网络入侵检测技术综述

电脑编程技巧与维护

网络入侵检测技术综述

谭兵１。吴宗文２。黄伟

（１．重庆大学软件学院，重庆４０００４４；２．成都军区７８０９８部队装备部，崇州６１１２３７）

摘要：入侵检测工作应在计算机网络系统中的关键节点上。介绍入侵检测的基本概念，阐述两类基本的检测技术，详细地论述了入侵检测过程及检测技术面临的挑战与发展趋势。

关键词：入侵检测；异常检测：误用检测

ＮｅｔｗｏｒｋＩｎｔｒｔｍｉｏｎＤｅｔｅｃｔｉｏｎＴｅｃｈｎｏｌｏｇｙ

ＴＡＮⅨｎ矿，ＷＵ历耐．ＨＵＡＮＧＷｅｉ

（１．ＴｈｅＳｃｈｏｏｌｏｆＳｏｆｔｗａｒｅＥｎｇｉｎｅｅｒｉｎｇ，ＣｈｏｎｇｑｉｎｇＵｎｉｖｅｒｓｉｔｙ，Ｃｈｏｎｇｑｉｎｇ４０００４４；

２．Ｃｈｅｎｇｄｕｍｉｌｉｔａｒｙｒｅｇｉｏｎ７８０９８ａｒｍｙｌｏｇｉｓｔｉｃｓｄｅｐａｒｔｍｅｎｔｓ，Ｃｈｏｎｇｚｈｏｕ６１１２３７）

Ａｂｓｔｒａｃｔ：Ｔｈｅｗｏｒｋｉｎｔｈｅｃｏｍｐｕｔｅｒｎｅｔｗｏｒｋｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍ，ａｋｅｙｎｏｄｅ．Ｔｈｉｓｐａｐｅｒｉｎｔｒｏｄｕｃｅｓｔｈｅｂａｓｉｃｃｏｎｃｅｐｔｓｏｆｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ，ｄｅｓｃｒｉｂｅｄｔｗｏｔｙｐｅｓｏｆｂａｓｉｃｄｅｔｅｃｔｉｏｎｔｅｃｈｎｏｌｏｇｙ，ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎａｒｅｄｉｓｃｕｓｓｅｄｉｎｄｅｔａｉｌ

ｔｈｅｐｒｏｃｅｓｓａｎｄｔｅｓｔｔｅｃｈｎｏｌｏｇｙ

ｃｈａｌｌｅｎｇｅｓ

ａｎｄｔｒｅｎｄｓ。

Ｋｅｙｗｏｒｄｓ：Ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ；Ａｎｏｍａｌｙｄｅｔｅｃｔｉｏｎ；Ｍｉｓｕｓｅｄｅｔｅｃｔｉｏｎ

入侵检测（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ），顾名思义，即是对入侵行为的发觉。它在计算机网络或计算机系统中的若干关键点收集信息，通过对这些信息的分析来发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用于检测计算机网络中违反安全策略行为的技术。违反安全策略的行为有：入侵一非法用户的违规行为；滥用—用户的违规行为。

对于入侵检测的使用，人们总会问这样一个问题。如果已经安装了防火墙，给操作系统打了补丁，并为安全设置了密码，为什么还要检测入侵呢？答案非常简单：因为入侵会不断发生。举个例子，就像人们有时候会忘记锁上窗户，人们有时也会忘记正确的升级防火墙规则设置。

即使在最高级别的保护措施下，计算机系统也不是百分之百的安全。实际上，大多数计算机安全专家认为，既定的用户要求属性，如网络连接，还未能达到成为百分之百安全系统的要求。因此，必须发展入侵检测技术及系统以便及时发现并对计算机攻击行为做出反应。

ｌ入侵检测发展

起初，系统管理员们坐在控制台前监控用户的活动来进行人侵检测。他们通过观察，例如在本地登录的闲置用户或非正常激活的闲置打印机。尽管上述方法不是足够有效的，但这一早期入侵检测模式是临时的且不可升级。

入侵检测的下一步涉及到审计日志。审计日志即系统管理员所记录的非正常和恶意行为。

在上世纪７０年代末和８０年代初，管理员将审计日志打印在扇形折纸上，平均每周末都能累积四到五英尺高。很明显，要在这一堆纸里进行搜索是相当耗费时间的。由于这类

本文收稿日期：２００９—１１－１２

—１１０～信息量过于丰富且只能手动分析，所以管理员主要用审计日志作为判据，以便在发生特别安全事件后，确定引起这一事件的原阂。基本上不可能靠它发现正在进行的攻击。

随着存储器价格的降低，审计日志转移到网上且开发出了分析相关数据的程序。然而，分析过程慢且需频繁而密集计算，因此，入侵检测程序往往是在系统用户登录量少的夜间进行。所以，大多数的入侵行为还是在发生后才被检测到。

