（计算机应用技术专业论文）一种分布式入侵检测基础架构的设计与实现.pdf

末北大学硕士学铖论文 摘饕 一种分布式入侵检测基础架构的设计与实现 摘要 在目前众多的保证网络系统安全性的手段当中，入侵检测系统占有一一个非常重要的 蕴鬻。键是随麓阚络繁宽静不浆穗离，两络数援浚量逐渐热大，以往袋中式的八霞检测 系统往往有严熏的丢失数据包现象，并缭系统遗成很大的负载。另外，随着现代网络环 境争交换凝熬大量镬瘸，蹙绕麴潮终臻探器不麓霉釜孵到在其它圭瓿之溺来瑙传递豹数 据包。所以，以往通过嗅探器来捕获所有网络数据包的方法已疑不再可行。因拉匕，入侵 捡溅系缝懿数舔采集彝努援帮分都套盛要鞋分蠢式熬方式采实瑷。 本文针对目前高速网络环境下的入侵检测系统所面临的各种挑战，提出了一个分布 式入缦检测系绞匏基零絮梅，势实瑗了其中豹数据采袋、遘滤、存攘秘分奄式逶信协淡 部分。潦于w i n d o w s 操作系统的n d i s 中间层驱动程序架构和文件映射机制，实现了入 侵检测系绞的数据拣获窝过滤功能，势在实际的1 0 0 m b i t s 嚼终环境中测试了獒性栽； 为了方便嗣后对入侵分析算法的研究。以内核惑动态镳接库的形式封装入侵分析算法模 块，使奘成为本系统黪一个霹以随辩更换的横块；为了提裹系统的入镁分援灵活矬和词” 扩展性，将数据采集、存储和分析的功能融合剥每个可以在网络主机上独立运行的 a g e n t 巍中；为了支持不丽a g e n t 之闻的分农式通信，实现了器个数摄采集点和分析引 擎的分布式通信协议，并在n s 2 环境下模拟了分布式入侵分析过程中的c o o r d i n a t o r 选 举算法。 对基于n d i s 中间层驱动程序的内核态数据捕获机制的实现和系统构件分布式通 信协议的设计在入侵检测领域中是一种大胆的尝试，它丰富了入侵梭测系统基础絮幸设 计酌手段，并为西看对入侵检测算法韵研究提供了良好的实验平台。 关键谢：入侵梭测；w i n d o w s 内核驱动程序；n d i s 中间层驱动程序 阏络安全；分布式协议；n s 2 蔓苎查鲎塑主兰釜鱼查 ! 塑! ：! ! ! t h e d e s i g na n di m p l e m e n t a t i o no fa d i s t r i b u t e di n t r u s i o nd e t e c t i o na r c h i t e c t u r e a b s t r a c t i n t r u s i o nd e t e c t i o ns y s t e mq d s li so n eo f t h em o s t m p o r t a n tw a y so f s e c u r i n gn e t w o r k s y s t e m s h o w e v e r , c l a s s i c a li n t r u s i o nd e t e c t i o ns y s t e m sa l ef a c i n gac h a l l e n g i n gs i t u a t i o n 诵t ht h ee v e rg r o w i n gn e t w o r kb a n d - w i d t ha n dd a t at r a n s m i s s i o nr a t e 。c e n t r a l i z e di d sc a n n o ta v o i dt h e h i g hr a t e o fn e t w o r kp a c k e tl o s sa n dt h eh e a v yl o a di t b r i n g s t ot h e a c c o m m o d a t i n gh o s t b e s i d e s , w i t ht h er a p i du s eo fs w i t c h e si nm o d e r nn e t w o r k c i r c u m s t a n c e s t h ep r e v i o u s l yu s e dn e t w o r ks n i f f e rp r o g r a m se a nn o td e t e c tt h ed a t at r a f f i c b e t w e e no t h e rh o s t s s o ，i t su n f e a s i b l et ou s es n i f f e ra sad a t ac o l l e c t i n gm e c h a n i s mi n m o d e mi n t r u s i o nd e t e c t i o n 。a 1 1t h ec o n d i t i o n sa r ec a l l i n gf o rad i s t r i b u t e dw a yo f d a t a c o l l e c t i n ga n da n a l y z i n g ， i nt h i st h e s i sw ep r o p o s ead i s t r i b u t e di n t r u s i o nd e t e c t i n ga r c h i t e c t u r ec os o l v et h e p r o b l e m sb r o u g h tb ym o d e mh i g h - s p e e dn e t w o r ks y s t e m s 。