（计算机应用技术专业论文）入侵检测监视系统snortviewer.pdf

摘要 随着i n t e m e t 的发展，计算机系统上的入侵也大量增加，人们已 一哆 经研究和应用入侵控制方法，但是仍处于初期阶段。目前还没有一种 能够真正确保网络安全的技术。防止非法者访问系统资源和数据是计 算机系统安全机制的一个重要部分。目前还没有一个系统能够阻止危 害安全的行为发生。唯一的办法是建立个入侵检测系统( i d s ) ，检 测和识别入侵活动，采取相应的措施从而降低对系统的破坏，并防止 将来使用同一方法的入侵。 入侵检测系统有不同的版本和技术，其作用是处理入侵者和带来 的大量日志输出，由于不可能对日志输出立即分析，于是存在慢响应。 不管是使用统计方法，还是人工智能方法，它们都不能完全探测所有 入侵活动，但是至少能得到网络上一些信- 鬯垄 z 本文通过分析大量的日志，结合s n o r t 与m y s q l ，使得 s n o r t v i e w e r 更容易通过监视网络入侵检测系统来监视远程网站，这样 网络上安全管理人员和研究者可以监视和观察到安全警报。 s n o r t v i e w e r 是一个w e b 接口，用来监视远程网络入侵检测系统 活动，很容易在当前的网络上安装和配置，可以认为是s n o r t 的扩展。 s n o r t v i e w e r 虽然结构简单，但在s n o r t 安装在称为传感器的系统网络 接口卡( n t c ) 的情况下非常有效。传感器扫描网络中入侵和嫌疑的 活动，同时记录日志给m y s q l 数据库，只保存网站使用者和他们试 图做的行为的信息，这样每秒会产生大量的数据和目志。m y s q l 和 传感器运行在称之为传感器站的同系统上。 a p a c h ew e b 服务器安装在网络服务器上。为了分析日志，用脚 本语言p m ( 超文本预处理器) 生成动态网页，使得遥感器能监控由 传感器记录在数据库中新的入侵活动。数据库可以和传感器在网一机 器上，也可以是远程的。p h p 脚本可运行在传感器站点上，如能用合 法用户名和口令建立到s n o r t v i e w e r 的连接，它也可位于远程站点， 否则不行。 为使用户能看到遥感器的活动，只需登录和访问网络上的w e b 服务器，通过w e b 浏览器来访问传感器站点上的m y s q l 就可了解网 络活动。m y s q l 存储了更多的传感器此时的信息。 s n o r t v i e w e r 的作用是在更坏的情况发生之前，意识到安全破坏 而立即采取行动。一个正在监控的用户检测到入侵活动就通知事件响 应组，它负责在类似的情况下采取措施或执行规定的动作。这样， s n o r t v i e w e r 就可方便两快速地做出响应。 s n o r t v i e w e r 解决了由入侵检测系统监控网络活动的不便，因为 只有网络专家知道入侵活动之前的网络状况，并通知安全人员。目的 是使本地的或远程的任何地方能方便地查看和访问。 s n o r t v i e w e r 用s n o r t 检测入侵和其他可疑行为，并输出到数据库 中。为实现分布式监控，超文本预处理器分析日志，然后用脚本创建 动态网页，使得本地网络甚至远程网络( 如另外个省或国家) 监控 网上的行为。在任意操作系统下，客户除了需要个普通的w e b 浏 览器外无需额外的客户程序就可以迅速地查看到任何地方的网络警 报。任何人使用任意操作系统，都可用任意一种浏览器甚至是基于文 本的浏览器( 如l y n x ) 来监控网络入侵检测系统。 总之，本文提出了一个网络接口s n o r t v i e w e r 。s n o r t v i e w e r 中的s n o r t 是一个基于规则的入侵检测系统，能检测网络上的入侵和 使用m y s q l 创建日志，这是了解网络状况的基础。使用超文本预处 理器和a p a c h ew e b 服务器来分析大量的日志，有助于实现实时观测 甚至远程实时观测。 关键词入侵，检测，攻击，传感器，分析 a b s t r a c t i n t r u s i o n si n t o c o m p u t e rs y s t e m s a r eo na r a p i d i n c r e a s ed u et ot h e e x p l o s i o no ft h ei n t e m e ta n dm u c he f f o r t si nc u r b i n gt h i si n t r u s i o n sh a v eb e e n t h o u g h to fa n dh a v eb e e na p p l i e db u ts t i l li nt h e i ri n f a n c ys t a g e t h ee f f o r t s y i e l d s w h a tc a m et ob ek n o w na si n t r u s i o n sd e t e c t i o n s y s t e m s f o rw h i c h m a i n l yi d e n t i f i e si n t r u s i o n sa n dt h e nl o g st h e m t h i sm a k e si tv e r yd i f f i c u l tt o i d e n t i f yi n t r u s i o n sa n dv i s u a l i z ed u e t ol a r g ea m o u n to fd a t a b e i n gl o g g e da n d t of i n dt h ea l e r to n eh a st ob e p h y s i c a l l y o nt h es t a t i o nr u n n i n gt h ei d sa n dh a s t op a r s et h r o u g ht o n so f b y t e s t h i st h e s i sa t t e m p t st oa d d r e s st h i sp r o b l e mb yt h ed e v e l o p m e n to faw e b i n t e r f a c e ，s n o r t v i e w e r t h es n o r w i e w e ri n v o l v e ss n o r tw h i c hi sam l e b a s e d i n t r u s i o nd e t e c t i o ns y s t e mw h i c hd e t e c t si n t r u s i o n so nt h en e t w o r kw i r ea n d u t i l i z