基于主机内核的混合型入侵防御系统的研究-机械设计及理论专业论文.docxVIP

I I 摘 要 “防火墙+入侵检测系统”是目前网络信息安全技术的重要解决方案。防火墙 仅仅能够作为网络边界的屏障，而不能代替整个安全系统的作用；基于入侵特征库 的入侵检测系统，仅仅能够被动地检测已知的安全入侵方式，而对未知的入侵方式 则无能为力。后来出现的入侵检测系统与防火墙联动的安全系统，也存在没有统一 的标准接口和维护难度大的缺点，同时其被动性和滞后性仍然没有得到解决。一种 主动的、积极的入侵防御系统已成为近几年信息安全领域研究的热点。入侵防御系 统分为基于主机和基于网络两种，它们都有各自的优势，能发现对方无法检测到的 一些入侵行为。如果将两者集成到一起，组成混合型入侵防御系统，将提供一个更 为全面的、主动的安全措施。 本文详细分析了防火墙和入侵检测系统的优缺点，提出了工作在个人主机操作 系统内核上的混合型入侵防御系统的思想，研究了系统的体系结构，以及数据包捕 获技术、协议分析技术、进程保护技术和文件保护技术等关键技术，而且设计了一 个主要从网络、主机的重要进程和重要文件的三个重点层次实施全面保护的混合型 入侵防御系统，并对系统做了相关的实验。 由于本文研究的系统拥有网络监控和主机监控两种功能，所以系统同时拥有防 御来自外部网络、内部网络和针对本机键盘的攻击的能力。此外，系统还具有主动 防御和实时阻断的特点。 本文研究的系统部署在目标主机上，通过内核模式驱动程序，工作在操作系统 核心态，并在系统中引入了强身份访问控制技术，对关键资源进行主动防御，可以 更好地保障用户个人的信息安全。系统也可以部署到网络服务器和数据库服务器 上，保证应用服务的资源安全。本文的研究成果，对网络信息安全具有一定的理论 及实用价值。 关键词：信息安全 混合型入侵防御系统 内核模式驱动程序 II II Abstract “Firewall and IDS (Intrusion Detection System)” is one of important solutions to network security currently. The firewall that only provides the security of the network boundary cant replace the function of the whole security system; IDS based on the signs of attacks can only find very specific and acute signs of attacks, but to unknown intrusion its ability is a dint. To security system linked intrusion detection system with firewall that appeared later, there isn’t a standard interface and become more difficult to maintain them. At the same time their passivity and lagging are not solved yet. More and more people begin to study a new active system-- IPS (Intrusion Prevention System) in recent years. IPS is divided into the host-based IPS and net-based IPS. One of them has some advantages that the other hasn’t. One can find some intrusion behaviors that the other can’t. The hybrid system who integrates them together will provide a more secure network. This paper has analyzed the advantage and disadvantage of the firewall and intrusion detection system in detail. Then it presents a hybrid IPS based on the kernel of host operation system. It has studied the architecture and some key technique such as blocking network pac