一种基于攻击特征描述的网络入侵检测模型

第33卷第2期　2010年2月合肥工业大学学报(自然科学版)J OURNAL OF H EFEI UNIV ERSIT Y OF TECHNOLO GYVol.33No.2　Feb.2010　收稿日期:2008212225;修改日期:2009205221作者简介:刘庆俞(1984-),男,安徽淮南人,合肥工业大学硕士生.一种基于攻击特征描述的网络入侵检测模型刘庆俞,　叶　震,　尹才荣(合肥工业大学计算机与信息学院,安徽合肥　230009)摘　要:文章在对网络入侵检测技术进行分析的基础上,结合网络攻击特征的描述方法和分布式系统的特点,提出一种新的网络入侵检测的模型。

攻击特征描述是提取攻击的本质属性,分布式系统则很好地利用了集群的优势。

对于高速网络的出现,如何减少丢包并提高入侵检测的效率成为一个重要的研究课题。

该文提出的分层检测方法,充分考虑了攻击特征分类描述方法,实验证明可以提高网络入侵检测准确率。

关键词:网络入侵检测;攻击特征;负载均衡中图分类号:TP393108 文献标识码:A 文章编号:100325060(2010)022*******A net w ork intrusion detection method based on description of attack characteristicsL IU Qing 2yu ,　YE Zhen ,　YIN Cai 2rong(School of Computer and Information ,Hefei University of Technology ,Hefei 230009,China )Abstract :By taking t he met hods of describing t he feat ures of network attacks and t he feat ures of dis 2tributed systems into consideration ,t his paper propo ses a new network int rusion model based on t he analysis of intrusion detection systems.Description of t he feat ures of network attacks is to ext ract t he essential att ribute of network attacks and t he dist ributed system makes good use of t he superiority of clustering.It is of great significance to st udy how to reduce t he lo sing of packet s and improve t he effi 2ciency of int rusion detection in accordance wit h t he appearing of high speed networks.The proposed model of int rusion detection system takes f ull account of t he ways of describing t he feat ures of net 2work attacks according to t heir categories ,and t he experiment s show t hat t his model can improve t he accuracy of network int rusion detection systems.K ey w ords :network int rusion detection ;attack characteristic ;load balancing0　引 言随着网络应用的日益普及,流经网络的信息流越来越多,各种网络入侵也随之增长。

自文献[1]提出第一个入侵检测系统模型以来,入侵检测技术得到快速发展,成为继防火墙之后重要的一种安全技术。

面对各种类型的网络入侵和高速流,传统的网络入侵检测方法变得力不从心。

为了提高网络入侵检测的效率,减少漏报,本文结合集群负载均衡和攻击描述技术,利用二者的优点,提出一个新模型。

1　基于网络的入侵检测系统入侵检测技术根据待检数据来源的不同可分为2类,分别是基于主机的入侵检测系统(Ho st 2based Int rusion Detection System ,简称HIDS )和基于网络的入侵检测系统(Network 2based In 2t rusion Detection System ,简称N IDS )。

