（计算机应用技术专业论文）基于人工神经网络的入侵检测系统的研究与实现.pdf

中文摘要 中文摘要 入侵检测是一种主动保护网络资源的安全防护技术，它是对“防火墙”、“数据加密”、 “访问控制”等信息安全措旖的有效补充，能够用于对计算机及网络资源上的恶意使用行为 进行识别和响应。入侵检测系统不仅可以检测来自外部网络的入侵攻击，同时也能够监督内 部网络用户的未授权行为。 鉴于传统入侵检测技术存在的种种困难( 如度量用户行为多是凭借感觉和经验、对攻击 特征的刻画只能是某些固定的序列等) ，本文提出了一种基于b p 人工神经网络的实时入侵 检测建模方案。文章首先音析了i p v 4 下的i p 、t c p 、u d p 及i c m p 协议数据包的首部构造， 然后重点讨论了各种常见网络攻击的实施原理，最后利用实验室的局域网络环境，针对部分 网络攻击在l i n u x ( 内核版本2 4 2 0 8 ) 下设计并实现了一个简单的、基于b p 人工神经 网络的实时网络入侵检测系统。 该系统采用了专门为数据监听应用程序而设计的开发包一一l i b p c a p ( p a c k e tc a p t u r e l i b r a r y ) 来实现网络数据采集，从而能够满足大流量网络及低丢包率等要求。利用其中的 p c a p函数，系统将捕获到的网络数据包输入回调函数，根据网络攻击的实施原理，)oop0 在特定的时间窗口( 该系统为2 秒) 内对相关连接的协议数据包的特征属性值进行统计，这 些特征值组合起来便形成了进行后续处理所必须的网络输入事件，这使得输入数据的信息量 更加完整。 此外本系统采用了滥用检测与异常检测相结合的混合检测技术。实时网络事件首先被 输入到滥用检测神经网络，进行攻击类型判别若结果为未知类型则将该实时事件送入异常 检测神经网络。做进一步的异常判断，并对相应的结束进行响应处理。这样在实际的应用中， 两种检测技术相互结合、优缺互补，共同提高系统的整体性能。 最后，本论文利用已训练稳定的检测系统进行了训练样本的圄判、新样本的测试及实 时入侵检测实验。结果显示该系统不仅具有较高的检全率和较低的误警率，而且由于神经 网络将入侵模式的识别过程转换为完全抽象的数值计算过程，系统的检测速度快、资源的占 用率低，完全能够担当实时入侵检测的重任l 关键词：网络安全：入侵检测；神经网络；b p 学习算法；t c p i p ；滥用检测：异常检测 图书分类号：t p 3 9 3 0 8 1 1 1 贵州大学硕士学位论文 英文摘要 r e s e a r c ha n di m p l e m e n t a t i o no fi n t r u s i o nd e t e c t i o n s y s t e m - b a s e do na r t i f i c i a ln e u r a ln e t w o r k a b s 订a c t i n t r u s i o nd e t e c t i o ni sa l la c t i v es e c u r i t y - d e f e n c et e c h n o l o g yw h i c hc a l lp r o t e c tt h en e t w o r k r e s o u l e $ ，i ti st h ee f f e c t i v es u p p l e m e n tt os u c hi n f o r m a t i o ns e c u r i t ym e a s u sa s ”f i r e w a l l ”。 d a t ae n c r y p t i o n ”，a c c e s sc o n t r o l ”，e t c ，a n dc a nb eu s e df o ri d e n t i f y i n ga n dr e s p o n d i n gt ot h e m a l i c i o u su s i n gb e h a v i o ro nt h ec o m p u t e ra n dn e t w o r kl t s o u r c e i n t r u s i o nd e t e c t i o ns y s t e mn o t o n l yc a nd e t e c tt h ea t t a c k sf r o mo u t s i d en e t w o r k ，b u ta l s oc a ns u p e r v i s eu n a u t h o r i z e db e h a v i o ro f u s e r si n s i d en e t w o r ka tt h es a m et i m e s e e i n gt h a tt h et r a d i t i o n a li n t r u s i o nd e t e c t i o nt e c h n i q u e se x i tv a r i o u sd i f f i c u l t i e s ( f o ri n s t a n c e ， i tr e l i e sm