论文部分内容阅读
中图分类号：V448.15+1 文献标识码：A 文章编号：1009-914X（2014）24-0324-01
1 入侵检测技术发展历史
1.1 什么是入侵检测技术
说到网络安全防护，最常用的设备是防火墙。防火墙是通过预先定义规则并依据规则对访问进行过滤的一种设备；防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型（如 WWW 或是 FTP）。
对于目前复杂的网络安全来说，单纯的防火墙技术已不能完全阻止网络攻击，如：无法解决木马后门问题、不能阻止网络内部人员攻击等。据调查发现，80%的网络攻击来自于网络内部，而防火墙不能提供实时入侵检测能力，对于病毒等束手无策。
因此，很多组织致力于提出更多更强大的主动策略和方案来增强网络的安全性，其中一个有效的解决途径就是入侵检测系统IDS，即入侵检测系统，其英文全称为：Intrusion Detection System。入侵检测系统是依照一定的安全策略，通过软件和硬件对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或攻击结果，以保证网络系统资源的机密性、完整性和可用性。
IDS诞生于1980年，到目前为止已经有30余年的历史，在这30余年中，IDS的发展经过了4个阶段。
第一阶段：概念诞生。IDS这个概念诞生于1980年4月，James P.Andrson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》（计算机安全威胁监控与监视）的技术报告，第一次详细阐述了入侵检测概念。他提出了一种对计算机系统风险和威胁的分类方法，并将威胁分为外部渗透、内部渗透和不法行为三种，还提出了利用审计跟踪数据监视入侵活动的思想。这份报告被公认为是入侵检测的开山之作。
第二阶段：模型发展。从1984年到1986年，乔治敦大学的Dorothy Denning和SRI/CSL的Peter Neumann研究出了一个实时入侵检测系统模型，取名为IDES（入侵检测专家系统）。该模型由六个部分组成：主题、对象、审计记录、轮廓特征、异常记录、活动规则。它独立于特定的系统平台、应用环境、系统弱点以及入侵类型，为构建入侵检测系统提供了一个通用的框架。1988年，SRI/CSL的Teresa Lunt等人改进了Denning的入侵检测模型，并开发出了IDES。该系统包括一个异常检测器和一个专家系统，分别用于统计异常模型的建立和基于规则的特征分析检测。
第三阶段：百家争鸣。1990年是入侵检测系统发展史上一个分水岭。加州大学戴维斯分校的L.T.Heberlein等人开发出了NSM（Network Security Monitor）。该系统第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异常主机，从此以后，入侵检测系统发展史翻开了新的一页，两大阵营正式形成：基于网络的IDS和基于主机的IDS。
1.2 入侵检测应用场景
与防火墙不同，IDS是一个监听设备，无需网络流量流经它，便可正常工作，即IDS采用旁路部署方式接入网络。IDS与防火墙的优劣对比如下
1.2.1 IDS的优势：
（1）IDS是旁路设备，不影响原有链路的速度；
（2）由于具有庞大和详尽的入侵知识库，可以提供非常准确的判断识别，漏报和误报率远远低于防火墙；
（3）对日志记录非常详细，包括：访问的资源、报文内容等；
（4）无论IDS工作与否，都不会影响网络的连通性和稳定性；
（5）能够检测未成功的攻击行为；
（6）可对内网进行入侵检测等。
1.2.2 IDS的劣势：
（1）检测效率低，不能适应高速网络检测；
（2）针对IDS自身的攻击无法防护；