a n dd a t ac o l l e c t i n g ，f i l t e r i n ga n d p e r s i s t e n c em e c h a n i s mh a v eb e e ni m p l e m e n t e dw i t han e w l yd e s i g n e dp r o t o c o ls u i t et o e n s n r ed i s t r i b u t e dc o m m u n i c a t i o nb e t w e e nd i f f e r e n ti n t r u s i o nd e t e c t i o na g e n t s b a s e do n 协e f i l e - m a p p i n gm e c h a n i s ma n dn d i sn e t w o r kd r i v e ra r c h i t e c t u r eo fm i c r o s o f tw i n d o w s0 s p l a t f o r m ，d a t ac o l l e c t i n ga n df i l t e r i n gm o d u l eh a sb e e ni m p l e m e n t e di nt h ef o r mo fk e m e l m o d ed r i v e r , g i v i n gac o n v e n i e n te n v i r o n m e n tt oe b i t yo u tam u c hf a s t e rd a t ap a c k e t c a p t u r i n gw h i l em a i n t a i nah i g he f f i c i e n c yo fi n f o r m a t i o nd u m p i n g i n t r u s i o nd e t e c t i n g m o d u l eh a sb e e ni m p l e m e n t e di nas i n g l ek e m e lm o d ed y n a m i cl i n kl i b r a r yf d l l ) e n s u r i n g t h ei n d e p e n d e n c ya n dr e p t a e a b i l i t yo ft h ea c t u a lf u n c t i o n i n gp a r to fa ni d s ；nt h ef i m l r e r e s e a r c ho fi n m l s i o nd e t e c t i o na l g o r i t h m d a t ac o l l e c t i n g , d u m p i n ga n da n a l y z i n gm o d u l e s a r ea l l ：f i x e di n t oas i n g l ea g e n tw h i c hi sa r ti n d e p e n d e n tf u n c t i o n i n ge n t i t yi np h y s i c a lh o s t s e n s u r i n gt h ef l e x i b i l i t ya n de x t e n s i b i l i t yo ft h ea c t u a li n t r u s i o nd e t e c t i o n an e w l yd e s i g n e d p r o t o c o ls u i t eh a sb e e n 西v e nt oe n s u r et h ed i s t r i b u t e dc o m m t m i c a t i o nb e t w e e nd i f l e r e n t a g e n t sw i 也t h ec o o r d i n a t o re l e c t i o na i g n r i t h mb e i n gs i m u l 撒e du n d e rn s 2e n v i r o n m e n t 日1 ei m p l e m e n t a t i o no fk e r n e lm o d ed a mc a p t u r i n gm e c h a m i s mb a s eo nn d i s i n t e r m e d i a t ed r i v e ra n dt h ed e s i g no fi n t e r - a g e n tc o m m u n i c a t