o s t l yo nf e e la n de x p e r i e n c et om e u s u l tu s e r sb e h a v i o r , i tc a l lo n l yd e p i c ta t t a c k c h a r a c t e r i s t i cb ys o m er e g u l a ra r m y , e r e ) ，t h ep a p e rp r o p o s e sak i n do fm o d e l i n gs e l w m eo f r e a l t i m ei n t r u s i o nd e t e c t i o nb a s e do nb pa r t i f i c i a ln e u r a ln e t w o r k f i r s t ，t h ep a p e ra n a l y z e st h e h e a d e rs t r u c t u r eo fd a t ap k e ti n 皿t c p , u d pa n di c m pu n d e ri p v 4 t h e n ，i te s p e c i a l l y d i s c u s s e st h ei m p l e m e n t a t i o np r i n c i p l eo fv a r i o u sc o m l t l o nn e t w o r k 刮挑k 8 f i n a l l y , u t i l i z i n gt h e l o c a la r e an e t w o r ko f t h el a b o r a t o r y , a c c o r d i n gt os o m en e t w o r l 【柏c ki td e s i g n sa n di m p l e m e n t s as i m p l er e a l - t i m ei n t r u s i o nd e t e c t i o ns y s t e mb a s e do nb pa r t i f i c i a ln e u r a ln e t w o r ku n d e rl i n u x ( k e m e le d i t i o n2 4 2 0 - 8 1 t h es y s t e ma d o p t st h ed e v e l o p m e n tt o o l k i t l i b p o a pf p a c k e tc a p t u r el i b r a r y ) s p e c i a l l y d e s i g n e dt ou s ei nt h ed a t am o n i t o r i n ga p p l i c a t i o np r o g r a mt oi m p l e m e n tn e t w o r kd a t ag a t h e r t h u s 血es y s t e mc a nm e e ts u c hd e m a n d s 弱l a r g e rf l o w n e t w o r ka n d1 0 w e rl u s i n gp 锄e k e tr a t e ，e r e u t i l i z i n gp c a p _ l o o p 0f u n c t i o na m o n gt h el i b r a r y , t h es y s t e mi n p u t sn e t w o r kd a t m ng o tt oc a t c h i n t oc a l l - b a c kf u n c t i o n a c c o r d i n gt ot h ei m p l e m e n t a t i o np r i n c i p l eo fn e t w o r ka n a c ki tc o e n t st o t h ec h a r a c t e r i s t i ca t t r i b u t ev a l u eo f d a t ap a c k e t so f r e l e v a n tc o n n e c t i o ni ns p e c i f i ct i m ew i n d o w ( 2 s e c o n d si nt h es y s t e m ) ，c o m b i n i n gt h e s ec h a r a c t e r i s t i cv a l u e s t h es y s t e mf o r m st h en e c e s s a r y n e t w o r ki n p u ti n c i d e n t st oc a l t yo nf o l l o w - u pp r o c e s s ，a n di n a k e st h ei n f o r m a t i o na m o u n to ft h e i n p u td a