相关热词搜索：
关于入侵检测技术论文
关于入侵检测技术论文 关于入侵检测技术论文篇一 入侵检测技术探讨 摘要：随着计算机网络应用的增多，网络安全问题也日益严峻。本文 介绍了入侵检测系统的概念，并对入侵检测技术进行了简要的分析，探讨了一些 现阶段主要的入侵检测技术，最后展望了入侵检测技术的发展趋势及主要研究方 向。关键词：网络安全;入侵检测;入侵检测技术;入侵检测系统 中图分类号：TP393.08 文献标识码：A文章编号：1007-9599 (2012) 01-0000-02 Intrusion Detection Technology Study Gu Xiaoning (Jining Teachers College Computer Science Department,Wulanchabu012000,China) Abstract:With the application of the computer net-work increasing, the problem about net-work security is more and more serious day by day. The concept of the incursion detecting system was introduced in this thesis,and simply analyzed incursion detecting technology while the mostly used detecting technology nowadays was discussed.In the last,the development trend and main research direct of the technology was viewed. Keywords:Network security;Intrusion detection;Detection technology;
Intrusion detection system 一、引言 伴随着计算机网络技术和互联网的飞速发展，各种网络攻击和入侵事 件时有发生，所造成的破坏性和损失日益严重。网络安全威胁愈加被人们所重视。
传统的信息安全方法都是静态的安全防御技术，面对现今复杂多变的 入侵手段难以应付。而入侵检测是一种动态安全的核心技术，它通过对入侵行为 的发觉，收集信息进行分析，并做出实时的响应，从中发现是否有违反安全策略的行为和被攻击击的迹象，在不影响网络性能的情况下对网络进行监测，提供对 系统的实时保护[1]。
二、入侵检测系统 入侵检测系统是传统操作系统加固和防火墙隔离技术的合理补充，它 的功能是监控并分析系统及用户活动，检查系统的配置和漏洞，发现已知的攻击 行为以及分析异常行为，对系统日志进行管理并识别非正常活动，对发现的入侵 行为进行告警和响应等。它能够保护网络安全策略，可以提高系统管理员的安全 管理能力和信息安全基础结构的完整性。理想的入侵检测系统应该管理方便、配 置简单，扩展性强、保护范围广。应该具备动态自适应性，应能够根据网络的规 模、系统的构造和安全需求的改变而改变。
(一)入侵检测系统的工作模式 入侵检测的工作过程一般分四个方面：
(1)对信息进行采集。(2)分析该信息，试图寻找入侵活动的特征。(3) 对检测到的行为自动作出响应。(4)记录并处理结果。
(二)入侵检测系统的分类[2] 1.根据目标系统的类型来看，可以分为两类 (1)基于主机(Host-Based)的入侵检测系统。通常，基于主机的入侵检 测系统可监测系统事件和操作系统下的安全记录以及系统记录。它通过监视并分 析主机系统的日志、端口调用和安全审计记录等来检测入侵，保护主机的系统安 全。
(2)基于网络(Network-Based)的入侵检测系统。该类型的入侵检测系统 主要作用是针对保护网络。该系统由混杂模式下的网络适配器组成，用来识别网 络中的原始数据包，实时监视并分析通过网络的所有通信业务。
2.根据入侵检测系统分析的数据来源 入侵检测系统分析的数据可以是主机系统日志、网络数据包、应用程 序的日志、防火墙报警日志以其他入侵检测系统的报警信息等3.根据入侵检测方法可以分为两类 (1)异常入侵检测检测。该类型的系统基于正常状态数据特征判断主 体系统是否入侵。
(2)误用入侵检测。该检测系统收集非正常数据特征通过匹配来确定 系统中是否有入侵和攻击。
4.根据系统各个模块运行的分布方式 (1)集中式入侵检测系统;(2)分布式入侵检测系统。
(三)入侵检测的系统的数据源 1.基于主机的数据源 (1)系统运行状态信息;(2)系统记帐信息;(3)系统日志。
