入侵检测系统及其发展研究

信ｌ ｌ Ｊ 息 科 学
科
Hale Waihona Puke 入侵检测系统及其发展研究
朱 嘉 平
（ 凯明信息， 上海 ２ ０ ３ ） ０ ２ ７
摘 要： 简要介绍 了入侵检测 系统及其发展趋 势。 关键词： 入侵检测 系统 ； 防御 ； 发展
１ 入侵险测系统简介 ｅ ｔ ｎ Ｓ ｓ ｍ， Ｉ Ｓ 。 ｉ ｅ 存在以下—些问题 ：１ 误报 以 ３． ．１ 及漏报率过高 ： 大 ｖ ｎ ｏ ｙ ｔ Ｎ Ｐ ） １ 入侵检测系统简史。１８ 年。 ｍ ｓ ｎ 量的报警信息中存在误报的情况，同时由于攻击 ． １ ９０ Ｊ ｅ Ａ — ａ ３ Ｄ ３ Ｉ Ｓ以及 ＩＳ的 比较分 析 。２ ｏ Ｐ ０ ３年 ｄｒ ｎ ｅ ｏ 最早提出了入侵检测的概念，他将入侵定 手段的不断更新，入侵检测系统并不—定能够报 Ｇ ｒ ｅ公司副总裁 Ｒ ｃａ ｔ ｎ ｏ 发表的—份 ｓ ａ ｎｒ ｔ ｉ ｒ Ｓｉ ｎｎ ｈｄ ｅ 义为 ： ‘ ‘ 潜在的、 有预谋的、 未经授权的访问及操作 出网络中所有攻击行为 ； １ 海量信 息 ３’ ． ２ 挑战系统 名为 认 侵检测已寿终正寝，入侵防御将万古长 信息， 致使系统不可靠或无法使用的企 图。” 能力： 由于网络 中数据流量的不断增长 ， 入侵检测 青》 的报告在信息安全界掀起了不小的波澜 ， 然而 １８ 年 ，ｌ Ｓａ ｆ ｄＲ ｓａｃ ｎｔｕｅ的 系统产品能否对之进行高效的处理成为其效能的 时至今 日，我们可以看到无论从产品的开发以及 ９ ６ ＳＹ（ｔｎｏ ｅｅｒｈＩｓｔｔ） ｒ ｉ Ｄ ｒｈ ． ｅｎｎ 发表论文 ＜ｎＩｒｓ ｎＤ — ｏｏ ｙＥ Ｄ ｎｉｇ ｔ Ａ ｔ ｉ ｅ ｎｕｏ 个关键节点 ； １ 不能及时地对攻击行为进行 市场反映， ３３ ． 都还没有到了 ＩＳ Ｐ 取代 ＩＳ Ｄ 的地步， 人 ｔ ｔｎＭ ｄｌ 首次给出了 ＾ ｅ ｉ ｏｅ ， ｃｏ ｝ 侵检测的抽象模型， 阻断：传统的入侵检测系统只能够通过抓包来对 们谈论的更多的是究竟哪一个更适合 自己的需 被认为是入 侵检测系统的开山之作。 网络数据进行分析 ， 并将可疑情况通报给系统管 求 ， 甚至把两款产品综合起来部署在自己的网络 １ ８ ，Ｒ 的 Ｔ ｒｓ ｕ ｔ ９８年 Ｓ Ｉ ｅｅａＬ ｎ 等人进一步改 理员 ， 不能主 系统中， 以取得更强的安全效应。 进了 Ｄ ｎ ｉ 提 出的 ＾ ｅｎ ｇ ｎ 侵检测模型 ， 并提出了入 ３ ２入侵防御系统 （ ｔ ｓ ｎＰｅｅ ｔ ｎＳｓ Ｉ ｒ ｉ ｒｖｎ ｏ ｙ— ｎｕｏ ｉ Ｉ ＤＳ和 ＩＳ各有其侧重点 ， Ｓ强调 的是对 Ｐ Ｉ Ｄ 侵检测专家 系统（ ｔ ｓ ｎ Ｄ ｔ ｔｎ Ｅ ｐｒ Ｓｓ ｔ ｎ ＩＳ。