i o np r o t o c o ls u i t ea r e a d v e n t u r o u st r y i n gi nt h ei n t r u s i o nd e t e c t i o nf i e l d ，a n dt h e ye n r i c ht h em e a n so fi n t r u s i o n d e t e c t i o na r c h i t e c t u r ed e s i g nw h i l ep r o v i d i n gas o l i dp l a t f o r mf o rt h ef u t u r ei n t r u s i o n d e t e c t i o na l g o r i t h mr e s e a r c h k e y w o r d s ：i n t r u s i o nd e t e c t i o n ；w i n d o w sk e m e lm o d ed r i v e r ；n d t si n t e r m e d i a t ed r i v e r ； n e t w o r ks e c u r i t y ；d i s t r i b u t e dp r o t o c o l ；n s 2 秘 独创性声明 本人声明，所呈交的学位论文是在导师的指导下完成的。论文中取得 的研究成果除加以标注和致谢的地方外，不包含其他人己经发表或撰写过 的研究成果，也不包括本人为获得其他学位而使用过的材料。与我同： 作的同志对本研究所做的任何贡献均已在论文中作了明确的说明并表示谢 意。 学位论文作者签名： 日期：j 一。厶 学位论文版权使用授权书 本学位论文作者和指导教师完全了解东北大学有关保留、使用学位论 文的规定：即学校有权保留并向国家有关部门或机构送交论文的复印件和 磁盘，允许论文被查阅和借阅。本人同意东北大学可以将学位论文的全部 或部分内容编入有关数据库进行检索、交流。 ( 如作者和导师不同意网上交流，请在下方签名；否则视为同意。) 学位论文作者签名： 签字臼期： 导师签名： 签字日期： 弹 一 东北大学硕士学位论文 第一章绪论 l 。l 论文鸷景与謦懿 第一章绪论 随精计算机网络的飞速发鼹，网络在带给人们各耪便利的同时，媳囱信怠技术领域 的：作者们提出了各种各样鹃镳战。翻前，在我们平e ! i 星接触捌的网络环境中充斥着各 种各样的计算机病毒、术马和阚络黑客。它们利用孵络这现代化的通讯平台，通过各 种系统的漏洞桶缺陷，不断蟪侵入用户主祝，破坏用户系统静完整性，窃取客户豹机密 信息，占用正常使用者的网络带宽，最后通过被入侵的主机向其它正常的主机肆意传攒， 给臻户静正常工作帮学习造成了穰严羹的影响。计舞枫瘸毒、木马和嘲络黑客的存在对 网络的雁常运转是一种威胁，也是网络安全工悸者们所面临的新的挑战。怎样有效地梭 溺并辫止合法糟户浆资源棱怒意入侵帮占瘸楚警今阏络安全领域一个鞯常活跃的课题。 在目前各种各样保证网络安全性的手段当巾，入侵检测占旃个非常重要的位蓠。 入侵检溺技零楚摇逶过薤褫掰络上静铸静鼗攒霞霸主糕上瀚器释审诗数据来分轿跫否 有黑客试图进入系统( 或者进行拒绝服务攻击) 的技术。具有上述入侵检测功能的系统 赣莛入侵羧涮系统。臻在入侵徐测系统甚经盛必器耪餐绫翦瓣络安垒手段( 懿，薅炎墙、 v p n 等) 的重螫补充，霄酉且现程入侵捡测系统与这些传统的网络安全设施的联系越来越 紧密建麓台在一起，健宅翻鼹羽户疆终正常运转斡揉簿工露越采越有效。 但烧，随着计算机网络的不断发展，入侵检测系统和入侵梭测技术的发展也遇到y 一些# 耩寒毒懿挑蔽。蓠走，瓣蕾网终带竟的不凝热大，疆络主主援数量弱增多，入霞 检测系统需要分析的数据量也逐渐增多，在某燎千兆网藏万兆网上，巨大的网络数据流 量绘入侵检测系统造成了援大豹受载。i ；曩予建绫薛入侵检测系绫一般豢敖在嘲终透筹 处，在这里网络的数据流量极熊巨大，而且容易成为系统的性能瓶颈所在。这样一一来， 处于网络边赛楚戆入侵捻测系统裁成了限铡网络系统瞧缝提毫斡嚣索。舅势，传统鳃入 侵检测系统所采用的入侵检测鞯法大多数都悬旗于模式匹配的，这样的算法效率低f ， 缀难适应现代离逮网终的繇境。鉴于此，入侵检测系绕要想提辩性能并捷英不熬残为熬 个网络系统的憔瓶颈，就必须朝着两个主要的方向发展，那簸是： ( 1 ) 由传统蛇集中戏入侵捡测向分布式入侵捡测发展： ( 2 ) 由传统的基于模式匹瓤的入畿分析算法向新型的高效的入侵分析算法( 如，卒申 经网络、遗传算法等赢效的搜索算法) 发展。 由予入侵稔测系统必须向着以上两个主要的方向发震，因j 埒：需要在不同的方向上进 行大量的具有开拓性的工作。本文的饕力点主黉集中程方向( 1 ) 上藤。事实上，从传 统的集巾式的入侵捡测系统发袋蓟新受的分布戏的入馒稔测体系，这中间必然伴随着系 东北大学硕士学位论文 第一章绪论 统体系结构上的巨大变化。以往很多在集中式系统上不需要考虑的问题都会随之而来， 在分布式入侵检测系统体系架构方面，已经有了一些前人的研究成果。本文在总结 前人研究成果的同时，提出了一种新的分布式入侵检测体系架构，并实现其中的支持系 统f 常运行的基础设施。 