（计算机系统结构专业论文）基于模糊神经网络的网络入侵检测研究.pdf

重庆大学硕十学位论文中文摘要 摘要 随着i n t e r n e t 应用的目益普及，企业、政府、学校等机构纷纷上网，推出 了各种网络服务，极大地丰富和方便了人们的生活。然而i n t e r n e t 也并不是完 美的世外桃源，它的发展正遭遇越来越多的安全问题。如任由这些问题滋生泛滥， 最终必将导致i n t e r n e t 的坍塌毁灭。 网络安全技术是i n t e r n e t 及信息技术发展的基石，已成为计算机领域重要 的研究课题之一，它从解决网络安全问题的实践过程中不断拓展和丰富。在继众 多网络安全技术( 如v p n 技术、加密技术、防火墙等) 后，入侵检测成为又一重要 的网络安全保障措施。 首先，本文总结概述了网络安全和入侵检测的一些研究现状，介绍了入侵检 测的概念、功能、方法、工作原理、以及评估标准，并分析了在新的网络环境中 传统入侵检测方法面临的困境。 其次，本文通过大量研究和实验对自组织特征映射( s 0 m ) 神经网络进行了详 细的分析，并结合模糊逻辑的思想对s o m 网络的学习算法进行了模糊化改进，以 得到更快速、有效的模糊神经网络。 然后，以网络入侵的异常检测研究为出发点，将s o m 神经网络运用到入侵检 测中，并结合入侵检测模型进行分析，构建了一个基于神经网络的检测模型。详 细讲述了它的实现方法，根据网络入侵检测的特征，提出了相应的检测规则和针 对入侵检测的聚类分析方法，进而提出了一种新的检测算法基于s o m 聚类的 网络入侵检测算法。该算法利用s 叫对目标进行聚类，将目标特征空间进行划分， 以识别出正常行为与入侵行为。为了更有效地降低误报率和提高检测率，并且考 虑到入侵检测本身存在的模糊性，于是对基于s o m 聚类的网络入侵检测方法进行 了改进，引入模糊化s o m 学习算法，最终又提出了模糊s o m 的网络入侵检测算法。 最后，用m a t l a b 进行了基于模糊s o m 的网络入侵检测和基于s o m 聚类的网 络入侵检测的仿真试验。对这两种方法的实验结果进行了对比，可知改进后的模 糊s o m 神经网络的入侵检测的准确率比基于s o m 聚类的检测准确率有一定提高， 说明对s o m 的模糊化改进是有实际作用的，它使s o m 网络更能准确地提取检测数 据的统计特征，对提高入侵检测的边缘检测率有帮助。同时，试验表明，本文提 出的基于模糊神经网络的网络入侵检测方法在未知入侵检测方面是可行的、有效 的，并具有良好的可扩展性，能有效降低误检率的同时，检测率得到提高。 关键字：网络安全，网络入侵检测，s o m 神经网络，模糊神经网络 重庆大学硕士学位论文 英文摘要 a b s t r a c t w i t ht h ed e v e l o p m e n to ft h ea p p l i c a t i o no fi n t e r a c t ，c o r p o r a t i o n s ，g o v e r n m e n t s a n du n i v e r s i t i e sa l lh a v eb u i l dt h e i ro w nw e b s i t e sa n dp r o v i d e ds o m es e r v i c e s ，w h i c h b r i n g su sm o r ec o n v e n i e n c e a n db e n e f i t b u tt h e r ef i r em a n ys e c u r i t yp r o b l e m sr i s i n g d u r i n gt h ed e v e l o p m e n to ft h ei n t e m e t i fw ed on o tr e s o l v et h e m ，t h e s es e c u r i t y p r o b l e m s w o u l dt a k ei n t e m e ti n t oh e l l a st h ef o o t s t o n eo ft h ei n t e m e ta n di td e v e l o p m e n t ，t h en e t w o r k s e c u r i t y t e c h n o l o g y h a sb e e no n eo f t h em o s t i m p o r t a n t r e s e a r c h s u b j e c t i ne o m p u l e r f i e l d ，a n d b e e nc o n t i n u o u s l ye x p a n d e da n de n r i c h e df r o mp r a c t i c eo fs o l u t i o nt ot h en e t w o r k s e c u r i t yp r o b l e m h e r ef o l l o w i n gm a n yn e t w o r ks e c u r i t yt e c h n o l o g