t u mm 0 1 ei n t a c t i na d d i t i o n ，t h es y s t e ma d o p t st h em i x i n gd e t e c t i o nt e c h n i q u et h a tc o m b i n i n gt o g e t h e rm i s u s e d e t e c t i o na n da n o m a l yd e t e c t i o n a tf i r s t r e a l - t i m en e t w o r ki n c i d e n t sm i n p u ti n t ot h em i s u s e d e t e c t i o nn e u r a ln e t w o r k a n dt h es y s t e md i f f e r e n t i a t e st h et y p e so fa t t a c k s t h ec u r r e n ti n c i d e n t w i l lb es e n ti n t ot h ea n o m a l yd e t e c t i o nn e u r a ln e t w o r ki ft h er e s u l ts h o w st h a ti t st y p ei su n k n o w n t h e n t h es y s t e mc a r t i e so nt h e 丘l 曲e ra n o m a l yj u d g e m e n t ，a n dd e a l sw i t ht h ec o r r e s p o n d i n g r e s u l t l i k et h i s ，i nr e a la p p l i c a t i o n ，t w ok i n d so fd e t e c t i o nt e c h n i q u e sm u t u a l l yc o m b i n e ， s u p p l e m e n te a c ho t h e r t h e yi m p r o v et h ew h o l ep e r f o r m a n c eo f t h es y s t e mt o g e t h e r f i n a l l y , u t i l i z i n gt h es t e a d yd e t e c t i o ns y s t e mt r a i n e d ，t h ep a p e rf i n i s h e st h eb a c k - j u d g e m e n t o f t h et r a i ns a m p l e s t e s t i n go f n e ws a m p l e sa n de x p e r i m e n t so f r e a l t i m ei n t r u s i o nd e t e c t i o n t h e r e s u l ts h o w s ，t h es y s t e mn o to n l yh a st h eh i g h e rw h o l ed e t e c t i o nr a t ea n dt h el o w e rf a l s e - a l e r tr a t e ， b u ta l s ob e c a u s et h en e u 1 in e t w o r kt r a n s f o r m st h ed i f f e r e n t i a t i n gc o u r s eo fi n t r u s i o nm o d e si n t o ， 英文摘要 t h et o t a l l ya b s t r a c tc o m p u t a t i o n a lp r o c e s s i n go fn u m e r i c a lv a l u e ，t h es y s t e mh a st h eq u i c k e r d e t e c t i o ns p e e da n dt h el o w e rr e s o u r c eo c c u p a n c yr a t e i tc a nb ec o m p e t e n ta tt h eh e a v yt a s ko f t h er e a l t i m ei n t r u s i o nd e t e c t i o nc o m p l e t e l y ! k e y w o r d s ：n e t w o r ks e c u r i t y ；i n t r u s i o nd e t e c t i o n ；n e u r a ln e t w o r k ；b a c kp r o p a g a t i o n l e a r n i n ga r i t h m e t i c ；t c p i p ；m i s u s ed e t e c t i o n ；a n o m a l yd e t e c t i o n v - 第一章绪论 第一章绪论 随着信息化进程的深入和互联网的迅速发展，人们的- 亡作、学习和生活方式正在发生巨 大变化，效率大为提高，信息资源得到最大程度的共享。