基于系统调用的文件系统入侵检测的设计与实现

《基于系统调用的文件系统入侵检测的设计与实现》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、华中科技大学硕士学位论文基于系统调用的文件系统入侵检测的设计与实现姓名：张航申请学位级别：硕士专业：计算机系统结构指导教师：冯丹20090525分类号学号M200771872学校代码10487密级硕士学位论文基于系统调用的文件系统入侵检测的设计与实现学位申请人：张航学科专业：计算机系统结构指导教师：冯丹教授答辩日期：2009年5月25日AThesisSubmittedinPartialFulfillmentoftheRequirementsfortheDegreeofMasterofEngineeringDesignandImplementati

2、onofFileSystemIDSBasedonSystemCallCandidate:ZhangHangMajor:ComputerArchitectureSupervisor:Prof.DanFengHuazhongUniversityofScienceandTechnologyWuhan,Hubei430074,P.R.ChinaMay,2009独创性声明本人声明所呈交的学位论文是我个人在导师指导下进行的研究工作及取得的研究成果。尽我所知，除文中已经标明引用的内容外，本论文不包含任何其他个人或集体已经发表或撰写过的研究成果。对本文的研究做出

3、贡献的个人和集体，均已在文中以明确方式标明。本人完全意识到本声明的法律结果由本人承担。学位论文作者签名：日期：年月日学位论文版权使用授权书本学位论文作者完全了解学校有关保留、使用学位论文的规定，即：学校有权保留并向国家有关部门或机构送交论文的复印件和电子版，允许论文被查阅和借阅。本人授权华中科技大学可以将本学位论文的全部或部分内容编入有关数据库进行检索，可以采用影印、缩印或扫描等复制手段保存和汇编本学位论文。保密□，在年解密后适用本授权书。本论文属于不保密□。（请在以上方框内打“√”）学位论文作者签名：指导教师签名：日期：年月日日期：年月日华中科

4、技大学硕士学位论文∗摘要随着信息技术的飞速发展，各种病毒、木马和黑客的攻击越来越频繁。文件系统作为存储系统的核心，其安全性至关重要。系统调用作为内核和用户间的功能接口，大部分对文件系统的操作都要通过它来执行，其执行序列可以反映出文件系统的操作情况。鉴于当前主流的入侵检测工具均没有为文件系统提供细粒度的入侵检测，从而给出了基于系统调用的文件系统入侵检测原型系统的设计与实现。入侵检测原型系统分为入侵数据收集和入侵数据分析两部分。入侵数据收集部分设计实现了一个系统调用日志系统来收集系统调用信息。选用了对文件系统威胁最大的15个系统调用作为监控对象，采用

5、在内核中建立系统调用钩子函数的方法实现对系统调用的截获，使用Netlink套接字实现内核和用户空间的数据交换。入侵数据分析部分基于一个开源的入侵检测框架实现了日志信息读取器、解码器和分析器。日志读取器针对系统调用信息的存储格式独立设计实现。日志解码器使用入侵检测框架的解码功能接口，创建了多层次的解码器结构。日志分析器采用时序序列匹配算法作为入侵检测算法，并实现了邮件告警的入侵响应措施。收集了当前流行的入侵脚本，对原型系统和Linux主机入侵检测系统LIDS进行对比测试，验证了原形系统的有效性。通过对比分析，证实了原型系统为文件系统提供了一个细粒度

6、的入侵检测。根据典型的应用案例，设计了负载测试，证实了入侵检测原型系统所产生的额外负载在可接受的范围内。关键词：入侵检测，系统调用，日志分析∗本文的研究工作受国家重点基础研究发展计划(973计划)资助项目(2004CB318201)，国家自然科学基金(60703046,60873028)资助。I华中科技大学硕士学位论文Abstract∗Withtherapiddevelopmentofinformationtechnology,variousviruses,Trojansandhackerattacksaregettingmoreandmoref

7、requent.Asthecoreofthestoragesystem,filesystem’ssafetyisveryimportant.Asthefunctionalinterfaceforkernelanduserspace,systemcallsareinvokedbymostofthefilesystem’soperations.Thusthesequenceofexecutionscanreflecttheoperationalconditionsofthefilesystem.Theanalysisofthemainstreamin

8、trusiondetectiontoolsshowsthatthefine-grainedintrusiondetectionforfi