Linux中AIDE入侵检测系统应用论文
计算机应用毕业论文浅谈计算机网络安全维护中入侵检测技术的有效应用
浅谈计算机网络安全维护中入侵检测技术的有效应用一、入侵检测零碎的分类入侵检测零碎可以分为入侵检测、入侵进攻两大类。
其中入侵检测零碎是依据特定的平安战略，实时监控网络及零碎的运转形态，尽量在合法入侵顺序发起攻击前发现其攻击希图，从而进步网络零碎资源的完好性和失密性。
而随着网络攻击技术的日益进步，网络零碎中的平安破绽不时被发现，传统的入侵检测技术及防火墙技术对这些多变的平安成绩无法片面应对，于是入侵进攻零碎应运而生，它可以对流经的数据流量做深度感知与检测，丢弃歹意报文，阻断其攻击，限制滥用报文，维护带宽资源。
入侵检测零碎与入侵进攻零碎的区别在于：入侵检测只具有单纯的报警作用，而关于网络入侵无法做出进攻；而入侵进攻零碎则位于网络与防火墙的硬件设备两头，当其检测到歹意攻击时，会在这种攻击开端分散前将其阻止在外。
并且二者检测攻击的办法也不同，入侵进攻零碎对入网的数据包停止反省，在确定该数据包的真正用处的前提下，再对其能否可以进入网络停止判别。
二、入侵检测技术在维护计算机网络平安中的使用（一）基于网络的入侵检测基于网络的入侵检测方式有基于硬件的，也有基于软件的，不过二者的任务流程是相反的。
它们将网络接口的形式设置为混杂形式，以便于对全部流经该网段的数据停止时实监控，将其做出剖析，再和数据库中预定义的具有攻击特征做出比拟，从而将无害的攻击数据包辨认出来，做出呼应，并记载日志。
1.入侵检测的体系构造网络入侵检测的体系构造通常由三局部组成，辨别为Agent、Console以及Manager。
其中Agent的作用是对网段内的数据包停止监视，找出攻击信息并把相关的数据发送至管理器；Console的次要作用是担任搜集代理处的信息，显示出所受攻击的信息，把找出的攻击信息及相关数据发送至管理器；Manager的次要作用则是呼应配置攻击正告信息，控制台所发布的命令也由Manager来执行，再把代理所收回的攻击正告发送至控制台。
入侵检测系统在计算机网络安全中的设计与应用论文
入侵检测系统在计算机网络安全中的设计与应用论文入侵检测系统在计算机网络安全中的设计与应用论文随着现代计算机技术的快速发展，当前网络安全成为一个焦点话题，这也使网络入侵技术成为当前网络安全领域的研究重点。
入侵检测具体指的是监视或者在可能的情况下，阻止入侵或者是试图入侵系统资源的努力。
目前，网络入侵检测系统在工作的过程中不像路由器以及防火墙作为关键设备工作，可以指出网络入侵检测系统发展的关键路径。
网络入侵系统在工作的过程中即使出现了故障也并不会影响正常的工作，因此使用网络入侵检测系统的风险相比于主机入侵检测系统会更小。
1入侵检测系统框架模型互联网工作小组的入侵检测小组，在1996年就已经开发了安全事件报警的标准格式，即入侵检测交换格式。
入侵检测工作小组制定的这一格式对部分术语的使用进行了比较严格的规范，并且为了能够适应入侵检测系统所输出的安全事件信息的多样性，这一模型在客观上能够满足入侵检测系统各种功能要求和逻辑结构。
这样可以确保入侵检测系统在形式上可以有不同的特点。
在进行系统设计的过程当中根据系统所承担的具体任务以及其工作环境的不同，在进行搭建时可以选择独立的传感器、管理器等设备，其功能的实现也可以是一个设备当中所具有的不同的功能。
入侵检测系统在工作中，具体可以划分为3步，信息收集、数据分析、事件响应。
其中信息收集包括系统以及网络；数据分析的主要任务是将收集到的有关数据信息发送到检测引擎，检测引擎会通过模式匹配、统计分析、完整性分析3种手段对于收集的信息进行客观分析；在系统工作的过程中，检测到一个任务时会主动将报警发送到系统当中的管理器，管理器能够根据预先设计好的安全政策进行定义，对接收到的报警内容进行回应，并提出相关检疫。
2入侵检测系统结构2.1基于主机的入侵检测系统这一入侵系统在具体工作的过程当中，需要以应用程序日志等相关的审计记录文件作为重要数据来源。
通过对这些文件中的记录和共计签名进行比较，确定其是否可以进行匹配。
Linux环境下入侵检测系统的研究与实现
。 现 计 机 ２１． 代 算 ０１８ ０
开发 案例’
检 的 入 侵 检 测 产 品 中 ９ ％是 属 于 使 用 入 侵 模 板 进 行 模 ５ 式 匹 配 的 特 征 检 测 产 品 ．大 多 数 属 于 基 于 网 络 的入 侵
采 用 协 议 分 析 和 规 则 匹 配 相 结 合 的方 式 的 重 要 意 义 下 面 。 介 绍 一 个 在 Ｌｎ ｘ环 境 下 由笔 者所 在 的小 组 完 将 ｉｕ
＼ ＼ ＼
、
一
Ｌｎ ｘ环境 下入侵 检 测 系统 的研 究 与实现 ★ ｉｕ
罗 锋 ， 吴 卫东 ， 叶若 曦
（ 武汉 科 技 大 学 计算 机 学 院 网络 工 程 系 ， 汉 ４ ０ ６ ） 武 ３ ０ ５
摘
要 ：在 设 计 入侵 检 测 系统 时 ， 对 传 统 入侵 检 测 系统 中采 用的 模 式 匹配 方 法计 算 量 大 、 针 漏报 率
常 检 测 可 以检 测 未 知 的 人 侵 行 为 ， 系统 误 判 率 较 高 ． 但 而 误 用 检 测 准 确 率 较 高 。 不 能检 测 未 知 的 入 侵 行 为 ， 但
需要不断更新特征攻击库 ． 因此 。 在实际设计入侵 检测
系 统 时 ． 常将 两种 方 法结 合 起 来 ． 常 以此 来 提 高 系 统 的 准 确 性
和 误报 率 高 等缺 点 ， 出基 于 协议 分析 和 规 则 匹配 相 结 合 的方 法 ， 过 高 度 规 则 的 网络 协 提 通
议 优 势 来减 少 系统 的 工 作复 杂 度 ， 效 地提 高检 测 的准 确 性 并 降低 漏 报 率 。 有
关 键 词 ： 侵 检 测 ： 议 分 析： 入 协 网络 安 全
入侵检测系统研究毕业论
入侵检测系统研究毕业论摘要随着互联网的普及和应用，网络安全问题越来越受到人们的关注。
为了保障网络系统的安全，防范黑客攻击，入侵检测系统逐渐成为研究热点。
本文旨在探讨入侵检测系统的发展现状和未来发展趋势，介绍入侵检测系统的基本原理和分类方法，并结合实际案例详细分析了IDS的实现和性能，为进一步加强系统的安全性提供参考。
引言随着互联网技术的发展，网络安全成为了人们越来越关注的话题，因此入侵检测技术也逐渐受到重视。
传统的入侵检测技术主要基于规则的方法，但随着攻击技术的不断发展，对检测技术的要求也不断提高。
因此，发展基于机器学习和人工智能等技术的入侵检测系统成为了研究的方向。
本文将从入侵检测的发展现状和未来趋势、基本原理、方法分类和实现与性能分析等方面进行探讨。
入侵检测的发展现状和未来趋势入侵检测系统的发展经历了多个阶段，最初的入侵检测方法是基于规则的方法。
随着网络攻击技术的不断更新和发展，规则方法已经不能满足现代入侵检测的需要。
近年来，基于机器学习和人工智能等技术的入侵检测系统逐渐受到重视。
这些新型技术相比传统规则方法具有更好的鲁棒性和准确性，并能够检测到更加复杂的攻击行为。
未来的入侵检测技术趋势将会重视可扩展性和自适应性，同时融入更加高级的算法和技术。
入侵检测系统的基本原理入侵检测系统的基本原理是在网络流量中判断出异常信息（攻击信息）。
具体而言，检测方法主要有两种，一种是基于特征的方法，另一种是基于行为的方法。
基于特征的检测方法主要是通过预定义的一些规则进行流量判断，从而检测出有威胁的流量。
比如说，对某一IP地址进行一段时间的统计和分析，如果发现该IP地址的行为与正常使用行为不同，则可以判定为具有攻击特征的威胁行为。
