入侵检测与防火墙的联动平台研究_靳燕
防火墙与入侵检测联动响应策略研究及系统实现的开题报告
防火墙与入侵检测联动响应策略研究及系统实现的开题报告一、研究背景随着网络技术的发展，网络攻击手法也愈加复杂多样化，在这样的情况下，企业和组织普遍采用防火墙和入侵检测系统来保护自己的网络安全。
但单独使用这两种安全设备的效果并不理想，往往需要将它们进行联动响应，才能更加有效地预防和防御攻击。
二、研究内容本次研究的主要内容是对防火墙和入侵检测系统的联动响应策略进行深入研究，并尝试开发一个实现联动响应的系统，具体包括以下几个方面：1. 研究防火墙和入侵检测系统的工作原理、特点和局限性，分析其互补性和相互协作的重要性，探讨联动响应的意义和必要性。
2. 设计和实现一个联动响应系统，使防火墙和入侵检测系统能够协同工作，实现网络攻击检测、分析、阻碍和报警。
具体包括实现防火墙规则的自动更新、配置入侵检测系统的监测规则、实现多种安全事件的自动响应等。
3. 研究联动响应的测试方法和流程，开展实验验证，测试联动响应系统的性能、可靠性和安全性，并对实验结果进行分析和评估。
三、研究意义本次研究对提升网络安全防护能力，防范网络攻击，保障企业和组织的信息安全具有重要的实际意义和社会意义。
通过联动响应，防火墙和入侵检测系统能够更好地发挥作用，提高网络安全水平，有效地保护企业和个人的资产和利益。
四、研究方法本次研究采用文献研究、实验研究、数据分析等方法进行。
通过对相关文献的综合研究和理论探索，确定联动响应的策略、原则和关键技术；通过实验搭建联动响应系统，验证其性能、可靠性和安全性；通过数据分析来评估实验结果和研究成果。
五、研究进度目前研究仍处于初步阶段，已完成了对防火墙和入侵检测系统的相关文献研究和理论探索，正在着手实验研究和系统设计。
预计在2022年底前完成相关研究工作和系统开发。
六、参考文献1. 杨小兵.网络安全防御技术[J].北京:科学出版社,2016.2. 许宏飞.网络安全技术与防范[J].北京:清华大学出版社,2018.3. 楚陌.入侵检测系统研究综述[J].计算机工程,2019,45(10):105-114.4. 刘恒,李宏德.防火墙技术综述[J].计算机工程,2017,43(8):100-107.5. 陈法莉,孙宏全,胡莉莉.入侵检测与防火墙的联动技术研究[J].计算机与数字工程,2020.。
入侵检测技术与防火墙技术的联动研究
Ｃ ｍｐ ｔ Ｋ ｏ ｌ ｇ Ａｎ ｅ ｈ ｏ ｇ ｏ ｕｅ ｎ ｗ ｅ ｅ ｄ Ｔ ｃ ｎ ｌ ｙ电脑 知 识 与技术 ｒ ｄ ｏ
Ｖｏ ．， ． Ｎｏ ｅ １ Ｎｏ４， ｖ ｍｂｅ ０ ， Ｐ ８ ７ ８ ８ ４ ｒ２ ０８ Ｐ ． ０ — ０
入侵检测技术与防火墙技术的联动研 究
李 晓 姜 伟 ， 坤 ，云 贺
ａ ｄ ｏ ｓ ｓ ｈａ ｎ ｒ ｉ ｄｅｅ ｔｏｎ ｅ ｈｎ ｌ ｇ ｓ ｏ ｂｉｅ ｗ ｉｈ ｉ ｅ ａｌ ｅ ｈｎ ｏｇ Ｏ ｒ ｖ ｄ ａ ｎ ｐｒ ｐｏ ｅ ｔ ｔ ｉ ｔｕｓｏｎ ｔ ｃｉ ｔｃ ｏ ｏ ｙ ｉ ｃ ｍ ｎ ｄ ｔ ｆ ｗ ｌ ｒ ｔ ｃ ｏｌ ｙ ｔ ｐ ｏ ｉ ｅ ｍ ｏ ｅ ｅ ｕ ｅ ｒ ｓ ｃ ｒ ｐｒ ｔ ｃ ｖｅ ｅ ｓ ｒ ｏ ｅ ｔ ｍ ａｕ ｅ． ｉ Ｔｈｒ ｕｇ ｔ ｅｅ ｒ ｈ ａ ｍ ｐ ｅ ｅ ａｉ ｎ，ｔ ｔ ｏｒ ｅ ｅ ｉ ｅ ｃ ｐａ ｌ ｙ ｃ ｎ ｂ ｒ ａｌ ｍ ｐｒ ｖ ｄ． ｏ ｈ ｉｓｒ ｓ ａｃ ｎｄ ｉ ｌｍ ｎｔｔｏ ｈｅ ｎｅｗ ｋ Ｓｄ ｆｎｓｖ ａ ｂｉｔ ａ ｅ ｇ ｅ ｔｙ ｉ ｉ ｏｅ
一
加 安 全 的解 决 方 案