2.基于网络的数据源 (1)SNMP信息;(2)网络通信包 3.应用程序日志文件 4.其他入侵检测系统的报警信息 三、入侵检测技术 入侵检测技术是为保证计算机系统的安全而设计与配置的一种能够 及时发现并报告系统中未授权或异常现象的技术。它在系统内部和各种网络资源 中主动采集信息，从中发现内部、外部攻击与合法用户是否滥用特权。入侵检测 技术可以根据用户的历史行为或的当前操作，完成对入侵的检测，根据系统入侵 的痕迹，来恢复和处理数据[1]。
(一)入侵检测的过程。入侵检测的过程分为三步：信息收集、信息分 析以及告警与响应[5]。
1.信息收集。想要入侵检测就必须有信息收集，具体内容包括系统、 网络、数据以及用户活动的状态和行为等。信息收集要尽可能的扩大范围，从一个信息源来的信息可能看不出什么，但是从多个信息源收集到的不同信息能够最 大限度的识别可疑行为或入侵。
2.信息分析。入侵检测系统收集到的信息量非常大，而且大部分都是 正常的信息。想要从庞大的信息中找出少部分的异常入侵信息，就要通过信息分 析。所以说信息分析是入侵检测过程的核心环节。
3.告警与响应。入侵检测发现系统发生变更后，产生警告并采取响应 措施，告诉管理员有入侵发生或者直接处理。
(二)入侵分析的模型。入侵分析是入侵检测的核心。在这里，我们把 入侵分析的处理过程分为三个阶段：构建分析器、对现场数据进行分析、反馈和 提炼[2]。
1.构建分析器 分析器可以执行预处理、分类和后处理的核心功能 (1)可以收集并生成事件信息;(2)分析预处理信息;(3)建立一个行为分 析引擎。
2.对现场数据进行分析 (1)输入事件记录;(2)进行预处理;(3)比较事件记录和知识库;(4)产生响 应。
3.反馈和提炼 (三)入侵检测的分析方法 1.误用检测。误用入侵检测的技术基础是分析各种类型的攻击手段， 建立相关的特征库。对当前的数据源来源进行各种处理后，再进行特征匹配或者 规则匹配工作，如果发现满足条件的匹配，则认为发生了一次攻击行为[4]。
2.异常检测。异常入侵检测通过观察当前活动与系统历史正常活动情 况之间的差异来实现。首先建立一个关于系统正常活动的状态模型并不断进行更 新，当用户活动与正常行为有重大偏离时，则指示发现了非法攻击行为[9]。(四)告警与响应 在完成系统安全状况的分析并确定出系统问题以后，就应该让人们知 道这些问题的存在，这个阶段就叫做响应期。响应又可以分为两种模式：被动响 应和主动响应。
被动响应就是系统只简单的记录和报告所检测出来的问题，而主动响 应则是系统主动阻断攻击防止入侵[5]。
四、入侵检测技术的发展趋势 前面介绍了入侵检测系统和入侵检测技术的基本概念和功能，并对典 型入侵检测技术进行了分析。通过这些介绍和分析，可以得出结论：入侵检测技 术是网络安全解决方案的一个重要组成部分。虽然入侵检测的研究已经取得了相 当的进展，但是由于现阶段信息技术不断进步，入侵检测技术已不能满足需要。
今后的入侵检测技术主要朝以下几个方向发展：
(一)宽带高速实时的检测技术。网络带宽迅速增长，宽带接入手段种 类繁多，如何实时检测高速网络下的入侵行为成为必须解决的问题。因此对入侵 检测的处理能力提出更高的要求。
(二)大规模分布式的检测技术。统一集中式入侵检测方式存在明显的 缺陷。首先，对于大规模的分布式攻击会造成大量的信息处理遗漏，导致漏报率 的增高。其次，由于网络传输的延时问题，收集到的数据信息不能实时的反映当 前的网络状态[7]。为了解决这些问题，大部分系统采用了分布式的结构。
(三)智能化入侵检测。使用智能化的方法与手段来进行入侵检测。所 谓的智能化方法，现阶段常用的有神经网络、遗传算法、模糊技术、免疫原理等 方法，这些方法常用于入侵特征的辨认与泛化。从某种程度上讲，入侵检测技术 一直领先与安全技术的发展，两者相互推动、互相促进。随着网络的日益普及和 各种黑客工具的蔓延，入侵的复杂化趋势也越来越明显，向着分布式、隐蔽化方 向发展。因此，为了适应新的发展形式，智能化入侵检测具有更广泛的应用前景。
(四)多种分析方法并存。对于入侵检测系统，分析方法是系统的核心。
现在的入侵检测系统有很多入侵检测分析方法，但大部分分析方法只适应某些种 类的入侵。所以在目前情况下，多种分析方法综合运用是一个值得研究的问题。五、结论 入侵检测作为一种主动性地安全防护技术，最大的优势是提供了对内 部攻击、外部攻击和误操作的实时保护，预先对入侵活动进行拦截和响应。在网 络信息安全立体纵深、多重防御的发展趋势下，未来的入侵检测系统可以软硬件 结合，配合其他网络管理软件，提供更加及时、准确的检测手段。
关于入侵检测技术论文篇二 浅析入侵检测技术 摘 要 入侵检测系统是一个能够对网络或计算机系统的活动进行实 时监测的系统，它能够发现并报告网络或系统中存在的可疑迹象，为网络安全管 理提供有价值的信息。
