【全套精品课件】入侵检测技术

1、入侵检测技术总 目 录第1章 入侵检测技术的历史第2章 入侵检测的相关概念第3章 入侵检测技术的分类第4章 基于主机的入侵检测技术第5章 基于网络的入侵检测技术第6章 混合型的入侵检测技术第7章 先进入侵检测技术第8章 分布式的入侵检测架构第9章 入侵检测系统的设计考虑第10章 入侵检测的响应问题第11章 相关的法律问题第12章 未来需求与技术开展前景第1章 入侵检测技术的历史1.1 主机审计入侵检测的起点1.2 入侵检测根本模型的建立1.3 技术开展的历程主机审计出现在入侵检测技术之前，其定义为： 产生、记录并检查按照时间顺序排列的系统事件记录的过程。在早期的中央主机集中计算的环境之下，主机

2、审计的主要目的是统计用户的上机时间，便于进行计费管理。不久，随着计算机的普及，审计的用途扩展到跟踪记录计算机系统的资源使用情况，经过进一步的开展，主机审计开始应用于追踪调查计算机系统中用户的不正当使用行为的目的。此时的主机审计，已经逐步开始引入了平安审计的概念。平安审计的主要需求来自于商业领域和军事、行政领域。1.1 主机审计入侵检测的起点20世纪70年代TCSEC可信计算机系统评估准那么首次定义了计算机系统的平安等级评估标准，并且给出了满足各个平安等级的计算机系统所应满足的各方面的条件。TCSEC准那么规定，作为C2和C2等级以上的计算机系统必须包括审计机制，并给出满足要求的审计机制所应到达

3、的诸多平安目标。在此之后，计算机平安问题得到了更多的注意和重视。James-Anderson在1980年首次明确提出平安审计的目标，并强调应该对计算机审计机制做出假设干修改，以便计算机平安人员能够方便地检查和分析审计数据。Anderson在报告中定义了3种类型的恶意用户。 伪装者masquerader: 此类用户试图绕过系统平安访问控制机制，利用合法用户的系统账户。 违法者misfeasor: 在计算机系统上执行非法活动的合法用户。 秘密活动者clandestined user: 此类用户在获取系统最高权限后，利用此种权限以一种审计机制难以发现的方式进行秘密活动，或者干脆关闭审计记录过程。An

4、derson指出，可以通过观察在审计数据记录中的偏离历史正常行为模式的用户活动来检查和发现伪装者和一定程度上的违法者。Anderson对此问题的建议，实质上就是入侵检测中异常检测技术的根本假设和检测思路，为后来的入侵检测技术开展奠定了早期的思想根底。1987年,Dorothy Denning发表了入侵检测领域内的经典论文?入侵检测模型?。这篇文献正式启动了入侵检测领域内的研究工作，被认为是入侵检测领域内的开创性成果。Denning提出的统计分析模型在早期研发的入侵检测专家系统IDES中得到较好的实现。IDES系统主要采纳了Anderson的技术报告中所给出的检测建议，但是，Denning的论文

5、中还包括了其他检测模型。Denning对入侵检测的根本模型给出了建议，如图1-1所示。1.2 入侵检测根本模型的建立图1-1 通用入侵检测模型在图1-1所示的通用入侵检测模型中，事件生成器从给定的数据来源中，生成入侵检测事件，并分别送入到活动档案计算模块和规那么库检测模块中。活动档案模块根据新生成的事件，自动更新系统行为的活动档案；规那么库根据当前系统活动档案和当前事件的情况，发现异常活动情况，并可以按照一定的时间规那么自动地删减规那么库中的规那么集合。Denning所提出的入侵检测根本模型，其意义在于一般化的模型定义，并不强调具体的实现技术。入侵检测技术自20世纪80年代早期提出以来，经过2

6、0多年的不断开展，从最初的一种有价值的研究想法和单纯的理论模型，迅速开展出种类繁多的各种实际原型系统，并且在近10年内涌现出许多商用入侵检测系统产品，成为计算机平安防护领域内不可缺少的一种重要的平安防护技术。1980年，Anderson在其完成的一份技术报告中提出了改进平安审计系统的建议，以便用于检测计算机用户的非授权活动，同时，提出了根本的检测思路。1.3 技术开展的历程19841986年，Denning和Neumann在SRI公司内设计和实现了著名的IDES，该系统是早期入侵检测系统中最有影响力的一个。1987年，Dorothy Denning发表的经典论文“An Intrusion De

7、tection Modal中提出入侵检测的根本模型，并提出了几种可用于入侵检测的统计分析模型。Denning的论文正式启动了入侵检测领域内的研究工作。同年，在SRI召开了首次入侵检测方面的专题研讨会。19891991年，Stephen Smaha设计开发了Haystack入侵检测系统，该系统用于美国空军内部网络的平安检测目的。1990年，加州大学Davis分校的Todd Heberlien发表在IEEE上的论文“A Network Security Monitor，标志着入侵检测第一次将网络数据包作为实际输入的信息源。NSM系统截获TCP/IP分组数据，可用于监控异构网络环境下的异常活动。19