２现有 入侵检 测 系统与 防火 墙 的不足
入侵 检测 系统（ ｔ ｓ ｎＤ ｌ ｔ ｎＳｓ ｍ 简称 Ｉ Ｓ可 以定 义为对计 算机 和网络资源上的恶意使用行为进行 识别 和响应的处理 Ｉ ｒ ｉ ｅｅ ｉ ｙｔ ） ｎｕ ｏ ｅｏ ｅ Ｄ 系统 。 它通 过 对 计 算 机 系 统 进 行 监视 ， 供 实 时 的人 侵检 测 并 采 取 相 应 的防 护 手 段 。 侵 检 测 系统 的 目的在 于 检 测 可 能存 在 的攻 击 提 人 行 为 。它不 仅 能 检 测 来 自外 部 的入 侵 行 为 ， 可 以检 测 内部 用 户 的未 授 权 行 为 。是 一 种 积极 主动 的安 全 防 卸技 术 。目前 就 检 测 的数 还 据来 源 Ｉ Ｓ可 分 为 基 于 主机 的 ＩＳＨ ｓ Ｂ ｓｄＩ Ｓ和基 于 网 络 的 Ｉ ＳＮ ｔｏｋ ａｅ Ｓ 基 于 主 机 Ｉ Ｓ主要 根 据 系 统 的 审 计 记 Ｄ Ｄ （ ｏｔ ａｅ ） — Ｄ Ｄ （ ｅ ｒ—Ｂ ｓｄＩ １ ｗ Ｄ Ｄ 录 ． 户 的位 置 和命 令 ， Ｐ 用 Ｃ Ｕ和 Ｉ 及 内 存 的使 用 情 况 文 件 系 统 的 变 化 因 素 等 来 进 行 检 测 ； 于 网络 的 Ｉ Ｓ系 统 通 过 获 取 网络 上 传 ／ ０ 基 Ｄ 送的 Ｉ 来进行安全检测分析 ． Ｉ Ｐ包 对 Ｐ包 的获 取 一 般 采 用 被 动 的 基 于包 侦听 的方 式 ， 如采 用 Ｓ ｉｅ 或 Ｔ ｐ ｕ ｐ等 工 具 来 实现 。入 侵 ｎｆ ｆｒ ｃｄｍ
防火墙与入侵检测系统的联动研究
防火墙与入侵检测系统的联动研究作者：赵浩婕张珊靓来源：《电脑知识与技术·学术交流》2008年第30期摘要：随着因特网的迅猛发展、网络规模的扩大和网络攻击方法的复杂，安全需求与日俱增。
分析介绍了入侵检测系统和防火墙的基础上，设计一种入侵检测系统和防火墙联动的模式，从网络安全整体性和动态性的需求考虑，实现了对突发网络攻击的主动防御。
关键词：网络攻击；防火墙；入侵检测；入侵检查系统；联动；中图分类号：TP393文献标识码：A文章编号：1009-3044(2008)30-0571-02Firewall and Invasion Examination System Linkage ResearchZHAO Hao-jie, ZHANG Shan-liang(Anyang Engineering Institute Computer Science and the Information Engineering Department, Anyang 455000, China)Abstract: Along with Internet's swift and violent development, the network scale expansion and network method of attack complex, the security requirements grow day by day.The analysis introduced the invasion examination system and in the firewall foundation, designs one kind of invasion examination system and the firewall linkage pattern, and the dynamic demand considered from the network security integrity, realized to has arisen suddenly the network attack the active defense.Key words: network attack; firewall; invasion examination; invasion inspection system; linkage随着网络技术的不断发展，网络系统的安全成了人们关注的主要问题。
