虚拟健壮主机入侵检测的实验研究.PDFVIP

第２７卷第４期　　　 计算机应用与软件 Ｖｏｌ２７Ｎｏ．４ ２０１０年４月　　 ＣｏｍｐｕｔｅｒＡｐｐｌｉｃａｔｉｏｎｓａｎｄＳｏｆｔｗａｒｅ Ａｐｒ．２０１０ 虚拟健壮主机入侵检测的实验研究 张艳艳　彭新光 （太原理工大学计算机与软件学院　山西太原０３００２４） 摘　要　　基于时序、频率等特性，系统调用序列已成为基于主机的入侵检测系统重要的数据源之一，然而，基于主机的入侵检测系 统相当脆弱。提出利用虚拟机来健壮主机入侵检测的数据采集，并通过实验从虚拟机外部采集了系统调用序列号，从理论和试验的 角度证明了该方法的正确性；同时还对虚拟环境占用ＣＰＵ时间的百分比进行了分析，证明了该方法的可行性。 关键词　　系统调用　数据采集　实验研究　虚拟机　入侵检测 ＯＮＥＸＰＥＲＩＭＥＮＴＯＦＳＴＲＥＮＧＴＨＥＮＩＮＧＨＯＳＴＢＡＳＥＤＩＮＴＲＵＳＩＯＮ ＤＥＴＥＣＴＩＯＮＷＩＴＨＶＩＲＴＵＡＬＭＡＣＨＩＮＥ ＺｈａｎｇＹａｎｙａｎ　ＰｅｎｇＸｉｎｇｕａｎｇ （ＣｏｌｌｅｇｅｏｆＣｏｍｐｕｔｅｒａｎｄＳｏｆｔｗａｒｅ，ＴａｉｙｕａｎＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙ，Ｔａｉｙｕａｎ０３００２４，Ｓｈａｎｘｉ，Ｃｈｉｎａ） Ａｂｓｔｒａｃｔ　　Ｓｅｑｕｅｎｃｅｏｆｓｙｓｔｅｍｃａｌｌｓｈａｓａｌｒｅａｄｙｂｅｃｏｍｅａｎｉｍｐｏｒｔａｎｔｄａｔａｒｅｓｏｕｒｃｅｏｆｈｏｓｔｂａｓｅｄｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｓｙｓｔｅｍｂａｓｅｄｏｎｉｔｓｓｅ ｑｕｅｎｔｉａｌａｎｄｆｒｅｑｕｅｎｃｙｃｈａｒａｃｔｅｒｉｓｔｉｃｓ．Ｈｏｗｅｖｅｒ，ｔｈｅｈｏｓｔｂａｓｅｄｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｏｒｓａｒｅｐａｒｔｉｃｕｌａｒｌｙｖｕｌｎｅｒａｂｌｅ．Ｔｈｉｓａｒｔｉｃｌｅｐｒｏｐｏｓｅｓａｗａｙｏｆ ｓｔｒｅｎｇｔｈｅｎｉｎｇｈｏｓｔｂａｓｅｄｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｄａｔａｃｏｌｌｅｃｔｉｏｎｗｉｔｈｖｉｒｔｕａｌｍａｃｈｉｎｅ，ｉｔｃｏｌｌｅｃｔｓｓｅｑｕｅｎｃｅｎｕｍｂｅｒｓｏｆｔｈｅｓｙｓｔｅｍｃａｌｌｓｏｕｔｓｉｄｅｔｈｅ ｖｉｒｔｕａｌｍａｃｈｉｎｅｖｉａｅｘｐｅｒｉｍｅｎｔａｎｄｐｒｏｖｅｓｔｈｅｃｏｒｒｅｃｔｎｅｓｓｏｆｔｈｅｍｅｔｈｏｄｉｎｖｉｅｗｏｆｔｈｅｏｒｙａｎｄｅｘｐｅｒｉｍｅｎｔ．Ｆｕｒｔｈｅｒｍｏｒｅ，ｉｎｔｈｅａｒｔｉｃｌｅｔｈｅｐｅｒ ｃｅｎｔａｇｅｏｆＣＰＵｔｉｍｅｔｈｅｖｉｒｔｕａｌｅｎｖｉｒｏｎｍｅｎｔｏｃｃｕｐｉｅｄｉｓａｎａｌｙｓｅｄ，ｗｈｉｃｈｐｒｏｖｅｓｔｈｅｆｅａｓｉｂｉｌｉｔｙｏｆｔｈｅｍｅｔｈｏｄ． Ｋｅｙｗｏｒｄｓ　　Ｓｙｓｔｅｍｃａｌｌｓ　Ｄａｔａｃｏｌｌｅｃｔｉｏｎ　Ｅｘｐｅｒｉｍｅｎｔｒｅｓｅａｒｃｈ　Ｖｉｒｔｕａｌｍａｃｈｉｎｅ　Ｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎ 由于特权进程具有超级用户权限，攻击者利用它们的漏洞则可以以 ０　引　言 超级用户身份访问系统资源，这些漏洞将为系统的安全性带来致命 的打击。因此对特权进程实施监控是防范攻击的重要手段。 随着人们对计算机网络的依赖性不断增强，网络安全越来 越受到重视。入侵已经成为网络中一个越来越严重且日益普遍 １　虚拟化技术 的问题。由于入侵检测能有效弥补传统防御技术的缺陷，近年 来得到了学术界和业界的广泛关注。随着入侵检测系统研究和 虚拟机监控器是一个将主机的硬件平台分割给一个或若干 应用范围的日益广泛，造成了对其本身攻击方法的日益成熟。 个虚拟机的软件抽象层，虚拟化技术附加了硬件支持，增强了当 而应用虚拟机的概念，可以保护入侵检测系统的安全。 今的软件虚拟化方法带来的虚拟分割的逻辑独立性。Ｘｅ