8、91年，在多个部门的赞助支持下，在NSM系统和Haystack系统的根底上，Stephen Smaha主持设计开发了DIDS分布式入侵检测系统。1992年，加州大学圣巴巴拉分校的Porras和Ilgun提出状态转移分析的入侵检测技术，并实现了原型系统USTAT，之后开展出NSTAT、NetSTAT等系统。差不多同一时期，Kathleen Jackson在Los Alamos国家实验室设计开发了NADIR入侵检测系统。而SAIC和Haystack Labs分别开发出了CMDS系统和Stalker系统，这两个系统是首批投入商用的主机入侵检测系统。1994年，Porras在SRI开发出IDES系统的

9、后继版本NIDES系统，后者在系统整体结构设计和统计分析算法上有了较大改进。1995年，普渡大学的S. Kumar在STAT的思路根底上，提出了基于有色Petri网的模式匹配计算模型，并实现了IDIOT原型系统。1996年，新墨西哥大学的Forrest提出了基于计算机免疫学的入侵检测技术。1997年，Cisco公司开始将入侵检测技术嵌入到路由器，同时，ISS公司发布了基于Windows平台的RealSecure入侵检测系统，自此拉开商用网络入侵检测系统的开展序幕。1998年，MIT的Richard Lippmann等人为DARPA进行了一次入侵检测系统的离线评估活动，该评估活动使用的是人工合成

10、的模拟数据，最后的测试结果对于后来的入侵检测系统开发和评估工作都产生了较大影响。1999年，Los Alamos的V.Paxson开发了Bro系统，用于高速网络环境下的入侵检测。Bro系统在设计上考虑了鲁棒性、平安性，并且处理了许多反躲避的技术问题。同年，加州大学的Davis分校发布了GrIDS系统，该系统试图为入侵检测技术扩展到大型网络环境提供一个实际的解决方案。Wenke Lee提出用于入侵检测的数据挖掘技术框架。2000年，普渡大学的Diego Zamboni和E.Spafford提出了入侵检测的自治代理结构，并实现了原型系统AAFID系统。值得指出的是，在开展的早期阶段，入侵检测还没有

11、获得计算机用户的足够注意。早期的入侵检测系统几乎都是基于主机的，但是过去的10年里最流行的商业入侵检测系统大多却是基于网络的。现在和未来几年内的开展趋势似乎是混合型以及分布式系统的开展。2.1 入侵的定义2.2 什么是入侵检测2.3 入侵检测与P2DR模型第2章 入侵检测的相关概念通常，计算机平安的3个根本目标是 机密性、完整性和可用性。平安的计算机系统应该实现上述3个目标，即保护自身的信息和资源不被非授权访问、修改和拒绝效劳攻击。平安策略用于将抽象的平安目标和概念映射为现实世界中的具体平安规那么，通常定义为一组用于保护系统计算资源和信息资源的目标、过程和管理规那么的集合。平安策略建立在所期望

12、系统运行方式的根底上，并将这些期望值完整地记录下来，用于定义系统内所有可接受的操作类型。2.1 入侵的定义任何潜在的危害系统平安状况的事件和情况都可称为“威胁。Anderson在其1980年的技术报告中，建立了关于威胁的早期模型，并按照威胁的来源，分为如下3类。 外部入侵者： 系统的非授权用户。 内部入侵者： 超越合法权限的系统授权用户。其中，又可分为“伪装者和“秘密活动者。 违法者： 在计算机系统上执行非法活动的合法用户。在入侵检测中，术语“入侵intrusion表示系统内部发生的任何违反平安策略的事件，其中包括了上面Anderson模型中提到的所有威胁类型，同时还包括如下的威胁类型： 恶意

13、程序的威胁，例如病毒、特洛伊木马程序、恶意Java或ActiveX程序等； 探测和扫描系统配置信息和平安漏洞，为未来攻击进行准备工作的活动。美国国家平安通信委员会NSTAC下属的入侵检测小组IDSG在1997年给出的关于“入侵的定义是：入侵是对信息系统的非授权访问以及或者未经许可在信息系统中进行的操作。美国国家平安通信委员会下属的入侵检测小组在1997年给出的关于“入侵检测的定义如下：入侵检测是对企图入侵、正在进行的入侵或者已经发生的入侵进行识别的过程。2.2 什么是入侵检测图2-1 通用入侵检测系统模型图2-1所示的通用入侵检测系统模型，主要由以下几大局部组成。 数据收集器又可称为探测器：

14、主要负责收集数据。检测器又可称为分析器或检测引擎： 负责分析和检测入侵的任务，并发出警报信号。 知识库： 提供必要的数据信息支持。 控制器： 根据警报信号，人工或自动做出反响动作。另外，绝大多数的入侵检测系统都会包含一个用户接口组件，用于观察系统的运行状态和输出信号，并对系统行为进行控制。P2DR模型是一个动态的计算机系统平安理论模型。P2DR特点是动态性和基于时间的特性。图2-2 P2DR平安模型2.3 入侵检测与P2DR模型具体而言，P2DR模型的内容包括如下。策略： P2DR模型的核心内容。具体实施过程中，策略规定了系统所要到达的平安目标和为到达目标所采取的各种具体平安措施及其实施强度等