（3）不能实现加密、杀毒功能；
（4）检测到入侵，只进行告警，而无阻断等。
IDS和防火墙均具备对方不可代替的功能，因此在很多应用场景中，IDS与防火墙共存，形成互补。
根据网络规模的不同，IDS有三种部署场景：小型网络中，IDS旁路部署在Internet接入路由器之后的第一台交换机上，如图5所示；
2 入侵检测技术在维护计算机网络安全中的使用
2.1 基于网络的入侵检测
基于网络的入侵检测方式有基于硬件的，也有基于软件的，不过二者的任务流程是相反的。它们将网络接口的形式设置为混杂形式，以便于对全部流经该网段的数据 停止时实监控，将其做出剖析，再和数据库中预定义的具有攻击特征做出比拟，从而将无害的攻击数据包辨认出来，做出呼应，并记载日志。
2.1.1 入侵检测的体系构造
网络入侵检测的体系构造通常由三局部组成，辨别为Agent、Console以及Manager。其中Agent的作用是对网段内的数据包停止监视，找出 攻击信息并把相关的数据发送至管理器；Console的次要作用是担任搜集代理处的信息，显示出所受攻击的信息，把找出的攻击信息及相关数据发送至管理 器；Manager的次要作用则是呼应配置攻击正告信息，控制台所发布的命令也由Manager来执行，再把代理所收回的攻击正告发送至控制台。
2.1.2 入侵检测的任务形式
基于网络的入侵检测，要在每个网段中部署多个入侵检测代理，依照网络构造的不同，其代理的衔接方式也各不相反。假如网段的衔接方式为总线式的集线器，则把 代理与集线器中的某个端口相衔接即可；假如为替换式以太网替换机，由于替换机无法共享媒价，因而只采用一个代理对整个子网停止监听的方法是无法完成的。因 而可以应用替换机中心芯片中用于调试的端口中，将入侵检测系统与该端口相衔接。或许把它放在数据流的关键出入口，于是就可以获取简直全部的关键数据。
2.2 关于主机的入侵检测
通常对主机的入侵检测会设置在被重点检测的主机上，从而对本主机的系统审计日志、网络实时衔接等信息做出智能化的剖析与判别。假如开展可疑状况，则入侵检测系统就会有针对性的采用措施。
基于主机的入侵检测系统可以详细完成以下功用：
①对用户的操作系统及其所做的一切行为停止全程监控；
②继续评价系统、使用以及 数据的完好性，并停止自动的维护；
③创立全新的平安监控战略，实时更新；
④关于未经受权的行为停止检测，并收回报警，同时也可以执行预设好的呼应措施；
3 入侵检测技术存在问题
虽然入侵检测技术有其优越性，但是现阶段它还存在着一定的缺乏，次要表现在以下几个方面：
第一，局限性：由于网络入侵检测系统只对与其间接衔接的网段通讯做出检测，而不在同一网段的网络包则无法检测，因而假如网络环境为替换以太网，则其监测范围就会表现出一定的局限性，假如装置多台传感器则又添加了系统的本钱。
第二，目前网络入侵检测系统普通采有的是特征检测的办法，关于一些普通的攻击来讲能够比拟无效，但是一些复杂的、计算量及剖析日子均较大的攻击则无法检测。
第三，监听某些特定的数据包时能够会发生少量的剖析数据，会影响系统的功能。
4 总结
现阶段的入侵检测技术绝对来讲还存在着一定的缺陷，很多单位在处理网络入侵相关的安全问题时都采用基于主机与基于网络相结合的入侵检测系统。当然入侵检测 技术也在不时的开展，数据发掘异常检测、神经網络异常检测、贝叶斯推理异常检测、专家系统滥用检测、形态转换剖析滥用检测等入侵检测技术也越来越成熟。总 之、用户要进步计算机网络系统的平安性，不只仅要靠技术支持，还要依托本身良好的维护与管理。
参考文献
[1] 雷震甲.网络工程师教程[M].北京：清华大学出版社，2006.
[2] 陈应明.计算机网络与应用[M].冶金工业出版社，2005.
[3] 谢希仁.计算机网络（第二版）[M].北京：电子工业出版社，2001.
