ch5 入侵检测技术

《ch5 入侵检测技术》由会员上传分享，免费在线阅读，更多相关内容在工程资料-天天文库。

1、本文由kiviken贡献ppt文档可能在WAP端浏览体验不佳。建议您优先选择TXT，或下载源文件到本机查看。第5章入侵检测技术章5.1入侵检测概述入侵检测技术研究最早可追溯到1980年JamesP.Aderson所写的一份技术报告，他首先所写的一份技术报告，所写的一份技术报告提出了入侵检测的概念。1987年DorothyDenning提出了入侵检测系统（IDS，Intrusion提出了入侵检测系统（提出了入侵检测系统，DetectionSystem）的抽象模型首次提出了入侵）检测可作为一种计算机系统安全防御措施的概念，检测可作为一种计算机系统安全防御措施的

2、概念，与传统的加密和访问控制技术相比，与传统的加密和访问控制技术相比，IDS是全新是全新的计算机安全措施。的计算机安全措施。1988年TeresaLunt等人进一步改进了Denning提出的入侵检测模型，并创建了提出的入侵检测模型，提出的入侵检测模型并创建了IDES（IntrusionDetectionExpertSystem），该系统）用于检测单一主机的入侵尝试，用于检测单一主机的入侵尝试，提出了与系统平台无关的实时检测思想，年开发的NIDES台无关的实时检测思想，1995年开发的年开发的（Next-GenerationIntrusionDetectio

3、nExpertSystem）作为）作为IDES完善后的版本可以检测出多完善后的版本可以检测出多个主机上的入侵。个主机上的入侵。1990年，Heberlein等人提出了一个具有里年等人提出了一个具有里程碑意义的新型概念：基于网络的入侵检测——程碑意义的新型概念：基于网络的入侵检测网络安全监视器NSM（NetworkSecurity（Monitor）。1991年,NADIR（NetworkAnomaly）年（DetectionandIntrusionReporter）与DIDS）（DistributeIntrusionDetectionSystem）提出）了通

4、过收集和合并处理来自多个主机的审计信息可以检测出一系列针对主机的协同攻击。可以检测出一系列针对主机的协同攻击。1994年，MarkCrosbie和GeneSpafford建年和建议使用自治代理（议使用自治代理（autonomousagents）以提高）IDS的可伸缩性、可维护性、效率和容错性，该的可伸缩性、的可伸缩性可维护性、效率和容错性，理念非常符合计算机科学其他领域（如软件代理，理念非常符合计算机科学其他领域（如软件代理，softwareagent）正在进行的相关研究。另一个agent）正在进行的相关研究。致力于解决当代绝大多数入侵检测系统伸缩性不足的

5、方法于1996年提出，这就是年提出，足的方法于年提出这就是GrIDS（Graph（basedIntrusionDetectionSystem）的设计和实）现，该系统可以方便地检测大规模自动或协同方式的网络攻击。式的网络攻击。近年来，入侵检测技术研究的主要创新有：近年来，入侵检测技术研究的主要创新有：Forrest等将免疫学原理运用于分布式入侵检测等将免疫学原理运用于分布式入侵检测领域；1998年RossAnderson和AbidaKhattak将领域；年和将信息检索技术引进入侵检测；信息检索技术引进入侵检测；以及采用状态转换分析、分析、数据挖掘和遗传算法等

6、进行误用和异常检测。5.1.1入侵检测原理给出了入侵检测的基本原理图。图5-2给出了入侵检测的基本原理图。入侵给出了入侵检测的基本原理图检测是用于检测任何损害或企图损害系统的保密完整性或可用性的一种网络安全技术。性、完整性或可用性的一种网络安全技术。它通过监视受保护系统的状态和活动，过监视受保护系统的状态和活动，采用误用检测（MisuseDetection）或异常检测（Anomaly）Detection）的方式，发现非授权的或恶意的系）的方式，统及网络行为，为防范入侵行为提供有效的手段。统及网络行为，为防范入侵行为提供有效的手段。图5-2入侵检测原理框图所

7、谓入侵检测系统就是执行入侵检测任务的所谓入侵检测系统就是执行入侵检测任务的入侵检测系统硬件或软件产品。硬件或软件产品。入侵检测提供了用于发现入侵攻击与合法用户滥用特权的一种方法。户滥用特权的一种方法。其应用前提是入侵行为和合法行为是可区分的，和合法行为是可区分的，也即可以通过提取行为的模式特征来判断该行为的性质。一般地，入侵的模式特征来判断该行为的性质。一般地，检测系统需要解决两个问题：检测系统需要解决两个问题：如何充分并可靠地提取描述行为特征的数据；如何充分并可靠地提取描述行为特征的数据；如何根据特征数据，如何根据特征数据，高效并准确地判定行为的性质。性

8、质。5.1.2系统结构由于网络环境和系统安全策略的差异，由于网络环