而基于行为的检测方法则是通过对网络流量的所有数据进行收集和分析，然后识别出与网络正常行为不同的异常行为作为攻击特征。
入侵检测系统的分类方法入侵检测系统的分类主要分为以下三类：1.基于规则的入侵检测系统（Rule-Based IDS）基于规则的入侵检测系统通过事先设定的规则集进行检测，如果检测到数据符合某一条规则，就会判定为入侵行为。
毕业论文：入侵检测系统的设计与实现
入侵检测系统的设计与实现专业：计算机科学与技术班级：计算机091姓名：江朝林指导教师：王国豪摘要攻击者往往能绕开防火墙和杀毒软件来对目标进行攻击。
从其他方面提高计算机安全性越来越设立防火墙和杀毒软件是保护计算机安全的主要手段，但随着操作系统的安全隐患被越来越多的发现，迫切。
基于该思想，设计了一个ids（基于特征的入侵检测系统），目的是通过这个ids监视并分析网络流量来发现攻击企图或者攻击行为，采取报警、回复假的不可达信息或断开连接等手段，来保护计算机安全。
入侵检测技术是对传统的安全技术（如防火墙）的合理补充。
它通过监视主机系统或网络，能够对恶意或危害计算机资源的行为进行识别和响应。
通过与其它的安全产品的联动，还可以实现对入侵的有效阻止。
入侵检测系统的研究和实现已经成为当前网络安全的重要课题。
本次设计完成了一个ids的设计和实现，详细论述了该ids的结构和功能，阐述了相关概念和设计原理，并给出了部分关键代码。
最后总结了本次设计入侵检测系统的优点和缺陷，从性能方面对本次设计进行了评价。
1.2本课题研究的意义本课题是基于防火墙有自身的缺陷，不能为处于网络上的主机撑起完整的安全保护伞为出发点来研究的。
发展ids技术是安全形式所趋，发展有自主知识产权的、安全、可靠的ids对全球的网络安全有着重大的意义。
“评价一个ids有这样几个方面：（1）准确性；（2）性能；（3）完整性；（4）故障容错（fault tolerance）；（5）自身抵抗攻击能力；（6）及时性（timeliness）”。
[6]由于设计参考的是snort，因此这次设计的ids的各项性能和snort相仿，属于轻量级的ids（轻量级是指适合小网段使用）。
基于ids技术的不成熟以及snort在相关ids的产品中是比较成熟的一种，所以这次设计的ids的在现今阶段来说性能指标处于中上水平。
1.3本课题的研究方法第二章相关开发环境及技术2.1 c++语言c++，这个词在中国大陆的程序员圈子中通常被读做“c加加”，而西方的程序员通常读做“c plus plus”，它是一种使用非常广泛的计算机编程语言。
AIDE入侵检测系统的应用
AIDE入侵检测系统的应用AIDE（Advanced Intrusion Detection Environment，高级入侵检测环境）是一个基于文件完整性检查的开源入侵检测工具，其官方网站位于/，目前的最新稳定版本为0.15.1.AIDE通过构造指定文件的完整性样本库（快照），作为比对标准，当这些文件发生改动时，其对应的校验值也必然随之变化，AIDE可以识别这些变化从而提醒管理员。
AIDE监控的属性变化主要包括：权限、属主、属组、文件大小、创建时间、最后修改时间、最后访问时间、增加的大小以及链接数，并能够使用 SHA1、MD5等算法为每个文件生成校验码。
根据AIDE系统的入侵检测方式，正确的做法是选择在系统处于“干净”状态时建立（或者更新）样本库，如果在一个已经受感染的系统中建立样本库，则入侵检测结果将是不可信的。
另外，入侵检测的保护对象最好是不经常变动的文件，例如账号列表、服务配置、系统文件等，否则将会给识别哪些改动是入侵增加难度。
系统环境：RHEL 6.2 [2.6.32-220.el6.i686]软件环境：aide-0.14-3.el6.i686一、安装、配置aide程序1. 安装aide软件包[root@localhost ~]# yum -y install aide2. 调整aide.conf配置文件，指定要检测的对象[root@localhost ~]# vim /etc/aide.conf# Next decide what directories/files you want in database./boot NORMAL/bin NORMAL/sbin NORMAL#/opt NORMAL #//注释掉不希望检查的目录树#/root NORMAL/usr NORMAL！/usr/src NORMAL #//排除掉个别不希望检查的目录！/usr/tmp NORMAL！/etc/.*~ NORMAL/etc/exports NORMAL/etc/fstab NORMAL/etc/passwd NORMAL #//根据需要添加新的检测对象/etc/shadow NORMAL在配置检查属性时，NORMAL等同于R+rmd160+sha256，而PERMS等同于p+i+u+g+acl+se linux，也可以根据需要个别设置，具体可参考文件内的说明。
本科毕业设计-Linux网络入侵检测系统设计与实现
班级06035学号06035005本科毕业设计（论文）Linux网络入侵检测系统设计与实现——非法数据包的检测与分析学院经济管理学院专业电子商务学生姓名李贞飞指导教师姓名温浩宇摘要伴随着网络的迅速扩张，电子商务也如火如荼地发展。
然而，网络安全事件却时有发生，给电子商务经济的带来了很大的损失，电子商务要想持续高速地发展下去，必须首先解决网络安全问题。
而入侵检测技术作为网络安全技术的一个重要方面，它的发展必将推动电子商务的前进。
网络入侵检测系统是入侵检测系统的一个重要的分类，它能够提供实时的网络检测与响应。
本论文介绍了入侵检测系统及其检测原理，并在此基础上，采用模块化设计思想，设计并实现了一个网络入侵检测系统。
本论文详细介绍了入侵检测系统的几大功能模块的实现过程。
在入侵事件检测模块中，本软件采用了一种基于协议分析的规则匹配的方法，对简单的模式匹配法做了改进，极大的提高了系统的效率。
关键词：网络安全入侵检测系统 BPF过滤器网络协议规则匹配AbstractWith the rapid expansion of the internet, the electronic commerce is also developing like a raging fire. But the network security event occurs now and then, which brought the very big loss for the electronic commerce economy. Electronic business has had to solve the network security problem first to insure its continuing rapidly developing. Intrusion detection technology takes an important aspect of the network security technology. Its development will certainly impel the electronic commerce advance.NIDS (Network Intrusion Detection System) is one important classification of Intrusion Detection System. NIDS can provide a real-time network detection and