入侵检测与防火墙的联动平台研究
人侵检测技术
防火墙技术
自动响应
联动系统 文章编号１ １ １ ２０５—５９９６
中图分类号ＴＰ３９３．０８
文献标识码Ａ
Ｒｅｓｅａｒｃｈ
ｏｎ
ｔｈｅ Ｌｉｎｋａｇｅ Ｐｌａｔｆｏｒｍ ｏｆ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ ａｎｄ Ｆｉｒｅｗａｌｌ
Ｊｉｎ （Ｓｃｈｏｏｌ ｏｆ Ｉｎｆｏｒｍａｔｉｏｎ，Ｂｕｓｉｎｅｓｓ
２００３．
攻击，并利用报警与防护系统驱逐入侵攻击。在入侵攻击过程
中，能减少入侵攻击所造成的损失。在被人侵攻击后，收集入侵 击的相关信息，作为防范系统的知识，添加入知识库内，以增强 系统的防范能力。 ４、利用网络防火墙和防毒墙技术 防火墙是一种隔离控制技术，通过预定义的安全策略，对内 外网通信强制实施访问控制，常用的防火墙技术有包过滤技术、 状态检测技术、应用网关技术。以包过滤技术为例，它是在网络 层中对数据包实施有选择的通过，依据系统事先设定好的过滤 逻辑，检查数据流中的每个数据包，根据数据包的源地址、目标
入侵检测与防火墙的联动平台研究水
靳燕
（山西大学商务学院信息学院
摘 要
太原０３００３１）
分析了入侵检测系统与防火墙技术的各自优势，认为实现防火墙的数据过滤与入侵检测的实时监控问的有效互补是非
常重要的。通过分析联动系统的理论知识，提出防火墙与入侵检测系统问的安全联动模型，实现两者之间的协同工作。这样无沧是 来自内网还是外网的攻击，都可以识别并自动响应。
源ＩＰ地址和源端口号、目的ＩＰ地址和目的端口号、安全事件类
系统信息安全的第二道防线，是防火墙的合理补充，它能帮助系
统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全 审计、监视、进攻识别和响应），增强了信息系统的完整性。入侵 检测系统通过监视网络资源。主动寻找分析入侵行为的迹象，是 一种动态的安全防护技术。但不足在于无法有效阻止攻击行为。
防火墙与入侵检测联动技术研究
网络地址转换是把 Ｉ 地址转换成 临时 的 、 Ｐ 外 部的 、 的 Ｉ 地址标 准。它允许具有 私有 注册 Ｐ Ｉ 地址 的内部 网络访 问因特 网。它还 意味着用 Ｐ 户不需要 为其 网络中每 一台机 器取 得注册的 Ｉ Ｐ 地 址。当受保护 网络连 到 Ｉｔ ｔ ｎｅ 上时 ， ｍｅ 受保护 网络可以使用非正式 Ｉ 地 址 ， 网络地 址转 Ｐ 为此 换器在 防火墙上装 —个合法 Ｉ 地址集 。 内部 Ｐ 当 某 一用户访 问 Ｉｔ ｔ ， ｎｅ 时 防火墙动 态地从地址 ｍｅ 集 中选 一个未分 的地址分配 给该用户 ，该用户 即可使用这个合法地址进行通信 。 同时 ， 内部 对 的某些服务器 ，网络地址转换器 允许为其分配 个固定的合法地址 。外部 网络的用户就可以 通 过防火墙来访 问内部 的服务 器。这种技术即 缓解 了少 量的 Ｉ Ｐ地址 和大量 的主机 之间 的矛 盾 ， 外 隐藏 了内部主机 的 Ｉ 地 址 ， 高 了 又对 Ｐ 提 安全 陛。
旦—
Ｌ—一
Ｃ ｉ ａＮｅ ｅ ｈ ｏｏ ｉｓ ｎ ｒｄ ｃｓ ｈｎ ｗ Ｔ ｃ ｎ ｌｇ ｅ ｄ Ｐ ｏ ｕ ｔ ａ
