淺析計算機網絡的入侵檢測技術及其發展方向

時間：2024-09-30 22:49:19 好文我要投稿

相關推薦

　　隨著網絡的技術的不斷發展，互聯網的開放性也得到了長足的發展，這為網絡信息的共享和交互使用提供了很大方便，但同時也對信息的安全性提出了嚴峻的挑戰。近年來，隨著網絡的普及與應用領域的逐漸擴展，網絡安全與信息安全問題日漸突出。在網絡安全的實踐中，建立一個完全安全的系統是不現實的。因此，保證計算機系統、網絡系統以及整個信息基礎設施的安全已經成為刻不容緩的重要課題。

　　入侵檢測技術（IDS）是近年來出現的新型網絡安全技術，它是通過從計算機網絡系統中的若干關鍵點收集信息并對其進行分析，從中發現違反安全策略的行為和遭到攻擊的跡象，并做出自動的響應。入侵檢測通過迅速地檢測入侵，在可能造成系統損壞或數據丟失之前，識別并驅除入侵者，使系統迅速恢復正常工作，并且阻止入侵者進一步的行動，它的應用擴展了系統管理員的安全管理能力，幫助計算機系統抵御攻擊。因而，研究入侵檢測方法和技術，根據這些方法和技術建立相應的入侵檢測系統對保證網絡安全是非常必要的。

　　一、入侵檢測系統的分類

　　1．按照檢測類型劃分

　�。�1）異常檢測類型：檢測與可接受行為之間的偏差，如果可以定義每項可接受的行為就應該是入侵。首先總結正常操作應該具備的特征（用戶輪廓），當用戶活動與正常行為有重大偏離時即被認為是入侵。這種檢測模型漏報率低，誤報率高。因為不需要對每種入侵行為進行定義，所以能有效檢測未知的入侵。

　　（2）誤用檢測類型：檢測與已知的不可接受行為之間的匹配程度，如果可以定義所有的不可接受行為，那么每種能夠與之匹配的行為都會引起警告。收集非正常操作的行為特征，建立相關的特征庫，當監測的用戶或系統行為與庫中的記錄相匹配時，系統就認為這種行為是入侵。這種檢測模型誤報率、漏報率高。對于已知的攻擊，它可以詳細、準確地報告出攻擊類型，但是對未知攻擊卻效果有限，而且特征庫必須不斷更新。

　　2．按照檢測對象劃分

　�。�1）基于主機：系統分析的數據是計算機操作系統的時間日志、應用程序的時間日志、系統調用、端口調用和安全審計記錄。主機入侵檢測系統保護的一般是所在的主機系統。是代理來實現的，代理是運行在目標主機上的小的可執行程序，它們與命令控制臺通信。

　�。�2）基于網絡：系統分析的數據是網絡上的數據包。網絡型入侵檢測系統擔負著保護整個網段的任務，基于網絡的入侵檢測系統由遍及網絡的傳感器組成，傳感器是一臺將以太網置于混雜模式的計算機，用于嗅探網絡上的數據包�？萍颊撐摹�

　�。�3）混合型：基于網絡和基于主機的入侵檢測系統都有不足之處，會造成防御體系的不全面，綜合了基于網絡和基于主機的混合型入侵檢測系統，既可以發現網絡中的攻擊信息，也可以從系統日志中發現異常情況。

　　3．按照工作方式分類

　�。�1）離線檢測：這是一種非實時工作的系統，在時間發生后分析審計時間，從中檢查入侵事件。這類系統的成本低，可以分析大量事件，調查長期的情況，有利于其它方法提供及時的保護。而且，很多侵入在完成之后都將審計事件刪除，使其無法審計。

　　（2）在線檢測：對網絡數據包或主機的審計事件進行實時分析，可以快速反映，保護系統的安全；但在系統規模比較大時，難以保證實時性。

　　二、入侵檢測系統存在的主要問題

　　1．誤報

　　誤報是指被入侵檢測系統測出但其實是正常及合法使用受保護網絡和計算機的警報。假警報不但令人討厭，并且降低入侵檢測系統的效率。攻擊者可以而且往往是利用包結構偽造無威脅的，“正�！奔倬瘓�，以誘使收受人把入侵檢測系統關掉。

　　沒有一個入侵檢測無敵于誤報，應用系統總會發生錯誤，原因是：缺乏共享信息的標準機制和集中協調的機制，不同的網絡及主機有小同的安全問題，不同的入侵檢測系統有各自的功能；缺乏揣摩數據在一段時間內行為的能力；缺乏有效跟蹤分析等。