response. This paper gives an introduction of the Intrusion Detection System and its detecting principle, and upon this foundation, we use the modular design thought, design and realize a Network Intrusion Detection System. This paper gives details of the realization process of Network Intrusion Detection System‟s several function modules. In the intrusion event detection module, we adopt an approach of rule-matching based on protocol analysis, which has made an improvement to the simple pattern-matching approach, and enormously enhanced the efficiency of system.Key words：network security IDS (Intrusion Detection System) BPF filter network protocol rule-matching目录第一章绪论 (1)1.1论文的背景及意义 (1)1.1.1 问题的提出 (1)1.1.2 设计的意义 (2)1.2国内外发展现状 (2)1.2.1 发展现状 (2)1.2.2 主要产品 (3)1.3论文结构 (4)第二章入侵检测系统及检测原理概述 (5)2.1入侵检测的产生及其定义 (5)2.1.1 入侵检测产生原因 (5)2.1.2 入侵检测的定义 (6)2.1.3 入侵检测系统的作用 (6)2.2入侵检测系统的分类 (6)2.2.1 主机入侵检测系统HIDS (6)2.2.2 网络入侵检测系统NIDS (7)2.3入侵检测系统的标准化 (7)2.3.1 入侵检测工作组IDWG (8)2.3.2 公共入侵检测框架CIDF (8)2.4入侵检测技术 (10)2.4.1 异常检测 (10)2.4.2 误用检测 (11)2.5入侵检测的发展方向 (13)第三章LINUX 网络入侵检测系统设计 (15)3.1系统设计原理 (15)3.2检测器的位置 (15)3.3数据源 (16)目录3.4系统的模块设计 (17)第四章网络数据包捕获模块的设计与实现 (19)4.1BPF机制 (19)4.1.1 几种分组捕获机制介绍 (19)4.1.2 BPF过滤机制 (20)4.1.3 BPF过滤规则 (20)4.2 LIBPCAP函数库 (21)4.2.1 Libpcap的一些重要函数; (21)4.2.2 pcap应用程序的常用设计 (22)4.3数据包捕获模块的实现 (23)4.3.1 程序中用到的几个重要的结构体 (23)4.3.2 函数实现 (23)第五章网络协议分析模块的设计与实现 (26)5.1网络协议基础 (26)5.1.1 TCP/IP模型 (26)5.1.2 TCP/IP分层 (27)5.1.3 数据包封装与分解 (27)5.1.4 以太网协议 (29)5.1.5 IP协议 (29)5.1.6 TCP协议 (30)5.1.7 UDP协议 (32)5.1.8 ICMP协议 (33)5.2协议分析模块的实现 (33)5.2.1 协议分析模块中函数相互调用关系 (34)5.2.2 几个重要的结构体 (34)5.2.2 代码实现 (36)第六章规则解析模块的设计与实现 (38)6.1入侵规则建立 (38)目录6.1.1 建立入侵事件描述语言 (38)6.1.2 特征与规则选项 (38)6.1.3 规则格式 (40)6.2规则解析模块的实现 (41)第七章入侵事件检测模块的设计与实现 (42)7.1入侵检测模块流程 (42)7.2获取协议变量 (43)7.3入侵事件检测模块的实现 (44)第八章存储模块的设计与实现 (47)8.1设计原理 (47)8.2数据库设计 (47)8.3存储模块的实现 (49)第九章模块测试 (51)9.1网络数据包捕获模块测试 (51)9.2协议分析模块测试 (51)9.2.1 ICMP协议分析测试 (51)9.2.2 TCP协议分析测试 (52)9.2.3 UDP协议分析测试 (53)9.3规则解析模块测试 (54)9.4入侵事件检测模块测试 (54)9.5数据库存储模块测试 (55)结论 (56)致谢 (57)参考文献 (59)第一章绪论1.1 论文的背景及意义1.1.1 问题的提出根据中国互联网网络信息中心2006年7月发布的《中国互联网发展状况统计报告》，我国的网民总数已达1.23亿。
免疫机制在计算机网络入侵检测中的应用
免疫机制在计算机网络入侵检测中的应用摘要：本文研究了负选择在人工免疫系统（AIS）网络入侵检测中的作用。
本文的工作重点是利用负选择作为网络流量异常检测器。
负选择算法的实验结果表明，在处理真实网络流量数据时存在严重的伸缩问题。
文章最后指出，在AIS 中，最合适的使用负选择是作为无效检测器的过滤器，而不是生成合格检测器。
关键词：免疫机制；计算机；网络入侵检测引言生物免疫系统已成功地保护人体免受各种外来病原体的侵害。
越来越多的计算机科学家仔细研究了这种有效的自然机制的成功，并提出了解决各种问题的计算机免疫模型，包括故障诊断、病毒检测和抵押欺诈检测。
在这些领域中，入侵检测是一个蓬勃发展的研究领域，在这一领域中，对人工免疫系统的使用进行了检查。
入侵检测的主要目的是检测系统内部人员和外部入侵者对计算机系统的未经授权使用、滥用和滥用。
目前，许多基于网络的入侵检测系统（IDS）都是采用多种方法开发的。
然而，建立有效的基于网络的身份证仍然存在着尚未解决的问题。
作为解决这些问题的一种方法，先前的工作确定了一套成功的基于网络的IDS的一般要求和三个设计目标。
一、免疫机制要求分布式、自组织和轻量级。
此外，介绍了满足这三个设计目标的免疫系统的一些显著特征。
预计这些特性的采用将有助于构建有效的基于网络的IDS。
提出了一个用于网络入侵检测的人工免疫模型，该模型由三个不同的进化阶段组成：阴性选择、克隆选择和基因库进化。
该模型并不是开发用于网络入侵检测的AIS 的第一次尝试。
建立人工免疫系统的各种方法主要是通过只实施一小部分整体人体免疫机制来尝试的。
这是因为免疫系统的本质是非常复杂和复杂的，因此很难在计算机上实现完美的免疫过程。
然而，从其他免疫学文献中可以看出，整体免疫反应是细胞、化学信号、酶等多种成分仔细协调的结果。
因此，为了使AIS的发展更简单和更适用而省略关键成分可能会产生不利影响影响AIS的性能。
这意味着，只有正确理解免疫系统关键组成部分的作用，并以正确的方式实施，才能预期适当的人工免疫反应。
基于服务器安全的入侵检测系统在Linux系统上实现