15、。 防护： 具体包括制定平安管理规那么、进行系统平安配置工作以及安装各种平安防护设备。 检测： 在采取各种平安措施后，根据系统运行情况的变化，对系统平安状态进行实时的动态监控。 响应： 当发现了入侵活动或入侵结果后，需要系统作出及时的反响并采取措施，其中包括记录入侵行为、通知管理员、阻断进一步的入侵活动以及恢复系统正常运行等。P2DR模型阐述了如下结论： 平安的目标实际上就是尽可能地增大保护时间，尽量减少检测时间和响应时间。 入侵检测技术intrusion detection就是实现P2DR模型中“Detection局部的主要技术手段。在P2DR模型中，平安策略处于中心地位，但是从另一个角度来

16、看，平安策略也是制定入侵检测中检测策略的一个重要信息来源，入侵检测系统需要根据现有的平安策略信息，来更好地配置系统模块参数信息。当发现入侵行为后，入侵检测系统会通过响应模块改变系统的防护措施，改善系统的防护能力，从而实现动态的系统平安模型。因此，从技术手段上分析，入侵检测可以看作是实现P2DR模型的承前启后的关键环节。3.1 入侵检测的信息源3.2 分类方法3.3 具体的入侵检测系统第3章 入侵检测技术的分类对于入侵检测系统而言，输入数据的选择是首先需要解决的问题： 入侵检测的输出结果，首先取决于所能获得的输入数据的数量和质量。 具体采用的入侵检测技术类型，也常常因为所选择的输入数据的类型不同

17、而各不相同。3.1 入侵检测的信息源在入侵检测技术的开展历史中，最早采用的用于入侵检测任务的输入数据源就是操作系统的审计记录。操作系统的审计记录是由操作系统软件内部的专门审计子系统所产生的，其目的是记录当前系统的活动信息，并将这些信息按照时间顺序组织成为一个或多个审计文件。不同的系统在审计事件的选择、审计记录的选择和内容组织等诸多方面都存在着兼容性的问题。另外一个存在的问题是，操作系统审计机制的设计和开发的初始目标，并不是为了满足后来才出现的入侵检测技术的需求目的。3.1.1 操作系统的审计记录操作系统审计记录被认为是基于主机入侵检测技术的首选数据源： 操作系统的审计系统在设计时，就考虑了审计

18、记录的结构化组织工作以及对审计记录内容的保护机制，因此操作系统审计记录的平安性得到了较好的保护。 操作系统审计记录提供了在系统内核级的事件发生情况，反映的是系统底层的活动情况并提供了相关的详尽信息，为发现潜在的异常行为特征奠定了良好的根底。下面分别介绍两种流行的操作系统Sun Solaris和Windows 2000的审计系统机制及审计记录格式。1. Sun Solaris BSMSun公司的Solaris操作系统是目前流行的效劳器UNIX操作系统，其中包含的BSM平安模块使得Solaris系统满足TCSEC标准的C2级审计功能要求。BSM平安审计子系统的主要概念包括审计日志、审计文件、审计记

19、录和审计令牌等，其中审计日志由一个或多个审计文件组成，每个审计文件包含多个审计记录，而每个审计记录那么由一组审计令牌audit token构成。图3-1所示为BSM审计记录的格式。每个审计令牌包括假设干字段，如图3-2所示。图3-1 BSM审计记录格式Header*Process*Argumnet*Attribute*DataIn_addrIpIpc_permIpcIportPath*TextGroupsOpaqueReturn*Trailer首令牌字段审计进程信息系统调用参数信息属性信息当前根目录、工作目录及其绝对路径请求（系统调用）返回值图3-2 BSM审计令牌格式Header Token

20、token IDrecord sizeevent type *time of queue *Process Tokentoken IDaudit ID *user ID *feal user IDreal group ID*process ID*Argument Tokentoken IDargument IDargument value *string lengthtextReturn Tokentoken IDuser errorreturn value *Trailer Tokentoken IDmagic numberrecord sizePath Tokentoken IDsize

21、of rootcurrent rootsize of dircurrent dirsize of pathpath argument *Attribute Tokentoken IDvnode mode *vnode uid *vnode gid *vnode fsid *vnode nodeid *vnode rdev *每个BSM审计记录都揭示了一次审计事件audit event的发生。BSM审计机制中定义了假设干审计事件类型，而通常的入侵检测系统仅使用了其中局部事件类型，其他那么丢弃。不同的审计事件类型所生成的审计记录，都会包含不同的审计令牌组合。一般而言，Header、Process、

22、Return和Trailer令牌字段是固定字段。BSM审计记录以二进制的形式进行存储，其字段结构和数据结构大小都实现了预先定义，从而提供了在不同平台系统间进行移植的兼容性。2. Windows 2000Windows 2000以事件日志机制形式提供数据源，使用事件查看器进行查看和管理。可以根据事件的日志记录来识别和跟踪平安性事件、资源使用情况，以及系统和应用程序中发生的错误等。Windows 2000事件日志机制收集3种类型的系统事件： 应用程序日志、平安日志和系统日志，如图3-3所示。右击某个记录，在“属性中可以看到关于此记录的详细说明。记录本身又分为几种情况： “错误是指比较严重的问题，通