y ( s u c ha sv p n ， e n c r y p t i o n ，f i r e w a u ) ，n e t w o r k i n t r u s i o nd e t e c t i o nb e c o m e sa n o t h e r i m p o r t a n t m e t h o di nn e t w o r k s e c u r i t y f i r s t ，t h i sp a p e ro u t l i n e ss o m et h ep r e s e n tr e s e a r c h e so nn e t w o r ks e c u r i t ya n d i n t r u s i o n d e t e c t i o n ，i n t r o d u c e sc o n c e p t ，f u n c t i o n ，m e t h o d ，w o r k p r i n c i p l e d a n d e v a l u a t i o nc r i t e r i o ni nr e l a t i o nt oi n t r u s i o nd e t e c t i o n , a n da n a l y z e sh a n d i c a pf a c i n g 、v i t ht r a d i t i o n a li n t r u s i o nd e t e c t i o ni nn e wn e t w o r ke n v i r o n m e n t s e c o n d ，t h r o u g hm a n y r e s e a r c h e sa n d e x p e r i m e n t s o n s e l f - o r g a n i z i n g m a p ( s o m ) n e u r a ln e t w o r k , a n df u z z yi m p r o v e m e n to nl e a m i n ga l g o r i t h mo fs o m n e t w o r kb yf u z z yl o g i c a lt h o u g h t ，t h i sp a p e rh a sa t t a i n e da nm o r ef a s ta n de f f i c i e n t f u z z ys o m n e u r a ln e t w o r k a n dt h e n ，b a s e do nt h ee x c e p t i o nd e t e c t i o nr e s e a r c ho nn e t w o r ki n t r u s i o n ，w e a p p l ys o m n e u r a ln e t w o r ko ni n t r u s i o nd e t e c t i o n ，a n da n a l y z ei tw i t h i ni n t r u s i o n d e t e c t i o nm o d e l ，t oc o n s t m c tan e u r a ln e t w o r k - b a s e dd e t e c t i o nm o d e l s p e c i f y i n gi t s r e a l i z a t i o n , c o n s i d e r i n gc h a r a c t e ro fn e t w o r ki n t r u s i o nd e t e c t i o n , w ep r e s e n tr e l e v a n t d e t e c t i o nr u l ea n dc l u s t e r i n ga n a l y t i c a lm e t h o da i m e da ti n t r u s i o n d e t e c t i o n ，t h e n p r o c e e dt ot h en e x ts t e pt or a i s ean e wd e t e c t i o na l g o r i t h m a l g o r i t h n af o rn e t w o r k i n t r u s i o nd e t e c t i o nb a s e do ns o m c l u s t e r i n g t 1 1 i sa l g o r i t h me x t r a c t sf e a t u r e sa n ds e t u pc l u s t e r sb ys o m ，t h e ni m p l e m e n t sa n o m a l yd e t e c t i o nf o rn e t w o r ka c t i v i t i e s f o r m o r ee f f i c i e n t l yd e c r e a s ef a l s ep o s i t i v er a t