以 典型的入侵檢測(cè)技術(shù)為例，分別介紹其技術(shù)要點(diǎn)，指出了它們的優(yōu)缺點(diǎn)。 第六章，基于啟發(fā)式規(guī)則的混合入侵檢測(cè)模型。 第四章， 基于啟發(fā)式搜索的特征選擇 。 第二章， 入侵檢測(cè)技術(shù)研究綜述 。模型 專門 設(shè)計(jì)了混合 入侵檢測(cè)引擎 ，結(jié)合誤用入侵檢測(cè)和異常入侵檢測(cè)技術(shù)，降低了入侵檢測(cè)的誤警率和漏警率。為了消除離群點(diǎn)并精簡(jiǎn)訓(xùn)練樣本集，考慮到分類器的劃分結(jié)果主要由位于兩類樣本點(diǎn)邊界處占樣本數(shù)少部分的支持向量決定，本文采用了以下方法對(duì)樣本集進(jìn)行處理 ： 首先采用 KNN 算法對(duì)離群點(diǎn)進(jìn)行消除 ； 然后構(gòu)造以樣本點(diǎn)為球心的超球面，通過判斷超球面內(nèi)樣本點(diǎn)類別的異同來判斷該作為球心的樣本點(diǎn)是否位于邊界，從而提取邊界樣本點(diǎn)。 2)基于啟發(fā)式搜索的特征選擇 ，在進(jìn)行模式 分類時(shí)，只有特征向量中包含足夠的類別信息，分類器才能實(shí)現(xiàn)正確分類，而特征中是否包含足夠的類別信息卻很難確定，為了提高識(shí)別率，我們總是最大限度地提取特征信息，結(jié)果不僅使特征維數(shù)增大，而且其中可能存在較大的相關(guān)性和兀余性，這給特征的進(jìn)一步處理和入侵檢測(cè)模型的實(shí)現(xiàn)都帶來很大的困難。本文所作的主要工作如下 ： 1)對(duì)入侵檢測(cè)模式匹配算法作了研究，提出了一種改進(jìn)的 ACBM 多模式匹配算法。 IDWG 定義了數(shù)據(jù)格式和交換規(guī)程，用于入侵檢測(cè)與響應(yīng)系統(tǒng)之間與需要交互的管理系統(tǒng)之間的信息共享，包括 三 部分 ： 入侵檢測(cè)消息交換格式(IDMEF )、入侵檢測(cè)交換協(xié)議 (IDXP)、隧道輪廓 (Tunnel Profile )。 6) IDS 標(biāo)準(zhǔn)化 第一章 緒 論 8 隨著網(wǎng)絡(luò)規(guī)模的擴(kuò)大，網(wǎng)絡(luò)入侵方式、類型及特征日趨多樣化，入侵活動(dòng)變得復(fù)雜而又難以捉摸，某些入侵行為單靠單一的入侵檢測(cè)系統(tǒng)無法檢測(cè)出來，需要多種安全措施協(xié)同工作才能有 效保障網(wǎng)絡(luò)系統(tǒng)的安全，這就要求各安全系統(tǒng)之間能夠交換信息，相互協(xié)作，形成一個(gè)整體有效的安全保障系統(tǒng)，這就是入侵檢測(cè)系統(tǒng)的標(biāo)準(zhǔn)化制定。 代理技術(shù)的發(fā)展為實(shí)時(shí)響應(yīng)提供了支持，基于分布式智能代理技術(shù)的實(shí)時(shí)響應(yīng)機(jī)制是當(dāng)前研究的重點(diǎn)。 (2)主動(dòng)響應(yīng) IDS： 系統(tǒng)檢測(cè)到入侵后，采取某種響應(yīng)手段或措施阻塞攻擊的進(jìn)程或者改變受攻擊的網(wǎng)絡(luò)環(huán)境配置，以盡可能減小危害或阻止入侵。響應(yīng)機(jī)制根據(jù)入侵檢測(cè)的結(jié)果，采取必要和適當(dāng)?shù)膭?dòng)作，阻止進(jìn)一步的入侵行為或恢復(fù)受損害的系統(tǒng)，同時(shí)對(duì)數(shù)據(jù)源和入侵檢測(cè)的分析引擎產(chǎn)生影響。因此，異常入侵檢測(cè)方法與誤用入侵檢測(cè)方法在功能上是互補(bǔ)的。由于異常檢 測(cè)難以克服其局限性，因而許多商用 IDS 基本上采用的都用基于誤用的入侵檢測(cè)方法。這種方 法由于依據(jù)具體特征庫進(jìn)行判斷，所以對(duì)已知的攻擊類型非常有效 ；并且因?yàn)闄z測(cè)結(jié)果有明確的參照，也為系統(tǒng)管理員做出相應(yīng)措施提供了方便。