关于入侵检测技术论文

家文分享 2017-02-06 19:12:53

　　检测技术是一个能够对网络或计算机系统的活动进行实时监测的技术，下面是学习啦小编整理的关于入侵检测技术论文，希望你能从中得到感悟!

　　关于入侵检测技术论文篇一

　　入侵检测技术探讨

　　摘要：随着计算机网络应用的增多，网络安全问题也日益严峻。本文介绍了入侵检测系统的概念，并对入侵检测技术进行了简要的分析，探讨了一些现阶段主要的入侵检测技术，最后展望了入侵检测技术的发展趋势及主要研究方向。

　　关键词：网络安全;入侵检测;入侵检测技术;入侵检测系统

　　中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2012) 01-0000-02

　　Intrusion Detection Technology Study

　　Gu Xiaoning

　　(Jining Teachers College Computer Science Department,Wulanchabu012000,China)

　　Abstract:With the application of the computer net-work increasing, the problem about net-work security is more and more serious day by day. The concept of the incursion detecting system was introduced in this thesis,and simply analyzed incursion detecting technology while the mostly used detecting technology nowadays was discussed.In the last,the development trend and main research direct of the technology was viewed.

　　Keywords:Network security;Intrusion detection;Detection technology;

　　Intrusion detection system

　　一、引言

　　伴随着计算机网络技术和互联网的飞速发展，各种网络攻击和入侵事件时有发生，所造成的破坏性和损失日益严重。网络安全威胁愈加被人们所重视。

　　传统的信息安全方法都是静态的安全防御技术，面对现今复杂多变的入侵手段难以应付。而入侵检测是一种动态安全的核心技术，它通过对入侵行为的发觉，收集信息进行分析，并做出实时的响应，从中发现是否有违反安全策略的行为和被攻击击的迹象，在不影响网络性能的情况下对网络进行监测，提供对系统的实时保护[1]。

　　二、入侵检测系统

　　入侵检测系统是传统操作系统加固和防火墙隔离技术的合理补充，它的功能是监控并分析系统及用户活动，检查系统的配置和漏洞，发现已知的攻击行为以及分析异常行为，对系统日志进行管理并识别非正常活动，对发现的入侵行为进行告警和响应等。它能够保护网络安全策略，可以提高系统管理员的安全管理能力和信息安全基础结构的完整性。理想的入侵检测系统应该管理方便、配置简单，扩展性强、保护范围广。应该具备动态自适应性，应能够根据网络的规模、系统的构造和安全需求的改变而改变。

　　(一)入侵检测系统的工作模式

　　入侵检测的工作过程一般分四个方面：

　　(1)对信息进行采集。(2)分析该信息，试图寻找入侵活动的特征。(3)对检测到的行为自动作出响应。(4)记录并处理结果。

　　(二)入侵检测系统的分类[2]

　　1.根据目标系统的类型来看，可以分为两类

　　(1)基于主机(Host-Based)的入侵检测系统。通常，基于主机的入侵检测系统可监测系统事件和操作系统下的安全记录以及系统记录。它通过监视并分析主机系统的日志、端口调用和安全审计记录等来检测入侵，保护主机的系统安全。

　　(2)基于网络(Network-Based)的入侵检测系统。该类型的入侵检测系统主要作用是针对保护网络。该系统由混杂模式下的网络适配器组成，用来识别网络中的原始数据包，实时监视并分析通过网络的所有通信业务。

　　2.根据入侵检测系统分析的数据来源

　　入侵检测系统分析的数据可以是主机系统日志、网络数据包、应用程序的日志、防火墙报警日志以其他入侵检测系统的报警信息等

　　3.根据入侵检测方法可以分为两类

　　(1)异常入侵检测检测。该类型的系统基于正常状态数据特征判断主体系统是否入侵。

　　(2)误用入侵检测。该检测系统收集非正常数据特征通过匹配来确定系统中是否有入侵和攻击。

　　4.根据系统各个模块运行的分布方式

　　(1)集中式入侵检测系统;(2)分布式入侵检测系统。

　　(三)入侵检测的系统的数据源

　　1.基于主机的数据源

　　(1)系统运行状态信息;(2)系统记帐信息;(3)系统日志。

　　2.基于网络的数据源

　　(1)SNMP信息;(2)网络通信包

　　3.应用程序日志文件

　　4.其他入侵检测系统的报警信息

　　三、入侵检测技术

　　入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术。它在系统内部和各种网络资源中主动采集信息，从中发现内部、外部攻击与合法用户是否滥用特权。入侵检测技术可以根据用户的历史行为或的当前操作，完成对入侵的检测，根据系统入侵的痕迹，来恢复和处理数据[1]。

　　(一)入侵检测的过程。入侵检测的过程分为三步：信息收集、信息分析以及告警与响应[5]。

　　1.信息收集。想要入侵检测就必须有信息收集，具体内容包括系统、网络、数据以及用户活动的状态和行为等。信息收集要尽可能的扩大范围，从一个信息源来的信息可能看不出什么，但是从多个信息源收集到的不同信息能够最大限度的识别可疑行为或入侵。