但是必须看到，紧随信息化发展而 来的网络安全问题日渐突出，如果不能很好地解决这个问题，必将阻碍信息化发展的进程。 1 1网络安全问题的产生 互联网与生俱来的开放性、交互性和分散性特征使人类所憧憬的信息共享、开放、灵活 和快速等需求得到满足。网络环境为信息共享、信息交流、信息服务创造了理想空间，网络 技术的迅速发展和广泛应用，为人类社会的进步提供了巨大的推动力。然而，正是由于互联 网的上述特征产生了许多安全问题： 1 ) 信息泄漏、信息污染、信息不易受控。例如，资源未授权侵用、未授权信息流出现、 系统拒绝信息流和系统否认等，这些都是信息安全的技术难点。 2 ) 网络运用的趋势是全社会广泛参与，随之而来的是控制权分散的管理问题由于人 们利益、目标、价值的分歧使信息资源的保护和管理出现脱节和真空，从而使信息安全问 题变得广泛而复杂。 3 ) 随着社会重要基础设施的高度信息化，社会的“命脉”和核心控制系统有可能面临 恶意攻击而导致损坏和瘫痪，包括国防通信设施、动力控制网、金融系统和政府网站等。 1 2 网络安全已成为信息时代人类的挑战 在各领域的计算机犯罪和网络侵权方面，无论是数量、手段还是性质、规模，都已经 到了令人咋舌的地步i s 据有关方面统计目前美国每年由于网络安全问题而遭受的经济损失超过1 7 0 亿美元， 德国、英国也均在数十亿美元以上，法国为1 0 0 亿法郎，日本、新加坡问题也严重。在国际 刑法界列举的现代社会新型犯罪排行榜上，计算机犯罪已名列榜首。2 0 0 3 年。c s i f b i 调查 所接触的5 2 4 个组织中，有5 6 遇到电脑安全事件，其中3 8 遇到l 5 起、1 6 n 遇到l l 起以上。因与互联网连接而成必频繁攻击点的组织连续3 年不断增加。其中遭受拒绝服务攻 击( d o s ) 的组织则从2 0 0 0 年的2 7 上升到2 0 0 3 年的4 2 。调查显示。5 2 1 个接受调查的 组织中9 6 有自己的网站，其中3 0 提供电子商务服务，这些网站在2 0 0 3 年1 年中有2 0 发现未经许可入侵或滥用服务现象。更令人不安的是，有3 3 的组织说他们不知道自己 的网站是否遭到损害。据统计，全球平均每2 0 秒就会发生1 次网络入侵事件，黑客一旦找 到系统的薄弱环节，所有用户遭殃。 目前我国的网络安全问题也日益突出，其主要标志如下： 1 ) 计算机系统遭受病毒感染和破坏的情况相当严重。据国家计算机病毒应急处理中心 副主任张健介绍，从国家计算机病毒应急处理中心日常监测结果看来，计算机病毒呈现出异 常活跃的态势。据2 0 0 1 年调查，我国约7 3 的计算机用户曾感染病毒，2 0 0 3 年上半年上升 到8 3 。其中，感染3 次以上的用户高达5 9 ，而且病毒的破坏性较大，被病毒破坏全部 数据的占1 4 ，破坏部分数据的占5 7 2 )电脑黑客活动已形成重要威胁网络信息系统具有致命的脆弱性、易受攻击性和开 放性，从国内情况来看。目前我国9 5 与互联网相联的网络管理中心都遭受过境内乡卜黑客 的攻击或侵入，其中银行、金融和证券机构是黑客攻击的重点。 贵州大学硕士学位论文 3 ) 信息基础设施面临网络安全的挑战。面对信息安全的严峻形势，我国的网络安全系 统在预测、反应、防范和恢复能力方面存在许多薄弱环节。据英国简氏战略报告和其它 犀络组织对各国信息防护能力的评估，我国旋敖防护能力最低的国家之一，不仅大丈低于美 国、俄罗斯和以色列等信息安全强国，而且还排在印度、韩国之后。近年来，国内与网络有 着的各类违法行为为每年3 0 的速度递增。据某市信惠安全管理部门统计，2 0 0 3 年第1 季 度内，该市共遭受近3 7 万次黑客攻击、2 1 万次以上病毒入侵和5 7 次信息系统瘫痪。该市 某公司的镜像网站在l o 月份1 个月内，就遭到从外部1 0 0 多个p 地址发起的恶意攻击。 网络环境的复杂性、多变性，以及信息系统的脆弱性，决定了网络安全威胁的客观存在。 在今天这个信息大爆炸的时代，一方面随着互联网络的利用率越来越高，它在人类生活及 工作中的意义也越来越大：另一方面，伴随着网络技术的不断提高由网络攻击而带来的经 济损失也越来越严重，这促使人们不得不越加重视对网络安全防御体系及相应技术的研究。 1 3 静态安全防御体系难以适应新的网络环境 传统的计算机安全方案是要建立一个完全安全的防御系统来解决计算机安全问题。主要 的安全技术都集中在系统自身的加固和防护上。比如，采用b 级操作系统和数据库、在网 络出口配置防火墙、在信息传输和存储中采用加密技术、使用集中的身份认证产品等。这是 一种基于防御的静态安全方案，采纳的安全解决方法严格地基于数学上严谨的安全系统设计 方式p ”如1 9 8 3 年美国国防部提出的可信计算机评估标准 ( t r u s t e dc o m p u t e rs y s t e m e v a l u a t i o nc r i t e r i a 简称t c s e c ) 将计算机系统的可信程度，即安全等级划分为4 大类( d 、 c 、b 、a ) 7 个小类，其中包括从最简单的系统安全特性到最高级的计算机安全模型技术。 