第４３卷增刊】２００３年１０月大连理工大学学报ＪｏｕｒｎａｌｏｆＤａｌｉａｎＵｎｉｖｅｒｓｉｔｙｏｆＴｅｃｈｎｏｌｏｇｙＶ０１．４３．ｓ１０ｃｔ．２００３文章编号：１０００—８６０８（２００３）ｓ１一Ｓ０４１—０４基于服务器安全的入侵检测系统在Ｌｉｎｕｘ系统上实现孙建华’（北京联合大学应用文理学院网络中心，北京１０００８３）摘要：为防止黑客入侵，提出一种在Ｌｉｎｕｘ环境下实现网络入侵检测系统的实现方法．此系统由嗅探器、分析器和处理嚣组成．程序用Ｃ语言实现．针对网络层与传输层的ＩＰ攻击、１ＣＭＰ攻击、ＵＤＰ攻击、ＴＣＰ攻击特征和数据掇做了详细的分析；在网络入侵检测的实现上，使用ＩＰ重组预处理和模式匹配相结台的方法，提升了系统检测网络攻击行为的能力．两种检测方法成为有效的互补．关键词：入侵检测｝ＴＣＰ／ＩＰ协议；Ｌｉｎｕｘ；Ｓｎｏｒｔ；Ｐｅｒｌ；网络攻击中图分类号：ＴＰ３９３；ＴＰ３１６．８文献标识码：Ａ０引言在网络高度发展的今天，互联网成为企业之间、个人与企业之间以及个人与个人之间进行通讯的主要途径．网络之所以得到如此普遍的应用，很大程度上在于选择了简单易用的网络协议ＴＣＰ／ＩＰ．为了实现易用性，ＴＣＰ／ＩＰ协议放弃了所有像ＩＢＭ、ＳＮＡ这样的商业网络协议中的保护机制，这就给黑客们更多攻击网络的机会．随着互联网在世界范围内的发展和普及，黑客攻击、电脑病毒等发生的概率越来越高．网络的安全漏洞给各种网上交易带来巨大破坏．然而，随着企业对其电子化的信息系统的依赖程度越来越高，越来越多的企业看中了互联网这个带有巨大潜在商机的交易媒体，争先构建各自的网上交易系统．当前网络安全的建设有着较大的漏洞：政府、银行、大企业等机构都有自己的内网资源．然而，企业经常在防火墙系统上投入相对较大的资金，在Ｉｎｔｅｒｎｅｔ入口处部署防火墙系统来保证安全，依赖防火墙建立网络的组织往往是“外紧内松”，无法阻止内部人员所做的攻击，对信息流的控制缺乏灵活性，从外面看似非常安全，但内部缺乏必要的安全措施．据统计，全球８０％以上的入侵来自于内部．由于性能的限制，防火墙通常不能提供实时的入侵检测能力，对于企业内部人员所做的攻击，防火墙形同虚设．网络的安全建设遍布ＯＳＩ模型的每一层，网络的安全管理是一个实时的动态过程，需要及时、主动地发现问题、解决问题．入侵检测系统可以存在于核心交换设备，或网络的任何位置．本文介绍针对业务服务器在Ｌｉｎｕｘ系统［１１上实现的入侵检测系统，是对防火墙及其他网络安全设置的补充．入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监听，从而提供对内部攻击、外部攻击和误操作的实时保护，大大提高了网络的安全性．１网络安全体系构建安全的网络体系包含网络群、系统群、数据群和应用群４个层面的内容．在图１中给出了网络的安全层次模型．网络群：包括构成网络的物理设备，如路由器、交换机、传输线缆以及服务器等，还包括这些物理设备的网络特性．网络群的另一个安全层次就是网络的安全性．利用网关的安全控制能力，限制节点通信和应用服务，通过加强对整个网络进行级别划分与控制，提高网络的安全保密性，系统群：涉及网络的核心交换设收藕日期：２００３—０６６５．作者简介：孙建华’（１９６０），女，剐教授，Ｅ—ｍａｉｌ：ｊｈｅｔｅｎｓ＠２６３．ＩｌｅｔＳ４２大连理工大学学报第４３卷备，服务器系统等系统之间的安全运行和访问．数据群：对网络上传输数据的保密性和完整性进行保护．数据群还包括用户对资源的访问控制以及资源管理系统对用户的授权等，这些功能可以在某些程度上结合应用系统本身依靠的平台，如数据库系统或群件系统的安全性来实现．应用群：合理地将用户分成组进行管理将会大大提高管理效率，降低管理复杂性和管理难度．也就是说，利用合理用户管理策略对用户进行管理的成效，要远远高于仅仅考虑对外部黑客手段的防范．用户安全管理登录验证应用群身份认征授权控制数据加密数据群访问控制审计分析风险评估人侵检测病毒防范系统群操作系统安全机科防火墙安全网关Ｉ网络群通信安全图１网络安全层次模型Ｆｉｇ．１Ｍｏｄｅｌｏｆｎｅｔｗｏｒｋｓａｆｅｔｙｈｉｅｒａｒｃｈｙ２入侵检测系统入侵检测系统是位于系统群的一种实时发现安全隐患的安全检测机制．具有监视分析用户和系统的行为、审计系统配置和漏洞、评估敏感系统和数据的完整性、识别攻击行为、对异常行为进行统计、自动地收集和系统相关的补丁、进行审计跟踪识别违反安全法规的行为、使用诱骗服务器记录黑客行为等功能，在不影响网络性能的前提下，使系统管理员可以较有效地监视、审计、评估自己的系统”］．基于网络的入侵检测系统通常利用一个运行在混杂模式下的网络适配器来实时监视并分析通过网络的所有通信业务．一旦检测到了攻击行为，入侵检测系统的响应模块就会对攻击采取相应的反应，如通知管理员、中断连接、终止用户等．２．１攻击特征任何网络攻击都具有其相应的攻击特征，只有总结出、识别出这种攻击特征，才能对其相应的攻击行为做出有效的防范．攻击总是针对某种协议的ｏ“．２．１．１１Ｐ攻击ＩＰ攻击特征包括（１）非法地址：源地址全为０或全为１；（２）非法地址：目的地址全为０或全为１；（３）使受攻击主机数据自发自收，本地资源逐步耗尽，源地址＝目的地址；（４）数据包长度溢出：（偏移量ｘ８）十ＤｇｍＬｅａ＞６５５３５；（５）数据包长度溢出：ＩＤ一１１０９｝（６）目前人侵检测只能检测单一数据包，而对ＩＰ碎片攻击不能防范，所以，对以下情况做特殊处理：ＭＦ一１且偏移量一０（为分片ＩＰ包的第一个），或偏移量不等于０的数据包，包括该数据包在内，凡与该数据包有相同ＩＤ者，均不得通过，并按１Ｄ相同者存储在一起于本地为原则．而后，对于被存储的，凡ＩＤ相同的数据包，将其中ＭＦ一０且偏移量不等于０的数据包做“偏移量×８”操作，若其值不等于其他非首个分片ＩＰ数据包的ＦｒａｇＳｉｚｅ与首个分片ＩＰ数据包的ＤｇｍＬｅｎ之和，则此类数据包视为存在攻击行为．２．１．２ＩＣＭＰ攻击ＩＣＭＰ协议是无连接的，也就是说只要发送端完成ＩＣＭＰ报文的封装并传递给路由器，这个报文将会像邮包一样自己去寻找目的地址，这个特点使得ＩＣＭＰ协议非常灵活快捷，但是同时也带来一个致命的缺陷——易伪造，任何人都可以伪造一个ＩＣＭＰ报文并发送出去，伪造者可以编程直接改写报文的ＩＣＭＰ首部和ＩＰ首部，这样的报文携带的源地址是伪造的，在目的端根本无法追查，更难以与攻击特征进行匹配．３种ＩＣＭＰ攻击：（１）ＩＣＭＰ／Ｉ’ＩＮＧ攻击．利用一些系统不能接受超大的ＩＰ包或需要资源处理这一特性，导致被攻击目标的无法正常工作．（２）ＩＣＭＰ／ＳＭＵＲＦ攻击．利用的是网络广播的原理来发送大量的地址，而包的源地址就是要攻击的机器本身的地址，而所有接收到此包的主机都将给发包的地址发送一个ＩＣＭＰ回复包，导致被攻击目标繁忙死机．（３）目的地不可到达攻击．ＩＣＭＰ目的地不可到达消息向尝试转发消息的网关提供了一种工具，用来通知发送方：因为在数据报目的地址中指定的主机不可到达，从而无法传递该消息，致使网络瘫痪．则有相应的匹配字符①协议：ＩＣＭＰ；类型：８，０；代码：０．③掷议：ＩＣＭＰ；类型：８，０；代码：０或协议：ＩＣＭＰ；类型：１５，１６；代码：０．③协议：ＩＣＭＰ；类型：３；代码：０，１，２，３，４，５．２．１．３ＵＤＰ攻击ＵＤＰ攻击特征包括：（１）使受攻击主机数据自发自收，资源逐步耗尽，源端口增刊１孙建华：基于服务器安全的入侵检测系统在Ｌｉｎｕｘ系统上实现Ｓ４３＝目的端口，目的端口号指向本地网站非服务连接端１２１（端口号根据本地系统所提供的服务而定）．（２）在一次ＵＤＰ攻击中，攻击者伪造出一个请求，将一个系统的ＵＤＰ开启测试服务程序（ｃｈａｒｇｅｎ），与另一个系统的ＵＤＰ应答程序（ｅｃｈｏ）连在一起．ＵＤＰ开启测试服务程序是一个用于测试的从收到的数据包产生字符的程序．结果是，由ＵＤＰ开启测试服务程序伪随机产生的字符在两个系统间不停地被反射，使得带宽资源被消耗，合法应用程序的带宽要求得不到满足．２．１．４ＴＣＰ攻击ＴＣＰ攻击特征包括：（１）使受攻击主机数据自发自收，资源逐步耗尽，源端口＝目的端口．（２）目的端口号指向本地网站非服务连接端口（端口号根据本地系统所提供的服务而定）．（３）ＳＹＮＦＩ。
入侵检测系统论文入侵检测技术论文