由于入侵检测系统在实际应用中存在 网络流量的监控和分析， Ｉ ｒ ｉ ｅ ｃ ｏ ｘ ｅ ｖ— ｅ ， Ｐ ） ｎｕ ｏ ｅｉ ｔ ｒ 通常 ＩＳ Ｄ 都是以旁路的 ｔｎ ＩＥ ） ｅ ，Ｄ Ｓ ， ｒ 这是—个实时入侵检测系统 ， 被认为 着诸多的缺陷， 人侵防御系统开始进 ＾＾ 们的视 形式连接在网络上 ；而 ＩＳ Ｐ 强调的是一种主动的 是＾ 侵检测研究中最有影响的—个系统。 野。 入侵防御系统至今并没有—个明确的定 义 有 发现及阻隔功能，它通常必须串接在网络的关键 ， ２ 世纪 ８ 年代后期 ， ０ ０ 商业化的人侵检测系 些 ＾ 认为 ＩＳ就是在线的 Ｉ Ｓ有些 人 Ｐ Ｄ； 认为 ＩＳ就 节点上，因此它也会带来 Ｉ Ｓ Ｐ Ｄ 所不可能产生的一 统开始出现。 是防火墙和 ＩＳ Ｄ 的组合 ；还有一种观点认为 Ｉ 些 问题， Ｐ Ｓ 例如单点故障以及网络瓶颈， Ｉ Ｓ 同时 Ｄ 所 １ 侵检测系统的定义。 侵检测系统就是 就是新—代的 Ｉ Ｓ ２＾ ＾ Ｄ 。总的来说， 我们可以认为， Ｓ 固有的误报及漏报问题在 ＩＳ Ｉ Ｐ Ｐ 身上也同样存在。 因此， 不能简单 地认为 ＩＳ Ｐ 会取代 Ｉ Ｓ 它们 Ｄ。 能够通过从各网络 资源及其他系统节点收集信 就是能够检测到入侵的行为 ，并且主动的对之进 息， 并对这些信息进行分析 ， 从而发现系统 中可能 行阻断的系统 。 根据部署方式 ， 入侵防御系统能够 分别满足了用户不同的安全需求 ， 这两种技术必 存在的安全问题 ， 帮助信息系统及时应对处理各 分为以下两种类型：．１主机入侵 防护系统 （ ｏｔ 将在以后相当长—段时间内 ３ ． ２ Ｈｓ 互相共存 ， 共同构成 种攻击事件的—种安全系统。 ｂｓｄ Ｉｔ ｓ ｎ Ｐｅｅｔ ｎ Ｓ ｓ ｍ Ｈ Ｐ ）３ ． 信息安全体系中的重要—环。 ａｅ ｎｒ ｉ ｒｖｎ ｏ ｙｔ ｕｏ ｉ ｅ ， ＩＳ ：２２ ｌ ３入侵检测系统的分类。１．基于主机的 网 ３１ 络入侵防护系统（ ｅ ｏ ａｅ ｔ ｓ ｎ Ｐ 一 Ｎ ｔ ｒ ｂ ｄ ｎ ｕｉ ｉ ｗ ｋ ｓ Ｉｒ ｏ ｅ 入侵 检测系 统 （ ｏ ａｅ ｎ ｕｉ ｅ ｃｏ Ｈ ｓ ｂｓｄＩｔ ｓｎ Ｄｔ ｔｎ ｔ ｒ ｏ ｅｉ Ｓｓ ｍ Ｈ Ｄ ）Ｈ Ｄ ｙｔ ， Ｉ Ｓ 。 Ｉ Ｓ通常都安装在它所要监控的 （ ｇ ４ ｅ Ｉ ￣ ４页） 地标准》Ｇ Ｊ３ ＿０ 中的城市 其原因主要是二者并不是孤立的， － （Ｂｌ７９） 存在相互重复 主机上， 用于记录重要 的系统文件属性 ， 扫描各类 示 以及当地的国民经济 计算的情况， 需要通过修正系数对结果进行修正。 日 志文件， 在发现异常行为时通知系统管理员 ， 甚 发展规划 根据已 有经验， 确定修正系数为 ０ ５ ． ，则该地州 ８ ００ ３ ０． 公顷。 １ 规划 至像防火墙监控所有进出主机的数据包。１ ．基 ３ ２ 本文以云南省某地州为例， 据该地州国民经 ２ １ 年建设用地修正规模为 １５ ０ ４ 于网络的入侵检测系统（ ｅｗ ｒ ａｅ ｎｒｓ ｎ 济发展“ Ｎ ｔｏｋｂ ｓｄ Ｉｔ ｉ ｕｏ 十一五” 规划及 期的建设用地需求往往不是—个 固定的预测值 ， Ｄ ｔｃ ｏ ｙｔｍ， Ｉ ） Ｉ Ｓ通常位于网络重 果 ， １ 年全州城市 化率 达 ３％，城镇人 口为 因此将建设用地修正值作为下限，预测值作为上 ｅｅｔ ｎＳ ｓ ｉ ｅ ＮＤＳ。