1 2 工作内容与研究成果 本文将研究的重点放在分布式入侵检测系统基础架构的设计与实现上，即，为各种 分布式入侵分析算法的实现与验证提供必要的基础支持，这些支持包括； ( 1 ) 网络原始数据采集机制； ( 2 ) 网络数据存储机制； ( 3 ) 支持系统数据传输、数据采集点管理及系统重构的分布式协议。 在数据采集方面，我们设计并实现了基于w i n d o w s 操作系统n d i s 中问层驱动程序 的数据捕获机制，这一模块运行在w i n d o w s 系统的内核态，与物理网卡驱动程序相邻， 可以在最大程度上减少数据捕获过程中产生的重复复制。同时，内核态驱动程序可以通 过文件映射豹方式将自己的内存缓冲区共享给用户态的程序，从而使用户态程序不用再 次复制数据就可以将驱动程序捕获的数据转储到数据库当中，这极大地提高了网络数据 捕获和转储地效率。经过实际测试。我们的驱动程序在网络上的数据捕获速率与当今流 行的网络数据捕获工具s n i f i e f 4 7 0 相当，超过了w i n p c a p 软件包的速率。 在数据转储方面，我们使用m y s q l5 0 作为数据库服务器，数据库服务器不仅用于 存储阚络上的数据，还用来存储各种网络统计信息，为入侵分析算法提供各种必要的数 据依据。网络原始数据要想进入数据库，必须经过用户态程序的转储，及用户态程序充 当搬运工的角色，不停地把内核态驱动程序捕获到的数据存储到数据库中。为了减少数 据转储过程当中的重复数据拷贝，我们通过文件映射的方式，在内核态和用户态程序之 间共享连续的内存缓冲区，这样一来，用户态程序可以在自己的地址空间中看至i 内核态 驱动程序开辟的缓冲区并从其中读取已有的数据，然后通过各种分析过程，最后将分析 的结果和各种统计数据通过事先建立好的数据库连接存储到数据库当中。 在分布式协议的设计过程当中，我们设计了支持不同数据采集点之间的通信、数据 采集点的管理和系统重构的分耀式遇信扔议，并基于n s 2 仿真模拟了整个系统中 c o o r d i n a t o r 选举算法的执行过程，实验证明该算法收敛。 1 3 本文的结构 本章前两节简单介绍了本文的研究背景和研究内容，第二章到第六章回顾了。些有 关入侵检测系统的基础知识并给出本文所作的研究，其篇章结构如下： 第二章对入侵检测技术及入侵检测系统的体系架构作一简单的回顾，并给出1 。些常 2 东北大学硕士学位论文 第一章绪论 用术语的定义。给出了对入侵检测系统的常见分类方法、不同入侵检测系统和入侵榆测 算法的优缺点、以及未来入侵检测技术的发展过程当中面临的些挑战。 第三章给出了分布式入侵检测系统基础架构的总体设计构想，并划分了系统的各个 功能模块。对各个相对独立的功能模块，分别提出r 该模块的详细功能需求和设计计划。 第四章首先简单介绍了w i n d o w s 系统网络协议栈的体系架构和n d i s 网络驱动穰序 的设计概要，然后详细论述了核心态数据捕获驱动程序的设计过程。最后通过实际测量 的结果及其与同类产品的对比，分析了我们所开发的驱动程序的数据捕获性能。 第五章在对分布式入侵检测系统不同模块之间通信的功能需求及其通信细节进行详 细分析的基础上，给出了通信协议原语并完整地描绘了协议的数据包格式。由于每个 分布式系统中都会有一个信息集中或控制整个系统正常运转的节点，为了提高系统的运 行效率，让主机处理能力强的节点担任系统中这一非常重要的角色，我们设计了系统 c o o r d i n a t o r 选举算法，并基于n s 2 仿真系统，模拟了这一算法的运行过程，实验证明 我们的选举算法收敛。 第六章给出结束语。 东北欠学硕士学位论文 第二章当前入侵检测技术综述 第二章当前入侵检测技术综述 2 1 基本概念简介 入侵是指一些人( 称为“黑客”、“骇客”或入侵者) 试图进入本来无权进入的系统 或者滥用本来无权使用的系统资源 1 1 。 黑客是一个一般术语，通常是指那些喜欢进入菜些东西内部的人。良性的黑客是那 些喜欢进入他她们自己或别人的计算机并发现其如 可工作的人。恶意的黑客是那些进入 并破坏其他人系统的人。恶意黑客往往是窃取某些机密信息或在用户的系统里留下后 门，以便于日后很容易就可以再次进入用户的系统。甚至有些受害的主机成了黑客们继 续进行破坏活动的工具( 俗称“肉鸡”) 。 由于系统所面临的众多安全性威胁给计算机网络造成了巨大的损失，因此有必要通 过各种有效的网络安全手段加强人们对网络的监控力度，维护网络的正常运转，保障合 法用户的利益，这就是我们通常所说的网络信息安全技术。从狭义的保护角度来看，计 算机网络安全是指计算机及其网络系统资源和债息资源不受自然和人为有害因素的威 胁和危害，从广义来说，凡是涉及到计算机网络上信息的保密性、完整性、可用性、真 实性和可控性的相关技术和理论都是计算机网络安全的研究领域1 3 j 。 怎样解决网络安全问题，很多人在研究和探索。通常认为，网络信息安全的目标主 要是保障系统的可靠性、可用性、机密性、完整性和非否认性( 抗抵赖性) 。目前已经 被广泛使用的瞬络安全技术有：加密机制、数字签名机制【4 邹、访闷控制机制、数据完整 性机制、认证机制、系统脆弱性检测和防火墙州等。虽然已经有了各种不同的网络信息 安全技术，但是还是有很多服务器在不能够及时检测和预防的情况下被攻击，导致了巨 大的经济损失。