嵌入式系统中入侵检测的设计与实现.docxVIP

PAGE 1 PAGE 1 嵌入式系统中入侵检测的设计与实现  针对电力应用系统对嵌入式操作系统的实时性和安全性要求,以.C/OS-II内核为基础,提出了一种入侵检测模块的设计及实现。  随着通信技术和电子技术的不断发展，嵌入式系统在电力系统中得到越来越广泛的应用，电力嵌入式系统连接Internet将成为一大发展趋势。但是Internet是一个不确定的网络，存在着很多安全隐患，这是一个突出的、急待解决的问题。因此要求嵌入式操作系统设计时，除了考虑实时性，还必需考虑其安全性设计。  目前，比较流行的嵌入式操作系统有QNX、VxWorks、WidowCE、μC/OS-II等。其中，μC/OS-II内核以稳定、简短、源代码公开等特性得到了人们的青睐。但μC/OS-II只是一个微内核，并没有安全方面的设计。为了更加适合应用在电力系统中，这部分功能必需增加。  本文将针对电力系统的需求，基于一个改写的μC/OS-II说明该嵌入式操作系统中入侵检测模块的设计与实现。  1、针对电力系统的安全威逼分析  嵌入式系统在电力系统中主要应用于数据采集和远程监控，所以它面临的最大威逼是数据(指令也认为是一种数据)的保密性和完整性问题。通过现有的保密技术和网络安全措施可以基本上保证数据的安全，但并不能肯定保证。入侵检测模块可以认为是整个系统的最终一道防线，在系统遭受威逼或被攻击后，可以分析攻击行为，有效保护系统免受同样的攻击。针对电力系统，可以归纳出三个主要的安全威逼，这些威逼不能通过常规的数据保密技术和网络安全措施得到肯定有效的解决。  (1)内部人员的违规行为。通常，数据保密技术和账户安全管理手段，只能防止外来人员的攻击，而对于内部人员则束手无策。若内部人员滥用权限也会使系统面临很大的威逼。小则造成设备损坏，大则危害公共安全和经济生产。  (2)非授权用户登录操作。一个电力监控系统不仅可以远程采集电力终端设备的数据，同时也可以进行设备故障诊断、实时掌握等操作。非授权用户通过盗取密码等非法手段登录嵌入式系统并进行非法的设备掌握是监控系统面临的最大安全威逼。  (3)对系统资源的非法访问。这里所谓的系统资源主要包括存储器中的数据、系统的运行参数以及用于掌握电力设备的硬件。当攻击者绕过正常的操作顺序获取数据或是硬件的掌握权时，系统的全部安全措施形同虚设。  通过上述分析可知，为了进一步加强系统的安全性，必需使系统具有个人行为监控、事件重建、抵挡网络攻击和故障分析能力。这些都将在入侵检测模块中实现。  2、基于主机的入侵检测模块设计  2.1检测技术  考虑到嵌入式系统资源的有限性，入侵检测模块将采用滥用检测技术。所谓滥用检测是直接对入侵行为进行特征化描述，建立某种或某类入侵的特征行为模式库。假如发觉当前行为与某个入侵模式全都，则表示发生了这种入侵。采用这种技术将降低推断入侵检测程序的复杂度，并且大大削减审计开销，系统只记录一些必要的日志信息，节约了有限的存储器空间。  2.2框架设计  入侵检测模块一般分为四部分：  (1)事件产生器。从环境中抽取感兴趣的信息，并把信息转化为标准格式供系统其他部件使用。  (2)事件数据库。事件数据库保存事件日志。  (3)事件分析器。分析输入的格式化后的事件，进行真正意义上的入侵检测，并产生新的警告。  (4)响应单元。响应单元根据警告进行相应的保护，反击入侵行为。  依据电力应用的特性和嵌入式系统的特点，对上述入侵检测框架进行修改如下：  (1)事件发生器产生原始日志数据，为了避免对进程实时性造成太大的影响，先不做格式化处理。  (2)事件数据库将接收的原始日志数据进行格式化处理，并进行相应的分类保存。  (3)事件分析器与响应单元合并，以削减对系统进程的占用。  整个入侵检测框架如图1所示。  图1入侵检测框架图   针对电力应用系统对嵌入式操作系统的实时性和安全性要求,以.C/OS-II内核为基础,提出了一种入侵检测模块的设计及实现。  随着通信技术和电子技术的不断发展，嵌入式系统在电力系统中得到越来越广泛的应用，电力嵌入式系统连接Internet将成为一大发展趋势。但是Internet是一个不确定的网络，存在着很多安全隐患，这是一个突出的、急待解决的问题。因此要求嵌入式操作系统设计时，除了考虑实时性，还必需考虑其安全性设计。  目前，比较流行的嵌入式操作系统有QNX、VxWorks、WidowCE、μC/OS-II等。其中，μC/OS-II内核以稳定、简短、源代码公