e st h em y s q lf o r l o g g i n g t h i si st h eb a s i so fk n o w i n g w h a ti sh a p p e n i n g o nt h ew i r e h y p e r t e x t p r e p r o c e s s o ra n da p a c h ew e b s e r v e r a l eu s e di np a r s i n g i n t ot h i sh u g el o g si no r d e rt oh e l pi nr e a l t i m ev i s u a l i z a t i o na l m o s ti nr e a l t i m e r e m o t e l y t h es n o r t v i e w e ri n v o l v e s d e t e c t i n g i n t r u s i o n sa n do t h e r s s u s p i c i o u s a c t i v i t i e sw i t hs n o r ta n dt h e no u t p u tt h e mi n t oad a t a b a s e i no r d e rt oa l l o w s d i s t r i b u t e d m o n i t o r i n g a n ds u r v e i l l a n c eo ft h e a c t i v i t i e st h e h y p e r t e x t p r e p r o c e s s o rp a r s e st h el o g sa n dt h e nu s et h es c r i p t st oc r e a t ed y n a m i cw e b p a g e sf o rw h i c ha l l o w sa c t i v i t i e s o nt h ew i r et ob em o n i t o r e do nl o c a la r e a n e t w o r ko re v e nr e m o t e l ys u c ha sa n o t h e rp r o v i n c eo ra n o t h e rc o u n t r y t h e c l i e n td o e sn o tn e e da na d d i t i o n a lc l i e n t p r o g r a ma p a r t f r o mc o m m o n l y a v a i l a b l ew e bb r o w s e r si no r d e rt 0a l l o ws w i f t l yv i s u a l i z en e ta l e r t sf r o m a n y w h e r ei r r e s p e c t i v e o f t h e r u n n i n go p e r a t i n gs y s t e m t h ee x p e r i m e n t sw e r ec a r r i e do u tw i t hs n o r t v i e w e ra n dd e s c r i b e d t h e a p p l i c a t i o n i ss h o w nw o r k i n go nab u s yn e t w o r kw h i c hi s e x p o s e dt o t h e t i n t e r n e ta n ds u c c e s s f u l l ys h o w sas w i f t e rs u r v e i l l a n c ef r o md i f f e r e n t s t a t i o n si n t h el o c a la r e an e t w o r ka n da l s o r e m o t e l yw h i c hi s a ta l m o s ts a _ r l l et i m et h e i n t r u s i o n sa r eh a p p e n i n go i lt h en e t w o r kw i r e b e i n gm o n i t o r e d k e y w o r d s ：i n t r u s i o n s ，d e t e c t i o n ，a t t a c k s ，s e n s o r ，a n a l y s i s h 原创性声明 本人声明，所呈交的学位论文是本人在导师指导下进行的研究工作及取得 的研究成果。尽我所知，除了论文中特别加以标注和致谢的地方外，论文中不包 含其他人已经发表或撰写过的研究成果，也不包含为获得中南大学或其他单位的 学位或证书而使用过的材料。与我共同工作的同志对本研究所作的贡献均已在在 论文中作了明确的说明。 作者签名日期：垒竺生年兰皇月j 当 日 关于学位论文使用授权说明 本人了解中南大学有关保留、使用学位论文的规定，即：学校有权保留学 位论文，允许学位论文被查阅和借阅；学校可以公布学位论文的全部或部分内容， 可以采用复印、缩印或其它手段保存学位论文；学校可根据国家或湖南省有关部 门规定送交学位论文。 名：q 翱签名坶一笪日 m a s t e rt h e s i s l 【n t r o d u c n o n 1i n t r o d u c t i o n 1 1m o t i v a t i o n t o d a y ，b o t ht h ei n t e m e ta n dc o r p o r a t ei n t r a n e t sa r es i m p l yc r a w l i n gw i t h p e o p l ef r o ma l lw a l k so f l i f et h a ta r ec o n t i n u o u s l yt r y i n gt ot e s tt h es e c u r i t yo f v a r i o u ss y s t e m sa n dn e t w o r k s p o s s i b i l i t i e sa n d o p p o r t u n i t i e sa r el i m i t l e s s a n d u n f o r t u n a t e l yt h er i s k sa n dc h a n c e so fm a l i c i o u si n t r u s i o n sa r el i m i t l e s st o o s o m eo ft h e s ep e o p l