这主要是由于传统网络安全技术的弱点，即，被动的防御系统显露出技 术上很多的不足。于是，人们提出了主动的网络安全防御体系，这其中的代表就是网络 入侵检测系统“j 。 2 1 1 入侵检测的定义 入侵检测是指在特定的网络环境中，通过对计算机网络和计算机系统中的若干关键 点收集信息并对其进行分析，从而发现和识别未经授权的或恶意的攻击和入侵，进而对 此做出反应的过程 8 1 。而执行此过程的计算机软件与硬件的结合就是入侵检测系统。 入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操 作的实时保护，它可以在网络受到危害之前拦截和相应入侵1 9 】。入侵检测系统的作用有： ( 1 ) 监视、分析用户计算机和网络的运行状况，查找非法用户的合法用户的越权操作； 4 东北大学硕士学位论文第二章 - 3 前入侵检测技术综述 ( 2 ) 检测系统配置的正确性和安全漏洞，并提示系统管理员修补漏洞； ( 3 ) 对用户非正常活动的统计分析，发现攻击行为的规律； ( 4 ) 检查系统程序和数据的一致性和正确性： ( 5 ) 实时地对检测到的攻击行为进行响应； ( 6 ) 对操作系统进行审计跟踪管理，并识别用户违反安全策略的行为。 2 1 2 入侵检测系统的分类 根据检测的对象不同，入侵检测系统可以分为基于主机的入侵检测系统h i d s ( h o s t i n t r u s i o nd e t e c t i o ns y s t e m ) 和基于网络的入侵检测系统n i d s ( n e t w o r ki n t r u s i o n d e t e c t i o ns y s t e m ) 。 基于主机的入侵检测系统根据主机系统的系统日志和审计记录来进行检测分析，通 常在受保护的主机上有专门的检测代理，通过对系统日志和审计记录不问断的监视和分 析来发现攻击。其目的是在时间发生后提供足够的分析来阻止进一步的攻击。基于主机 的入侵检测系统的优点是能够监视特定的系统行为，能够确定攻击是否成功。有些攻击 在网络的数据流中很难发现，或者报本没有通过网络在本地进行。这时基于网络的入侵 检测系统( n i d s ) 将无能为力，只能借助h i d s 。但是，h i d s 安装在需要受到保护的 设备上，这回降低应用系统的效率。它依赖于服务器固有的日志与监控能力，如果服务 器没有配备日志功能，在必须重新配罱，这将会给运行中的业务系统带来不可预见的性 能影响。另外，h i d s 部署代价较大，且不能监控网络上的情况。 基于网络的入侵检测系统是使用原是数据包作为数据源的。它可以实时监控网络上 的数据流量。并分析其中的攻击因素。n i d s 的优点是其成本较低，能够检测到h i d s 不能检测的入侵。比如，n i d s 能够检查数据包头从而发现超越权限的非法访问。n i d s 截驭的数据不仅包括入侵的方法，还包括可以定位入侵者的信息，因此，入侵者不容易 销毁证据。n i d s 能够做到实时检测和响应，一旦发现入侵行为就立即终止攻击。n i d s 不依赖于受保护主机的操作系统，就有很高的灵活性和易扩展性。但是，n i d s 也有其 自身的弱点。n i d s 只能检测它童接连接网段的信息，不能检测不同网段的数据包。在 使用交换以太网的环境中就会出现监测范围的局限。n i d s 为了性能的目标通常会采取 特征检测的方法，它可以检测出普通的攻击，但很难发现一些复杂的需要大量计算和分 析时间的攻击。网络入侵检测系统需要将大薰的数据传回分析系统。在一些系统中监听 特定的数据包会产生大量的数据流量。一些系统在实现时采用一定的方法来减少回传的 数据量，对入侵判断的决策由传感器实现，而中央控制台称为状态显示与通信中心，不 再作为入侵行为分析器。这样的系统中的传感器协同工作能力比较弱。n i d s 处理加密 的会话过程比较困难，目前通过加密通道进行攻击的例子尚不多见，但是随着i p v 6 的 普及【l o ，这个问题会越来越突出。 东北大学硕士学位论文 第二章当前八侵检测技术综述 根据入侵检测系统是否具有多个数据采集点甚至是多个入侵分析分析引擎，它又可 以分为集中式入侵检测系统( c e n t r a l i z e di n t r u s i o nd e t e c t i o ns y s t e m ) 和分布式入侵检测 系统( d i s t r i b u t e di n t r u s i o nd e t e c t i o ns y s t e m ) 。集中式入侵检测系统处于网络边界处，它 将数据采集、入侵分析构件集中在一起，进出网络的所有数据流量都经过入侵检测系统， 这样的系统设计简单，不需要设置多个数据采集点和入侵分析引擎，因此也没有必要设 置通信传输构件，且不必担心监控网络流量时会产生丢包的现象。但是，由于集中式入 侵检测系统位于网络边界处，它的性能好坏直接关系到整个网络通信效率的商低。因此 必须小心设计和配晟以避免其给整个网络系统造成性能上的瓶颈。 分布式入侵检测系统通常由数据采集、通信传输、入侵分折、应急处理和配置管理 等几大构件组成，如图2 1 所示。这些构件可根据不同情形组合。