信 息 技 术
防火墙 与入 侵检 测联 动 技术研 究
唐 言
（ 黑龙江省教 育学院， 黑龙江 哈 尔滨 １０ ８ ） ５ ０ ０
摘 要：防 火墙 与入侵 检 安 全 产品 往往将 防 火墙 与 入侵 检测 系统 单 独 但
使用， 不能 满足 网络安 全整体 化 、 立体化 的要 求 。本文 介绍 了网络 防火墙 的主要技 术 ， 探讨 了防火墙 与 网络 入侵 检 测 系统联 动模 型。 关键词 ：入侵检 测 ； 网络 防 火墙 ； 动模 型 联
防火墙与入侵检测联动防御系统研究
： Ｑ ｉ 王２
Ｃ ｈ ｉ ｎ ａ Ｎ ｅ ｗ Ｔ ｅ ｃ ｈ ｎ ｏ ｌ ｏ ｚ ｉ ｅ ｓ ａ ｎ ｄ Ｐ ｒ ｏ ｄ ｕ ｃ ｔ ｓ
信息 技 术
防火墙 与入侵检测联 动 防御系统研究
江 保 利
（ 池 州市烟草专卖局 （ 公 司 ），安 徽 池 州 ２ ４ ７ ０ ０ ０ ）
展 和应用 的深入 ， 网络 入侵事 件愈加 频繁 ，
火 墙作 为计算 机 网络 安全 防范措施 中非 常 御特 点的不 同 ， 可 以考虑将 两者结 合起来 ， 重 要 的环节 ，１ ３益引起 人们 的重视 。目前 ， 形成新 的联 动系统 。只要 在某个节 点发 生 通 常利用 防 火墙 来 实现 网络 的访 问控制 ， 了安 全事件 ，这个 事件都 可 以通 过某种 机 但 它对 来 自内部 的威 胁 和 数 据 驱 动 的攻 制传 递给联 动系统 。这里 的机制 即为能让 击 无能 为力 。防火墙 是一种 被动 的防御手 众多 安 全设 备所 支 持 的某种 开 放协 议 等。 段 ，其 无法发 现黑 客的攻 击行为 。入侵 检 通过 联动可 以使各 安全设 备做 到资源整 合 测作为 一种 主动 的网络安 全防御措 施 ，它 和优 化 、更好 地协 同工作 ，产生 “ １ ＋ １ ＞ ２ ” 能在不 影响 网络性 能的情况 下对 网络进行 的合力 。 监测 。将防火 墙与入 侵检 测系统 两种具有 ２ 防火 墙与入 侵检测 系统 的结合 较 强 的互补性 的系 统进行联 动 ，构建一个 ２ ． １ 防火 墙 与入侵 检 测系 统联 动 的提 能实 时 检测 入侵 行 为并 响应 的安 全 系统 ， 出 能显著 增强 内部 网络的安 全性 。 防火 墙对 规 则之 外 的攻击 无 能为 力 ， １ 主要 网络安全 技术 结合 入侵检 测系统 则可 以有效监 控到这 些 １ ． １ 防火墙 入侵 行为 ，同时人 侵检测 系统还 可 以将 这 所 谓 防 火墙 ，是 指 一 种将 内 、外 部 些人 侵信 息反馈 给防火 墙 ，让 防火墙对 规 网络分 开 的方法 ， 实际上是 一种 隔离技 术 。 则做 出相应 调整 ，避免 入侵行 为发生 。 由 它通过 执行 一种访 问控制 策略 ，检查所 有 此可 见 ，防火墙 的数据 过滤与 入侵检测 的 通过 内外 网间 的通 信数据 包 ，将 疑似 非法 实 时监控 之 间的互补性 可 以为网络安 全所 访 问与入侵 的数据 包隔离 在外 ，最大 限度 用 。 地保 护 内部 网络安 全 。防火墙具 备过 滤出 实 现 防火 墙 和 入 侵 检 测 系统 之 间 的 入 网络 的数 据 ，对 网络攻 击检 测和告 警等 互 动主要 有二种 方式 ：系统嵌 入方式 和开 基本 功能 。防火墙 的基本 构成包 括 网络策 放 接 口方 式 ，前 者是把 入侵检 测系统嵌 入 略 、验证工 具 、包 过滤 、应用 网关 。根据 防火 墙 中 ，人侵 检测 系统的数 据不再来 源 防 范的方式 和侧 重点 的不 同，可将 防火墙 于抓包 ，而是 流经防火 墙 的数 据流 。