ea n di n c r e a s ed e t e c t i o nr a t e ，a n dt a k i n g f u z z i n e s st h a ti n t r u s i o nd e t e c t i o nh a si t s e l fi n t o c o n s i d e r a t i o n ，w ei m p r o v es o m c l u s t e r i n g b a s e dn e t w o r ki n t r u s i o nd e t e c t i o nm e t h o d ，a n dp r e s e n ta r i t h m e t i cf o r n e t w o r ki n t r u s i o nd e t e c t i o nb a s e do n f u z z ys o mn e t w o r k i i 重庆大学硕士学位论文英文摘要 i nt h ee n d w eu s em a r r l a bt oa c c o m p l i s he m u l a t i o ne x p e r i m e n to nf u z z y s o m b a s e da n ds o m c l u s t e r i n g - b a s e dn e t w o r k i n t r u s i o nd e t e c t i o n b yc o m p a r i n gt h e r e s u l t so ft h ee x p e r i m e n t a lr e s u l t so ft h e s et w ok i n d so f m e t h o d s ，c o n c l u s i o n sc a nb e a c q u i r e dt h a tt h ec o r r e c t n e s sr a t eo ff o l 1 1 1 e ri sh i g ht h a n l a to f 1 a t t e r t h u st h e r ei s p r a c t i c e s e n s ei nf u z z yi m p r o v e m e n to ns o m i tm a k e ss o mn e t w o r ke x t r a c t s t a t i s t i c sf e a t u r e so fd a t u mm o r ea c c u r a t ea n da l s oi n c r e a s es o m ee d g ed e t e c t i o nr a t e o fi n t r u s i o nd e t e c t i o n m e a n w h i l e ，r e s u l t ss h o wt h a ti ti sf e a s i b l e ，e 舒c i e n ta n d g o o d - e x p a n s i o n a r y t h a t f u z z y n e u r a ln e t w o r k - b a s e dn e t w o r ki n t r u s i o n d e t e c t i o n m e t h o dt h i sp a p e r p r e s e n t sa r ef a c e do f u n k n o w n i n t r u s i o nd e t e c t i o n t h i sm e t h o dc a n r e d u c ef a l s ep o s i t i v er a t ei ne f f e c t ，a n de l e v a t ed e t e c t i o nr a t es i m u l t a n e o u s l y k e y w o r d s ：n e t w o r ks e c u r i t y , n e t w o r k i n t r u s i o n d e t e c t i o n ，s e l f - o r g a n i z i n g m a p ( s o m ) n e u r a ln e t w o r k ，f u z z yn e u r a ln e t w o r k i l l 重庆大学硕士学位论文 l 引言 1 引言 1 1 选题背景与意义 进入2 l 世纪，席卷全球的信息革命继续深入，i n t e r n e t 已经成为重要的传 播媒体，据有关报道，美国对i n t e r n e t 经济7 投资达到1 2 4 0 亿，第二代i n t e r n e t 正式启动，第三代智能网络已在酝酿。以i n t e r n e t 为代表和主体的信息网络必 将在这个世纪成为人类生产、生活、自下而上的一个基本方式。世界各国都以战 略眼光注视着它的发展，并在积极谋取网上优势。与此同时i n t e r n e t 信息安全 问题也日渐更加突出。 