例如，数据采集构件 和通信传输构件就能组合成能同时完成两个任务的新构件。所有这些构件组合在起就 变成一个入侵检测系统。构件按网络配置情况和检测需要可以安装在单独的一台主机 上，也可以分散在网络中的不i 霹位置，甚至一些构件能够单独地检测本地的入侵，并将 入侵检测的局部结果信息传送到检测管理中心【1 “。 图2 1 分布式入侵检测系统的构件 f i g 2 1c o m p o n e n t so f ad i s t r i b u t e di n t r u s i o nd e t e c t i o ns y s t e m 分布式入侵检测系统中的各个构件的功能如下： ( 1 ) 数据采集构件：收集入侵分析引擎使用的数据，可驻留在网络中的主机上或安装 在网络中的监控点。需要通信传输构件的协作以将收集到的数据传送到入侵分析 引擎进行处理。 ( 2 ) 通信传输构件：传递检测的结果、处理原始的数据和控制命令，一般需要和其它 部件协作完成通信功能。 ( 3 ) 入侵分析构件：根据搜集的数据，利用预先设置好的入侵检测分析算法，对数据 进行各种形式的分析处理，产生分析结果、必要的时候给出报警信号并做出应急 响应。 6 东北大学硕士学饭论文 第二章当前八侵捡测技术综述 ( 4 ) 成急处理构件：按入侵梭测的结果和主帆、网络的实际情况，做出决策削断对入 侵行为进行响应。 ( 5 ) 稍户管理构件：管理其它构件的配置，产生入侵总体报告，提供用户和其它构件 的管理接口( 包括图形化工具和可视化界碰) ，供耀户查询、配黢整个入侵检测系 统。 分布式入侵检测系统可以实现在基于网络的入侵检测系统上不能炎现的一般功能， 铡如，发现分散在各个主耩l 上的系统漏洞( 这魏漏洞耐能被入侵者乖l 阁起来攻击网络) 和脆弱性，对抗协作式的入侵行力( 如，分布式拒绝服务攻击d d o s ) ，在交换型网络 中以分散的方式监听网络数据镪的流动，分散磁速网络静数据流量对熬个系统造成瀚巨 大负载，等等。雁因为分布式入侵检测系统有如此之多的优点，所以是当前研究的焦点。 狠据系统掰采用熬捡穗技求的不满，入侵梭溯系统又可淡分努误并； 入餐硷溺系统帮 异常入傻检测系统。误用入侵梭测系统中存有已知的入侵者攻击系统的模式，在网络的 逮赛楚，系统不颧翡鼗撬来往豹数据瀛薰，露怒秀有与已知静竣击模式匹配静数蘩滚， 若有，即证明有某种攻击行为的发生。界常入侵检测系统中没商己知的入侵行为的签名 ( 或耨 芷) ，这样豹系统遥鬻套掰开魏运葶亍嚣辩续，蘩集系统正常运芎予跨鹃各秘参羲蕊 ( 称为系统的p r o f i l e ) ，如果某时刻系统的遮行参数明湿偏离了正常的值，那么系缆 藏毒臻邀攘蓿发生豹舅紫事舞( 疆霹戆是黑客豹攻壹事锋) 。 误用入侵检测系统和异常入侵检测技术各幽优缺点。比如，误用入侵检测对攻击行 淹懿诀定魄较壤确、逐速，嚣耨瓣技零魄较戏熬，庭蠲广泛；懿是误筠入爱梭溺不襞发 现未知的攻击模式，误用入侵搬测系统中的玫街特征库需要不断地更新才能有效地保护 鼹户懿瓣终系绫，这群瓣闽一长，裁会逑残系绞籀臃黪，搜效率f 降。对于爨褰入经捡 测系统，情况工旺好相反。虽然这种系统对入侵行为的认定不够准确和迅速，但它可以识 爨来鬏瓣入缓行必，嚣辩还可叛牧豢凝型入侵手段熬玻蘧特征，在毒掰秘入缦手段产雯 而入侵特征库又没有及h 寸更新的情况下，异常入侵检测是唯一柯效的检测入侵行为的手 段。髫篱异掌入 受援溅鳃技术不够成熟，舂待予人们徽更多豹磺究秘葭进。 2 1 3 入侵检测系统的标准化 为了提高i d s 产品、组件及其与其它安全产品的互操作性，美国国防部搿级研究计 爨署( d a r p a ) 帮互袋瓣工程经务缝t e t f ) 翡天侵梭溅互露缀( i d w g ) 技逛铡定了 一系列建议草察，从体系结构、a p i 、通信机制、语言格式等方面对i d s 做了规范。 p a r p a 提滋秘建汉是公共入侵梭溅疆絮c i d f ，c o m m o ni n t r u s i o nd e t e c t i o n f r a m w o r k ) ，c i d f 所做的工作主要包括四部分：i d s 的体系结构、通信机制、描述语言 窝应爰鞭彦接1 2 i ( a p i ) 。c i d f 在i d e s 秘n t d e s 麴鏊旗主提爨了一个透餍摸溅，将入 侵检测系统分为四个基本组件：事件产生器、事件分析器、响应单元和事件数据库i 。 7 东北大学硕士学位论文 第二南当前入侵检测技术综述 其结构如图2 2 所示： j 蛹斑蕈丸 j 二二。：。二一l ：_ ：一：ii 事冀篓耋冀 r 一一l i 一一- 7 ：搴搏产生嚣譬i 二：”：二一， 2 ” l” 菰始数据巍 豳2 2c i d f 的主要蛆成部分 f i g 。2 。2i n t e g r a lc o m p o n e m so f c f d f 以下对c i d f 中的四个基本组件作简单介绍： ( 1 ) 事终产生器( e v e n tg e n e r a t o r s ) 。 事件产生器的任务是从入侵检测系统之外的计算环境中搜寨事件，并将邋些事件 转换藏c i d f 豹g i d o 格式簧送绘蒺媳缀佟。