23、常是出现了数据丧失或功能丧失；“警告那么说明情况暂时不严重，但可能会在将来引起错误，比方磁盘空间太小等；“信息是记录运行成功的事件。图3-3 Windows 2000事件查看器 应用程序日志记载应用程序运行方面的错误。 平安日志记录与平安性相关的事件，例如与资源使用有关的事件，还包括合法和非法的登录企图。管理员可以指定将哪些事件记录在平安日志中。平安性事件根据审计策略被记录在平安性日志中。注意，Windows 2000的默认安装是不翻开任何平安日志审核的，需要在“本地平安设置“本地策略“审核策略中翻开相应的审核，如图3-4所示。 系统日志包括由Windows 2000系统组件记录的事件，系统事

24、件由Windows 2000自动配置，并记录在系统日志中。所有用户都能够查看应用程序日志和系统日志，但平安性日志只能由系统管理员访问。图3-4 审核策略的指定Windows 2000的事件日志由多个事件记录组成，如图3-3所示，事件查看器中的3种类型日志，其所包含的事件日志的格式统一如下所示。 类型： 事件查看器显示以下5种事件类型。 错误： 重要的问题，如数据丧失或功能丧失。 警告： 不是非常重要但将来可能出现的问题的事件。 信息： 描述应用程序、驱动程序或效劳的成功操作的事件。 成功 审核平安访问尝试成功。 失败 审核平安访问尝试失败。 日期： 事件产生的详细日期。 时间： 事件产生的详细

25、时间，精确到秒。 来源： 事件的生成者，有很多种类的来源。例如disk、Srv、SNMP、Windows File Protection等，这其中有来自操作系统内部程序的，也有来自应用程序的。 分类： 对事件的分类，如系统事件、特权使用、登录/注销、Firing Agent等。 事件： 事件ID。Windows 2000用不同的ID来说明惟一的事件。 用户： 用户名称。包括N/A、SYSTEM、Administrator等。 计算机： 计算机名称。可以是本地计算机，也可以是远程计算机。右击每条日志，选择属性，可以看见对此日志条目的具体描述。描述信息清晰地说明了此事件相关的情况，如图3-5所示。

26、利用事件查看器可以根据特定需求快速地查看和筛选事件日志。事件查看器还可以管理事件日志。通过查看和分析事件日志，可以检测出需要系统管理员加以重点考虑的事件。根据对这些事件日志的分析，可能需要解决相关的平安问题、系统问题，或者对资源进行重新分配等。另外，可能还需要就审核策略、监视设置值、平安性设置值、应用程序配置，以及系统配置问题等提供改进建议。图3-5 事件属性信息系统使用日志机制记录下主机上发生的事情，无论是对日常管理维护，还是对追踪入侵者的痕迹都非常关键。日志可分为操作系统日志和应用程序日志两局部。操作系统日志从不同的方面记录了系统中发生的事情，对于入侵检测而言具备重要的价值。系统日志的平安

27、性与操作系统的审计记录比较而言，要差一些，其原因如下： 产生系统日志的软件通常是在内核外运行的应用程序，因而这些软件容易受到恶意的修改或攻击。 系统日志通常是存储在普通的不受保护的文件目录里，容易受到恶意的篡改和删除等操作。3.1.2 系统日志尽管如此，系统日志仍然以其简单易读、容易处理等优势成为入侵检测的一个重要输入数据源。UNIX操作系统提供门类齐全的系统日志文件，并且能够通过通用日志效劳后台程序syslogd来提供标准化的日志效劳。UNIX操作系统的主要日志文件可以分成3类： 二进制连接时间日志文件，由多个程序生成，消息写入到/var/log/wtmp和/var/run/utmp，log

28、in等系统程序负责更新wtmp和utmp文件，使系统管理员能够跟踪谁在何时登录到系统。进程日志，由系统内核生成。当一个进程终止时，系统内核为每个进程在进程日志文件pacct或acct中写入一条记录。syslogd日志，由syslogd生成并维护。各种系统守护进程、内核、模块使用syslogd记录下自己发出的消息。另外还有许多UNIX程序创立日志，像 或ftp这样提供网络效劳的效劳器也保持详细的日志。常用的日志文件如表3-1所示。utmp、wtmp和lastlog日志文件是多数主要UNIX日志子系统的关键保持用户登录进入和退出的记录。数据交换、关机和重启也记录在wtmp文件中。所有的记录都包含时

29、间戳。这些文件的规模除了lastlog在拥有大量用户的繁忙系统中，将会增长得非常迅速。许多系统以天或周为单位把wtmp配置成循环使用。utmp、wtmp和lastlog是二进制文件，不能用普通文本查看器查看，只能通过系统命令来查看，主要包括用户名、终端、登录ip、CPU使用时间、正在运行的进程、登录时间和退出时间等内容。UNIX可以跟踪每个用户运行的每条命令。该功能称为进程日志对于跟踪系统问题十分有用。它还对跟踪特定入侵者或恶意用户的活动很有帮助，但它的缺点是不能记录命令的参数。进程日志文件的名称和位置在不同UNIX 版本中有所不同。与连接日志不同，进程日志默认时并不激活，它必须显式地启动。