９０年代早期，研究人员开发出了实时入侵检测系统，即对审计数据进行实时评估。由于实现了实时反应，且在一些情况下，可以预测攻击，因此，这就使攻击和试图攻击发生时即可被检测到成为可能。

近年来，很多入侵检测方面的努力都集中在一些开发的产品上，这些产品将被用户有效配置在广大网络中。在计算机环境不断持续变化和无数新攻击技术不断产生的情况下，要使安全方面也不断升级是个非常困难任务［１ｌ。

２分类

目前，入侵检测技术可基本分为３类：异常检测、误用检测和混合检测。异常检测是假定所有入侵行为都是与正常行为不同的；误用检测是根据已知攻击的知识建立攻击特征库，通过用户或系统行为与特征库中的各种攻击模式的比较确定是否有入侵发生；混合检测模型是对异常检测模型和误用检测模犁的综合。文中详细介绍异常检测和误用检测。２．１异常检测模型

异常检测利用用户和应用软件的预期行为。将对正常行为的背离作为问题进行解释。异常检测的一个基本假设就是攻击行为异于正常行为。例如，对特定用户的日常行为（打字和数量）进行非常准确的模拟，假定某用户习惯上午ｌＯ点左右登录，看邮件，运行数据库管理，中午到下午ｉ点休息，有极少数文件的存取出现错误等等。如果系统发现相同的用

万方数据

ＣＯＭＰＵｌｌＮＧＳＥＣＵＲＩＴＹＴＥＣＨＮＩＱＵＥＳ计算机安全技术

户在下午３点登录，利用编译器和调试工具，并且出现很多文件存取错误，那么它将标记这一行为为可疑。

异常检测系统的主要优点是它们可检测到以前未知的攻击。通过定义‘正常’，它们可以确定任何侵害，不管是存在局部威胁还是伞部。在真实的系统中，检测先前未知攻击的优点是要求具备高的正伪识别速率的。异常检测系统在高度动态环境中的使用是非常困难的，因为并非所有的入侵都表现为异常。

２．２误用检测模型

误用检测系统从本质上可定义为‘出了什么问题’。它们包括攻击行为描述（或签名）和将它们与审查数据流进行比较，寻找已知攻击的证据。例如，如果某人在Ｕｎｉｘ系统密码文件上创建了一个符号链接并执行一个与访问符号链接的优先应用程序，就会产生上述攻击。在这个例子中，攻击利用缺少文件访问核查发起的。误用检测系统的主要优点是误报少，准确率高。

误用检测最主要的缺点就是它们只能检测那些有明确签名的已知攻击。当发现新的攻击后，开发人员必须模拟并把他们加到签名数据库中。

３入侵检测过程

入侵检测系统ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍｓ）依照一定的安全策略，对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或者攻击结果。假如把防火墙比作一幢大楼的『Ｊ锁。那么ＩＤＳ就是这幢大楼里的监视系统。

入侵检测的目的似乎非常简单：就是检测入侵行为。其实不然，这是一项｝ｆ４难重重的任务，事实Ｉ二，入侵检测系统并不检测入侵行为，他们只用于识别入侵的证据，不管入侵行为正在发生或已经发生。

这些证据有时涉及到所谓的“攻击现象”。如果不存在攻击现象，或攻击现象信息量不足，又或攻击现象包含的信息可信度不高，则系统就不能检测到入侵行为。

３．１信息收集

信息收集是入侵榆测的关键环节，收集的内容包括系统、网络、数据及用户括动的状态和行为。要达到精确的入侵检测，必须获得可靠且完整的目标系统活动数据。可靠数据收集需要在计算机网络系统中的若干不同关键点（不同网段和不同主机）进行。人侵检测在很大程度上依赖于收集信息的可靠性和准确性，信息一般来自４个方面：