网络安全技术的发展大致经过了以下三个阶段： 第一阶段是静态的被动防御阶段，这一阶段最典型的安全技术是防火墙、数 据加密、数据包过滤，安全认证等，这些安全技术默认整个计算机系统是建立在 正确的安全模型、正确的编程以及正确的配置基础上的。然而系统漏洞总是不断 被发现，攻击技术总是不断在改进，静态安全技术总是滞后于网络的发展，无法 满足动态网络的安全防护需求。 第二阶段是动态的主动防御阶段，这一阶段的典型安全技术是入侵检测，入 侵检测系统根据用户的历史行为模型、存储在计算机中的专家知识以及神经网络 模型，能实时对用户当前的操作进行判断，一旦发现黑客入侵或病毒活动迹象， 立即断开入侵者与主机的连接或查杀病毒，并收集证据和实施数据恢复。动态安 全技术的出现与应用并没有完全解决所面临的网络安全问题。这时期的入侵检 测系统主要问题就是误报率居高不下，以及对层出不穷的新攻击束手无策。 第三阶段是自学习自适应的智能防御阶段。这一阶段的主要特点是复杂性、 智能性、多元性。这是一个剐起步的阶段，人们开始从复杂巨系统理论、生物遗 传理论、行为学理论等理论中汲取灵感，把网络安全看作个多元化、复杂化、 智能化的工程。 作为维护网络安全的重要措施之一的入侵检测也理应适应大环境的变化，不 断改进它的性能，并且能够面对新一代网络环境的挑战n 2 。 传统入侵检测系统与诸如防火墙等网络安全技术高度成熟的产品相比，还存 在相当多的问题，这些问题大多是目前入侵检测系统的结构所难以克服的，而且 这些矛盾可能越来越尖锐。以下便是对入侵检测产品提出挑战的主要因素： 层出不穷的入侵手段：攻击者不断增加的知识，日趋成熟多样自动化工 具，以及越来越复杂细致的攻击手法。入侵检测系统必须不断跟踪最新 的安全技术，才能不致被攻击者远远超越。 重庆大学硕士学位论文 1 引言 不断增大的网络流量：用户往往要求入侵检测系统尽可能快的报警，对 获得的数据进行实时的分析，这导致对所在系统的要求越来越高，尽管 如此，对百兆以上的流量，单一的入侵检测系统仍很难应付。 误报率过高：大量的误报和漏报使得发现安全漏洞的真正所在非常困 难，即检测系统的准确率还有待提高。 恶意信息采用加密的方法传输：网络入侵检测系统通过匹配网络数据包 发现攻击行为，入侵检测系统往往假设攻击信息是通过明文传输的，因 此对信息的稍加改变便可能骗过入侵检测系统的检测。 广泛接受的术语和概念框架的缺乏：入侵检测系统是一项新生事物，随 着技术水平的上升和对新攻击的识别的增加，入侵检测系统需要不断的 升级才能保证网络的安全性，而不同厂家之问的产品在升级周期、升级 手段上均有很大差别，因此，用户在购买时很难做出决定，同时维护时 也往往处于很被动的局面。 采用不恰当的自动反应会造成很大的风险。 针对以上问题，入侵类型的日益复杂，新的入侵行为层出不穷，使未知入侵的 检测显得尤为重要，而对未知入侵行为的检测主要由异常检测来完成的，近年来 新的异常入侵检测方法正在探索中，人们正期待能在那些传统检澳4 不能成功运用 的场合开辟一条新路，期待着更实用、更准确的检测方法出现。 1 2 模糊神经网络在入侵检测中的意义和作用 传统的网络入侵检测方法已日益显现出它的种种弊端，特别是在面对网络结 构升级和未知攻击时，缺乏必要的扩展性和自适应能力。而神经网络可满足这两 方面要求，它由大量神经元( n e u r o n ) 相互连接而构成一个非线形动态系统。 人工神经网络( h r t i f i c i a ln e u r a ln e t w o r k s ，简称a n n ) 是目前一个十分 引入注目的领域，其理论研究正在不断地深入，应用神经网络技术来解决各种类 型的实际问题也得到了广泛的高度重视，它的大规模并行分布式处理、信息的分 布存储、较强的鲁棒性、联想记忆以及自学习、自组织和自适应能力、实时计算、 有较强容错的能力和便于硬件实现等特点，为解决复杂系统的诊断问题提供了一 条新的、具有很强生命力的技术路线。神经网络技术代表了一种新的方法体系， 已经在许多实际系统中得到了成功的应用。如在机械、控制系统、化工等一些领 域。 但是基于神经网络的入侵检测也存在一些不足，因为神经网络的性能在很大 程度上受所选择的训练集的限制，它把问题的特征都变为数字，把推理都变为数 值计算，这种知识表示限制了神经网络在较高层次模拟人的智能。因而将它与模 2 重庆大学硕士学位论文 l 引言 糊集理论结合形成模糊神经网络，使其具有模糊逻辑和神经网络的优点，应用在 入侵检测中有如下作用： ( 1 ) 因采用了模糊化的运行机制，使得系统的容错能力加强； ( 2 ) 模糊神经网络大大加强系统处理信息的手段，使系统处理信息的方法变 得更加灵活； ( 3 ) 模糊集理论的引入能很大地提高入侵检测的边缘检测准确率； ( 4 ) 可将目标特征空间的复杂度降低； ( 5 ) 由于输入模式的统计特征将溶解到各个连接权上去，网络具有较强的抗 干扰能力，从而提高检测的准确性。 因此，研究如何更好地将模糊神经网络用于网络入侵检测是很有理论和现实 意义的，是一个充满希望的新的研究领域。 1 3 本文研究目的和研究内容 1 3 1 本文研究的目的 本文针对目前的入侵检测系统有误报率过高、检测率不高和对未知入侵的检 测能力有限的缺陷，通过对入侵检测和s o m 神经网络的研究分析后，将s o m 神经 网络引入到入侵检测中，研究有效的非监督神经网络学习算法，经过聚类分析实 现对未知入侵的检测，同时，希望能结合模糊集理论，使s o m 神经网络的性能得 到进一步的改进，从而应用改进后的模糊s o m 神经网络，达到提高网络入侵检测 准确率的目的。 