30、lastcomm命令报告以前执行的命令。sa命令报告、清理并维护进程日志文件。 syslog可以记录系统事件，可以写消息到一个文件或设备，或是直接给用户发送一个信息。它能记录本地日志或通过网络记录另一个主机上的日志。syslog设备包括两个重要元素： /etc/syslogd守护程序和/etc/syslog.conf 配置文件。syslogd可以处理的消息类型在/usr/include/sys/syslog.h中进行定义。一个消息可以分成两个局部： “设备和“优先级。“设备标识发出消息的子系统，这是内核定义的所有的设备，如表3-2所示。下面是在内核头文件中定义的所有消息优先级。“优先级表示消息

31、的重要性，其范围从7最低到0最高。LOG_EMERG 0 /* system is unusable */ LOG_ALERT 1 /* action must be taken immediately */ LOG_CRIT 2 /* critical conditions */ LOG_ERR 3 /* error conditions */ LOG_WARNING 4 /* warning conditions */ LOG_NOTICE 5 /* normal but significant condition */ LOG_INFO 6 /* informational */ LOG

32、_DEBUG 7 /* debug-level messages */syslogd的配置文件syslog.conf定义了根据设备和优先级，消息应该发到哪个日志文件中。在图3-6中可以看到在Slackware 4.0中命令运行的结果。图3-6 /etc/syslog.conf内容# /etc/syslog.conf # For info about the format of this file, see man syslog.conf (the BSD man # page), and /usr/doc/sysklogd/README.linux.*.=info;*.=notice /usr

33、/adm/messages *.=debug /usr/adm/debug *.=err /usr/adm/syslog编辑完/etc/syslog.conf文件后，还必须执行以下命令： # killall-HUP syslogd这样所做的改变才会生效。这个命令发送HUP信号给syslogd守护进程，通知守护进程重新读取配置文件。通过syslogd生成的文件有着如下的统一格式： 时间戳： 主机名： 消息发送者： 消息描述。例如下面一行，名为Invent的主机收到来自passwd的消息，描述用户guest的口令被root改变了。Jun 12 110611 Invent passwd337: pa

34、ssword for progs changed by root日益复杂化的系统设计，使得单纯从内核底层级别的数据来源来分析判断当前整个系统活动的情况，变得越来越困难；同时，底层级别平安数据的规模也迅速膨胀，增加了分析的难度。此时，需要采用反映系统活动的较高层次信息，例如应用程序日志，作为分析检测的数据源。应用程序日志因为是用户级别的系统活动抽象信息，所以更加容易理解和处理。其次，网络化计算环境的普及，导致入侵攻击行为的目标越来越集中于提供网络效劳的各种特定应用程序。3.1.3 应用程序的日志信息同样，采用应用程序日志作为入侵检测的输入数据源，也存在着问题和风险。首要的问题是应用程序的日志信息

35、通常更易遭到恶意的攻击，包括篡改和删除等操作。其次，尽管很多操作系统提供给用程序级别的审计功能，但是很多特定的应用程序中并不包括这些审计特性，或者是审计功能并没有提供足够详细的信息。最后，特定应用程序同样存在是否值得信赖的问题。下面以Web效劳器为例来介绍应用程序产生的日志信息。Web效劳器通常支持两种标准格式的日志文件： 通用日志格式CLF。CLF日志包含的字段定义及内容如表3-3所示。典型的CLF日志记录举例如下： alice 10/Aug/2003:20:10:10 + 0800 GET /docs/HTTP /1.0 200 2049 扩展日志文件格式ELFF，除了CLF所定义的数据字

36、段外，还扩展包含了其他的附加信息。ELFF日志包含的附加信息如表3-4所示。其他类型应用程序的日志信息，例如Sendmail邮件效劳器、SQL Server数据库效劳器等，也是进行入侵检测时所能采用的重要输入数据源。具体进行入侵检测工作时，必须具体分析各自的特定日志格式。近年来流行的商用入侵检测系统大多采用了网络数据作为其主要的输入数据源。采用网络数据源具有以下优势： 通过网络被动监听的方式来获取网络数据包，作为入侵检测系统输入信息源的工作过程，对目标监控系统的运行性能几乎没有任何影响，并且通常无须改变原有网络的结构和工作方式。 嗅探器sniffer模块在工作时，可以采用对网络用户透明的模式，

37、因而降低了其本身遭到入侵者攻击的概率。3.1.4 基于网络数据的信息源基于网络数据的输入信息源，可以发现许多基于主机数据源所无法发现的攻击手段。网络数据包的标准化程度，相对主机数据源而言要高许多。因此，采用网络数据作为输入信息源，有助于入侵检测系统在不同目标系统平台环境下的移植工作。目前，大局部的网络环境都采用了标准的TCP/IP协议作为通信协议，因此大局部的入侵检测系统的数据分析的重点也放在了对TCP/IP协议数据包的截获和分析工作上。1 来自其他平安产品的数据源入侵检测只是整体平安防护模型中的一局部。在目标系统内部还可能存在许多其他独立运行的平安产品。无疑，来自平安产品的数据信息是进行更加

38、有效的准确的入侵检测所必须考虑的输入数据源。入侵检测系统采用其他平安产品的事件日志作为自己的输入数据源，可以凸现入侵检测在整个动态计算机平安模型中的关键角色和重要地位，显示出动态平安监控的能力在应付当前日益复杂的平安威胁模式中所发挥的不可或缺的作用。表3-5为Firewall-I防火墙日志记录的内容格式信息。3.1.5 其他的数据来源2 来自网络设备的数据源除了直接从网络截获数据包作为输入数据外，入侵检测系统还能够利用其他网络设备所提供的关于网络数据流量的各种信息数据。通过采用网络管理系统提供的信息，入侵检测系统可以更好地确定输出的检测结果是与系统平安方面相关的问题，还是与其他方面相关的问题，

