入侵检测技术的探讨.docVIP

入侵检测技术的探讨 　　摘要：随着计算机网络应用的增多，网络安全问题也日益严峻。本文介绍了入侵检测系统的概念，并对入侵检测技术进行了简要的分析，探讨了一些现阶段主要的入侵检测技术，最后展望了入侵检测技术的发展趋势及主要研究方向。 　　关键词：网络安全；入侵检测；入侵检测技术；入侵检测系统 　　中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2012) 01-0000-02 　　Intrusion Detection Technology Study 　　Gu Xiaoning 　　(Jining Teachers College Computer Science Department,Wulanchabu012000,China) 　　Abstract:With the application of the computer net-work increasing, the problem about net-work security is more and more serious day by day. The concept of the incursion detecting system was introduced in this thesis,and simply analyzed incursion detecting technology while the mostly used detecting technology nowadays was discussed.In the last,the development trend and main research direct of the technology was viewed. 　　Keywords:Network security;Intrusion detection;Detection technology; 　　Intrusion detection system 　　一、引言 　　伴随着计算机网络技术和互联网的飞速发展，各种网络攻击和入侵事件时有发生，所造成的破坏性和损失日益严重。网络安全威胁愈加被人们所重视。 　　传统的信息安全方法都是静态的安全防御技术，面对现今复杂多变的入侵手段难以应付。而入侵检测是一种动态安全的核心技术，它通过对入侵行为的发觉，收集信息进行分析，并做出实时的响应，从中发现是否有违反安全策略的行为和被攻击击的迹象，在不影响网络性能的情况下对网络进行监测，提供对系统的实时保护[1]。 　　二、入侵检测系统 　　入侵检测系统是传统操作系统加固和防火墙隔离技术的合理补充，它的功能是监控并分析系统及用户活动，检查系统的配置和漏洞，发现已知的攻击行为以及分析异常行为，对系统日志进行管理并识别非正常活动，对发现的入侵行为进行告警和响应等。它能够保护网络安全策略，可以提高系统管理员的安全管理能力和信息安全基础结构的完整性。理想的入侵检测系统应该管理方便、配置简单，扩展性强、保护范围广。应该具备动态自适应性，应能够根据网络的规模、系统的构造和安全需求的改变而改变。 　　（一）入侵检测系统的工作模式 　　入侵检测的工作过程一般分四个方面： 　　（1）对信息进行采集。（2）分析该信息，试图寻找入侵活动的特征。（3）对检测到的行为自动作出响应。（4）记录并处理结果。 　　（二）入侵检测系统的分类[2] 　　1.根据目标系统的类型来看，可以分为两类 　　（1）基于主机（Host-Based）的入侵检测系统。通常，基于主机的入侵检测系统可监测系统事件和操作系统下的安全记录以及系统记录。它通过监视并分析主机系统的日志、端口调用和安全审计记录等来检测入侵，保护主机的系统安全。 　　（2）基于网络（Network-Based）的入侵检测系统。该类型的入侵检测系统主要作用是针对保护网络。该系统由混杂模式下的网络适配器组成，用来识别网络中的原始数据包，实时监视并分析通过网络的所有通信业务。 　　2.根据入侵检测系统分析的数据来源 　　入侵检测系统分析的数据可以是主机系统日志、网络数据包、应用程序的日志、防火墙报警日志以其他入侵检测系统的报警信息等 　　3.根据入侵检测方法可以分为两类 　　（1）异常入侵检测检测。该类型的系统基于正常状态数据特征判断主体系统是否入侵。 　　（2）误用入侵检测。该检测系统收集非正常数据特征通过匹配来确定系统中是否有入侵和攻击。 　　4.根据系统各个模块运行的分布方式 　　（1）集中式入侵检测系统；（2）分布式入侵检测系统。 　　（三）入侵检测的系统的数据源 　　1.基于主机的数据源 　　（1）系统运行状态信息；（2）系统记帐信