传统的信息安全技术主要包括：身份识别和认证( i d e n t i f i c a t i o n a u t h e n t i c a t i o n ) 、数据 加密( d a t ae n c r y p f i o n ) 、访问控制( a c c e s sc o n t r 0 1 ) 等三个方面 然而单纯的防护技术并不能保证系统的安全首先，建立一个完全安全的计算机系统 是不现实的迄今为止，软件工程技术还不可能百分之百地保证任何一个系统( 尤其是底层 系统) 中不存在安全漏洞系统设计和开发阶段中存在的缺陷、错误和遗漏，以及管理阶段 中的错误配置都会造成系统的安全漏洞无论在理论上还是在实践中，试图彻底填补一个系 统的安全漏洞都是不可能的其次，防火墙策略对于防范黑客有着明显的局限性防火墙的 安全控制只能作用于外对内或内对外，即：对外可屏蔽内部网的拓扑结构，封锁外网用户对 内厨重要站点或端口的访问连接。对内可屏蔽外部危险站点，但它很难解决内部人员的权利 滥用这就是所谓的肪外不防内；防火墙的管理及配置相当复杂，要成功的维护防火墙必 须对网络安全攻击的手段及其系统配置的关系有相当深刻的了解；另外，防火墙的安全控制 主要是基于球地址的，难以为用户在防火墙内外提供一致的安全策略。再次，访问控制机 制的最终安全依赖于实体，还没有一种切实可行的方法能够解决合法用户在通过“身份识别” 或“身份认证”后滥用特权的问题对于来自内部的非法操作、e l 令或密码的泄露，软件中 的缺陷以及拒绝服务攻击更是无能为力。 1 4p 2 d r 动态安全模型与入侵检测 针对日益严重的网络安全问题和越来越突出的安全需求，可适应网络安全理论( 或称动 态信息安全理论) 应运而生。 p 2 d r 模型是可适应网络安全理论的主要模型，主要包括4 个部分：p o l i c y ( 安全策略) 、 p r o t e c t i o n ( 防护) 、d e t e c t i o n ( 检测) 和r e s p o n s e ( 晌应) 。它在整体的安全镱路的控制和 指导下，综合运用各种防护工具的同时，利用检测工具了解和评估系统的安全状态。将系统 2 第一章绪论 调整到“屋安全”和“风险晟低”的状态。模型如图1 1 所示 圈l ，1 动态安全模型p 2 d r 具体而言，p 2 d r 模型的内容包括如下： 1 )策略：安全策略是安全管理的核心，要想实施动态网络安全循环过程，必须首先制 定企业的安全策略，所有的防护、检测、响应都是依据安全策略实施的，企业安全 策略为安全管理提供管理方向和支持手段。对于一个策略体系的建立包括二安全策 略的制订、安全策略的评估、安全策略的执行等。 2 )防护：保护通常是通过采用一些传统的静态安全技术及方法来实现的，主要有防火 墙、加密、认证等方法通过防火墙监视限制进出网络的数据包，可以防范外对内 及内对外的非法访问，提高了网络的防护能力，当然需要根据安全策略制定合理的 防火墙策略；也可以利用s e c u t d d 这种一次性口令的方法来增加系统的安全性等 等。 3 )检测：在网络安全循环过程中。检测是非常重要的一个环节，检测是动态响应的依 据，它也是强制落实安全策略的有力工具，通过不断地检测和监控网络和系统。来 发现新的威胁和弱点，通过循环反馈来及肘做出有效的响应。 4 )响应：紧急响应在安全系统中占有最重要的地位，是解决安全潜在性最有效的办法。 从某种意义上讲，安全问题就是要解决紧急响应和异常处理问题。要解决好紧急响 应问题，就要制订好紧急响应的方案，做好紧急响应方案中的切准备工作。 在p 2 d r 模型中安全策略处于中心造位，但是从另一个角度来看，安全策略也是制定 入侵检测系统中检测策略的一个重要信息来源，入侵检涮系统需要根据现有已知的安全策略 信息，来更好地配置系统模块参数信息。当发现入侵行为后，入侵检测系统会通过响应模块 改变系统的防护措施，改变系统的防护能力，从而实现动态的系统安全模型 另外，入侵检测同时也增强了系统的安全性。首先，入侵检测的事件检测和攻击识别能 力对于攻击者是一个强大的成慑，使得他们的攻击行为不得不冒着很大的被起诉的危险。其 次，自动反应能力可以在攻击刚开始时就打断它，使后继攻击难以继续 入侵检测是防火墙等传统信息安全技术的合理补充，它扩展了系统管理员的安全管理能 力( 包括安全审计、监视、进攻识别和响应) ，提高了信息安全基础结构的完整性。入侵检 测不仅针对外部的入侵者而且还可以对内网用户的行为进行监控，检测内部的攻击者。或 者企图从内部节点发起的攻击， 1 5 论文的研究内容 在收集到系统或网络的原始数据后如何建立一个有效的、可扩展的检测模型，是入侵 检测领域的研究重点。当前，绝大多数的入侵检测方法都是利用某些基于规则和模式的分析 3 ， 贵州大学硕士学位论文 形式，专家系统是基于规则的入侵检测方法的摄普遍的一种形式。然而不幸的是，专家系统 有着不可移植性及规则的不完备性两大缺陷，系统管理员必需频繁的更新它的规则库来保持 它的时效性，才能使整个系统的安全性能不会弱他。