39、从而有助于降低检测的误报概率。另外一个有用的网络设备数据来源，是路由器或者交换机提供的数据信息。这些日志文件中的数据信息大多是反映了当前网络活动情况的统计数据，利用这些输入数据源，入侵检测同样可以提高自身检测结果的准确性和精确性。3 带外out of band数据源所谓“带外数据源通常是指由人工方式提供的数据信息。带外数据源的例子还包括系统管理员对入侵检测系统所进行的各种管理控制操作。目前的入侵检测技术对如何合理有效地利用这些“带外数据源方面的研究还很不充分。除了上面所述的全部数据源之外，还有一种特殊的数据源类型，即来自文件系统的信息源。根本的原那么是根据入侵检测系统设计的检测目标来选择所需的

40、输入数据源。如果设计要求检测主机用户的异常活动，或者是特定应用程序的运行情况等，采用主机数据源是比较适宜的；如果需要发现通过网络协议发动的入侵攻击就要采用来自网络数据的输入信息。如果系统设计要求监控整个目标系统内的总体平安状况等，此时就需要同时采用来自主机和网络的数据源；在分布式的环境下，或许还要考虑到包括带外数据在内的其他类型数据源。另外需要考虑的一个问题是，在不影响目标系统运行性能和实现平安检测目标的前提下，最少需要多少信息，或者是采用最少数目的输入数据源。3.1.6 信息源的选择问题从数据来源看，入侵检测通常可以分为两类： 基于主机的入侵检测和基于网络的入侵检测。基于主机的入侵检测通常从

41、主机的审计记录和日志文件中获得所需的主要数据源，并辅之以主机上的其他信息，在此根底上完成检测攻击行为的任务。特别的，从主机入侵检测技术中还可以单独别离出基于应用的入侵检测类型，这是特别针对于某个特定任务的应用程序而设计的入侵检测技术，采用的输入数据源是应用程序的日志信息。3.2 分类方法 3.2.1 按照信息源的分类基于网络的入侵检测通过监听网络中的数据包来获得必要的数据来源，并通过协议分析、特征匹配、统计分析等手段发现当前发生的攻击行为。网络入侵检测技术也有一种特殊的情况，即所谓基于网络结点的入侵检测，其输入数据来源仅为检测模块所在主机的网络进出流量信息。结点入侵检测技术的目的在于减轻数据处

42、理的负担，将计算量分散在各个网络结点主机之上。基于主机的入侵检测能够较为准确地监测到发生在主机系统高层的复杂攻击行为。其中，许多发生在应用进程级别的攻击行为是无法依靠基于网络的入侵检测来完成的。同时，基于主机的入侵检测系统也有假设干显而易见的缺点： 首先，由于它严重依赖于特定的操作系统平台。其次，它在所保护主机上运行，这影响宿主机的运行性能。另外，它通常无法对网络环境下发生的大量攻击行为作出及时的反响。基于网络的入侵检测能够实时监控网络中的数据流量，并发现潜在的攻击行为和作出迅速的响应。另外，它的分析对象是网络协议，一般没有移植性的问题。同时，它的运行丝毫不影响主机或效劳器的自身运行，因为基于

43、网络的入侵检测系统通常采取独立主机和被动监听的工作模式。进入20世纪90年代后，出现了把基于主机和基于网络的入侵检测结合起来的早期尝试。从数据分析手段看，入侵检测通常可以分为滥用misuse入侵检测和异常anomaly入侵检测。滥用入侵检测的技术根底是分析各种类型的攻击手段，并找出可能的“攻击特征集合。滥用入侵检测利用这些特征集合或者是对应的规那么集合，对当前的数据来源进行各种处理后，再进行特征匹配或者规那么匹配工作，如果发现满足条件的匹配，那么指示发生了一次攻击行为。异常入侵检测的假设条件是对攻击行为的检测可以通过观察当前活动与系统历史正常活动情况之间的差异来实现。3.2.2 按照检测方法的

44、分类比较而言，滥用入侵检测比异常入侵检测具备更好确实定解释能力，即明确指示当前发生的攻击手段类型，因而在诸多商用系统中得到广泛应用。另一方面，滥用入侵检测具备较高的检测率和较低的虚警率，开发规那么库和特征集合相对于建立系统正常模型而言，也要更方便、更容易。滥用检测的主要缺点在于一般只能检测到的攻击模式。而异常检测的优点是可以检测到未知的入侵行为。从现有的实际商用系统来看，大多数都是基于滥用入侵检测技术。不过，在假设干种优秀的入侵检测系统中，也采用了不同形式的异常入侵检测技术和对应的检测模块。联合使用这两种检测技术势在必行。入侵检测的分类标准还可以列举其他，例如实时和非实时处理系统。非实时的检测