ea r es e e k i n gs o m es o r to fi n t e l l e c t u a l1 1 i g h w h i l eo t h e r s a r ef u e l e db ym o r et r e a c h e r o u sm o t i v e ss u c ha sr e v e n g eo rs t e a l i n gf o r p r o f i t i n a n ye v e n t n oi n t r u s i o n i si n n o c e n ta n dn oi n t r u s i o ni sb e n i g n t h e r ei sn os i l v e rb u u e ta v a i l a b l eo u tt h e r et h a tw i l l t o t a l l y s e c u r eo u r n e t w o r k sa n d s y s t e m s p r e v e n t i o no f u n a u t h o r i z e da c c e s st os y s t e mr a s o u r c e s a n dd a t a s u p p o s et o b eo ni m p o r t a n tp a r to ft h ec o m p u t e rs y s t e ms e c u r i t y m e c h a n i s m p r e s e n tm o m e n tt h e r ei sn os y s t e mf r e ef r o ms e c u r i t i e sb r e a c h e s o c c u r r e n c e s b u tt h eo n l yr e m e d yi st h ei n t r u s i o nd e t e c t i o ns y s t e m s ( i d s ) w h i c he n a b l e su st od e t e c ta n di d e n t i f ys o m eo fi n t r u s i o na c t i v i t i e ss ot h a t r e l e v a n ta c t i o nw i l lb et a k e ni no r d e rt or e d u c ed a m a g et oas y s t e mo rp r e v e n t f u m r ei n t r u s i o n st ot h es y s t e mu s i n gs a m em e t h o d o l o g i e s i n t r u s i o ni st e r m e d i l l e g a li fa n do n l yt h e r ee x i s t ss e c u r i t i e sc o n s w a i n t so n w h i c hi ti s o p p o s e d i n t r u s i o nd e t e c t i o ns y s t e m i sa l la u t o m a t e dd e t e c t i o no r a l a r mo fa n ys i t u a t i o nw h e r ei n t r u s i o nh a st a k e np l a c eo ra b o u tt ot a k ep l a c e i tr e f e r st oa l lp r o c e s s e su s e di nd i s c o v e r i n gu n a u t h o r i z e du s e so fn e t w o r ko r c o m p u t e r d e q i c e s t h i si sa c h i e v e dt h r o u g h s p e c i f i c a l l yd e s i g n e ds o f t w a r ew i t h as o l ep u r p o s eo f d e t e c t i n gu n u s u a l o ra b n o r m a la c t i v i t y c o m p u t e rs y s t e m sa r e s u p p o s et o c o n f o r mw i t ht h eb a s i c ss e c u r i t yc o n s t r a i n t st h a ts t r e s s e sw h a to n e i sa l l o w e dt od oa n dw h a to n ei sn o ta l l o w e dt od o t h e r ee x i s t ss i xm a i n e l e m e n t so fs e c u r i t yc o n s 垃a i n t s ，n a m e l y ： a v a i l a b i l i t y t h es y s t e mm u s tb ea v a i l a b l ef o ru s ew h e nt h eu s e r sn e e di t m a s t e rt h e s i s1d 4 t r o d u c t i o n s i m i l a r l y c r i t i c a ld a t am u s t b ea v a i l a b l ea t a l lt i m e s u t i l i t y - t h es y s t e m ，a n d d a t ao nt h e s y s t e m ，m u s t b eu s e f u lf o ra p u r p o s e i n t e g r i t y t h es y s t e ma n di t s d a t am u s tb ec o m p l e t e ，w h o l ea n di na r e a d a b l ec o i l d i t i o n a u t h e n h c i t y t h es y s t e mm u s tb e a b l et ov e r i f yt h e i d e n t i t yo f u s e r sa n d t h eu s e r ss h o u l db ea b l et ov e r i f yt h ei d e n t i t yo ft h es y s t e m c o n f i d e n t i a l i t y p r i v a t ed a t as h o u l db