1 3 2 本文研究的主要内容 本文的主要内容及章节分布如下： 第二章，分析概述了入侵检测的相关知识，使对本文网络入侵的异常检测有 一个全面整体的认识， 第三章，介绍并分析s o y 网络模型及其学习算法。自组织映射网络在学习过 程中，如何调整学习率和获胜领域，以及如何充分利用连接权矢量，以提高网络 的收敛速度，得到良好的拓扑映射结果。并通过一些实验来加深对s o m 网络的理 解。 第四章，概述了模糊神经网络的类型和特点，并引入了模糊s o b f 网络的思想 和实现方法。从而实现了对8 0 m 网络的学习算法模糊化改进，提高了网络对输入 数据特征提取的能力。 第五章，本文重点提出了一种新的网络入侵的异常检测方法。首先对这种入 侵检测模型进行了分析，进而讲述它的实现方法，并结合网络入侵检测的特征， 提出了相应的检测规则和针对入侵检测的聚类分析方法，最后给出了相应的算 重庆人学硕+ 学位论文1 引言 法，即基于s o m 聚类的网络入侵检测算法。为了进一步有效地降低误报率和提 高检测率，又考虑到入侵检测本身存在的模糊性，于是对基于s o b l 聚类的网络入 侵检测方法进行了改进，最终又提出了基于模糊s o m 的网络入侵检测算法。 第六章，用m a t l a b 进行了基于模糊s o m 的网络入侵检测和基于s o b l 聚类的 网络入侵检测的仿真试验，并对这两种方法的实验结果进行了对比。通过检测率 和误报率这两个参数分析了该检测模型的优缺点。 重庆大学硕十学位论文 2 网络入侵检测概述 2 网络入侵检测概述 2 1 网络安全 2 ，1 1 网络安全概念 自从上个世纪7 0 年代a r p a n e t 出现后，随着各种网络互连技术、网络互 连产品和网络应用软件的诞生，互联网简直就在以指数分裂的方式进行着发展。 人们的日常生活和日常工作也越来越多地和互联冈、计算机联系在了一起。随着 i t 市场及i n t e m e t 的高速发展，个人和企业越来越多地把商务活动放到了网络上， 并且通过互联网随时随地地访问个人和企业的各种资源。但是计算机和i n t e m e t 又是一把双刃剑，在给公众商务活动提供方便的同时，也带来了一系列安全问题。 在阐述入侵和入侵检测的概念之前，我们应该对一系列和网络安全相关的概 念作一个全面的了解。首先我们对安全下一个严格的定义。一个安全的计算机系 统的实际定义是“一个可以信赖的按照期望的方式运行的系统”。更精确的，我 们可以以安全三元组术语一一机密性、完整性和可用性给出。 机密性( c o n f i d e n t i a l i t y ) ：指只能让授权用户访问信息的要求，比如银行系 统中对私人账户记录访问权限的保护。 完整性( i n t e g r a l i t y ) ：指防止信息被修改的要求，比如对医疗记录和金融账 户数据的保护和防止任意窜改。 可用性( u s a b i l i t y ) 指信息和系统资源能够持续工作的要求，保证用户可以 能够在他们需要的时候，从他们需要的地方，以他们需要的方式访问资源。各种 拒绝服务( d o s ) 攻击就是对系统可用性的挑战。 计算机网络安全可以理解为计算机安全在网络环境下的扩展，主要的安全要 求有以下七点： 用户身份验证和对等实体鉴别 网络环境下，大量的黑客随时随地都可能向网络渗透，截获合法用户的口令 并冒名顶替，以合法身份入网。 访问控制 必须有一种控制手段实现本地用户对本地资源的访问控制，本地用户对外地 资源的访问控制，以及对网络资源的访问控制。 数据的完接性 防止信息的非法重发，传输过程中被篡改、替换、删除等，要保证数据由一 个主机发出，经过网络各个链路到达另一个主机时完全相同。 加密 加密并不能防止信息被人读取，其作用只是保障信息被人截获后不能读懂其 重庆人学硕士学位论文2 网络入侵检测概述 含义，这对存取访问控制是一个重要的补充。 防抵赖 收方如果收到一条信息，他要确保发方不能否认曾向他发过信息，发方也会 要求收方不能在收到信息后否认他已经收到信息。 审计 在网络环境下，不但要审计朋户对本地主机的作用，还应审计网络运行悄况。 为了便于对整个网络进行审计，审计记录不能完全分散于各个网络节点，而应当 有整个网络集中处理的过程。 容错 网络环境下的容错除了要考虑每个汁算机系统的容错，还需要通过网络多路 由以及网络节点设备的冗余和备份来实现。 2 1 2 当前网络安全状况 今日的网络情况与1 0 年以前完全不同 1 2 o 在这个时期内，黑客和破译者已 经分手并成为相互对立的团体。现在，网络正处于战争之中，而那些人就是战士。 破译者们为了获得承认而进行疯狂的战斗，并且常常依靠他们惊人的聪明和技术 本领而达到他们的目的。而黑客们则努力工作来发展新的安全方法来防止破译者 们的游击进攻。谁将最后获得胜利呢? 现在说还为时尚早，虽然破译者们可能会 输掉。因为大的商业公司已经介入列了i n t e r n e t 之中，对专门安全工具的需求已 经有了长足的增长。随着时间的推移，破译者们将面临越来越大的挑战。