異常檢測(cè)假設(shè) ： 任何對(duì)系統(tǒng)的入侵和誤操作都會(huì)導(dǎo)致系統(tǒng)異常。PCA 技術(shù)可以將數(shù)據(jù)從高維數(shù)據(jù)空間變換到低維特征空間，能夠保留屬性中那些最重要的屬性，從而更精確的描 述入侵行為。 提取入侵行為的特征，就是對(duì)入侵行為進(jìn)行形式化的描述，對(duì)其進(jìn)行準(zhǔn)確地分類。 3)入侵行為特征提取方法研究 數(shù)據(jù)源是入侵檢測(cè)系統(tǒng)的重要模塊，為入侵檢測(cè)提供原始數(shù)據(jù)，面對(duì)網(wǎng)絡(luò)系統(tǒng)中大量的數(shù)據(jù)信息，有效的提取入侵行為的特征對(duì)于入侵檢測(cè)的檢測(cè)率、可靠性及實(shí)時(shí)性都有著重要的 影響。 網(wǎng)絡(luò)攻擊模型的建模方法主要有四種，分別是攻擊樹、攻擊網(wǎng)、狀態(tài)轉(zhuǎn)移圖和攻擊圖。 這種結(jié)構(gòu)仍存在兩個(gè)問題 ： ①當(dāng)網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu)改變時(shí)，區(qū)域分析結(jié)果的匯總機(jī)制也需要做相應(yīng)的調(diào)整 ； ②這種結(jié) 構(gòu)的 IDS 最后還是要把各地收集到的結(jié)果傳送到最高級(jí)的檢測(cè)服務(wù)器進(jìn)行全局分析，所以系統(tǒng)的安全性并沒有實(shí)質(zhì)性的改進(jìn)。 這種結(jié)構(gòu)的 IDS 無法 適應(yīng)大規(guī)模網(wǎng)絡(luò)環(huán)境，在可伸縮性、可配置性方面存在致命缺陷 ： ①隨著網(wǎng)絡(luò)規(guī)模的增加，導(dǎo)致網(wǎng)絡(luò)性能大大降低。 經(jīng)過二十來年的 研究與發(fā)展，入侵檢測(cè)已經(jīng)從最初簡(jiǎn)單的基于審計(jì)信息的單機(jī)檢測(cè)模式，發(fā)展到以網(wǎng)絡(luò)為平臺(tái)，研究?jī)?nèi)容豐富，涉及領(lǐng)域廣泛的一門綜合性學(xué)科。 卿斯?jié)h等人定期會(huì)撰寫介紹入侵檢測(cè)研究現(xiàn)狀的文章，發(fā)表在國(guó)內(nèi)權(quán)威期刊上，這對(duì)于國(guó)內(nèi)信息安全研究人員了解相關(guān) 領(lǐng)域的研究動(dòng)態(tài)起了很好的幫助作用。 國(guó)外從事信息安全入侵檢測(cè)研究的主要機(jī)構(gòu)有 ： 喬治敦大學(xué)，普渡大學(xué)COAST 實(shí)驗(yàn)室， SRI 公司計(jì)算機(jī)科學(xué)實(shí)驗(yàn)室 (SRI/CLS )， Haystack 實(shí)驗(yàn)室，加州大學(xué)戴維斯分校，加州大學(xué)圣塔芭芭拉分校，洛斯阿拉莫斯國(guó)家實(shí)驗(yàn)室、哥倫比亞大學(xué)、新墨西哥大學(xué)等。 IFIP/SEC 主要由 IFIP 信息安全專委會(huì) TC11 負(fù)責(zé)，第一屆IFIP/SEC 信息安全國(guó)際會(huì)議于 1983 年 5 月在瑞典斯德哥爾摩召開，每年召開一次，到 2020 年已召開 24 屆。隨著網(wǎng)絡(luò)的興起，網(wǎng)絡(luò)的安全問題日 益嚴(yán)重，入侵檢測(cè)得到了重視，廣泛的發(fā)展起來。 網(wǎng)絡(luò)和計(jì)算機(jī)技術(shù)的進(jìn)步，在給人類的生活帶來極大便利的同時(shí)，也為黑和惡意攻擊者提供了入侵的手段和條件。在沒有很好的數(shù)據(jù)保護(hù)管理機(jī)制的情況下，重要數(shù)據(jù)的損毀對(duì)企業(yè)和個(gè)人往往是災(zāi)難性的，很多