后者 分为 过滤 型和代 理服务 型 。防火墙默 认 内 是 让防火 墙或者 入侵检 测系 统开放 一个接 部 网络是完 全可信 的 ，对 来 自内部 的攻击 口供对方 使用 ，双方按 照 固定 的协议 进行 是无 能为力 。它的防御 规则都 是事先 设置 通信，将攻击事件传送给对方，修改完善 好 的 ，一旦 规则设 置有 误或者 安全形 势发 安全策 略 ，尽量 减少 网络系 统恶意 攻击行 生 变化时就 缺乏应 变能 力 。 为。 １ ． ２ 入 侵检 测技术 ２ ． ２ 防火墙 与入 侵检测 系统 的联 动 入 侵 检 测是 对 计 算 机 网络 系统 中入 防火 墙 与 入 侵 检测 系 统 间 联 动通 过 侵行 为 的检测 。它通过 收集 和分析 网络行 以下方 式实 现 ： 在 两者搭 建起 的安全 体 系 为 、审计 数据 、以及 网络 系统 中若 干关键 中 ， 当入 侵 检测 系 统 检测 到 入侵 行 为并 点 信息 ，检查 网络系统 中是 否存在 违反规 确定 要 阻断 该 行 为 时 ，立 即 启 动 联动 机 则 或入侵 的行 为 ，及 时做 出响应 ，包 括断 制 ．主动通知 防火墙 做 出相 关策 略的动态 网 、报警 、记 录事件信 息等 。与 防火墙被 修改 ，实时 对攻击 源拦截 。 动 防御不 同 ，入侵检测 是 主动防御 攻击行 通过 以上 对 防 火墙 与入 侵 检 测 系统 为。入侵 检测技 术还存 在一些 不 足 ，主要 之间互 动方式 的分析 ，可 以选用开 放接 口 包 括存 在误报 和漏报 率高 、没有 主动 防御 方式 的联动 防御 系统框架 ，在 防火墙和 入 能力 、缺乏准 确定位 和处理 机制 、产 品性 侵 检 测 系 统 中分 别 设 置 联 动 接 口，两 者 能 普遍不 能满 足新环境 发 展等 问题 。 通过联 动控 制 中心相 互通信 、相 互配合 。 １ － ３联动技 术 防火 墙被置 于 内外 网络 的连接处 ，网络 中 联 动 技 术 从 本 质 上说 是 安 全 系 统之 所有 的数据 包都必 须通 过防火墙 的包过 滤 间一种 信息互 通 的机 制 ，将 安全事 件及 时 模块进出网络。根据预先设定的访 问控制
入侵检测和防火墙结合的研究
远不 够的 ， 必须 寻找新 的解决 方法来 弥补 防火 墙 的不足 ， 提供 一个更加 安全 的解 决方 案．
中图分 类号
Ｔ ３ ３ ０ Ｐ ９。８
文献 标识码
Ａ
文章 编号
１ ７ —６ ４ ２ ０ ） ４０ ９ —３ ６ ２６ ３ （０ ９ ０ —０ ００
０ 引言
随着 计算机 网络 的迅猛 发展 ， 网络 技术 日益成熟 ， 得 网络应 用 的范 围涉 及到 社会 的方方 面 面． 使 网络
已经成 为现代人们 工作 和生 活必不可 少的一部 分． 网络在带 给人们极 大便利 的同时 ， 但 难免会 带来一 个棘 手 的问题 就是 网络安全 问题 ， 信息泄密 、 如 数据篡 改 、 计算 机 病毒 等． 网络安 全 问题 日益重 要 ， 已逐渐 成 它
入侵 检测与 防火墙 的联 动是现在 网络安全 研究 中的一个 热点啪．
１ 防 火 墙
ቤተ መጻሕፍቲ ባይዱ１ Ｉ 防 火 墙 概 述 ．
防火墙［ 是指设 置在被保 护 网络与公共 网络 （ 因特 网） ２ ］ 如 或其他 网络之 间 ， 并位 于被保 护 网络 边界 ， 对 进 出被保 护 网络信息 实施“ 过／ 通 阻断／ 丢弃 ” 控制 的硬 件 、 软件 或 系统 ． 简而 言之 ， 防火墙 是保护 可信 网络 ， 防止非 可信 网络人侵 ， 提供 网络安全 服务 ， 实现 网络和信息 安全 的