可见专家系统并不宜单独用于入侵检测， 较为适用的方法是将它与软计算方法技术结合起来，构成一个以己知入侵规则为基础，可扩 展的动态入侵检测系统自适应地进行滥用与异常检测，从而实现高效的入侵检测。 从以数据为中心的观点出发入侵检测可以看作是一个数据分析的过程” ：滥用检测 是使用审计数据编码和匹配入侵模式：异常检测是从审计数据中标识出异常入侵模式。本文 所选深题的目的就是在现有网络入侵检测技术的基础之上研究人工神经网络在入侵检测系 统中的应用。希望能通过人工神经网络的优势来改进当前入侵检测系统的一些不足之处使 它具有更大的适应性和更广阔的应用前景。采用这种方法的优势在于：实现了对入侵攻击 模式编码过程的自动化，降低了人工编码的难度；充分利用了人工种经网络对训练模式卓 越的非线性映射和知识归纳能力，避免了人工编码所带来的精度和遗漏问题，降低了系统的 误警率；攻击模式的检测判断过程被转换为完全抽象的数值计算，减少了对入侵的响应时 间，提高了系统的实时性能。 本文开发了一个基于b p 人工神经网络的实时网络入侵检测系统，包括网络数据采集模 块、神经两络训练模块、滥用检测模块、异常检测模块、报警响应及日志记录模块等。 1 6 论文所做的主要工作 本文主要致力于基于网络的入侵检测系统模型的研究，主要的研究工作如下： 1 ) 鉴于传统入侵检测技术存在的种种困难，本文提出了一种基于b p 人工神经网络的 实时入侵检测建模方案设计并实现了一个简单的基于b f 人工神经网络的实时网络入侵检 测系统。 2 ) 使用了由b e r k e l e y 大学l a w r e n c eb e r k e l e yn a t i o n a ll a b o r a t o r y 研究院的v a n j a e o b s o n 、c r a i gl e l e s 和s t e v e nm c c a n n e 编写，专门为数据监听应用程序而设计的开发包 “l i b p e a p ”，利用它所开发的网络数据采集子系统能够满足监测调整、大流量网络、低丢包 率的要求 3 ) 在检测数据中加入了时间和连接特性，采用了“时间窗口”的概念。主要是根据网 络攻击的实旖原理，以特定的时间窗口为周期对相关连接的协议数据包的特征周性值进行统 计。然后将这些特征值组合起来形成网络事件，并存储刭训练文件或直接输入神经网络，分 别用于网络训练及实时检测。 4 ) 设计并实现了结合滥用技术和异常技术的混合型人侵检测引擎，该引擎既能实现特 定网络攻击事件的检测判断，又能实现用户行为异常报警，二种技术相互结合、相互补充， 共同提高了系统的接体性能。 1 7 论文的组织安排 论文主要讲述了入侵检测、人工神经网络( 重点论述了多层前馈人工神经网络及b p 学 习算法) 、t c p i p 协议、常见网络攻击的相关理论或方法，以及实时检测系统的设计与实现。 全文共分七章： 第一章绪论，简要说明了当前网络安全所面临的挑战，静态、动态安全模型，讨论了论 文的研究内容及主要工作。 第二章入侵检测概述，明确了入侵检测的必要性，全面介绍了入侵检测的发展历程、技 术分类、系统性能指标和模型的标准化研究。 第一章绪论 第三章多层前馈人工神经网络，介绍了人工神经网络的相关概念：神经元、拓扑结构、 学习规则及计算特征，详细讨论了多层前馈人工神经网络的原理及其主要训练算法一b p 学习算法。 第四章t c p ，i p 协议及常见网络攻击原理分析介绍了t c p ，的产生及层次结构，讨论 r 实时系统所涉及到的部分协议数据包的首部构造，及常见网络玫击的实施原理。 第五章基于b p 网络的实时入侵检测模型的设计与实现，主要讲述了b p 人工神经网络 在入侵检测中应用模型的设计与实现，内容包括采用b p 神经网络构建实时入侵检测模型、 网络数据采集、网络事件的处理、b p 神经网络的训练及其算法、b p 神经网络的检测及其算 法、攻击事件的响应及日志记录。 第六章实验测试及结果分析，检测系统的实验环境、样本的组织、神经网络的训练和测 试、实时检测和对实验结果的分析说明。 第七章结束语，对全文研究工作的总结和进一步深入研究的几点展望。 1 8 本章小结 计算机网络对当今社会的作用愈来愈重要，人们对i n t e r n e t i n t r a n e t 的依赖程度也随之 越来越高。同时它们也1 5 1 益成为敌人或犯罪分子攻击的目标因此网络安全问题愈加受到学 术、经济等领域的关注。本章简要阐述了当前人们在网络安全领域面临的巨大挑战：基于传 统的静态安全防御体系存在的缺陷，引入了可适应网络安全理论的主要模型p z d r 动态安全 模型并由此说明了入侵检测在网络安全领域的重要意义：接着讨论了论文的研究内容和所 做的主要工作；在最后列出了整篇文章的组织安排。 贵州大学硕士学位论文 第二章入侵检测概述 2 1 入侵检测的努要性 随着网络技术迅猛发展特别是i n t e m e t 大范围的开放以及政府、金融领域网络的接入， 越来越多的系统遭到了入侵攻击的威胁。这些威胁大多是通过挖掘操作系统和应用服务程序 的弱点或缺陷( b u g ) 来实现的。目前对付破坏系统企图的理想方案是建立一个完全的安 全系统。