但是， 由于破译者的阵营在不断的扩大，破译者获取带宽和程序资源的途径越来越广 泛、越来越容易，破译者的攻击手法越来越隐蔽，保证网络安全的任务也将越来 越重。在网络上开展业务和进行正常活动的人们越来越要求有一个全面的、完整 的、可靠的安全解决方案来保证自己的活动在不受干扰的情况下进行。那么，目 前网络安全的状况究竟如何呢? 下面的几则报道和数据可以说明一些问题。 “2 0 0 3 蠕虫王”病毒导致全球主干网瘫痪，该蠕虫是利用s o ls e r v e r2 0 0 0 的解析端口1 4 3 4 的缓冲区溢出漏洞，对其网络进行攻击；随后的w i n d o w 2 0 0 0 安全缺陷又导致美军网络服务器被控制；今年年初猖獗一时“s c o 炸弹”病毒曾 经在给全球用户造成了2 0 0 多亿美元的经济损失；前不久的m y d o o m ( 又名 “n o v a r g ”) 及其变种已使全球数以百万计的电脑受到感染，如美国唱片工业协 会( r i a a ) 的网站因此很长时间处于“瘫痪”状态。 根据美国计算机紧急事件反应小组协调中心( c e r t c c ) 公布的1 9 8 8 - - 2 0 0 3 统计数字显示，报告的入侵事件几乎成指数增加，同时近两年安全漏洞的数量成 倍增长，如图1 1 和图1 2 所示。 6 重庆大学硕十学位论文2 网络入侵检测概述 图2 1c e r t c c 历年应急事件示意图 f i g1 1t h ec e r t c cs t a t i s t i c sf o rt h en u m b e ro f i n c i d e n t sr e p o s e d 、 ， f ， ， _ r 1 9 9 51 9 9 61 9 9 71 9 9 81 9 9 92 0 0 0 2 0 0 1 2 0 0 2 2 0 0 3 图2 2c e r t c c 历年安全漏洞示意图 f i g1 , 2t h ec e r t c cs t a t i s t i c sf o r b en u m b e ro f v u l n e r a b i l i t i e sr e p o r t e d 据统计，全世界由于信息系统的脆弱性而导致的经济损夫，每年达数十亿美 元，并且逐年上升。据美国金融时报报道，现在平均每2 0 秒就发生一次入 侵什算机互联网的事件；互联网的防火墙，超过1 3 曾被攻破。世界互联网的 安全状况尚且如此，我国国内的网络安全状况更令人担忧，国内很多信息安全方 面豹专家均认为，我国有网络，但没有安全的网络。由此看来，我们不能否认网 络安全问题己迫在眉睫。 2 1 3 网络安全措施 为了保证计算机网络系统的信息安全，近年来针对不同的问题研究开发了许 多安全措施，解决了某些特定方面的安全问题。这些安全措施包括： 1 ) 防火墙：防火墙主要提供被保护网络与外部网络之间的进出控制。它是 被保护网络与外部网络之间的一道屏障，根据各种过滤规则来判断网络数据是否 能够通过防火墙。它通过设置防火墙的安全规则来实现对于内部网络的保护。 删薹|姗|奏籼姗姗喜；。 重庆大学硕士学位论文 2 网络入侵检测概述 2 ) v p n 设备：v p n 设备实现了利用公共网络建立自己的虚拟专网。假设a 、 b 是两个内部网络，它们之间是通过公共网络连接起来的，为了保证网络a 、b 的安全，同时又要保证它们能够通过公共网络来连接，可以分别在网络a 、b 的 出口处安装v p n 设备。v p n 设备负责给发送到对方的数据包进行加密并重新打包， 当到达对方v p n 设备的时候再拆包、解密，而在公共网络上看到的只是两个v p n 设备，隐蔽了网络a 、b ，这样便保证了网络a 、b 的安全。 3 ) 信息网关：信息网关为计算机内的电子文件引入了密级、电子印章和网 关证的概念。信息网关负责检查出入网络的文件是否具有网关证，是否按照所具 有的密级要求进行了加密。在检查合格后文件才能传出网络。 4 ) 授权和身份认征系统：授权和身份认证系统加强了原有的基于账户和口 令的访问控制，提供了授权、访问控制、用户身份识别、对等实体鉴别、抗抵赖 等功能。目前的身份认证系统有一次一密的认证机制，有基于时钟的动态口令机 制，有基于生理特征的认证机制等等。作为身份的秘密信息可以存储在i c 卡上， 可以由动态口令生成器动态产主，也可以就是你自己的眼睛或手指。 5 ) 信息加密：信息加密是信息安全应用中最早开展的有效手段之一，信息 加密的目的是保护网内的数据、文件、口令和控制信息，保护网上传输的数据。 加密技术用于网络安全通常有二种形式，即面向网络或面向应用服务。 6 ) 安全路由器：安全路由器提供了某些基于地址或服务的过滤机制，可以 在一定程度上限制网络访问。 7 ) 操作系统的内核安全：通过对操作系统内核的裁剪、加固和改造，删除 内核中可能引起安全问题的部分，可以大大加强系统内核的安全性和抗攻击能 力。这种方法固然很好，对一般用户来说却不现实，不过可以选择安全级别高的 操作系统，提高内核的安全性。美国国家计算机安全中心( n c s c ) 制定的可信 计算机评价准则，将计算机系统的安全划分为了四个层次七个级别。 8 ) 入侵检测：入侵检测用于实时监视网络上的数据流，寻找具有网络攻击 特征和违反网络安全策略的数据流。