入侵检测技术的发展研究——从ips到ims(1)

《入侵检测技术的发展研究——从ips到ims(1)》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果入侵检测技术的发展研究——从IPS到IMS(1)摘要随着计算机网络的飞速发展，网络安全越来越受到人们的重视。本文从入侵检测技术的发展入手，研究和分析了IPS及IMS技术，最后提出了网络安全技术的发展方向――网络安全管理。关键词IDS；IPS；IMS；网络安全；管理1引言随着计算机网络的飞速发展，网络安全风险系数不断提高，曾经作为最主要安全防范手段的防火墙，已经不能满足人们对网络安全的需求。作为对防火墙有益的补充，IDS能够帮助网络系统快速发现网络攻击的发

2、生，扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。IDS被认为是防火墙之后的第二道安全闸门，它能在不影响网络性能的情况下对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护。IDS作为网络安全架构中的重要一环，其重要地位有目共睹。随着技术的不断完善和更新，IDS正呈现出新的发展态势，IPS和IMS就是在IDS的基础上发展起来的新技术。2网络入侵检测技术的发展网络入侵检测技术发展到现在大致经历了三个阶段：课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价

3、值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果第一阶段：入侵检测系统，IDS能够帮助网络系统快速发现网络攻击的发生，扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。它能在不影响网络性能的情况下对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护。但是IDS只能被动地检测攻击，而不能主动地把变化莫测的威胁阻止在网络之外。[2]第二阶段：入侵防御系统，相对与IDS比较成熟的技术，IPS还处于发展阶段，IPS综合了防火墙、IDS、漏洞扫描与评估等安全技术，可以主动的、积极的防范、阻止系统入侵，它部署在网络的进出口处，当它检测

4、到攻击企图后，它会自动地将攻击包丢掉或采取措施将攻击源阻断，这样攻击包将无法到达目标，从而可以从根本上避免攻击。第三阶段：入侵管理系统，IMS技术实际上包含了IDS、IPS的功能，并通过一个统一的平台进行统一管理，从系统的层次来解决入侵行为。IPS研究与分析IPS是针对IDS的不足而提出的，因此从概念上就优于IDS。IPS相对与IDS的进步具体体现在：在IDS阻断功能的基础上增加了必要的防御功能，以减轻检测系统的压力；增加了更多的管理功能，如处理大量信息和可疑事件，确认攻击行为，组织防御措施等；在IDS监测的功能上增加了主动响应的功能，一旦发现有攻击行为，立即响应，主动切断连接；IPS

5、以串联的方式取代IDS的并联方式接入网络中，通过直接嵌入到网络流量中提供主动防护，预先对入侵活动和攻击性网络流量进行拦截。IPS关键技术研究IPS通常由探测器和管理器组成。探测器包括流量分析器、检测引擎、响应模块、流量调整器等主要部件，如图1所示[3]：课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理论意义的课题。课题具有先进性，便于研究生提出新见解，特别是博士生必须有创新性的成果图1探测器组成由于IPS采用串连工作方式，流量分析器需要完成三个基本的功能：截获网络数据包并

6、处理异常情况。异常数据包不一定是恶意攻击，但通过合适的方式处理掉，就可以为检测引擎省去一些不必要的处理工作。例如，流量分析器丢弃校验和出错的数据包，以后检测引擎就不必要处理这样的坏包。剔除基于数据包异常的规避攻击。例如，分析器可以根据它对目标系统的了解，进行数据包的分片重组，还可以处理协议分析或校正异常等，从而识别规避攻击。执行类似防火墙的访问控制，根据端口号IP地址阻断非法数据流。检测引擎是IPS中最有价值的部分，一般都基于异常检测模型和滥用检测模型，识别不同属性的攻击。IPS存在的最大隐患是有可能引发误操作，这种“主动性”误操作会阻塞合法的网络事件，造成数据丢失，最终影响到商务操作

7、和客户信任度。为避免发生这种情况，IPS中采用了多种检测方法，最大限度地正确判断已知和未知攻击。有些IPS检测引擎的模块则已细化到针对缓冲区溢出、DDoS/DoS、网络蠕虫的检测。响应模块需要根据不同的攻击类型制定不同的响应策略，如丢弃数据包、中止会话、修改防火墙规则、报警、日志等。课题份量和难易程度要恰当，博士生能在二年内作出结果，硕士生能在一年内作出结果，特别是对实验条件等要有恰当的估计。从本学科出发，应着重选对国民经济具有一定实用价值和理