但这样的话，就要求所有的用户能识别和认证自己，还要采用各种各样的加密技术 和强访问控制策略来保护数据口”。而从实际上看这根本是不可行的。首先在实践当中， 建立完全的安全系统根本是不可能的：其次，要将所有已安装的带安全缺陷的系统转换成安 全系统需要相当长的时间；第三，加密技术方法本身存在一定问题：第四，安全系统易受内 部用户滥用特权的攻击：第五安全访问控制等级和用户的使用效率成反比：第六，访问控 制和保护模型本身存在一定问题f i i 儿柙l ；第七，在软件工程中存在软件测试不充足、软件生 命周舰缩短、丈型软件复杂牲等难解的一系列问题 基于上述问题的解决难度，一个实用的方法是建立比较容易实现的安全系统，同时按照 定的安全策略建立相应的安全辅肋系统，入侵检测系统( d s ) 正是这样一类系统。i d s 一般不是采取预防的措施来防止入侵事件的发生，它作为安全技术手段其作用在于p l j ：( 1 ) 识别入侵者；( 2 ) 识别入侵行为：( 3 ) 检测和监视已成功的安全突破；( 4 ) 为对抗入侵及时 提供重要信息，阻止事件的进一步发生和事态的扩大因此，入侵检测是非常必要的。 2 2 安全概念 在阐述入侵和入侵检测概念之前，我们应该对一系列和系统安全相关的概念作一个全面 的了解。首先我们对安全下一个严格的定义。一个安全的计算机系统的实际定义是“一个可 以信赖的按照期望的方式运行的系统”更精确的，我们可以用安全三元组术语机密性、 完整性和可用性给出【4 “。 机密性( c o n f i d e n t i a l i t y ) ：使信息不泄露给未授权盼个人、实体或进程，不为其所 用，比如银行系统中对私人账户记录访问权限的保护； 完整性( i n t e g r a l i t y ) ：防止数据遭受以来授权方式所作的篡改或破坯，比如对医疗 记录和金融账户数据的保护和防止任意窜改 可用性( a v a i l a b i l i t y ) ：使信息和系统资源能够持续工作的要求，保证用户能够在 他们需要的时候，从他们需要的地方。以他们需要的方式访问资源。各种拒绝服务 ( d o s ) 攻击就是对系统可用性的挑战。 安全的核心概念是信任【4 2 】。信任是指对系统实体的期望行为和实际行为的一致性的信 赖。信任的程度取决于对期望行为和实际行为的一致性的相信程度。交互操作的系统要素在 决定信任度时要参照与之相连的其它要紊的信任度假定。在这些信任假定没有被证明之前， 系统存在着弱点和被攻击的危险。 2 3 入侵及入侵检测 早在上个世纪8 0 年代，a n d e r s o n 就使用过“威胁”这一术语。他将入侵企图或威胁定 义为未经授权蓄意尝试访问信息、窜改信息、使系统不可靠或不能使用p ”。在入侵检测中， 术语“入侵”( i n t r u s i o n ) 是指有关试图破坏资源的完整性、机密性及可用性的活动集合。 第二章入侵检测概述 从分类角度来看：入侵包括尝试性闯入、伪装攻击、安全控制系统渗透、泄漏、拒绝服务、 恶意使用6 种类型”“。 入缦捡测( i n t r u s i o nd e t e c t i o n ) 是指识别谁在未经授权( a u t h o r i z a t i o n ) 的情况下使用 计算机系统：哪些人在滥用他们的特权( p r i v i l e g e s ) 对系统进行非法的访问p i 。它通过对计 算机网络或计算机系统的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否 有违反系统安全策略的行为和被攻击的迹象。即采用预先主动的方式对客户端和网络各层 进行全面有效的自动检测，以发现和避免被保护系统可能遭受的攻击和伤害，它不仅能检测 来自外部的入侵行为，同时也可以检测内部用户的未授权活动。入侵检测是建立在这样的假 设基础上的：安全破坏是有异于系统正常应用模式的行为，因此可以通过监视系统的审计数 据而检测到p ”。入侵检测的安全机制与传统的安全技术不同，其基本思想并不是设法建立 安全、可靠的计算机系统或网络环境，而是采用对网络活动和系统用户信息的分析技术达到 对用户非法行为的检测、报警和预报的目的，进而由有关系统对非法行为进行控制，可与传 统的安全技术相结合达到比较理想的系统安全目的。 入侵检测系统( i n t r u s i o n d e t e c t i o n s y s t e m ，简称i d s ) 是一个试图发现入侵行为的计算 机系统，包含计算机软件和硬件的组合。另外，它也扩展系统管理员的安全管理能力( 如安 全审计、监视、攻击识别和响应等) ，有助于提高信息安全基础结构的完整性。 入侵检测系统的主要功能可以简单概括如下： 监视、分析用户及系统活动，查找非法用户和合法用户的越权行为 检测系统配置的正确性和安全漏洞，井提示管理员的修补漏洞 对用户的非正常活动进行统计分析，发现入侵行为的规律 检查系统程序和数据的一致性与正确性，如计算和比较文件系统的校验和 能够实时对检测到的入侵行为做出反应 操作系统的审计跟踪管理 2 4 入侵检测研究历程 入侵检测技术自2 0 世纪8 0 年代早期提出以来，经过2 0 多年的不断发展，从最初的一种有 价值的研究想法和单纯的理论模型。