虚拟化和入侵检测在网络安全中的应用

《虚拟化和入侵检测在网络安全中的应用》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、1.引言　　随着网络的飞速发展，网络已经成为计算机应用中不可或缺的一部分。但是，网络遭受攻击的风险和机会也相应的快速增多。如何建立合理的网络安全体系已经成为网络领域的热点问题。目前，要让开发人员保证开发软件不存在任何的漏洞是不可能的，同时要求网络安全人员实时检测网络海量信息流并发现攻击信息并作出有效地措施也有一定难度。本文为了解决以上问题，针对性的提出了使用虚拟化技术进行软件的隔离，论述了使用隔离技术的利弊，并针对网络安全提出了入侵检测的解决方案，论述了几种入侵检测体系的利弊，阐述了一种针对大流量

2、网络入侵检测的方案。最后结合虚拟化技术，阐述了入侵检测基于虚拟化终端部署的方案。　　2.虚拟化技术　　2.1虚拟化技术论述　　一个程序存在漏洞就会影响其他程序乃至整个服务器的运行，因此在不能保证程序本身安全性的时候，我们就需要减弱或者切断程序和其他程序乃至服务器的直接联系，将程序作为独立的个体。这样即使程序崩溃也不会影响其余程序的运行。而MiU给出的一份关于如今的操作系统和应用软件的研究报告显示：软件之中不可能没有漏洞。　　因此我们将应用很广的虚拟机技术引入到服务器的安全维护中。虚拟机为应用程序提

3、供了一个与操作系统相同但是又独立的运行环境。　　虚拟化保护的优点如下：　　1.通过为每个程序虚拟出其运行环境。直接消除了程序间的相互影响。所有的操作都仅仅局限于每个虚拟化环境中，因此即使某个程序崩溃最多也只是导致这个虚拟环境崩溃，而不会对其他的程序产生影响。　　2.由于程序的运行环境是虚拟出来的，因此可以针对某个程序虚拟出其适应的运行环境，并且分配足够其运行的系统资源，从而避免了程序间的不兼容性。　　3.由于程序所能使用的最大资源是由其虚拟环境所决定的，因此避免了某个程序抢占资源而导致其他程序无法

4、运行的情况，很好的保证了程序的稳定性和并行性。　　4.由于程序都是运行在虚拟环境中，因此具备了很好的可移植性。只要其余平台有其相同的虚拟环境都可以稳定的移植。　　5.虚拟化的环境可以记录下每个时刻这个环境的运行信息，通过这些运行信息可以很方便的回退虚拟环境到某一个曾经的时刻，由于虚拟环境的独立性，这个回退不会对其他的程序造成影响。　　但是虚拟化技术由于要为每个程序配置虚拟环境。因此从客观上增加了系统资源的开销。　　2.2应用部署　　在具体应用中我们可以使用VMware，Sandboxie和Retu

5、rnilVirtualSystem搭建一个多层虚拟环境。　　VMware可以使你在一台机器上同时运行二个或更多Windows、DOS、LINUX系统。　　ReturnilVirtualSystem来自欧洲著名的安全公司RetumilSIA，它是一个基于虚拟机原理的影子系统软件，可以瞬间把您的计算机用隔离罩保护起来。同时用一个内存中的虚假替身“影子”系统来接管真实的操作系统，任何操作都被限制在虚拟系统中使用。无法感染你真实的操作系统。　　Sandboxie可以为运行程序构建沙盘环境，所以程序的操作都

6、被局限于Sandboxie为这个程序所构建的虚拟环境中。不会对其他的软件造成影响。　　于是我们对于单个的服务器，首先使用VMware构建使用不同操作系统的虚拟计算机。然后对于每个VM环境使用ReturnilVirtualSystem构建一个影子系统。之后在这个影子系统上使用Sandboxie运行我们所需要启动的服务或者程序。　　程序运行在沙箱中。相互间不会互相影响，如果需要和操作系统进行交互或者需要执行操作系统级别的命令，则也只能访问影子系统。而虚拟计算机则提供了不同程序所需要的不同操作系统环境。

7、这样无论如何。　　真实的操作系统都不会受到影响。　　本文选取了aDache在正常访问时间时候的数据比较。在牺牲了有限的计算机资源的同时获得了较高的安全系数。本文认为还是有价值的。　　3.入侵检测　　3.1入侵检测概述　　入侵检测(Intrusi0nDetection)，顾名思义，就是对入侵行为的发觉。他通过对计算机网络或计算机系统中若干关键点收集信息并对其进行分析。从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。　　入侵检测可以作为防火墙后的第二道防护措施，通过对网络状况的实时监听，从

8、而能够与对于内部攻击，误操作，外部攻击等进行防护，从而大大提高网络的安全性。具有监视分析用户和系统的行为、审计系统配置和漏洞、评估敏感系统和数据的完整性、识别攻击行为、对异常行为进行统计、自动地收集和系统相关的补丁、进行审计跟踪识别违反安全法规的行为、使用诱骗服务器记录黑客行为等功能，在不影响网络性能的前提下，使系统管理员可以较有效地监视、审计、评估自己的系统。　　入侵检测的实现方法有如下几种：　　1.基于日志和审计数据的入侵检测　　针对单一的主机，可以使用对于主机的审计数据和系统