45、系统通常在事后收集的审计日志文件根底上，进行离线分析处理，并找出可能的攻击行为踪迹，目的是进行系统配置的修补工作，防范以后的攻击。实时处理系统实时监控，并在出现异常活动时及时做出反响。实时的概念是一个根据用户需求而定的变量，当系统分析和处理的速度处于用户需求范围内时，就可以称为实时入侵检测系统。3.2.3 另外的分类标准NFR公司的NID系统，根本上是一种基于规那么检测的网络入侵检测系统，同时具备一些异常入侵检测功能。NFR公司的入侵检测产品，其最大特点表达在独一无二的设计架构上，它设计了一套用于网络管理和平安检测的脚本语言N-Code，可以用来创立入侵检测的检测特征库。NFR公司联合其他公司

46、创立大量的N-Code语言编写的检测组件程序。大局部N-Code组件是公开的。3.3 具体的入侵检测系统 3.3.1 NFR公司的NID系统RealSecure入侵检测系统采用了分布式体系结构，系统包含以下组件。1. 工作组管理器工作组管理器是入侵检测系统的中央控制点，负责配置、管理Sensor以及Sensor所产生的事件数据的处理等工作。对Sensor的管理是通过平安加密通道进行的。工作组管理器又包含以下几个模块。1 控制台2 企业数据库3 事件收集器3.3.2 ISS公司的RealSecure2. 传感器传感器是具体负责执行入侵检测任务的部件，RealSecure传感器包括3种类型： 1

47、RealSecure Network Sensor 网络传感器2 RealSecure OS Sensor 操作系统传感器3 RealSecure Server Sensor 效劳器传感器RealSecure系统可以运行在Windows NT/2000或者Solaris系统平台之上，近来又扩展到Linux、IBM AIX和HP-UX等系统平台。CyberCop Monitor是混合型的入侵检测系统，通过单一控制台提供基于网络和主机的入侵检测功能。值得注意的是，CyberCop Monitor的设计从一开始就是定位于混合型的结点检测架构，即它由两个主要组件组成： 控制台和代理，其中，代理在目标结

48、点主机上执行基于网络或主机的检测任务。检测引擎的网络检测局部基于网络结点的检测技术，即仅仅分析该结点发送和接收的网络分组，而不关心其他不发往所在结点的网络分组。控制台采取远程的平安集中管理的模式，支持对多主机代理的安装和配置，并负责产生用户报告。3.3.3 NAI公司的CyberCop MonitorCyberCop Monitor的检测代理中还包含了异常检测组件，用来识别当前用户行为与历史活动的偏差情况。同时，CyberCop Monitor的网络检测代理还声称具备检测长时间跨度端口扫描过程的能力。除此之外，CyberCop Monitor的控制台局部支持对警报事件加以过滤分析，以减少告警数

49、量和简化报告的特性。Cisco公司的Secure IDS是传统的网络入侵检测系统，通常与硬件平台捆绑销售。Secure IDS系统分为3个根本组件： 传感器、控制台和入侵检测系统模块。其中，最后的IDSM组件主要是指嵌入到各种Cisco网络硬件中的检测模块。一般的IDS组件是控制台和传感器，其中传感器又可分为主机和网络两种类型，控制台负责聚集各个传感器的报告，并对各个传感器进行配置和管理工作等。Cisco的产品能方便有效地嵌入现有的路由器或者交换机平台中。另外，Cisco的IDS产品还能够很好地与HP公司的OpenView平安管理产品很好地结合，从而提供与SNMP协议兼容的管理特性和标准接口。

50、3.3.4 Cisco公司的Cisco Secure IDS4.1 审计数据的获取4.2 用于入侵检测的统计模型4.3 入侵检测的专家系统4.4 基于状态转移分析的入侵检测技术4.5 文件完整性检查4.6 系统配置分析技术第4章 基于主机的入侵检测技术审计数据的获取质量和数量，决定了主机入侵检测工作的有效程度。审计数据的获取工作主要需要考虑以下问题。 确定审计数据的来源和类型。 审计数据的预处理工作，其中包括记录标准格式的设计、过滤和映射操作等。 审计数据的获取方式，包括审计数据获取模块的结构设计和传输协议等。4.1 审计数据的获取根据目标系统的不同类型和主机入侵检测的不同要求，所需要收集的审

51、计数据的类型不尽相同。首先，从目标主机的类型来看，不同操作系统的审计机制设计存在差异，主机活动的审计范围和类型也有不同。其次，根据不同主机入侵检测系统的设计要求和需要，其具体选取的审计数据类型和来源也各有侧重。以IDES系统为例。IDES在Sun UNIX目标系统环境下所收集到的审计数据，主要分为4个典型类型。 文件访问: 包括对文件和目录进行的操作，如读取、写入、创立、删除和访问控制列表的修改。4.1.1 审计数据类型与来源 系统访问: 包括登录、退出、调用以及终止超级用户权限等。 资源消耗: 包括CPU、I/O和内存的使用情况。 进程创立命令的调用: 指示一个进程的创立。IDES必须从Su

52、n环境中的多个不同信息源来收集审计数据。这些信息源包括： Sun OS 4.0 标准审计系统、Sun C2 平安审计包和UNIX记账系统。标准Sun OS 4.0系统在日志文件中收集所有的审计信息。在所定义的时间间隔内，系统将关闭一个审计文件，并开始写入审计记录到一个新文件。原先所使用的文件将保持不变，直至被系统管理员手工删除或者被一个授权的自动进程删除。IDES所用的审计数据也来自Sun C2平安包。对于运行在Sun OS 4.0或者更新版本上的系统，目标系统可以配置成使用该平安包，使得每个目标机器可以在一个审计日志文件中记录所选择的系统调用。然而，仅从这两种审计系统得到的信息对于IDES的