（１）系统和网络日志文件。大部分操作日志提供了不同的审查方式以便不同用户的操作登录。这些登录日志可能被限制在与安全相关事件上（例如失败的登录尝试），或者也可能提供每个过程所调用系统命令的完整报告。类似的，路由器和防火墙为网络活动提供事件日志。这些日志可能只包括简单的信息。例如刚络连接的通或断，或网络中出现的每个数据包的完整记录。（２）目录和文件中的不期望的改变。网络环境中的文件系统包含很多软件和数据文件，包含重要信息的文件和私有数据文件经常是入侵者修改或破坏的目标。目录和文件中的不期单的改变（包括修改、创建和删除），特别是那些正常情况下限制访问的，很可能就是入侵发生的指示和信号。（３）程序执行的不期望行为。网络系统的执行程序一般包括操作系统、网络服务、用户启动的应用程序。执行的程序由一个或多个进程来实现，每个进程执行在不同权限的环境中，这种环境控制着进程可访问的系统资源、程序和数据文件等。如果一个程序在执行过程中出现了不期望的行为，如：越权访问、非法读写等，表明该程序可能被修改或破坏。（４）物理形式的入侵信息。包含未授权的对网络硬件的连接和对物理资源的未授权访问田。

３．２信号分析

对收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过３种技术手段进行分析：模式匹配。统计分析和完整性分析嘲。

３．３入侵检测响应

一个入侵系统的响应是指在枪测出现问题时它的输出或活动。一个响应可以呈现出多种形式；最通常的形式是产生一个描述被检测入侵行为的警告。也存在很多入侵性的响应，如分页系统管理员，发出警报声，或设置反攻击机制。

反攻击可能包括重新分配一个路由器来阻止攻击者的地址或甚至直接攻击来犯者。很明显，侵略性的响应是非常危险的，因为它们发动反击的对象可能是无辜的。比如，黑客可以利用确定的地址来攻击一个网络，但这个地址实际上产生于其他地方。如果入侵检测系统检测到攻击并重新分配路由器以阻止这一地址的网路，它就可能有效执行拒绝服务性攻击以阻止模拟地址攻击。

４挑战

尽管在过去几年里入侵检测发展迅速，但是许多重要问题依然存在。首先，检测系统必须更有效，以便能在出现很少错误的前提下检测出更大范围内的攻击。另外，入侵榆测必须跟卜．现代网络不断增长的幅度、速度以及编译器。最后，我们需要能够支持对整个网络攻击进行识别的分析技术。

仅仅检测出各种各样攻击还是不够的，入侵检测系统必须紧跟由高速网络和高性能网点产生的输入事件流。Ｇｂ以太网作为公共，快速的镜像联结变得越来越流行。网络节点也变得越来越快，处理更多的数据，产生更多的核查日志。这将我们带回到那个历史问题前，即系统管理员面临堆积如山的数据。

对不断增长的系统效率，我们面临的挑战是设计实现出一个能在出现最少错误前提下可以检测到将近１００％攻击的系统，但当前技术离这个目标还很远。

５发展趋势

入侵检测作为一种积极主动地安全防范技术，提供了对攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵ｌ川；但目前存在诸多问题：误／漏报率高、没有主动防御能力、缺乏准确定位和处理机制、性能普遍不足。随着网络系统结构的复杂化和大型化，网络入侵手段将变得多种多样，系统的弱点或漏洞会增加更多不确定因素，因此入侵检测技术也必须不断更新和发展。

５．１分析技术的改进

入侵检测误报和漏报的解决最终依靠分析技术的改进。目前入侵检测分析方法主要有：统计分析、模式匹配、数据重组、协议分析、行为分析等。

统计分析是统计网络中相关事件发生的次数，达到判别

一１１１—

万方数据

电脑编程技巧与维护

攻击的目的。模式匹配利用对攻击的特征字符进行匹配完成对攻击的检测。数据重组是对网络连接的数据流进行重组再加以分析．而不仅仅分析单个数据包。

５．２内容恢复和网络审计功能的引入

前面已经提到，入侵检测的最高境界是行为分析。但行为分析前还不是很成熟，因此，个别优秀的入侵检测产品引入了内容恢复和网络审计功能。

内容恢复即在协议分析的基础上，对网络中发生的应为加以完整的重组和记录，网络中发生的任何行为都逃不过它的监视。网络审计即对网络中所有的连接事件进行记录。入侵检测的接人方式决定入侵检测系统中的网络审计不仅类似防火墙可以记录ｐ０４络进出信息，还可以记录网络内部连接状况，此功能对内容恢复无法恢复的加密连接尤其有用。

内容恢复和网络审计让管理员看到网络的真正运行状况，其实就是调动管理员参与行为分析过程。此功能不仅能使管理员看到孤立的攻击事件的报警，还可以看到整个攻击过程，了解攻击确实发生与否，杳看攻击着的操作过程，了解攻击造成的危害。不ｆＥｉ发现已知攻击，同时发现未知攻击。不便发现外部攻击者的攻击，也发现内部用户的恶意行为。毕竟管理员是最了解其网络的，管理员通过此功能的使用，很好地达到了行为分析的目的。但使用此功能的同时需注意对用户隐私的保护。５３集成网络分析和管理功能