入侵检测系统论文入侵检测技术论文摘要：入侵检测技术是保证计算机网络安全的核心技术之一，在保护计算机安全方面起着越来越重要的作用。
本文从介绍入侵检测系统的概念入手，对入侵检测系统的功能、分类以及入侵检测技术这三个方面进行了讨论。
关键词：入侵检测系统；入侵检测技术brief overview of intrusion detection systemchen jing(air force 95259 troops,guangzhou510500,china)abstract:intrusion detection technology is to ensure that the core technology of computer network security is one aspect in the protection of computer security is playing an increasingly importantrole.intrusion detection system.this paper describes the concept,the function of intrusion detection systems,classification and intrusion detection technologies are discussed in three areas.keywords:intrusion detection system;intrusion detection technology随着信息和网络技术的高速发展以及政治、经济或者军事利益的驱动，计算机和网络基础设施，特别是各种官方机构的网站，成为黑客攻击的热门目标。
由于防火墙只防外不防内，并且很容易被绕过，所以仅仅依赖防火墙的计算机系统已经不能对付日益猖獗的入侵行为，对付入侵行为的第二道防线——入侵检测系统就被启用了。
入侵检测技术在Linux网络系统中的应用研究
入侵检测技术在Linux网络系统中的应用研究朱娜【期刊名称】《信息安全与技术》【年(卷),期】2015(000)003【摘要】With the deveIopment and popuIarization of Linux network operating system, which has been wideIy used in eIectric power communication, financiaI securities, e-commerce and other fieIds, and achieved significant resuIts. Linux network operating system brings great advantage at the same time, the potentiaI threats has intensified, openness has because of its potentiaI threat, more. In this paper the author years of Linux defense system based on practice experience, detaiIed introduces the process, method of appIication and the future deveIopment trend of intrusion detection technoIogy, improve the defense abiIity of Linux network operating system.%随着Linux网络操作系统的普及和发展，其已经在电力通信、金融证券、电子商务等领域得到了广泛的应用，取得了显著的效果。
在Linux网络操作系统带来极大优势的同时，潜在的威胁也在加剧，因其自身具有的开放性特征，受到的潜在威胁更大。
Linux入侵检测系统的实现
摘要：介绍了入侵检测系统的设计原理和整体框架。
阐述并实现了入侵过程以及相应的规则解析引擎。
关键词：入侵检测数据包捕获网络安全漏洞扫描1入侵检测系统的构成与实现系统主要由5个模块组成：网络数据包捕获模块、网络协议分析模块、响应模块、入侵事件检测模块、规则解析模块。
网络数据包捕获模块是系统最开始的部分，主要功能就是从以太网中捕获数据包。
如何捕获数据包，在Linux系统中，可以使用系统底层调用来实现，也可以使用相应的高层调用来实现。
为了提高数据包的捕获效率，系统使用了一个在Linux下非常流行的捕获机制，即BPF机制。
1.1网络数据包捕获模块的设计与实现网络数据包捕获模块，首先将网络接口设为混杂模式，将网络上的数据包捕获下来，供协议分析模块使用。
网络监听模块的过滤功能的效率是模块的关键，对于网络上的每一个数据包都会使用模块过滤，判断是否符合过滤条件。
为提高效率，数据包过滤应该在系统内核里来实现。
系统采用了专门为数据监听应用程序设计的开发包Libpcap来实现该功能，开发包里内置了内核层实现的BPF过滤机制和许多接口函数。
1.1.1设置网络接口为混杂模式网络接口的混杂模式使得一个网络接口设备从只能读取目标地址为6字节MAC地址的数据包，变为可读取网络广播媒体中的所有数据包。
1.1.2用socket函数来打开Socket设备。
sock=socket(AF_PACKET，SOCK_RAW，htons(ETH_P_ALL))domain域使用AF_PACKET，能够既接收链路层也接收网络层的数据包。
1.1.3接收数据使用recvfrom()函数来实现接收数据包：recvfrom(sock。
(char*)buf,sizeof(bur)，O，(struet soekaddr*)&addr,&len)这是从打开的网络插座Socket读取数据包的地方，但要注意，addr结构有一个强制类型转换，以适应recvfrom()函数的语法要求。
Linux中AIDE入侵检测系统的应用
1Linux 的入侵检测系统Linux 作为一种开源的操作系统,由于其源代码的开放性,使得这个系统在目前的操作系统市场(特别是服务器领域)所占的份额出现日益增长的趋势。
但是任何事物都具有两面性,Linux 系统当然也不例外,在它逐渐被人们所接受的同时,系统的安全性问题也变得非常重要了。
由于Linux 系统的开放性,可以在网络上找到许多程序和工具,这既方便了用户,同时也方便了黑客,他们通过这些程序和工具潜入Linux 系统,或者盗取Linux 系统内的重要信息。
为此,Linux 也提供了很多安全机制用于防范和解决各种网络攻击。
本文主要探讨Linux 的入侵检测系统。
Intrusion Detection System(IDS,入侵检测系统)是指对系统入侵行为的检测,主要通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析,从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
1.1入侵检测系统的功能通常,入侵检测系统具有如下几个功能:(1)监控、分析用户和系统的活动;(2)检查系统配置和漏洞;(3)评估关键系统和数据文件的完整性;(4)识别攻击的活动模式并向网管人员报警;(5)对异常活动的统计分析;(6)操作系统审计跟踪管理,识别违反政策的用户活动。