关键词 入侵检测 信号分析 模型匹配 分布式 中图分类号：TP393 文献标识码：A 随着计算机技术尤其是网络技术的发展，计算机系统已经从独立的主 机发展到复杂的、互连的开放式系统。这给人们在信息利用和资源共享上带来了 无与伦比的便利，但又面临着由于入侵而引发的安全问题。传统的安全防御策略 ( 如访问控制机制、防火墙技术等)均属于静态的安全防御技术，对网络环境下 日新月异的攻击手段缺乏主动的反应。由于静态的安全技术自身存在着不可克服 的缺点，促发了人们在研究过程中新的探索，从而引出入侵检测这一安全领域的 新课题的诞生。入侵检测是动态安全技术的最核心技术之一，是防火墙的合理补 充，是安全防御体系的一个重要组成部分。
1 入侵检测系统( IDS) 执行的主要任务 所谓IDS就是一个能够对网络或计算机系统的活动进行实时监测的系 统，它能够发现并报告网络或系统中存在的可疑迹象，为网络安全管理提供有价 值的信息。IDS 执行的主要任务是：监视、分析用户及系统活动;对系统构造和 弱点的审计;识别反映已知进攻的活动模式并向相关人士报警;异常行为模式的统 计分析;评估重要系统和数据文件的完整性;操作系统的审计跟踪管理，并识别用 户违反安全策略的行为。2 入侵检测的步骤 2.1 信息收集 入侵检测的第一步是信息收集。内容包括系统、网络、数据及用户活 动的状态和行为。
入侵检测利用的信息一般来自以下4方面：系统和网络日志文件：目 录和文件中的不期望的改变;
程序执行中的不期望行为;物理形式的入侵信息。这 包括两个方面的内容：一是未授权的对网络硬件的连接;二是对物理资源的未授 权访问。
2.2 信号分析 对上述4 类收集到的有关系统、网络、数据及用户活动的状态和行为 等信息， 一般通过3 种技术手段进行分析：模式匹配、统计分析和完整分析。
其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。
2.3 响应 入侵检测系统在发现入侵后会及时做出响应， 包括切断网络连接、 记录事件和报警等。响应一般分为主动响应和被动响应两种类型。主动响应由用 户驱动或系统本身自动执行， 可对入侵者采取行动、修正系统环境或收集有用 信息;被动响应则包括告警和通知、简单网络管理协议( SNMP) 陷阱和插件等。
3 常用的入侵检测方法 3.1基于用户行为概率统计模型的入侵检测方法 这种入侵检测方法是基于对用户历史行为建模， 以及在早期的证据 或模型的基础上， 审计系统实时的检测用户对系统的使用情况， 根据系统内部 保存的用户行为概率统计模型进行检测， 当发现有可疑的用户行为发生时， 保 持跟踪并监测、记录该用户的行为。
3.2 基于神经网络的入侵检测方法 这种方法是利用神经网络技术进行入侵检测。因此， 这种方法对用户行为具有学习和自适应功能， 能够根据实际检测到的信息有效地加以处理并 作出入侵可能性的判断。
3.3 基于专家系统的入侵检测技术 该技术根据安全专家对可疑行为进行分析的经验来形成一套推理规 则， 然后在此基础上建立相应的专家系统， 由此专家系统自动对所涉及的入侵 行为进行分析该系统应当能够随着经验的积累而利用其自学习能力进行规则的 扩充和修正。
4 入侵检测技术的发展方向 4.1 分布式入侵检测与通用入侵检测架构 传统的IDS一般局限于单一的主机或网络架构， 对异构系统及大规模 的网络的监测明显不足， 同时不同的IDS 系统之间不能协同工作， 为解决这一 问题， 需要分布式入侵检测技术与通用入侵检测架构。
4.2 智能化的入侵检测 入侵方法越来越多样化与综合化， 尽管已经有智能体、神经网络与 遗传算法在入侵检测领域的应用研究， 但是这只是一些尝试性的研究工作， 需 要对智能化的IDS 加以进一步地研究以解决其自学习与自适应能力。
4.3入侵检测的评测方法 用户需对众多的IDS 系统进行评价， 评价指标包括IDS 检测范围、 系统资源占用、IDS 系统自身的可靠性。从而设计通用的入侵检测测试与评估方 法和平台， 实现对多种IDS 系统的检测已成为当前IDS 的另一重要研究与发展 领域。
4.4 与其它网络安全技术相结合 结合防火墙、PKIX、安全电子交易SET 等新的网络安全与电子商务 技术，提供完整的网络安全保障。
入侵检测作为一种积极主动的安全防护技术， 提供了对内部攻击、 外部攻击和误操作的实时保护， 在网络系统受到危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发， 入侵检测理应受到人们的高度重 视， 这从国外入侵检测产品市场的蓬勃发展就可以看出。在国内， 随着上网的 关键部门、关键业务越来越多， 迫切需要具有自主版权的入侵检测产品。入侵 检测产品仍具有较大的发展空间， 从技术途径来讲， 除了完善常规的、传统的 技术( 模式识别和完整性检测) 外， 应重点加强统计分析的相关技术研究。入 侵检测是保护信息系统安全的重要途径， 对网络应用的发展具有重要意义与深 远影响。研究与开发自主知识产权的IDS 系统将成为我国信息安全领域的重要课 题。