1 入侵检测技术发展历史
1.1 什么是入侵检测技术
说到网络安全防护，最常用的设备是防火墙。防火墙是通过预先定义规则并依据规则对访问进行过滤的一种设备；防火墙能利用封包的多样属性来进行过滤，例如：来源 IP 地址、来源端口号、目的 IP 地址或端口号、服务类型（如 WWW 或是 FTP）。
对于目前复杂的网络安全来说，单纯的防火墙技术已不能完全阻止网络攻击，如：无法解决木马后门问题、不能阻止网络内部人员攻击等。据调查发现，80%的网络攻击来自于网络内部，而防火墙不能提供实时入侵检测能力，对于病毒等束手无策。
因此，很多组织致力于提出更多更强大的主动策略和方案来增强网络的安全性，其中一个有效的解决途径就是入侵检测系统IDS，即入侵检测系统，其英文全称为：Intrusion Detection System。入侵检测系统是依照一定的安全策略，通过软件和硬件对网络、系统的运行状况进行监视，尽可能发现各种攻击企图、攻击行为或攻击结果，以保证网络系统资源的机密性、完整性和可用性。
IDS诞生于1980年，到目前为止已经有30余年的历史，在这30余年中，IDS的发展经过了4个阶段。
第一阶段：概念诞生。IDS这个概念诞生于1980年4月，James P.Andrson为美国空军做了一份题为《Computer Security Threat Monitoring and Surveillance》（计算机安全威胁监控与监视）的技术报告，第一次详细阐述了入侵检测概念。他提出了一种对计算机系统风险和威胁的分类方法，并将威胁分为外部渗透、内部渗透和不法行为三种，还提出了利用审计跟踪数据监视入侵活动的思想。这份报告被公认为是入侵检测的开山之作。
第二阶段：模型发展。从1984年到1986年，乔治敦大学的Dorothy Denning和SRI/CSL的Peter Neumann研究出了一个实时入侵检测系统模型，取名为IDES（入侵检测专家系统）。该模型由六个部分组成：主题、对象、审计记录、轮廓特征、异常记录、活动规则。它独立于特定的系统平台、应用环境、系统弱点以及入侵类型，为构建入侵检测系统提供了一个通用的框架。1988年，SRI/CSL的Teresa Lunt等人改进了Denning的入侵检测模型，并开发出了IDES。该系统包括一个异常检测器和一个专家系统，分别用于统计异常模型的建立和基于规则的特征分析检测。
第三阶段：百家争鸣。1990年是入侵检测系统发展史上一个分水岭。加州大学戴维斯分校的L.T.Heberlein等人开发出了NSM（Network Security Monitor）。该系统第一次直接将网络流作为审计数据来源，因而可以在不将审计数据转换成统一格式的情况下监控异常主机，从此以后，入侵检测系统发展史翻开了新的一页，两大阵营正式形成：基于网络的IDS和基于主机的IDS。
1.2 入侵检测应用场景
与防火墙不同，IDS是一个监听设备，无需网络流量流经它，便可正常工作，即IDS采用旁路部署方式接入网络。IDS与防火墙的优劣对比如下
1.2.1 IDS的优势：
（1）IDS是旁路设备，不影响原有链路的速度；
（2）由于具有庞大和详尽的入侵知识库，可以提供非常准确的判断识别，漏报和误报率远远低于防火墙；
（3）对日志记录非常详细，包括：访问的资源、报文内容等；
（4）无论IDS工作与否，都不会影响网络的连通性和稳定性；
（5）能够检测未成功的攻击行为；
（6）可对内网进行入侵检测等。
1.2.2 IDS的劣势：
（1）检测效率低，不能适应高速网络检测；
（2）针对IDS自身的攻击无法防护；
（3）不能实现加密、杀毒功能；
（4）检测到入侵，只进行告警，而无阻断等。