1.2入侵检测系统的分类按照技术以及功能来划分,入侵检测系统可以分为如下几类:(1)基于主机的入侵检测系统:其输入数据来源于系统的审计日志,一般只能检测该主机上发生的入侵;(2)基于网络的入侵检测系统:其输入数据来源于网络的信息流,能够检测该网段上发生的网络入侵;(3)采用上述两种数据来源的分布式入侵检测系统:能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统,一般为分布式结构,由多个部件组成。
1.3入侵检测系统的结构入侵检测系统的结构如下图所示。
(1)“包抓取引擎”从网络上抓取数据包;(2)“包分析引擎”对数据包做简单处理如IP 重组、TCP 流重组,并根据规则库判断是否为可疑或入侵的数据包;(3)“规则库”是入侵检测系统的知识库,定义了各种入侵的知识;(4)“响应模块”是当系统发现一个可疑的数据包时所采取的响应手段。
入侵检测论文
入侵检测技术论文1. 引言随着互联网技术的高速发展，计算机网络的结构变的越来越复杂，计算机的工作模式有传统的以单机为主的模式向基于网络的分布式模式转化，而由此引发的网络入侵的风险性也随之大大增加，网络安全与信息安全问题成为人们高度重视的问题。
每年全球因计算机网络的安全问题而造成的经济损失高达数百亿美元，且这个数字正在不断增加。
传统的加密和防火墙技术等被动防范技术已经不能完全满足现今的安全需要，想要保证网络信息和网络秩序的安全，就必须要更强有力和更完善的安全保护技术。
近年来，入侵检测技术以其强有力的安全保护功能进入了人们的视野，也在研究领域形成了热点。
入侵检测技术是近年来飞速发展起来的一种动态的集监控、预防和抵御系统入侵行为为一体的新型安全机制。
作为传统安全机制的补充，入侵检测技术不再是被动的对入侵行为进行识别和防护，而是能够提出预警并实行相应反应动作。
入侵检测系统（IDS,Intrusion Detection System）可以识别针对计算机系统和网络系统，或更广泛意义上的信息系统的非法攻击，包括检测外界非法入侵者的恶意攻击或试探，以及内部合法用户的超越使用权限的非法行动。
通常来说入侵检测是对计算机和网络资源上的恶意使用行为进行识别和相应处理的过程，具有智能监控、实时探测、动态响应、易于配置等特点。
1．入侵检测系统的发展历程入侵检测是一种主动的网络安全防御措施。
入侵检测技术就是采取技术手段发现入侵和入侵企图，以便采取有效的措施来堵塞漏洞和修复系统，使用入侵检测技术具有入侵检测功能的网络安全系统称为入侵检测系统。
1.1 入侵检测概念的提出1980年，James Anderson在为美国空军所做的技术报告《Computer Security Threat Monitoring and Surveillance 》中首次提出了入侵检测的概念，提出可以通过审计踪迹来检测对文件的非授权访问，并给出了一些基本术语的定义，包括威胁、攻击、渗透、脆弱性等等。
入侵检测技术毕业论文
毕业设计开题报告学生姓名徐盼学号 201402081117专业计算机网络技术班级网络201401班指导教师刘烨开题时间2016年10月20日黄冈职业技术学院电子信息学院电子信息学院毕业设计开题报告学业作品题目入侵检测技术应用学生姓名徐盼学号 201402081117专业计算机网络技术班级网络201401班指导教师刘烨完成日期 2016 年 11月 20日目录摘要 (6)关键词 (6)第一章绪论 (7)1.2 入侵检测技术的历史 (7)1.3 本课题研究的途径与意义 (8)第二章入侵检测技术原理 (9)2.1 入侵检测的工作流程 (9)2.1.1 数据收集 (9)2.1.2 数据提取 (9)2.1.3数据分析 (10)2.1.4 结果处理 (10)2.2入侵检测技术的检测模型 (10)2.2.1 异常检测模型 (10)2.2.2 误用检测模型 (11)第三章入侵检测技术功能概要 (11)第四章入侵检测系统实验案例分析 (12)4.1 配置Snort选项 (12)4.2 测试Snort (13)4.3 攻击与检测过程 (14)4.3.1 攻击过程 (14)4.3.2 Snort运行过程 (14)4.4 检测结果分析 (14)第五章入侵检测技术的缺点和改进 (15)5.1 入侵检测技术所面临的问题 (15)5.2 入侵检测技术的改进发展 (16)总结 (16)致谢 (17)参考文献 (17)摘要近年来随着计算机网络的迅速发展，网络安全问题越来越受到人们的重视。
从网络安全角度来看，防火墙等防护技术只是被动安全防御技术，只是尽量阻止攻击或延缓攻击，只会依照特定的规则，允许或是限制传输的数据通过。
在网络环境下不但攻击手段层出不穷，而且操作系统、安全系统也可能存在诸多未知的漏洞，这就需要引入主动防御技术对系统安全加以补充，目前主动防御技术主要就是入侵检测技术。
本文从入侵检测技术的发展入手，研究、分析了入侵检测技术和入侵检测系统的原理、应用、信息收集和分析、数据的处理及其优缺点和未来的发展方向。
基于Linux的小型网络入侵检测防御系统的设计
基于Linux的小型网络入侵检测防御系统的设计摘要随着Linux操作系统与网络技术的迅猛发展，基于Linux操作系统的小型网络安全形势也日趋严峻和复杂化。
网络入侵者的攻击技术与攻击手段也在不断变化，构建高效的入侵检测防御系统是保护计算机网络安全的直接解决途径。
本文通过分析常见的网络攻击方式，对Linux操作系统下对网络入侵检测防御系统的设计原理进行了浅要的研究。
关键词linux；网络入侵；防御；系统设计0 引言随着Linux操作系统与网络技术的迅猛发展，基于Linux操作系统构建的小型网络安全形势也日趋严峻和复杂化，各种计算机安全事件的数量正在不断增长。
面对小型网络的安全防御问题，如何构建安全的网络入侵检测防御系统，成为目前计算机网络面临的首要问题。
由于网络入侵者采用的攻击技术与攻击手段不断地变化，功能更为强大，更具针对性和欺骗性，构建高效的入侵检测防御系统是保护计算机网络安全的直接解决途径。
目前，在Linux环境下的主流入侵防御技术是构建特征入侵的防御系统。
特征入侵，就是网络或系统中存在违反安全策略的行为和攻击行为。
入侵检测防御系统，就是采用主动的入侵检测技术检测系统中的这些违反安全策略行为和攻击行为的系统。
作为一种重要的安全防护工具，入侵检测防御系统的作用已经超过了防火墙的概念。
本文通过分析常见的网络攻击方式，对Linux操作系统下对网络入侵检测防御系统的设计原理和设计实现进行了探讨。
1 入侵检测防御系统入侵检测防御系统是为了检测黑客通过病毒等手段有意攻击计算机网络和计算机系统而构建的检测防御系统。
入侵检测防御系统应具有捕获符合指定条件的网络数据包、数据预处理、入侵分析以及告警、简单防御攻击行为、诱骗攻击者、获取对方攻击意图、获取攻击者的简单资料等信息的能力。
2 常见的网络攻击方式如果想要避免Linux网络遭受黑客的攻击，就必须对黑客的攻击方法、攻击原理以及攻击过程有深入详细的了解。
这样才能设计出有效的主动检测防御系统。
入侵检测系统设计论文
(此文档为word格式，下载后您可任意编辑修改！)摘要入侵检测技术是对传统的安全技术（如防火墙）的合理补充。
它通过监视主机系统或网络，能够对恶意或危害计算机资源的行为进行识别和响应。
通过与其它的安全产品的联动，还可以实现对入侵的有效阻止。
入侵检测系统的研究和实现已经成为当前网络安全的重要课题。
本文从研究入侵技术入手，分析了入侵过程的各个阶段、各种入侵方法，总结了网络安全事故的根源。
然后，介绍了入侵检测方法的分类，分析了各种入侵检测方法和字符串匹配的算法。
研究表明基于规则的入侵检测系统是现在入侵检测系统设计的最主要的技术，基于这一理论，设计开发了一个基于规则匹配的网络数据包分析工具。