当它发现可疑数据流时按照系统安全策略规 定的响应策略进行响应，包括实时报警、记录有关信息、实时阻断非法的网络连 接、对事件涉及的主机实施进一步的跟踪等。入侵检测系统提供审计功能，对报 警和日志记录进行分析处理，给出网络安全状况的审计分析报告，帮助用户了解 网络安全状况。 这些安全措施各有优缺点，从不同的角度维护着网络安全，起着重要的作用， 本文主要讲述的是入侵检测这种网络安全措施。 重庆大学硕士学位论文2 网络入侵检测概述 2 2 入侵和入侵检测 1 9 8 0 年j a m e se a m d e r s o n 馆1 在一份计算机安全威胁监控与监视技术报 告中第一次详细阐述了入侵检测的概念。然而直到1 9 8 7 年d o r o t h y d e n n i n g 发表 了她著名的i n t r u s i o nd e t e c t i o n 这篇论文时，入侵检测才真正蓬勃发展起来。 d o r o t h yd e n n i n g 提出了最早的入侵检测技术模型，目前的各种商用检测技术及 其体系均是在基础上的扩展和细化。 根据h e a d y ”1 等人的观点，入侵( i n t r u s i o n ) 被定义为所有企图危及到资源 的机密性、完整性和可用性的行为。入侵行为企图暗中破坏系统的安全措施以达 到访问非法信息、改变系统行为和破坏系统可用性的目的。入侵是个广义的概念， 不仅包括被发起攻击的人( 如恶意的黑客) 取得超出合法范围的系统控制权，也 包括收集一些漏洞信息，造成拒绝访问( d e n i a lo f s e r v i c e ) 等对计算机系统造成 危害的行为。 入侵检测( i n t r u s i o nd e t e c t i o n ) ，顾名思义，便是对入侵行为的发觉。它通 过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发 现网络或系统中是否有违反安全策略的行为和被攻击的迹象。进行入侵检测的软 件与硬件的组合就是入侵检测系统( i n t r u s i o n d e t e c t i o ns y s t e m ，简称i d s ) 。与 其他安全产品不同的是，入侵检测系统需要更多的智能，它必须可以将得到的数 据进行分析，并得出有用的结果。一个合格的入侵检测系统能大大的简化管理员 的工作，保证网络安全的运行。 2 2 1 入侵检测的必要性 一个安全的系统至少应该满足用户系统的保密性、完整性及可用性要求。但 是，随着网络连接的迅速扩展，网络入侵事件更加频发，越来越多的系统遭到入 侵攻击的威胁。这些威胁大多是通过挖掘操作系统和应用服务程序的弱点或者缺 陷来实现的。于是，保证网络系统安全的任务越来越迫在眉睫。目前，对付破坏 系统企图的理想方法是建立一个完全安全系统。但从实际上看，这是根本不可能 的，因为网络入侵和网络安全是一对矛盾体，在相互斗争中提高。首先，在实践 当中，建立完全安全系统根本是不可能的。m i l l e r 曙1 给出一份有关现今流行的 操作系统和应用程序研究报告，指出软件中不可能没有缺陷，此外，设计和实现 一个整体安全系统相当困难。其次，要将所有已安装的带安全缺陷的系统转换成 安全系统需要相当长的时间。第3 ，加密技术方法本身存在的一定问题。第4 ， 安全系统易受内部用户滥用特权的攻击。第5 ，安全访问控制等级和用户的使用 效率成反比。第6 ，访问控制和保护模型本身存在一定的问题。第7 ，在软件工 程中存在软件测试不充足、软件生命周期缩短、大型软件复杂性等难解问题。 基于上述几类问题的解决难度，一个实用的方法是，建立比较容易实现的安 重庆大学硕士学位论文2 网络入侵检测概述 全系统，同时按照一定的安全策略建立相应的安全辅助系统，i d s 就是这样一类 系统。现在安全软件的开发方式基本上就是按照这个思路进行的。就目前系统安 全状况而言，系统存在被攻击的可能性。如果系统遭到攻击，只要尽可能地检测 到，甚至是实时地检测到，然后采取适当的处理措施。i d s 般不是采取预防的 措施以防止入侵事件的发生，入侵检测作为安全技术其作用在于：( 1 ) 识别入侵 者；( 2 ) 识别入侵行为；( 3 ) 检测和监视已成功的安全突破；( 4 ) 为对抗入侵及时 提供重要信息，阻止事件的发生和事态的扩大。因此，入侵检测非常必要。 2 2 2 入侵检测基本原理 入侵检测首先是基于两个基本假设：( 1 ) 用户和程序行为是可见的；( 2 ) 正 常行为与入侵行为本质上是可区分的，也就是说可以通过提取网络行为的数字特 征来分析判断该行为的合法性。一个基本的入侵检测系统需要解决两个问题；一 是如何充分并可靠地提取包含关键行为特征的数据，二是如何高效并准确地判定 行为的合法性。在此基础之上就可以进一步实现网络对抗、动态策略、入侵学习 等功能。 2 2 3 入侵检测技术 入侵检测技术主要包括三大方面的内容，即事件提取技术、入侵分析技术 和入侵响应技术，其中以入侵分析技术为核心，本文研究的出发点也是入侵分析 技术。 