防火墙与入侵检测技术的联动
山西xxxxxxxx学院毕业论文（设计）防火墙与入侵检测技术的联动———————————————————论文指导教师姓名：（职称）所在系及专业名称：计算机系计算机网络技术班级：论文提交日期：2011年月日论文答辩日期：年月日答辩委员会主席：_____________评阅人：_____________20年月日山西财贸职业技术学院毕业论文论文题目：防火墙与入侵检测技术的联动专业：计算机网络技术毕业生：签名：指导教师：签名：摘要网络的迅猛发展在给人们带来巨大的便利的同时，也给人们带来了众多的烦恼。
防火墙与入侵检测的联动，使安全防御体系由静态防御升级为动态防御,提高了网络的整体防御能力，体现了网络安全的整体性和动态性，具有重要的研究意义和实用价值。
本文在深入研究和分析现有联动模型的基础上，结合它们的优点，并考虑联动系统的可实现性、易用性和可扩展性，设计并实现了NSS （Netfilter-Snort-Stunnel）防火墙与入侵检测联动模型。
本文首先介绍了课题研究的背景，并对目前代表性的联动技术进行了研究。
接着根据联动系统的功能组成，分别分析了防火墙技术、入侵检测技术和联动技术，为NSS防火墙与入侵检测联动模型的设计与实现打下了坚实的理论基础。
其次，本文从功能角度详细描述了NSS联动模型各模块的详细设计包括各主要模块的设计思想、体系结构和具体软件配置等。
关键词：防火墙，入侵检测，联动，分析，动态规则，SSL目录1绪论 (4)1.1研究背景 (4)1.1.1网络安全现状 (4)1.1.2本文研究内容及结构安排 (5)2防火墙与入侵检测联动技术分析 (6)2.1防火墙技术分析 (6)2.1.1防火墙简介 (6)2.1.2防火墙关键技术 (6)2.1.3防火墙发展趋势 (7)2.2入侵检测技术分析 (7)2.2.1入侵检测系统 (7)2.2.2入侵检测分析手段 (8)2.2.3入侵检测系统分类 (8)3NSS联动技术的设计与实施分析 (10)3.1联动产生的背景 (10)3.2联动模型的设计目标和设计思想 (10)3.2.1NSS联动模型的设计目标 (10)3.2.2NSS联动模型的设计思想 (11)3.3NSS联动模型的基本设计 (11)3.4NSS联动模型各模块的具体设计 (12)3.4.1入侵检测系统模块 (12)3.4.2防火墙模块 (13)3.4.3联动模块 (14)3.4.4管理控制模块 (15)4总结与展望 (16)山西财贸职业技术学院毕业论文1绪论1.1研究背景1.1.1网络安全现状通信技术和计算机技术的迅猛发展，给IT及相关行业注入了新的生机和活力,给社会生产、生活方式带来了革命性的影响。
浅谈防火墙与入侵检测系统的联动
９ ； ６ Ｉ
ｏＰ ＥｏＨＡ Ｎ ＭＵ ＲＦＵＮ Ｔ Ａ
栏编：春 — ｎｉ＠３ｍ囫 目辑梁丽Ｅ ａｌ ５６。 ｍ ｇ５ １ｃ ｉ ｚ ０
查的数据包区域位置信 息。 在编写特征库前， 必须先仔 细分析所要保护的网络经常或可能遭受 的攻击。 １ 通过 开放接 口实现互动。 ． 入侵侦测防御系统 ， 即 防火墙或者Ｉ Ｐ Ｄ 产品开放一个接 口供对方调用 ， 按照一 定的协议 进行通信 ， 传输警报 。 这种方式比较灵活， 防 火墙可以行使其第一层防御 的功能— 访问控制， Ｄ ＩＰ 可以行使其第二层防御的功能—— 检测入侵， 丢弃恶
虑 ， 现 了对突 发 网 络攻 击 的主 动 防 御。 实
关键 词 ： 网络攻击； 防火墙 ； 入侵检查 系统 ； 联动
如何确保 网络系统免遭攻击以保证信息的安 全，