ek n o w no n l y t ot h eo w n e ro ft h ed a t a ， o rt oac h o s e nf e ww i t hw h o mt h eo w n e rs h a r e st h ed a t a p o s s e s s i o n t h eo w n e r so ft h es y s t e mm u s tb ea b l et oc o n t r o li t l o s i n g c o n t r o lo fas y s t e mt oam a l i c i o u su s e ra f f e c t st h es e c u r i t yo ft h es y s t e mf o r a 1 1u s e r s t h ei n t r u s i o n sc o m p r o m i s e st h es e c u r i t yc o n s t r a i n t sa n dc a nb ed e f i n e da s a na t t e m p tt ob r e a ki n t oo rm i s u s eac o m p u t e rs y s t e m t h ew o r d ”m i s u s e i s b r o a d ，a n dc a nr e f l e c tm e a n i n gt os o m e t h i n ga ss e v e r ea ss t e a l i n gc o r f l d e n f i a l d a t at os o m e t h i n ga sm i n o rs u c ha sm i s u s i n gy o u re m a i ls y s t e mf o rs p a m t h e c o m p u t e rs y s t e ms e c u r i t y c o n s t r a i n t sa r ec o m p r o m i s e db yi n t r u d e r sw h oc a n e i t h e rb ef r o mw i t h i nt h en e t w o r ko rf r o mo t h e rn e t w o r k s t h e g o a lo fm y r e s e a r c hi nt h i sa r e ai st od e v e l o pm e a n sb yw h i c hi n t r u d e r s a n di n t r u s i o n sa c t i v i t i e sn o t i c e db yn e t w o r ki n t r u s i o n sd e t e c t i o ns y s t e m sc a n b ei d e n t i f i e da n dv i s u a l i z e de f f i c i e n t l y i m p o r t a n tr e s t r i c t i o n sw h i c h i si m p o s e d o nt h ea p p r o a c h e su s e di s t h a t a n a l y s i sc a n b e k e p te a s y ，f a s t a n dm o r e c o n v e n i e n tf o rn o l l et e c h n i c a lu s e r st ov i s u a l i z e t h ea c t i v i t i e so ns i t ew i t ha i m o fy i e l d i n gf a s tr e s p o n s ei n c a s eo fi n t r u s i o n so c c u r r i n g i na d d i t i o n t h i s d i s t r i b u t e di n t r u s i o n sd e t e c t i o ns y s t e m sa n a l y z e r ，s n o r t v i e w e rs h o u l d b e ： e a s i l yo b s e r v e df r o ma n yo p e r a t i n gs y s t e m s w i t hn oa d d i t i o n a li n s t a l l a t i o n i no r d e rt om o n i t o ra c t i v i t i e so ns i t e s u p p o r ta c c e s st h r o u g hi n t e m e t ，f o r m a k i n gi t c o n v e n i e n tf o rm o n i t o r i n g n e t w o r ks i t e sw h i l e 拄- a v e h n g 2 m a s t e rt h e s i s li n t r o d u c t i o n e a s i l yi n s t a l l a b l ea n dm o n i t o r e db ys o m e o n ew i t hl i t t l ec o m p u t e rs e c u r i t y a n dn e t w o r k i n g k n o w l e d g e s w i f t e ri nq u e r y i n gt h ea c t i v i t i e sh a p p e n i n go ns i t e p r o v i d ed e t a i l e di n f o r m a t i o n so nw h a ta c t i v i t i e sh a p p e n i n go ns i t ea n dw h o i si n d u l g i n gi nt h e ma n dw h oi st h ev i c t i m t h es y s t e ms h o u l db ec o s te f f e c t i v e m e a n i n g n on e e do f s p e c i a l i z e d e q u i p m e n t s o rd e v i c e s i ti si m p o s s i b l et op r o d u c ea l li n s t a n ti n f o r m a t i o no nw h a ti sh a p p e n i n go n t h er e m o t es i t ed u et