1 ) 事件提取技术 基于主机的入侵检测系统所使用的事件提取方式大致可以分为两类：一类是 轮询式的事件提取方式，许多入侵检测系统如系统设置扫描、系统状态检测和日 志检测都采用轮询的方式，通过定期扫描来提取事件；一类是截取式的事件提取 方式，有的入侵检测系统替换了服务器程序，截获了用户向服务器发出的所有数 据，在进行审查后再提交实际的服务器程序来运行。前一种方式较简单，后一种 方式具有较强的事件提取能力，但实现难度较大。 基于网络的入侵检测系统一般都是通过设置网卡的接收模式( 网卡的这种接 受模式被称为混合模式) ，监听本子网络数据包来实现数据提取的哺1 。但是在某 些采用交换技术的网络环境中，交换机制使得网络报文不能在子网内任意广播， 只能在设定的虚网( v l a n ) 内广播。这就使得进行网络监听的主机只能提取到 本虚网内的数据，监视范围大为减少，监视的能力也受到削弱。此时就必须借助 交换机提供的功能来实现网络监视。目前很多的交换机都提供设置s p a n n i n g 端口的功能，交换机在将其一个端口设置为s p a n n i n g 端口后，所有经过该交 1 0 重庆大学硕士学位论文 2 网络入侵检测概述 换机的数据都被转发到s p a n n i n g 端口上，因此，只要将网络监视主机接入到 交换机的s p a n n i n g 端口就可以获取经过交换机的所有数据包。 2 ) 入侵分析技术 入侵分析的任务是在利用事件提取技术提取到的庞大的数据中找到入侵的 痕迹。入侵分析过程需要将提取到的事件与入侵检测规则进行比较，从而发现入 侵行为。一方面入侵检测系统需要尽可能多地提取数据以获得足够的入侵证据， 而另一方面由于入侵行为的千变万化而导致判定入侵的规则越来越复杂。为了保 证入侵检测的准确率和满足实时性的要求，入侵分析须在系统的性能和检测能力 之间进行权衡，合理地设计分析策略，并且可能要牺牲一部分检测能力来保证系 统可靠、稳定地运行并具有较快的响应速度。 分析策略是入侵分析的核心，系统检测能力很大程度上取决于分析策略。在 实现上，分析策略通常定义为一些完全独立的检测规则。基于网络的入侵检测系 统通常使用报文的模式匹配或模式匹配序列来定义规则，检测时将监听到的报文 与模式匹配序列进行比较，根据比较的结果来判断是否有非正常的网络行为。一 个入侵行为能不能被检测出来主要就看该入侵行为的过程或其关键特征能不能 映射到基于网络报文的匹配模式序列上去。有的入侵行为很容易映射，如a r p 欺骗，但有的入侵行为是很难映射的，如从网络上下载病毒。对于有的入侵行为， 即使理论上可以进行映射，但是在实现上是不可行的，比如说有的网络行为需要 经过非常复杂的步骤或较长的过程才能表现其入侵特征，这样的行为由于具有非 常庞大的模式匹配序列，需要综合大量的数据报文来进行匹配，因而在实际上是 不可行的。而有的入侵行为由于需要进行多层协议分析或有较强的上下文关系， 需要消耗大量的处理能力来进行检测，因而在实现上也有很大的难度。 3 ) 入侵响应技术 当分析出入侵行为或发现可疑现象后，系统需要采取各种手段，尽量将入侵 所造成的损失降低到最小程度。通常采用的手段是保存现场并迅速申请干预，一 般通过生成事件报警，通知系统管理员。系统管理员可以及时地通过事件报告发 现系统的安全弱点，改进系统策略以加强系统的安全性。这是非常必要的入侵响 应手段，可以提供管理员强有力的手段加强网络系统的管理。然而随着网络条件 的复杂化和安全要求的提高，更加实时和非人为地参与入侵响应方法逐渐被研究 和应用。可以将这类入侵响应方法分为三类：系统保护、动态策略和攻击对抗。 系统保护：入侵者通常会试图改变系统的某些关键资源，如系统本身的安 全策略库，或系统的用户数据库，但这可能对系统造成严重的损失。系统保护可 以在发现入侵者的企图后及时地保护系统的资源，防止被非法修改。如当发现有 对系统引导扇区的非授权的修改行为后，立即备份系统的引导扇区，然后让入侵 重庆大学硕士学位论文2 网络入侵检测概述 者继续操作( 这样可以使入侵者不会察觉到他已经暴露) ，然后根据情况将备份 的引导扇区数据恢复回去，从而防止系统被破坏，并提取入侵者修改后的引导扇 区进行入侵手段分析。 动态策略：在目前的网络环境中，主机系统和网络设备上都有一定的或较 强的安全功能。加强这些系统的安全策略的设计就可以起到拒绝入侵的效果。当 分析出入侵行为后，根据入侵的操作和目标，可以发现系统设置或策略上的问题， 及时地自动调整系统策略就可以切断入侵渠道。 攻击对抗：根据入侵行为所采取的手段，选择一定的对策，使入侵者无法 达到预期的目的。例如使用i p 欺骗技术和虚拟操作系统可以在入侵者毫无察觉 盼隋况下将入侵者对攻击目标的操作转移到一个虚拟环境中，使入侵者无法对攻 击目标实现攻击。 这三个方面内容都属于基于网络的入侵响应方法，系统保护以减少入侵损失 为目的，动态策略以提高系统安全性为目的，而入侵对抗则不仅可以对系统进行 实时保护，并且可以实现入侵跟踪和反入侵功能。 2 2 4 入侵检测方法 入侵检测方法就是在上节所讲述的入侵检测分析中所采用的具体技术方法， 它是入侵检测系统的核心。主要可分为两大类型畴。1 4 1 ：异常入侵检测方法 ( a b n o r m a ld e t e c t i o n ) 和误用入侵检测方法( m i s u s ed e t e c t i o n ) 。如图2 3 是一 个入侵