铡如，事牛产生器可以是读墩c 2 缀 审计踪迹并将其转换为g i d o 格式的过滤器，也可以是被鞠媳监控网络势根掘网 绩数据流产生事件涟贯一耪过滤嚣，还可以是s q l 数据瘁中产生挞述事务的每牛 的应用代码。 ( 2 ) 事馋分柝嚣( e v e n ta n a l y z e r s ) 事件分析瓣分析从其他缀件收到的g i d o ，并将产生的新g i d o 褥传送烩其它缎 l 牛。分析嚣可以是一个轮廓( p r o f i l e ) 描述工具，统计性地检查现在的事 牛是否可 能姆以前菜个事件来自同一时憾搿剐；也可以是一个特征检铡工基，用予在一个 事 牛痔列中检查悬否有已知的滥用攻击特诬。 ( 3 ) 响应单元( r e s p o n s eu n i t s ) 确应单元处理收到的g i d o 。并攒此采取姻应的攒摊，如杀死相哭进程、将连接 复使、修敬文辞权限等。 ( 4 ) 事 牛数据库( e v e n td a t a b a s e s ) 粥来存储g i d o ，驻餐系统需要豹时候使麓。 为了傈证各个组件之间安全瀚效地邋信，c m f 将通信机制构造成个三朦模型： g i d o 整、滚意滋稻蛰礴佟簸瑶。 g i d o 层的任务就是提高组体之间的互操作性，所以g i d o 就如锫褒示各种各样的 事律辙了详缨静定义。消惫攥确缣棱热密谈涯溺患程耱火壤鬣n a t 等设簧之麓传辕过 程中的可嚣性。消息层t 鲠负责将数据从发送方传送到接收方，丽不携带任何有谲义的信 8 东北大学硕士学位论文 第二章当前入侵检测技术综逮 息；同样，g i d o 层也只考虑所传送信息的语义，而不关心这些消息怎样被传递。单 的传输协议无法满足c i d f 各种各样的应用要求，只有当两个特定的组件对信道使用达 成一致时，才能进行通信。协商传输层规定g i d o 在各个组件之间的传输机制。 c i d f 的总体目标是实现软件的复厢和入侵检测与响应i d r 组件之间的豆操作性。 首先，i d r 组件基础结构必须是安全、健壮、和伸缩的，c i d f 的工作重点是定义种 应用层的语言，即公共入侵规范语言c i s l ( c o r m a a o n i n t r u s i o n d e t e c t i o n l a n g u a g e ) ，用 来描述i d r 之间的传送的信息，以及制定一一套对这些信息进行编码的协议。c i s l 可以 表示c i d f 中的各种信息，如原始事件信息、分柝结果、响应提示等。c i s l 使用了哥十 称为s 表达式的通用语言构建方法，s 表达式可以对标记和数据进行简单的递归编组， 即对标记加上数据，然后封装在括号内完成编组，这跟l i s p 有些类似。s 表达式的最 开头是语义标识符( 简称为s i d ) ，用于显示编组列袁的语义。例如下面的s 表达式： ( h o s t n a m e f i r s t e x a m p l e t o m ) 该编组列表的s i d 是h o s t n a m e ，它说明后面的字符串f i r s t e x a m p l e t o m 将被解释为 个主机的名字。 有时候，只有使用很复杂的s 表达式才能描述出某些事件的详细情况，这就需要时 用大量的s i d 。s i d 在c i s l 中起着非常重要的作用，它可以用来表示时间、位簧、动 作、角色、属性等，只有使用大量的s i d ，才能够选出合适的句子。c i s l 使用范例对各 种事件和分析结果进行编码，把编码的句子进行适当的封装，就得到了g i d o 。g i d o 的构建与编码是c i s l 的重点。 入侵检测工作组的任务是：定义数据格式和交换规程，用于入侵检测与响应系统之 间或与需要交换信息的管理系统之间的信息菇享。i d w g 提蹦的建议草案包括三个部 分：入侵检测消息交换格式i d m e f ( i n t r u s i o nd e t e c t i o nm e s s a g ee x c h a n g ef o r m a t ) 、入 侵检测交换协议i d x p ( i n t r u s i o nd e t e c t i o ne x c h a n g ep r o t o c 0 1 ) 以及隧道轮廓( t u n n e l p r o f i l e ) 。 i d m e f 描述了表示入侵检测系统输出信息的数据模型，并解释了使用此模型的基本 原理。该数据模型用x m l 来实现，并设计了一个x m l 文档类型定义。自动入侵检测 系统可以使用i d m e f 提供的标准数据格式对可疑事件发出警报，提高商业、丌放资源 和研究系统之间的互操作性。i d m e f 主要适用于入侵检测分析器和接收警报的管理器 之间的数据信道。 i d x p 是一个入侵检测实体之间交换数据的应用层协议，能够实现i d m e f 消息、非 结构文本和二进制数据之间的交换，并提供面向连接协议之上的双方认证、完整性和保 密性等安全特征。i d x p 是b e e p 的一部分，后者是一个用于面向连接的异步交互通用 协议，i d x p 的许多特色功能( 如认证、保密性等) 都是由b e e p 框架提供的。 