of a c t o r sl i k es l o wi n t e r n e ta n d h e a v y t r a f f i c sd u r i n gp e a k h o u r sa n da l s oi n t r u s i o n si d e n t i f i e d h e a v i l yd e p e n do nt h ei n t r u s i o nd e t e c t i o n e n g i n e su s e d n o n e t h e l e s s ，if e e ls o m ev i s u a l i z a t i o no fw h a t i sh a p p e n i n go n r e m o t eh o s tn os oi n s t a n ti sb e t t e r 也a nn o n ea ta 1 1 1 2p r o b l e md e f i n i t i o n a f t e rt h en e t w o r kr e v o l u t i o n ，i n t e m e td r a m a t i c a l l yc h a n g e dc o m p u t i n g r i s k sa n dc h a n c e so fm a l i c i o u si n t r u s i o n sb e c a m el i m i t l e s sd u et ot h ef a c tt h a t s o m ep e o p l em a s t e r e dt h ei n t e m e tt e c h n o l o g ya n da r e p r o n et o u s et h e i r k n o w l e d g e f o rm a l i c i o u sa c t i v i t i e sr a t h e rt h a nc o n t r i b u t i o nt ot h ea d v a n c e m e n t o fi n f o r m a t i o na g e t h ei n t r u s i o n sc o m p r o m i s e st h es e c u r i t yc o n s t r a i n t sa n d c a nb ed e f i n e da sa l la t t e m p tt ob r e a ki n t oo rm i s u s eac o m p u t e rs y s t e m t h e w o r d m i s u s e ”i sb r o a d a n dc a r lr e f l e c tm e a n i n gt os o m e t h i n ga ss e v e r ea s s t e a l i n gc o n f i d e n t i a ld a t at os o m e t h i n ga sm i n o rs u c ha sm i s u s i n gy o u re m a i l s y s t e mf o rs p a m t h ec o m p u t e rs y s t e ms e c u r i t yc o n s t r a i n t sa l ec o m p r o m i s e d b y i n t r u d e r sw h oa r en o r m a l l yc a t e g o r i z e di nt w om a i ng r o u p s t h e yc a ne i t h e r b e ： e x t e r n a li n t r u d e r s ，m e a n i n gt h a tt h e ya r eo u t s i d e r s t h e s ea l ea t t a c k e r s f r o mo u t s i d e y o u r n e t w o r k a t t e m p t i n g t oa t t a c k y o u e x t e r n a l p r e s e n c e 3 m a s t e rt h e s i sl 【n t r o d u c t i o n ( d e f a c ew e bs e r v e r s ，f o r w a r ds p a mt h r o u g he - m a i ls e r v e r s ，e t c ) t h e ym a y a l s oa t t e m p tt o g oa r o u n dt h ef i r e w a l lt oa t t a c km a c h i n e so nt h ei n t e r n a l n e t w o r k o u t s i d ea t t a c k e r s m a yc o m ef r o m t h e i n t e r n e t ，d i a l u p l i n e s ， p h y s i c a lb r e a k i n s ，o rf r o mp a r t n e r ( v e n d o r ，c u s t o m e r ，r e s e l l e r ，e t c ) n e t w o r k t h a ti sl i n k e dt oy o u rc o r p o r a t en e t w o r k i n t e r n a li n t r u d e r s m e a n i n g t h a tt h e ya r ei n s i d e r s ，i no t h e rw o r d sw ec a n s a y t h e y a r ef r o mw i t h i nt h e o r g a n i z a t i o n i nw h i c h s e c u r i t y i s b e i n g c o m p r o m i s e d t h e s ea r ea t t a c k e r st h a th a v el e g i t i m a t er e a s o n st ou s e a c c e s s y o u ri n t e r n a l n e t w o r k t h e s ei n c l u d eu s e r sw h om i s u s ep r i v i l e g e so rw h o i m p e r s o n a t eh i g h e rp r i v i l e g e du s e r s af r e q u e n t l yq u o t e