基于主机的入侵检测方法作为最初的研究重点,已经取得一定发展,本文主要研究后者。

网络入侵检测系统以被检测网段的所有数据包为检测对象,通过把网卡设置为混杂模式,来抓取流经网卡的所有数据包。

然后数据包送到检测引擎,通过相关方法的分析,如神经网络技术、模式匹配技术及免疫算法等来辨别数据流是否恶意的,从而做出相应反应,如报警、丢弃或者记录数据包。

整个系统检测流程,如图1所示。

图1　入侵检测流程图1中,数据分析是整个入侵检测的核心部分,分析算法的优劣直接影响到入侵检测系统的效率高低。

由于模式匹配技术的发展相对成熟,现有的大多数商用入侵检测技术都采用匹配检测的方法。

Snort [2]作为开源软件,就是运用此检测方法的典型,系统维护一个一定规模的入侵特征库,对数据包进行攻击特征匹配,如匹配某条检测规则就触发告警。

显然,入侵检测规则的数量和待检数据包的数量对检测速度有着非常大的影响,本文以Snort 系统为例做演示。

2　网络攻击特征的描述随着网路资源的丰富,各种攻击工具变得更容易获得,从而网络上出现了各种类型的攻击。

对于此,人们提出了很多种攻击分类的方法[3],如基于应用类型的攻击分类方法等。

各种分类方法的提出,无非是使人们更好地认识攻击,从而更好地去预防和检测攻击。

以文献[2]所提系统为例,为了检测某种网络攻击,首先必须去描述它,从来自网络的大量数据包中提取出攻击特征。

特征是对已知的攻击行为的描述,特征必须能够准确地描述某一种或一类攻击行为的特点。

理想情况下,通过特征应该可以发现恶意攻击或攻击企图,同时不会对正常的网络流量产生影响。

通过对攻击分类方法的研究,发现有以下几种攻击特征描述方法:(1)从基本网络协议特征方面(如包头特征)描述攻击。

TCP/IP 协议作为实际的网络互连协议,由于其在设计之初未充分考虑到安全问题,使得黑客钻了协议的漏洞。

黑客通过对包头各位属性值的设置达到某种攻击的企图。

如Land 攻击就是使用相同的IP 和端口作为源地址和目的地址。

因此,某些数据包头的特殊字段可以用来描述网络攻击特征。

(2)从负载内容描述攻击。

有些攻击是基于内容实现的,仅检查数据包头是检测不出来的。

此类的攻击检测时不仅要解析IP 、TCP 及UDP 等类型数据包头,也要提取包的负载数据,才能发现一些攻击代码。

如对于攻击模式“GET/cgi 2bin/./p hf ”,就是对负载数据进行检测。

(3)从网络流量特征描述攻击。

有些网络攻击不是通过发送几个数据包就能够完成的,而是通过发送一定数量的数据包才能实现,这就需要分析一段时间内的网络流量来描述这些攻击行为的攻击特征。

最典型的是DDOS 攻击和端口扫描攻击,此类攻击需跨越多个数据流才能完成。

根据上述3种攻击描述方法,把Snort 中入侵检测规则分为:包头检测规则、负载检测规则和跨流检测规则。

3　基于攻击特征描述的网络检测模型面对高速的网络数据流,人们除了在改进检测算法方面给出很多应对措施[4],在体系结构方面也给出了一些方案。

利用后端的低速设备组成并行集群系统[5],就是一种很好的方法。

通过把高速的数据流均衡地分配到多台检测节点,使每个节点都可以在接受的能力范围内工作,来解决丢包问题。

结合上述3种攻击特征描述方法,提出系统模型如图2所示。

图2　基于攻击特征描述的网络入侵检测模型311　分层检测模型分为3个层次,每一层使用不同的入侵检测规则进行匹配检测。

数据包到达后先进行包头规则检测,然后分流,再对各支流分别实施跨数据流的规则检测,最后是负载规则检测。

数据包匹配了则告警,丢弃该数据包;若没有匹配(前两层),则数据包传到下面一层,继续检测。

3个层次分别对应使用上面的3种入侵检测规则,各自能够检测出恶意的数据包,结合起来完成整个入侵检测过程。

312　负载均衡在入侵检测的过程中,检测节点由于处理速932　第2期刘庆俞,等:一种基于攻击特征描述的网络入侵检测模型度跟不上前端数据流,而产生丢包,可能漏掉可疑的数据,从而对系统和网络造成危害。

将高速数据按照某种策略进行分流,再采用均衡分配技术由多台低速设备联合检测可以在一定程度上解决此问题。

实现数据分流可以有多种策略[6],可以按应用层协议分类,如按H T TP、F TP协议等分流;也可以按Snort检测规则类型分类,如按TCP、UDP及ICMP等分流。

在现实网络环境中,各种类型的网络流量可能存在较大差别,如Http流量很大,则再对此类大的网络支流运用负载均衡技术。

根据各节点的性能和负载的差异[7],各节点可以接收相应比例的数据流,不至于使有的节点重载,而有的节点轻载或处于空闲状态,从而提高整体资源利用率,减少数据检测的时间。

考虑到系统是用于在大量数据包中检测入侵,在负载分配的时候不可能获得绝对的均衡,如果以单个数据包为单位分配就不可行。

为了确保检测的准确性,必须尽量使属于同一个攻击的数据包发到后端同一个检测设备上。

以一个TCP 流为一个基本分配粒度,用(源IP、源Port、目的IP及目的Port)来惟一标识一个数据流。

在数据包分配过程中,采用动态反馈的方法,根据后端检测设备实际负载情况来分配数据流,如以链接数目为负载指标,将新来的数据流分配到链接数目最少的检测设备上。

动态负载均衡很好地解决了在网络突发数据流时对数据包的控制问题,UDP 包处理类似。

313　模型检测过程(1)包头规则检测。

在TCP/IP网络体系结构中,网络数据包是高度规则结构化的。

数据包头的各位属性是确定的,因此对于包头的解析和规则检测变得相对快速和简单。

根据文献[8],在网络中可能高达60%的数据包是40～44B的带各种标志位的空报文。

在高速数据分流之前调用包头检测规则进行检测,过滤掉一部分数据包,减轻后续匹配检测的负担。

在Snort21010版本中,据统计有165条只需要数据包头部检测的规则。