面向检测的网络攻击分类方法研究

《面向检测的网络攻击分类方法研究》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、万方数据2005年12月第20卷第4期南昌航空工业学院学报(自然科学版)JournalofNanchangInstituteofAeronauticalTechnology(NaturalScience)Dec．．2005Ⅵ．20No．4面向检测的网络攻击分类方法研究熊鹏，何丹(南昌航空工业学院网管中心，江西南昌330034)[关键词]入侵检测；协议分析；协议状态；状态转换；TCA?劫取[摘要]介绍了网络协议的工作过程和入侵检测领域中的最新技术——协议分析的工作原理，提出并详细阐明了一种面向检测的网络攻击分类

2、方法。[中图分类号]TP393．08[文献标识码]A[文章编号]1001—4926(2005)03一O004—06Researchintocl嬲sificationmethodofdetection—orientedne咖rkattackingⅪONGPe职，HEDan(砒眦地昭抽*讹ofAerono眦icalTechnology，jia,料i330034)Keywords：IDS(intrusiondetectionsystem)；analysisofProtocols；Mitnick；stateofpro

3、tocol；cofivertingbetweenprotocolsAbstract：mspaperintroducestheworkingprocessoftheprotocolsofnetworkandtheworkingprinciple0fthenewesttechnologyinthefield0fⅡS—～analvsisofprotocolsandputsforwardakindofclassiiicarlonmethodofdetection—orientedofnetworkattacking．

4、0前言全球范围内网络攻击事件屡屡发生，造成的后果日益严重[5]5。要检测这些网络攻击，必须对其利用的计算机系统安全漏洞和技术手段进行分析。对攻击分类就是一个系统的攻击分析过程。良好的攻击分类方法能够规避当前攻击分类的缺陷，改善攻击行为检测的准确性。为了对网络攻击进行系统化的，高效而准确的检测，作为未来入侵检测技术核心的协议分析技术12J，在对网络攻击进行分类时能起同样巨大的作用。本文提出的面向检测的攻击分类就是利用协议分析具有的优势来构造攻击的类别从而直接用于攻击检测，从而有效降低了误报和漏报，其高性能将较好

5、解决目前存在于侵检测系统中的流量的瓶颈。1面向检测的网络攻击分类方法的提出为了确定要分类的网络攻击对象，先给出以下定义：●网络协议攻击：指所有利用网络协议安全漏洞的网络攻击方式。网络协议攻击是网络攻击的主要方式，其不会在操作系统中留下任何痕迹，造成的后果严重而且难于检测。如下网络攻击方式：攻击者远程登录到主机，通过猜想用户和口令进入主机系统进行破坏；在传输的数据包中加载恶意代码等，它们不是通过利用网络协议的安全漏洞来达到目的的，这些网络攻击方式就不在本文讨论的范围之内。下面先简要介绍Intemet中使用的网络

6、协议及其存在的问题，然后具体描述面向检测的网络攻击分类方法。1．1Intemet网络协议目前Intemet中使用的是基于TCP／II)的协议族，其层次体系结构如图：【收稿日期]2005—09—22[作者简介】熊鹏(1978一)男，工学硕士，讲师，研究方向：网络技术与信息安全万方数据78南昌航空工业学院学报(自然科学版)应用层唧，FIP，SMTP，NFS⋯传输层’11CPUDP网络层IP，ICMP，ARP，RARP，BGP‘··数据链路层Ethemet，TokenBus⋯Intemet协议中存在许多安全漏洞[2

7、儿3

8、。原因有两个：第一，协议设计时根本没考虑安全因素或考虑的不完善，如，I℃P／IP协议的设计中没有任何的安全认证机制，协议信任网络中的任何一方；第二，协议实现的过程中的错误、不精确带来的安全漏洞，比如协议状态转换的不适当定义[1]，这种情况在软件工程中会经常发生。因此带来了两类网络攻击利用方式。第一种利用协议的信任关系进行欺骗，象m地址欺骗、TCP截取和主机、端口扫描等；第二种利用协议实现中的错误、不精确，造成协议死锁或产生死锁效果，象TCPSYN淹没攻击等。许多网络协议攻击都结合使用这两种方式。1．2面

9、向检测的网络攻击分类方法所有网络都能以状态转换的形式来描述，而状态转换则是由来自协议内部或外部的时间触发的【4J。这里，可以把协议内部事件隐含在协议的状态转换之中，规定协议只能对外部时间产生响应，网络攻击采取的具体行动就属于这种外部事件。有些网络攻击会使网络协议产生异常的状态转换，达到攻击的目的。那么就可以使用异常的协议状态转换来描述这些攻击。从而就可以用网络的异常有限状态转换图来表示特定的网络攻击