网络攻击特征的提取技术分析.doc

《网络攻击特征的提取技术分析.doc》由会员上传分享，免费在线阅读，更多相关内容在应用文档-天天文库。

1、网络攻击特征的提取技术分析攻击特征自动提取定义与分类攻击特征自动提取分为攻击发现和提取特征两个基本步骤。因此，与入侵检测系统可以分为网络ＩＤＳ（ＮＩＤＳ）和主机ＩＤＳ（ＨＩＤＳ）类似，根据发现攻击的位置不同，攻击特征自动提取也可以分为基于网络和基于主机的两大类，分别简记为ＮＳＧ（ｎｅｔｗｏｒｋ－ｂａｓｅｄｓｉｇｎａｔｕｒｅｓｇｅｎｅｒａｔｉｏｎ）和ＨＳＧ（ｈｏｓｔ－ｂａｓｅｄｓｉｇｎａｔｕｒｅｓｇｅｎｅｒａｔｉｏｎ）。１）ＮＳＧ主要是通过分析网络上的可疑数据来提取字符型的特征。字符型的特征是指通过字符串（二进制串）的组成、分布或频率来描述攻击。Ｎ

2、ＳＧ系统一般通过数据流分类器或Ｈｏｎｅｙｐｏｔ系统来发现网络数据中可疑的攻击行为，并获得可能包括了攻击样本的可疑网络数据；然后将其分成两个部分，一部分ＮＳＧ系统［８～９］对这些可疑数据进行聚类，使得来自同一攻击的数据聚为一类，再对每一类提取出攻击特征，另一部分ＮＳＧ系统则没有聚类过程，而是直接分析混合了多个攻击样本的数据，提取可以检测多个攻击的特征。最终ＮＳＧ系统将提取出的攻击特征转化为检测规则，应用于ＩＤＳ系统的检测。２）ＨＳＧ主要是指检测主机的异常并利用在主机上采集的信息来提取攻击特征。根据获得主机信息的多少，ＨＳＧ又可以进一步分为白盒ＨＳＧ

3、方法、灰盒ＨＳＧ方法和黑盒ＨＳＧ方法三类。白盒ＨＳＧ方法需要程序源代码，通过监视程序执行发现攻击行为的发生，进而对照源程序提取出攻击特征；灰盒ＨＳＧ方法不需要程序源代码，但是必须密切地监视程序的执行情况，当发现攻击后通过对进程上下文现场的分析提取攻击特征；黑盒ＨＳＧ方法最近才提出，它既不需要程序源代码也不需要监视程序的执行，而是通过自己产生的“测试攻击数据”对程序进行攻击，如果攻击成功，表明“测试数据”有效，并以该“测试数据”提取出攻击的特征。基于网络的攻击特征自动提取技术6学海无涯下面介绍几种ＮＳＧ方法。基于最长公共子串方法早期的ＮＳＧ系统［１

4、０～１１］大多采用提取“最长公共子串”（ＬＣＳ）的方法，即在可疑数据流中查找最长的公共子字符串。虽然基于后缀树计算两个序列的ＬＣＳ可在线性时间内完成［１２］，但是ＬＣＳ方法仅仅提取单个最长的特征片段，并不足以准确描述攻击。基于固定长度负载出现频率方法Ａｕｔｏｇｒａｐｈ［１３］按照不同的方法将可疑数据流划分为固定长度的分片，然后基于Ｒａｂｉｎｆｉｎｇｅｒｐｒｉｎｔｓ算法［１４］计算分片在所有可疑数据流中出现的频繁度，最后将频繁度高的分片输出为攻击特征。该方法存在的问题是难以选取固定长度的大小、计算开销和存储开销大、没有考虑攻击变形情况。ＹｏｎｇＴａ

5、ｎｇ等人将可疑数据流中含有多个特征片段的固定长度部分定义为“关键区域”，并利用Ｅｘｐｅｃｔａｔｉｏｎ－Ｍａｘｉｍｉｚａｔｉｏｎ（ＥＭ）［１５］和ＧｉｂｂｓＳａｍｐｌｉｎｇ［１６］这两种迭代计算算法查找关键区域。但是”关键区域”长度选取困难、算法不能确保收敛限制了该方法的有效性。基于可变长度负载出现频率基于可变长度负载出现频率的方法是当前比较有效的特征提取方法，由Ｎｅｗｓｏｍｅ等人在本世纪初Ｐｏｌｙｇｒａｐｈ［１７］的研究中首次提出。可变长度负载出现频率是指长度大于１的在可疑数据流中频繁出现的字符串，可变长度负载出现频率长度不固定，每一个可变长度负

6、载出现频率可能对应于攻击中的一个特征片段。因此，基于可变长度负载出现频率的方法的核心是提取出数据流中频繁度大于一定阀值的所有可变长度负载出现频率，一般都采用遍历前缀树的算法［１８～１９］。以可变长度负载出现频率为核心，Ｐｏｌｙ－ｇｒａｐｈ输出三类攻击特征：１）可变长度负载出现频率组成的集合，称为ＣｏｎｊｕｎｃｔｉｏｎＳｉｇｎａｔｕｒｅ；２）可变长度负载出现频率组成的序列，称为Ｔｏｋｅｎ－ｓｕｂｓｅｑｕｅｎｃｅＳｉｇｎａｔｕｒｅ；３）可变长度负载出现频率附加贝叶斯概率值，称为ＢａｙｅｓＳｉｇｎａ－ｔｕｒｅ。Ｐｏｌｙｇｒａｐｈ在设计时考虑了攻击变形的

7、情况，并且首次引入聚类过程，因此大大提高了提取特征的准确性。基于有限状态自动机Ｖｉｎｏｄ等人提出的有限状态自动机［２０］首先对可疑数据流进行聚类，然后对每一类中的数据流应用ｓｋ－ｓｔｒｉｎｇｓ［２１］算法生成一个有限状态自动机，最后将有限状态自动机转化为攻击特征。有限状态自动机的主要创新是在特征提取过程中考虑了网络协议的语义，因而可以在网络层和会话层分别提取特征。然而因为需要协议的语义，所以有限状态自动机只对特定的几种协议有效，而通用性较差。6学海无涯基于主机的特征自动提取技术6学海无涯ＨＳＧ的研究也是目前研究比较多的技术，经过几年的发展也取得了

8、很好的进展，产生了一些重要的研究成果。下面针对三类方法分别进行介绍。白盒方法因为需要程序源代码，适用性较差，所以基于白盒方法的ＨＳＧ系统