系统开发环境为VC++ 6.0，数据库采用MYSQL数据库。
通过该系统可以有效的实现对入侵的检测，并且具有用户友好性。
关键词:入侵检测；响应模块；规则匹配目录论文总页数：26页1 引言 (1)1.1 背景 (1)1.2 国内外研究现状 (1)1.3 本文的主要工作 (1)2 理论基础 (1)2.1 入侵基本概念 (2)2.1.1 安全与入侵的概念 (2)2.1.2 入侵的步骤 (2)2.1.3 黑客攻击的方法 (3)2.1.4 安全威胁的根源 (6)2.2 入侵检测技术 (6)2.2.1 入侵检测的概念 (6)2.2.2 入侵检测系统的基本结构构成 (7)2.2.3 入侵检测的分类 (7)2.2.4 入侵检测方法 (9)2.3 BM算法 (11)3 系统总体设计 (13)3.1 系统概述 (13)3.2 系统总体结构框架 (13)3.3 开发环境 (14)4 响应模块设计实现 (14)4.1 规则库设计实现 (14)4.2 事件分析设计与实现 (17)4.2.1 规则解析 (17)4.2.2 规则匹配流程 (18)4.3 输出模块的设计 (19)4.3.1 响应输出流程 (19)4.3.2 日志数据库设计 (20)4.4 模块集成实现 (20)5 系统测试和分析 (21)5.1 攻击检测测试 (21)5.1.1 测试目的 (21)5.1.2 测试过程 (21)5.1.3 测试结果分析 (21)5.2 误报和漏报测试 (22)5.2.1 测试目的 (22)5.2.2 测试过程 (22)5.2.3 测试结果分析 (23)结论 (23)参考文献 (24)致谢 (25)声明 (26)1引言1.1背景近年来，随着信息和网络技术的高速发展以及其它的一些利益的驱动，计算机和网络基础设施，特别是各种官方机构网站成为黑客攻击的目标，近年来由于对电子商务的热切需求，更加激化了各种入侵事件增长的趋势。
入侵检测系统论文异常检测模式论文
入侵检测系统论文异常检测模式论文摘要：本文分析了目前常用的入侵检测技术，并对其性能参数进行了详细的分析，提出了基于混合检测模式的入侵检测模型，该检测模型综合使用异常检测模式和误用检测模式，两种模式的综合使用，弥补各检测模式所存在的不足，基于混合检测模式的使用能够极大的提高入侵检测系统的网络攻击检测率，同时大大的降低了网络攻击检测的误报率，具有较强的实用性。
关键词：入侵检测系统；异常检测模式；误用检测模式；混合检测模式intrusion detection model research based on mixed detection modezhong rui(modern education technology center,gannan normal university,ganzhou341000,china)abstract:this paper analyses the frequently-used intrusion detection technology function in details.the author has proposed intrusion detection model based on mixed mode,which combines the abnormal detection mode with misuse detection mode.the integrated use of these two modes makes up for disadvantages of both modes.theintrusion detection model based on mixed mode could extremely improve network attack detection rate of intrusion detection system,in the meanwhile it reduces the network attack false positive rate and has strong practicability.keywords:intrusion detection system;abnormal detection mode;misuse detection mode;mixed detection mode一、引言随着互联网技术的飞速发展，各种互联网的应用层出不穷，给人们的生活带来了极大的便利，由于互联网的开放性和互联性，在给人们带来便利的同时也留下了诸多不安全的隐患，各种病毒和木马在互联网上肆意传播，网络安全问题成为互联网上最为棘手的技术难题。
基于LINUX下桥模式的入侵检测系统的研究
基于ＬＩＮＵＸ下桥模式的入侵检测系统的研究本文设计的基于Linux2.6内核桥模式的入侵检测系统，有别于传统网络入侵检测系统旁路监听的方式，它使用了桥模式的入侵检测方式，对数据包的检测在数据链路层进行，以此达到数据包检测快速、高效的目的。
对该系统在真实网络环境下进行的正常访问及入侵测试试验表明：本文设计的基于Linux桥模式的入侵检测系统达到了无漏报、快速、高效的效果，可以有效的检测入侵，同时保障了对正常访问的响应。
标签：入侵检测系统Linux 网络安全桥模式一、引言入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。
常见的有基于网络的入侵检测和基于主机的入侵检测系统:基于主机的入侵检测系统HIDS （HOST Intrusion Detection System）实时监视可疑的连接、非法访问的闯入等；基于网络的入侵检测系统NIDS（Net Intrusion Detection System）在關键的网段或交换部位侦听。
在实际的部署中，传统NIDS是并接在网络中，通过旁路监听的方式实时地监视网络中的流量，判断其中是否含有攻击的企图。
传统NIDS工作在应用层和网络层。
所抓的数据包由底层向上传，经过分析判断后再向下送，有较长的网络延迟。
而且特征代码库中特征代码的匹配的计算量大，计算速度慢，容易形成网络瓶颈。
当攻击者向被保护网络发送大量的数据，超过NIDS的处理能力，从而使被监听的端口流量总和超过监听端口的上限，会发生丢包的情况，而可能导致入侵行为漏报“false negative”。
还有，当Web 服务器已超载，不能够再处理更多的连接请求时，NIDS会以为该服务器正在受到拒绝服务的攻击，容易出现假警报“false positive”(误警)，将良性流量误认为恶性的。
据统计，目前NIDS的告警信息中，仅有10%是有用的，因此需要提高NIDS 的检测速度，无遗漏的检测数据包，进行快速处理以适应高速网络通信的要求。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
Linux中AIDE入侵检测系统的应用【摘要】随着linux系统在实际生产环境中被应用的越来越广泛，linux系统的安全性问题也变得越来越重要了。
linux系统提供了非常多的安全机制。
本文就目前应用的比较多而且也比较方便的一种系统入侵检测工具aide进行了探讨。
并举例详细阐述了aide 在linux系统中的应用方法，也对这种工具的不足之处做了简单说明。
【关键词】linux；安全；入侵检测系统；aide
1 linux的入侵检测系统
linux作为一种开源的操作系统，由于其源代码的开放性，使得这个系统在目前的操作系统市场（特别是服务器领域）所占的份额出现日益增长的趋势。
但是任何事物都具有两面性，linux系统当然也不例外，在它逐渐被人们所接受的同时，系统的安全性问题也变得非常重要了。