9 东北太学硕士学位论文 第二章当前入侵检测技术综述 2 1 4 入侵检测面临的挑战 到目前为止，入侵检测系统虽然得到了长足的发展，但仍然面临许多有待解决的关 键问题。这些问题对当前的入侵检测系统提出了挑战，也是未来入侵检测研究工作应该 重视的焦点。以下是一些在入侵检测系统的设计、构建和维护过程当中常见的技术方面 的挑战【jj ： ( 1 ) 怎样有效地表示计算机入侵通用模式? ( 2 ) 怎样j l 螽测入侵发生过程? ( 3 ) 如何实现审计数据标准化或设计一种软件统一各种审计数据? ( 4 ) 随着网络规模和复杂程度的不断增长，在大型异构网络环境当中，如何集成并处 理来自分布在网络各处实体的具有不同格式的各种相关信患? ( 5 ) 如何在相互合作但并不完全相互信任的组织之间麸享敏感的入侵行为信息? ( 6 ) 如何进行管理域之间的合作过程? ( 7 ) 如何保证在局部入侵检测系统失效的情况下仍能维护系统的全局安全? ( 8 ) 如何在造成损失之前及早发现入侵活动，即预警技术。 ( 9 ) 在网络非常繁忙的情况下，如何保证蘩个入侵检测系统的性能且又不造成对入侵 行为的漏检? ( 1 0 ) 用来描述异常入侵行为的模式特征是误用检测系统最重要的基石。如何保证所采 用的特征集准确而又足以描述已知的各种攻击模式( 包括复杂的分阶段攻击行为) 及其变种? ( 1 1 ) 由于i d s 不能在独立环境中检测攻击，必须建立在一个实际的网络环境中，因此 这给入侵检测系统的评估工作带来了很大的挑战。同时，对系统的评估还需要大 量的包含各种测试入侵模式的复杂数据，这些数据还要根据不同的操作系统平台 和版本加以调整。 2 2 入侵检测系统的原理 入侵检测系统是如何检测出入侵行为的昵? 其实入侵检测技术跟其它的检测技术有 同样的原理，那就是：从一组数据中检测出符合某一特点的数据。攻击者在进行攻击的 时候会留下痕迹，这些痕迹和系统芷常运行情况下留下的痕迹混在起。我们的任务就 是从这些混台的数据当中找出是否有入侵的痕迹。 从这个原理来看，入侵梭测系统有两个重要部分：数据获取和入侵分析。入侵检测 系统的数据和其它检测系统的数据不太一样，它般是采用系统或网络运行的时候产生 的数据。从一组数据中检测出入侵行为的发生，实际上就是对一组数据进行分析。根据 以上原理，人们提出了各种不同的入侵检测系统模型。 翌坠塑主兰竺堕查 苎三主兰堕全堡垒型垫查堑妻 2 2 1i d e s 模型 最早的入侵检测模型由d o r o t h yd e n n i n g 在1 9 8 6 年提出，叫入侵检测专家系统 ( i n t r u s i o nd e t e c t i o ne x p e r ts y s t e m ，i d e s ) 。这个模型与具体系统和具体输入无关，对 此后的大部分实用系统都很有借鉴价值，其结构如图2 3 所示。 图2 3 i d e s 挨型 f i g + 2 31 d e sm o d e l 该模型的最大缺点是它没有包含已知系统漏洞或攻击方法的知识，而这些知识在很 多情况下是非常有用的信息。 该模型由以下六个主要部分组成： ( 1 ) 主体( s u b j e c t ) ：启动在目标系统上活动的实体，如用户。 ( 2 ) 客体( o b j e c t ) ：系统资源，如文件、设备、命令等。 ( 3 ) 审计记录( a u d i tr e c o r d ) ：由 构成的六元组，活动( a c t i o n ) 是主体对客体的操作， 对操作系统而言，这些操作包括读、写、登录、退出等：异常条件 ( e x c e p t i o n c o n d i t i o n ) 是系统对主体的活动的异常报告，如违反系统读写权限： 资源使用状况( r e s o u r c e - u s a g e ) 是系统的资源消耗情况，如c p u 、内存使用率 等：时间戳( t i m e s t a m p ) 是活动发生的时间。 ( 4 ) 活动简档( a c t i v i t yp r o f i l e ) ：用以保存主体正常活动的有关信息，具体实现依赖 于检测方法，在统计方法中从事件数量、频度、资源消耗等方面度量，可以使用 方差、马尔可夫模型等方法实现。 ( 5 ) 异常记录( a n o m a l yr e c o r d ) ：由 组成。用以表示异常 事件发生的情况。 ( 6 ) 活动规则：规则集是检查入侵是否发生的处理引擎，结合活动简档用专家系统或 统计方法等分析接收到的审计记录，调整内部援则或统计信息，在判断有入侵发 东北大学硕士学位论文 g ：- 章当前入侵捡测技术综述 生时采取相应的措施。 2 2 2i d m 模型 s t e y e nr s n a p p 等人在设计和开发分布式入侵检测系统时，提出一个层次化的入侵 检测模型，简称i d m 。其层次结构如表2 1 所示： 表2 1i d m 模型层次结构 t a b l e 2 1h i b e r a r c h y o f d m m o d e l i d m 模型给出了在推断网络中的计算机受到攻击时的数据抽象过程。也就是说，它 给出了将分散的原始数据转换成为高层次有关入侵和被监测环境韵全部安全假设