Ｎ Ｄ ２ ０ ０ ２ 要节点，利用运行在混杂模式下的网络适配器来 ｌ２ ４ １ ． 万人。 ６ 城镇 ＾ 均建设用地指标根据 ２ ０ 年 限， ０５ 形成—个弹性的需求区间， 这样更能体现需求 实时监控和分析网络中的所有流量。 现状并参考 Ｇ Ｊ３ －０ 确定为人均 ８ 平方米。 的合理性。 Ｂ １７９ ， ０ ２＾ 侵检测系统的体系结构及作用 经计算 ，预测该 地州 ２ １ 年城镇 建设用地 为 ００ 建设用地需求量预测对制定科学的发展规 划有着重要的作用 ， 经研究得出该地州 ２ １ 年建 ００ Ｚ 入侵检测系统 的体系结构 。根据 Ｃ Ｄ ９ １ ． 公 顷 。 １ ＩＦ ０１ ０ ２ （ ｏｌｏ ｔ ｓ ｎＤ ｔｃｉｎＦａ ｗ ｒ）标准 ， Ｃ ｎＩ ｎ Ｉ ｒ ｉ ｅｅｔ ｒｍｅ ｏｋ ｌ ｎ ｕｏ ｌ ｏ 根据 固 定资产投资增 长对建设用地带动 的 设用地规模在 １ ５０ ４ １ ８２ ２ ３ ０． － ５ ８． 公顷之间。 前 １ ５ 目 国内有关研究引入 了投资拉动土地增长系 建设用地预测研究较多的是在数量上 的变化 ， 对 入侵检测系统被划分成 ４ 个相对独立的功能模 分析 ， 块： 事件产生器 、 事件分析器、 响应单元和事件数 数的概念。 所谓投资拉动土地增长系数， 是指在一 空间布局上的变化研究较少，因此 将来对建设用 将转向空问布局和扩展模式 Ｅ 。 据库。２ ．事件产生器从整个计算环境中获取事 定区域范围内， ．１ １ 每投入 １ 亿元的全社会固定资产 地研究方向 需相应增加的城镇建设用地面积， 通常用 Ｔ 参 考文 献 件， 它不负责处理事件 ， 向系统的其他部分提 投资 ， 而是 供事件； １ Ｚ ２事件分析器分析得到的数据， 并产生 表示 ， 单位为公顷， 亿元。根据该地州 １９－ ０ ５ 『 道持， ９ ８２ ０ 】 伟 刘力， 贾辉等威 镇建设用 地预测方法新 西南师范大学学报 ，０４ ２ ０． 分析结果 ； １ ． ２ ３响应单元对分析结果进行相应的 年 固定资产累计投资额及建设用地增长情况 ， 计 探切． 前投资带动土地增长的系数为 ：－ ［ 邵建英 ， Ｉ ２ ＂ 】 王珂等． 城镇建设用地预测方法研究Ｕ ｌ 反击行为 ； １ 事件数据库存放各种中间和最终 算 出该地州 目 ２－ ４ 数据。 １３ 公顷， 元 。 值可以看出， ７３ ｆ 从 乙 该地州土地利用 江西农业大学学报 。０ ６ ２０． ２ ＾ ２ 侵检测系统的作用。 入侵Ｉ测系统并不 经济效应较差，也在一定程度上反映了其土地利 圈姜海， 佥 曲福田． 用地需求预测的理论与方法 建设 中国士地科学，０ ５ ２ ｏ． 能帮助我们解决所有网络安全相关的问题 ， 一般