　　2．精巧及有組織的攻擊

　　攻擊可以來自四面八方，特別是一群人組織策劃且攻擊者技術高超的攻擊，攻擊者花費很多時間準備，并發動全球性攻擊，要找出這樣復雜的攻擊是一件難事。

　　3。入侵檢測系統的互動性能不高

　　在大型網絡中，網絡的不同部分可能使用了多種入侵檢測系統，甚至還有防火墻、漏洞掃描等其他類別的安全設備，這些入侵檢測系統之間以及IDS和其他安全組件之間如何交換信息，共同協作來發現攻擊、做出相應并阻止攻擊是關系整個系統安全性的重要因素。

　　三、入侵檢測系統發展的主要趨勢

　　目前除了完善常規的、傳統的技術（模式識別和完整性檢測）外，入侵檢測系統應重點加強與統計分析相關技術的研究。許多學者在研究新的檢測辦法，如采用自動代理的主動防御辦法，將免疫學原理應用到入侵檢測的方法等。其主要發展方向可以概括為以下幾個方面：

　　1。入侵檢測系統的標準化

　　就目前而言，入侵檢測系統還缺乏相應的標準，不同的入侵檢測系統之間的數據交換和信息通信幾乎不可能。目前，DARPA和IETF的入侵檢測工作組試圖對入侵檢測系統進行標準化工作，分別制定了CIDF和IDMEF標準，從體系結構、通信機制、消息格式等各方面對入侵檢測系統規范化，但進展非常緩慢，尚沒有被廣泛接受的標準出臺。因而，具有標準化接口的入侵檢測系統將是下一代入侵檢測系統的特征。

　　2。分布式入侵檢測

　　分布式入侵檢測的第一層含義是針對分布式網絡攻擊的檢測方法；第二層含義即使用分布式的方法來實現分布式的攻擊，其中的關鍵技術為信息的協同處理與入侵攻擊的全局信息的提取。

　　3。應用層入侵檢測

　　許多入侵的語義只有在應用層才能理解，而目前的入侵檢測系統僅能檢測Web之類的通用協議，不能處理如Lotus Notes數據庫系統等其他的應用系統。許多基于客戶/服務器結構、中間件技術及對象技術的大型應用，需要應用層的入侵檢測保護�？萍颊撐�。

　　4．智能入侵檢測

　　目前，入侵方法越來越多樣化與綜合化，盡管已經有智能體系、神經網絡與遺傳算法應用在入侵檢測領域，但這些只是一些嘗試性的研究工作，需要對智能化的入侵檢測系統進一步研究，以解決其自學習與自適應能力。

　　5．建立入侵檢測系統評價體系

　　設計通用的入侵檢測測試、評估辦法和平臺，實現對多種入侵檢測系統的檢測，已成為當前入侵檢測系統的另一重要研究與發展領域。評價入侵檢測系統可從檢測范圍、系統資源占用、自身的可靠性等方面進行，評價指標有：能否保證自身的安全、運行與維護系統的開銷、報警準確率、負載能力以及可支持的網絡類型、支持的入侵特征數、是否支持IP碎片重組、是否支持TCP流重組等。

　　6．綜合性檢測系統

　　單一的技術很難構筑一道強有力的安全防線，這就需要和其他安全技術共同組成更完備的安全的保障系統，如結合防火墻、PKIX、安全電子交易SET等新的網絡安全與電子商務技術，提供完整的網絡安全保障體系�？萍颊撐�。

　　四、結語

　　入侵檢測作為一種積極主動地安全防護技術，提供了對內部攻擊、外部攻擊和誤操作的實時保護，在網絡系統受到危害之前攔截和響應入侵。但是目前，入侵檢測技術主要停留在異常檢測和誤用檢測上，這兩種方法都還不完善，存在著這樣那樣的缺陷。網絡入侵技術不斷發展，入侵行為表現出不確定性、復雜性、多樣性等特點；網絡應用的發展帶來了新的問題，如高速網絡其流量大，基于網絡的檢測系統如何適應這種情況？基于主機審計數據這怎樣做到既減小數據量，又能有效地檢測到入侵行為？入侵檢測技術己經成為當前網絡技術領域內的一個研究熱點，在未來的發展過程中，將越來越多地與其他科學和技術進行交融匯合，如數據融合、人工智能以及網絡管理等等。隨著網絡信息技術的發展，入侵檢測技術也在不斷地發展，已經出現了很多新的方向，如寬帶高速網絡的實時入侵檢測技術、大規模分布式入侵檢測技術等。

　　參考文獻：

　　[1]戴英俠，連一峰，王航。系統安全與入侵檢測[M]。北京：清華大學出版社。2002。

　　[2]孫知信，徐紅霞。模糊技術在入侵檢測系統中的應用研究綜述[J]。南京郵電大學學報。2006，（2）。

　　[3]裴慶祺。模糊入侵檢測技術研究[M]。西安：西安電子科技大學。2004。

　　[4]唐正軍。入侵檢測技術導輪[M]。北京：機械工業出版社，2004。

【淺析計算機網絡的入侵檢測技術及其發展方向】相關文章：

檢測年度工作03-16