由于linux系统的开放性，可以在网络上找到许多程序和工具，这既方便了用户，同时也方便了黑客，他们通过这些程序和工具潜入linux系统，或者盗取linux系统内的重要信息。
为此，linux也提供了很多安全机制用于防范和解决各种网络攻击。
本文主要探讨linux的入侵检测系统。
intrusion detection system（ids，入侵检测系统）是指对系统入侵行为的检测，主要通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。
1.1 入侵检测系统的功能
通常，入侵检测系统具有如下几个功能：
（1）监控、分析用户和系统的活动；
（2）检查系统配置和漏洞；
（3）评估关键系统和数据文件的完整性；
（4）识别攻击的活动模式并向网管人员报警；
（5）对异常活动的统计分析；
（6）操作系统审计跟踪管理，识别违反政策的用户活动。
1.2 入侵检测系统的分类
按照技术以及功能来划分，入侵检测系统可以分为如下几类：（1）基于主机的入侵检测系统：其输入数据来源于系统的审计日志，一般只能检测该主机上发生的入侵；
（2）基于网络的入侵检测系统：其输入数据来源于网络的信息流，能够检测该网段上发生的网络入侵；
（3）采用上述两种数据来源的分布式入侵检测系统：能够同时分析来自主机系统审计日志和网络数据流的入侵检测系统，一般为分布式结构，由多个部件组成。
1.3 入侵检测系统的结构
入侵检测系统的结构如下图所示。
（1）“包抓取引擎”从网络上抓取数据包；
（2）“包分析引擎”对数据包做简单处理如ip重组、tcp流重组，并根据规则库判断是否为可疑或入侵的数据包；
（3）“规则库”是入侵检测系统的知识库，定义了各种入侵的知识；
（4）“响应模块”是当系统发现一个可疑的数据包时所采取的响应手段。
其中，“包分析引擎”是整个系统的核心所在，对入侵特征的检测在这里完成。
图1 ids系统结构图
2 aide入侵检测工具
linux系统一旦被入侵，应该重装系统，但是，在实际的生产环境中，服务器是不可能重装的，甚至连重新启动都是不可以的！所以，应该为之部署一套入侵检测系统，当装完系统之后，将系统状态备份一份，一旦被入侵，可以及时检测到并采取适当的恢复措施。
2.1 aide入侵检测工具简介
aide（advanced intrusion detection environment，高级入侵检测环境）是一个入侵检测工具，主要用于检查文件的完整性。
aide能够构造一个指定文件的数据库，它使用aide.conf为配置文件。
aide数据库能够保存文件的各种属性，包括：权限（permission）、索引节点号（inode number）、所属用户（user）、所属用户组（group）、文件大小、文件最后修改时间（mtime）、文件创建时间（ctime）、最后访问时间（atime）、增加的大小以及连接数。
aide还能够使用下列算法：sha1、md5、rmd160、tiger，以密文形式建立每个文件的检验码或散列号。
2.2 aide入侵检测工具的优点
在系统安装完毕，要连接到网络上之前，系统管理员应该建立新系统的aide数据库。
这第一个aide数据库是系统的一个快照和以后系统升级的参照。
数据库应该包含这些信息：关键的系统二进制可执行程序、动态链接库、头文件以及其它总是保持不变的文件。
这个数据库不应该保存那些经常变动的文件信息，例如：日志文件、邮件、/proc文件系统、用户起始目录以及临时目录。
一旦发现系统被入侵，系统管理员可能会使用ls、ps、netstat 以及who等系统工具对系统进行检查，但是所有这些工具都可能被木马程序代替了。
可以想象被修改的ls程序将不会显示任何有关入侵的文件信息，ps也不会显示任何入侵进程的信息。
即使系统管理员已经把关键的系统文件的日期、大小等信息都打印到了纸上，恐怕也无法通过比较知道它们是否被修改过了，因为文件日期、大小等信息是非常容易改变的，一些比较好的rootkit可以很轻松地对这些信息进行假冒。
虽然文件的日期、大小等信息可能被假冒，但是假冒某个文件的一个加密校验码（例如：mk5）就非常困难了，更不要说假冒所有aide支持的校验码了。
在系统被入侵后，系统管理员只要重新运行aide，就能够很快识别出哪些关键文件被攻击者修改过了。
不过，要注意这也不是绝对的，因为aide可执行程序的二进制文件本身可能被修改了或者数据库也被修改了。
因此，应该把aide 的数据库放到安全的地方，而且进行检查时要使用保证没有被修改
过的程序。
3 aide入侵检测工具在linux系统中的应用
系统环境：rhel6.0
软件环境：aide-0.14-3.el6.i686
3.1 安装、配置aide程序
（1）安装aide软件包
执行命令yum -y install aide
（2）调整aide.conf配置文件，指定要检测的对象
执行命令vim /etc/aide.conf打开配置文件，并在配置文件中按检测的需要作相应的修改。
3.2 建立、更新数据库
（1）执行初始化，生成第一份数据库
执行命令aide - -init生成一个新数据库aide.db.new.gz，接下来需要将就的数据库aide.db.gz替换掉才能正常使用。
执行命令mv aide.db.new.gz aide.db.gz将之替换。
（2）对系统所做的正常修改，可更新至数据库
有时，对系统的修改是系统管理员所做的正常修改，而并不是黑客入侵所致，在这种情况下，可以执行命令aide - -update将之更新为新的数据库，同样需要执行命令mv aide.db.new.gz aide.db.gz替换掉旧的数据库。
3.3 执行aide入侵检测
（1）查看入侵检测报告
为了测试方便，故意将系统中的文件/bin/ps改名为/bin/ps.1，可以通过执行命令aide - - check检测到发现新增了一个文件（/bin/ps.1），删除了一个文件/bin/ps，改变了一个文件（/bin 的哈希值、mtime、ctime均发生了改变）。
（2）保存入侵检测报告
可以将检测结果保存到其他文件，以便日后查看。
3.4 定期执行入侵检测，并发送报告
为防止系统被恶意的不定期的或频繁的入侵，可以写一个计划任务，每隔一段时间就对系统进行一次入侵检测，并将检测报告发送至系统管理员邮箱，以便系统管理员能对系统的安全情况进行实时监控，并采取适当措施。
4 结束语
aide入侵检测工具是linux系统中的一种比较方便好用的系统入侵检测软件，在实际生产环境中得到了广泛应用，但是这种检测方式要求系统要处于“干净”状态时建立或更新数据库，如果在一个已经受到感染的系统中建立数据库，则入侵检测结果将是不可信的。
另外，入侵检测的保护对象最好是不经常变动的文件，例如账号列表、服务配置、系统文件等，否则将会给识别哪些改动是入侵所致增加难度。
【参考文献】
[1]李洋.linux安全技术内幕[m].清华大学出版社，2010，7.
[2]张献忠，主编.操作系统实用教程[m].电子工业出版社，
2007，2.
[3]stalling w.operating system：internals and design principles[m].fourth edition. prentice-hall international inc，1998.
[4]pfleeger. security in computing[z]，1997.
[5]andrew s tannnaum. modern operating system，影印版[m].北京：机械工业出版社，2002.
[责任编辑：周娜]。