迅速发展出种类繁多的各种实际原型系统，并且在近1 0 年内涌现出许多商用入侵检测系统产品成为计算机安全防护领域内不可缺少的一种重要的 安全防护技术 入侵检测的研究最早可以追溯到1 9 8 0 年4 月j a m e s a n d e r s o n 为美国军方作的一份题为 “c o m p u t e r s e c u r i t y t h r e a d m o n i t o r i n ga n ds u r v e i l l a n c e ”( 即计算机安全威胁的监控) 的 技术报告。在这份报告中，他将入侵行为划分为外部闯入、内部授权用户的越权使用和滥用 等三种类型，提出将审计踪迹( a u d i t t r a i l ) 应用于监视入侵威胁，井首次给出了入侵检测 的概念p “。该文被认为是入侵检测研究的开创之作。 1 9 8 4 1 9 8 6 年，乔治敦大学的d o r o t h y d e n n i n g 和s r u c s l ( s r i 公司计算机科学实验室) 的p e t e r n e u m a n n 设计和实现了著名的实时入侵检测系统模型，取名为i d e s ( 入侵检测专家 系统) 。该模型由六个部分组成：主体、对象、审计记录、轮廓特征、异常记录、活动规则。 它独立于特定的系统平台、应用环境、系统弱点以及入侵类型，为构建入侵检测系统提供了 一个通用的框架。 1 9 8 7 年，d o r o t h y d e n n i n g 发表的经典论文“a n i n t r u s i o n d e t e c t i o n m o d a l ”中给出了一 个基于用户特征轮廓( p r o f i l e ) 的入侵检测自用模型p 。该文首次将入侵检测作为一种计算 枧系统安全防范的措旌提出，与传统的加密、识别与认证、访问控制相并立。这篇论文正式 启动了入侵检测领域内的研究工作。而该通用模型被后来的许多入侵检铡系统所采用被认 贵州大学硕士学位论文 为是入侵检测研究的又一里程碑，其结构如图2 1 所示。 图2 1 通用入侵检测系统模型 1 9 8 8 年，l u n t 等a r s ”进一步改进d e n l l i n g 提出的入侵捡测模型，并创建入侵检测专家系 统( i n t r u s i o nd e t e c t i o ne x p e r ts y s t e m 。简称i d e s ) 该系统用于检测对单一主机的入侵尝试 提出了与系统无关的实时检测思想。i d e s 系统采用的是一个混合结构，包含一个异常检测 器和一个专家系统，异常检测器采用统计技术描述异常行为，专家系统采用基于规则的方法 检测已知的攻击行为。1 9 9 5 年开发的i d e s 完善版本一一n e s ( n e x t - g e n e r a d o ni n t r u s i o n d e m c f i o ns y s t e m ) 1 2 ，可以检测多个主机上的入侵。 从1 9 8 7 年到1 9 9 1 年。美国空军密码支持中心为了帮助安全官员发现美国空军s b l c ( s t a n d a r d b a s e l e v e l c o m p u t e r s ) 的内部人员的不正当使用而设计开发h a y s t a c k 系统”。 h a y s t a c k 以批处理方式进行异常检测 1 9 9 0 年，加州大学d a v i s 分校的t o d dh e b e d i e n 等人在i e e e 上发表了一篇题为“a n e t w o r k s e c u r i t ym o n i t o r ”的文章，提出了一个全新的概念：基于网络的入侵检测_ n s m ( n e t w o r ks e c u r i t y m o n i t o r ) p ”n s m 系统与此前的i d s 系统最大的不同之处在于它并不检 查主机系统的审计记录，而是截获t c p i p 分组数据，第一次将网络数据包作为实际输入的信 息源，因而不用将审计记录转换为统一的数据格式，可用于监控异构网络环境下的异常活动。 1 9 9 1 年，在美国空军、国家安全茄和能源部的共同赞助支持下空军密码支持中心、劳 伦斯利弗摩尔国家实验室、加州大学戴维斯分校、h a y s t a c k 实验室， e n s m 系统和h a y s t a c k 系统的基础上，设计开发了分布式入侵检测系统( d i d s ) 【艄j d i d s 首次将主机入侵检测和 网络入侵检测技术集成到一起，是分布式入侵检测系统历史上的一个里程碑式的产品。它的 检测模型采用了分层结构，包括数据、事件、主体、上下文、威胁、安全状态等六层，其总 体结构如图2 2 所示。 第二章入侵检测概述 图2 2d i d s 结构框架 1 9 9 2 年加州大学圣巴巴拉分校的p o r r a s 和l l g u n 提出了状态转移分析的入侵检测技术， 并实现了原型系统u s t a t ，之后发展出n s t a t 、n e t s t a t 等系统。 1 9 9 5 年，普渡大学的s k u m a r e s t a t 的基础上，提出了基于有色p