IDS和防火墙均具备对方不可代替的功能，因此在很多应用场景中，IDS与防火墙共存，形成互补。
根据网络规模的不同，IDS有三种部署场景：小型网络中，IDS旁路部署在Internet接入路由器之后的第一台交换机上，如图5所示；
2 入侵检测技术在维护计算机网络安全中的使用
2.1 基于网络的入侵检测
基于网络的入侵检测方式有基于硬件的，也有基于软件的，不过二者的任务流程是相反的。它们将网络接口的形式设置为混杂形式，以便于对全部流经该网段的数据 停止时实监控，将其做出剖析，再和数据库中预定义的具有攻击特征做出比拟，从而将无害的攻击数据包辨认出来，做出呼应，并记载日志。
2.1.1 入侵检测的体系构造
网络入侵检测的体系构造通常由三局部组成，辨别为Agent、Console以及Manager。其中Agent的作用是对网段内的数据包停止监视，找出 攻击信息并把相关的数据发送至管理器；Console的次要作用是担任搜集代理处的信息，显示出所受攻击的信息，把找出的攻击信息及相关数据发送至管理 器；Manager的次要作用则是呼应配置攻击正告信息，控制台所发布的命令也由Manager来执行，再把代理所收回的攻击正告发送至控制台。
2.1.2 入侵检测的任务形式
基于网络的入侵检测，要在每个网段中部署多个入侵检测代理，依照网络构造的不同，其代理的衔接方式也各不相反。假如网段的衔接方式为总线式的集线器，则把 代理与集线器中的某个端口相衔接即可；假如为替换式以太网替换机，由于替换机无法共享媒价，因而只采用一个代理对整个子网停止监听的方法是无法完成的。因 而可以应用替换机中心芯片中用于调试的端口中，将入侵检测系统与该端口相衔接。或许把它放在数据流的关键出入口，于是就可以获取简直全部的关键数据。
2.2 关于主机的入侵检测
通常对主机的入侵检测会设置在被重点检测的主机上，从而对本主机的系统审计日志、网络实时衔接等信息做出智能化的剖析与判别。假如开展可疑状况，则入侵检测系统就会有针对性的采用措施。
基于主机的入侵检测系统可以详细完成以下功用：
①对用户的操作系统及其所做的一切行为停止全程监控；
②继续评价系统、使用以及 数据的完好性，并停止自动的维护；
③创立全新的平安监控战略，实时更新；
④关于未经受权的行为停止检测，并收回报警，同时也可以执行预设好的呼应措施；
3 入侵检测技术存在问题
虽然入侵检测技术有其优越性，但是现阶段它还存在着一定的缺乏，次要表现在以下几个方面：
第一，局限性：由于网络入侵检测系统只对与其间接衔接的网段通讯做出检测，而不在同一网段的网络包则无法检测，因而假如网络环境为替换以太网，则其监测范围就会表现出一定的局限性，假如装置多台传感器则又添加了系统的本钱。
第二，目前网络入侵检测系统普通采有的是特征检测的办法，关于一些普通的攻击来讲能够比拟无效，但是一些复杂的、计算量及剖析日子均较大的攻击则无法检测。
第三，监听某些特定的数据包时能够会发生少量的剖析数据，会影响系统的功能。
4 总结
现阶段的入侵检测技术绝对来讲还存在着一定的缺陷，很多单位在处理网络入侵相关的安全问题时都采用基于主机与基于网络相结合的入侵检测系统。当然入侵检测 技术也在不时的开展，数据发掘异常检测、神经網络异常检测、贝叶斯推理异常检测、专家系统滥用检测、形态转换剖析滥用检测等入侵检测技术也越来越成熟。总 之、用户要进步计算机网络系统的平安性，不只仅要靠技术支持，还要依托本身良好的维护与管理。
参考文献
[1] 雷震甲.网络工程师教程[M].北京：清华大学出版社，2006.
[2] 陈应明.计算机网络与应用[M].冶金工业出版社，2005.
[3] 谢希仁.计算机网络（第二版）[M].北京：电子工业出版社，2001.