ds t a t i s t i cc i t e s t h a t i n s i d e r sc o m m i t8 5 【”o fs e c u r i t yb r e a c h e s t oa n s w e rt h e c r yo f t h ei n n o c e n t so nt h ea c t i v i t i e so fi n t r u d e r s ，i st h e i n t r u s i o n sd e t e c t i o ns y s t e m s ( i d s ) w h i c he n a b l e su st od e t e c ta n di d e n t i f y s o m eo fi n t r u s i o na c t i v i t i e ss ot h a tr e l e v a n ta c t i o n w i l lb et a k e ni no r d e rt o r e d u c ed a m a g et oas y s t e mo r p r e v e n tf u t u r ei n t r u s i o n st ot h es y s t e mu s i n g s a m em e t h o d o l o g i d s t h ei n t r u s i o n sd e t e c t i o ns y s t e m sb e i n gm a n m a d ec a m eo u ti nd i f f e r e n t v e r s i o n sa n d u t i l i z i n gd i f f e r e n tt e c h n o l o g i e sw i t ht h eg o a lo ft a c k l i n gt h ei s s u e o fi n t r u d e r sa n di nr e t u r no u t p u t t i n gt o n so fl o g sw h i c hc o n t r i b u t e st os l o w r e s p o n s e d u et o t h ef a c t t h a ti ti sa l m o s t i m p o s s i b l e t o p a r s e t h e l o g s i n s t a n t a n e o u s l y i r r e s p e c t i v e o f t e c h n o l o g i e s u s e d r a n g i n g f r o ms t a t i s t i c a l a p p r o a c h e st oa r t i f i c i a li n t e l l i g e n c ea p p r o a c h e st h e ya r es t i l li m p e r f e c ta n dc a n n o td e t e c ta l li n t r u s i v ea c t i v i t i e sb u ta tl e a s tt h e yc a no f f e rab i to fc l u eo nw h a t i sh a p p e n i n go nt h en e t w o r kw i r e t h i st h e s i sf o c u s e s0 1 1t h ep a r s i n go ft h i st o n so fl o g si no r d e rt om a k ei t e a s i e rf o r r e m o t e l ym o n i t o r i n g o fn e t w o r ks i t e sw i t hs n o r t v i e w e rb y m o n i t o r i n gt h en e t w o r k i n t r u s i o n sd e t e c t i o ns y s t e m sa n di nt h i sc a s ei ti ss n o r t i n c o n j u n c t i o nw i t hm y s q l i nt h i sw a ys e c u r i t y a l e , sa r em o n i t o r e da n d 4 m a s t e rt h e s i s 1 矾t r o d u c t i o n o b s e r v e d b ys e c u r i t yp e r s o n n e l sa n dr e s e a r c h e r ss c a t t e r e do nt h en e t w o r k t h es n o r t v i e w e rw a sd e v e l o p e di no r d e rt os o l v et h ei n c o n v e n i e n c e si n m o n i t o r i n gn e t w o r k a c t i v i t i e so b s e r v e db yi n t r u s i o nd e t e c t i o ns y s t e m sd u et o t h ef a c tt h a to n eh a st ob ean e t w o r kg u mt ou n d e r s t a n dw h a ti sg o i n go nt h e w i r eb e f o r eh e s h en o t i c ei n t r u s i v ea c t i v i t i e sa n db ea b l et oi n f o r mt h es e c u r i t y p e r s o n n e lo nw h a t i s h a p p e n i n g i ta i m st op r o v i d ea l le a s yv i s u a l i z a t i o na n d e a s y a c c e s sf r o ma n y w h e r e ，b ei t l o c a l l y o rr e m o t e l l y f o rw h i c ha n y o n e r u n n i n ga n yo p e r a t i n gs y s t e mc a nb ea b l et om o n i t o rt h en e t w o r ki n t r u s i o n s d e t e c t i o ns y s t e mw i t ha n yt y p eo fw e bb r