53、入侵检测分析还是不够的。对于其他的主机入侵检测系统，例如STAT系统，它所使用的审计数据来源主要就是Sun OS C2平安审计包BSM，针对的是BSM审计记录。在确定审计数据的类型和来源后，主机入侵检测所要进行的主要工作就是审计数据的预处理工作，包括映射、过滤和格式转换等操作。预处理工作的必要性表达在以下几个方面。 有利于系统在不同目标平台系统之间的移植；便于后继的处理模块进行检测工作。 需要对审计记录流进行必要的映射和过滤等操作。首先，讨论标准审计记录格式的设计问题。4.1.2 审计数据的预处理以IDES系统为例，IDES审计记录格式是基于假设干设计考虑的。首先，它必须通用程度足够高，以便能

54、够表示目标监控系统的所有可能事件类型。其次，它应该是该机器中最有效的数据表示形式，以将处理开销降低到最小程度。第三，记录格式应该按标准化设计，使IDES能够从多个不同类型的机器处接收输入记录，而无须进行任何的数据转换。理想的情况下，审计记录只进行一次格式化。IDES审计记录用动作类型来进行分类。共有约30种不同的动作类型。每个IDES审计记录包括一个动作类型和假设干字段，用于对该动作进行参数化取值。以下是为IDES入侵检测分析而定义的动作类型。 IA_VOID： 此为没有操作。IA_ACCESS： 指定的文件被引用但是没有读写。IA_WRITE： 文件被翻开以备写入或者已经写入。IA_READ

55、： 文件被翻开以备读取或者已经读取。IA_DELETE： 所指定的文件已被删除。IA_CREATE： 所指定的文件被创立。IA_RMDIR： 所指定的目录被删除。IA_XHMOD： 所指定文件的访问模式已经改变。IA_EXEC： 所指定的命令已经被调用。IA_XHOWN： 所指定对象文件的所有权已经改变。IA_LINK： 已建立起到指定文件的一个连接。IA_CHDIR： 工作目录已经改变。IA_RENAME： 文件被重命名。IA_MKDIR： 目录被创立。IA_LOGIN： 指定用户登录进入系统。IA_BAD_LOGIN： 指定用户的登录尝试失败。IA_SU： 调用超级用户权限。IA_BAD_

56、SU： 调用超级用户权限的尝试。IA_RESOURCE： 资源内存、CPU时间、I/O被消耗。IA_LOGOUT： 所指定的用户退出系统。IA_UNCAT： 其他所有未指定的动作。IA_RSH： 远程外壳调用。IA_BAD_RSH： 被拒绝的远程外壳调用。IA_PASSWD： 口令更改。IA_RMOUNT： 远程文件系统平安请求网络文件效劳器。IA_BAD_RMOUNT： 拒绝文件系统安装。IA_PASSWD_AUTH： 口令确认。IA_BAD_PASSWD_AUTH： 拒绝口令确认。IA_DISCON： Agen断开与Arpool的连接 (伪记录)。以下为表示IDES审计记录的C语言结构。s

57、truct ides_audit_header unsigned long tseq;char hostname32;char remotehost32;char ttyname16;char cmd18;char _pad12;char jobname16;enum ides_audit_action action;time_t time;/* this section is unix specific */long syscall;unsigned long event;long errno;long rval;long pid;/* unix: these fields are 0 in

58、 most (but not all) cases */struct resource_info resource;enum ides_audit_type act_type;long subjtype;char unameIDES_UNAME_LEN;char aunameIDES_UNAME_LEN;char ounameIDES_UNAME_LEN;long arglen;ides_audit_block结构定义如下所示： typedef struct long ab_size;aud_type ab_type;unsigned long rseq;time_t rectime;ides

59、_audit_header ah;union ab_args char maxbufAUP_USER;ides_path_desc _ipd2;#define ab_path0 _ipd0.path#define ab_path1 _ipd1.path arg_un; ides_audit_block;IDES的功能取决于其所接收到的信息。因此，每个审计记录中应该尽可能地提供更多的信息。IDES系统认为并非所有的目标系统都能够提供IDES所期望接收的所有信息，因此在审计记录格式里，能够忽略假设干字段以便容纳那些不能提供这些信息的目标主机。在IDES审计记录中所有能够被填入相关信息的字段都应该被

60、填写。如果对某些字段没有相关数据，那么这些字段应被设定为某些明显的默认值。并不是所有的可检测事件都需要报告给IDES。STAT系统的标准审计记录格式由3个局部定义组成： Subject, Action, Object每个局部都进一步包括更详细的字段定义，如图4-1所示。在总共239种BSM审计事件中，预处理器模块仅仅处理其中的28种审计事件，并将其映射到10种STAT操作类型上。从BSM审计记录到STAT审计记录的映射关系如图4-2所示。表4-1所示为10种标准的STAT操作类型以及对应的BSM审计事件类型。其次，STAT系统还可根据BSM审计记录中的Return令牌字段值，来决定是否执行过滤