　　2.信息分析。入侵检测系统收集到的信息量非常大，而且大部分都是正常的信息。想要从庞大的信息中找出少部分的异常入侵信息，就要通过信息分析。所以说信息分析是入侵检测过程的核心环节。

　　3.告警与响应。入侵检测发现系统发生变更后，产生警告并采取响应措施，告诉管理员有入侵发生或者直接处理。

　　(二)入侵分析的模型。入侵分析是入侵检测的核心。在这里，我们把入侵分析的处理过程分为三个阶段：构建分析器、对现场数据进行分析、反馈和提炼[2]。

　　1.构建分析器

　　分析器可以执行预处理、分类和后处理的核心功能

　　(1)可以收集并生成事件信息;(2)分析预处理信息;(3)建立一个行为分析引擎。

　　2.对现场数据进行分析

　　(1)输入事件记录;(2)进行预处理;(3)比较事件记录和知识库;(4)产生响应。

　　3.反馈和提炼

　　(三)入侵检测的分析方法

　　1.误用检测。误用入侵检测的技术基础是分析各种类型的攻击手段，建立相关的特征库。对当前的数据源来源进行各种处理后，再进行特征匹配或者规则匹配工作，如果发现满足条件的匹配，则认为发生了一次攻击行为[4]。

　　2.异常检测。异常入侵检测通过观察当前活动与系统历史正常活动情况之间的差异来实现。首先建立一个关于系统正常活动的状态模型并不断进行更新，当用户活动与正常行为有重大偏离时，则指示发现了非法攻击行为[9]。

　　(四)告警与响应

　　在完成系统安全状况的分析并确定出系统问题以后，就应该让人们知道这些问题的存在，这个阶段就叫做响应期。响应又可以分为两种模式：被动响应和主动响应。

　　被动响应就是系统只简单的记录和报告所检测出来的问题，而主动响应则是系统主动阻断攻击防止入侵[5]。

　　四、入侵检测技术的发展趋势

　　前面介绍了入侵检测系统和入侵检测技术的基本概念和功能，并对典型入侵检测技术进行了分析。通过这些介绍和分析，可以得出结论：入侵检测技术是网络安全解决方案的一个重要组成部分。虽然入侵检测的研究已经取得了相当的进展，但是由于现阶段信息技术不断进步，入侵检测技术已不能满足需要。今后的入侵检测技术主要朝以下几个方向发展：

　　(一)宽带高速实时的检测技术。网络带宽迅速增长，宽带接入手段种类繁多，如何实时检测高速网络下的入侵行为成为必须解决的问题。因此对入侵检测的处理能力提出更高的要求。

　　(二)大规模分布式的检测技术。统一集中式入侵检测方式存在明显的缺陷。首先，对于大规模的分布式攻击会造成大量的信息处理遗漏，导致漏报率的增高。其次，由于网络传输的延时问题，收集到的数据信息不能实时的反映当前的网络状态[7]。为了解决这些问题，大部分系统采用了分布式的结构。

　　(三)智能化入侵检测。使用智能化的方法与手段来进行入侵检测。所谓的智能化方法，现阶段常用的有神经网络、遗传算法、模糊技术、免疫原理等方法，这些方法常用于入侵特征的辨认与泛化。从某种程度上讲，入侵检测技术一直领先与安全技术的发展，两者相互推动、互相促进。随着网络的日益普及和各种黑客工具的蔓延，入侵的复杂化趋势也越来越明显，向着分布式、隐蔽化方向发展。因此，为了适应新的发展形式，智能化入侵检测具有更广泛的应用前景。

　　(四)多种分析方法并存。对于入侵检测系统，分析方法是系统的核心。现在的入侵检测系统有很多入侵检测分析方法，但大部分分析方法只适应某些种类的入侵。所以在目前情况下，多种分析方法综合运用是一个值得研究的问题。

　　五、结论

　　入侵检测作为一种主动性地安全防护技术，最大的优势是提供了对内部攻击、外部攻击和误操作的实时保护，预先对入侵活动进行拦截和响应。在网络信息安全立体纵深、多重防御的发展趋势下，未来的入侵检测系统可以软硬件结合，配合其他网络管理软件，提供更加及时、准确的检测手段。

　　参考文献：

　　[[1]Rebecca Gurley Bace.入侵检测[M].北京:人民邮电出版社,2001

　　[2]蒋建春,冯登国.网络入侵检测原理与技术[M].北京:国防工业出版社,2002

　　[3]Paul E.Proctor,邓琦皓等译.入侵检测实用手册[M].北京:中国电力出版社,2002

　　[4]韩东海,王超,李群.入侵检测系统实例剖析[M].北京:清华大学出版社,2002

　　[5]戴英侠,连一峰等.系统安全与入侵检测[M].北京:清华大学出版,2002

　　[6]薛静锋,宁宇鹏,阎慧.IDS入侵检测技术[M].北京:机械工业出版社,2004

　　[7]宋劲松.网络入侵检测的分析、发现和报告攻击[M].北京:国防工业出版社,2004

　　[8]唐正军,李建华.入侵检测技术[M].北京:清华大学出版社,2004