入侵检测不但对网络攻击是一个检测。同时，侵检测可以收到网络中的所有数据，对网络的故障分析和健康管理也可起到重大作用。当管理员发现某台主机有问题时，也希望能马卜对其进行管理。入侵检测也不应只采用被动分析方法，最好能和主动分析结合。所以，入侵检测产品集成网管功能，扫描器（Ｓｃａｎｎｅｒ），嗅探器（Ｓｎｉｆｆｅｒ）等功能是以后发展的方向。５．４安全性和易用性的提高

入侵检测是个安全产品，自身安全极为重要。因此，目前的入侵检测产品大多采用硬件结构，黑洞式接入，免除自身安全问题。同时，对易用性的要求也日益增强，例如：全中文的图形界面，自动的数据库维护，多样的报表输出。这些都是优秀入侵产品的特性和以后继续发展细化的趋势。５．５防火墙联动功能

入侵检测发现攻击，自动发送给防火墙，防火墙加载动态规则拦截入侵，称为防火墙联动功能。目前此功能还没有到完全实用的阶段，主要是一种概念。随便使用会导致很多问题。目前主要的应用对象是自动传播的攻击，如Ｎｉｍｄａ等，联动只在这种场合有一定的作用。无限制地使用联动。如未经充分测试，对防火墙的稳定性和网络应用会造成负面影响。但随着入侵检测产品检测准确度的提高，联动功能日益趋向实用化。

这些改进都体现着统一威胁管理的概念，使新的入侵检测技术实现用户需求的整合和技术的整合，对单薄的网络安全机制将会是一次深刻的改变［ｓｌ。

参考文献

【１】ＲｉｃｈａｒｄＡ．，Ｋｅｍｍｅｒｅｒ，ＧｉｏｖａｎｎｉＶ．ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ：ＡＢｒｉｅｆＨｉｓｔｏｒｙａｎｄＯｖｅｒｖｉｅｗ【Ｊ】．ＳｅｃｕｒｉｔｙａｎｄＰｒｉｖａｃｙ，２００２（３５）：２７—３０．

【２】谢根亮．入侵检测系统综述【Ｊ】．网络安全技术与应用，２００８：３９√ｍ，

【３】戚文静，刘学主编．网络安全原理与应用【Ｍ】．北京：中国水利水电出版社，２００８．

【４１张威，潘小凤。防火墙与入侵检测技术探讨【Ｊ】．南京工业职业技术学院学报，２００８，ｆ８）：２５—２７．

【５】丛慧源．浅析入侵检测系统存在问题及发展趋势叨．网络通讯及安全，２００９，（５）：７９６—７９７．

作者简介

谭兵，男（１９７８一），在读硕士研究生，研究方向：计算机网络信息安全。

吴宗文，男（１９６７一），部长，研究方向：网络信息化管理。

（上接第１０９页）

病毒数据库，当具有相同特征代码的进程创建时就会被阻断其执行过程，这样就可实现未染毒计算机的自动免疫了。

３结语

目前学校网络实验室管理工作人员面临着计算机软件更新工作量大、病毒泛滥、保护系统经常被破坏等问题。如果能找到一种方法，能实现主动阻止网络病毒爆发又能有效地控制学生上机的行为，使学生在｜：课期间不能运行一些被禁止的软件或其他有损计算机的操作，诸如有破坏性的程序、聊天程序、无关网站、游戏、电影播放软件等等，同时又能实现软件的自动增量更新、自动清除垃圾数据、自动更改计算机ＩＰ地址和计算机名等功能，将是解决这些问题的一个很好的办法。本文通过对网络蠕虫传播机制的研究，找到一种可以对网络蠕虫进行自动诱捕来实现从被动防御转向主动防御的过程。

一１１２一

参考文献

【１】１戴伏英．网络和计算机游戏成瘾的预防叨．中国学校卫生，２００５，２６（７）：４５—８５．

【２】吴欣．学校机房违规软件监控系统【Ｊ】．教育信息化，２００５，２７（６）：１２２－１２４．

【３１刘丹，等．计算机机房管理中若干问题的探讨叨．河南机电高等专学院学报，２００５，１３（２）：６５—６７．

【４】王少东．计算机专业机房管理的技术手段【Ｊ】．南京工程学院学报，２００４，２（１）：６７—７２．

作者简介

蔡碉，女（１９７２一），讲师，本科学历，研究方向：从事计算机教学与研究、实验室建设与管理。

万方数据