成为 人 们无法 回避 的课题 。 为此 ， 防火墙 、 Ｄ 等多种 ＩＳ 网络 安全技术被广泛应用 到各个 网络系统中， 在抵 御 网络攻击和保护网络安全 中发挥了重要作用。
策略调整。
种能够主动保护自己不受攻击的新型网络安全技术 ，
它通过 对网络和系统记 录的日志文件 分析来发现非法 入侵行为以及合法用户的滥用行为。
根 据 检 测入 侵 的 方 法 又可 以分 为２ 方 式 ： 常 检 种 异
测和滥用检测。 异常检测一般采用基于统计的方法 ， 通 过比较 正常情况下系统或 网络的状态 来判断 安全性 ； 异常检测不需要 事先建 立知识库 ， 是也需要通过人 但 工的或基于机器学习的方法 来建 立网络 的正常状 态，
Ｒ ｎ ｅｖｒ ； ｕ Ｓｒｅ０ ∥ 行服 务 运 ／ Ｄ 发 送 ／ Ｓ 向Ｉ
技 应 术 用团
入侵检测系统与防火墙联动研究
２０ ０ ７年 ６月
郑州经济管理干部学 院学报
Ｊ ＯＵＲ ＮＡＬ ＯＦＺＨＥ ＮＧＺ ＨＯＵ Ｅ ０Ｎ０ＭＩ Ｃ ＣＳ＆ ＭＡＮ ＡＧＥ ＮＴ Ｉ Ｔ Ｔ Ｔ ＭＥ ＮＳ Ｉ Ｕ Ｅ
Ｊｎ ２０ ｕ ．０ ７
Ｖ １２ ． ０ ． ２ Ｎｏ ２
Ｉ Ｓ系统 的管 理 和 维护 比较 难 ； Ｉ Ｓ系 统 遭 受 拒 Ｄ 当 Ｄ
被保 护 网络 和 Ｉｔｍｅ 之 间 ， 在 其 他 网络 之 间 限 ｎｅ ｔ 或
收 稿 日期 ：０ ６—１ ２０ ０—１ ６
能防 止来 自网 络 内 部 的 袭 击 ， 过 调 查 发 现 ， 近 通 将
６ ％ 的攻击 都来 自网络 内部 ， 于那 些 对 企业 心怀 ５ 对 不满或 在企 业 卧底 的员工来说 ， 防火墙形 同虚设 ； 由 于防 火墙性 能上 的 限制 ， 常 它 不具 备 实 时 监控 入 通
第２ ２卷第 ２ 期
入侵 检 测 系统 与 防火 墙 联 动 研 究
谢 辉 闫用 杰 ，
（． １ 郑州经济 管理 干部 学院， 河南 郑州 ４ １９ ；． ５ １１２ 郑州大学 ， 河南 郑州 ４ ００ ） ５０ １ 摘要 ： 面对信息安全 日益严峻 的形势 ， 单一 的安全技 术和产 品 已经不 能很好地 满足用 户对 网络 安全性 的需 要。
火墙 ） 等
１８ ９０年 ， ｎｅｓｎ在 报 告 “ 算 机 安 全 威胁 的 Ａ ｄｒ ｏ 计
监视” 中提出了对计算机系统 的风险和威胁 的分类 方法 ， 且 阐述 了安 全审 计机制 的 目标 ， 被认 为是 并 这
人 侵检 测 的 开创 性 工 作 。入 侵检 测 系 统 （Ｄ ：Ｉ． ＩＳ ｎ ｔ ｓ ｎＤ ｔ ｔｎＳｓ ｍ） 有 发 现入 侵行 为并 根据 ｒ ｉ ｅ ｃｏ ｙｔ 具 ｕｏ ｅｉ ｅ 入侵 的特性 采取 相应 动作 的功能 。入侵 检测 是指 发
基于防火墙与入侵检测联动技术的系统设计
N O PAS S
0
( 包被丢弃)
PA S SE D
0 X01
( 包通过)
IPOPT
0 X02
( 包具有 IP 选项)
1 14
武 汉理工大学学报
2005 年 7 月
ICM PREDIRECT
0 X04
( ICM P 重定向)
NOIP
0 X08
( 非 IP 包)
N E W CO N N
0 X10
( 一个新的 T CP 连接)
规则, 以断开或屏蔽可疑主机的流量, 同时对管理员发出警告, 提示有攻击企图。这样, IDS 和防火墙系统共
同完成了系统的安全防护任务。
3 入侵检测系统与防火墙联动系统的实现
3. 1 基本原理 在入侵检测系统与防火墙联动系统所构筑的安全体系中, 当 IDS 检测到需要阻断( 规则定义) 入侵行为
时, 迅速启动联动机制, 自动通知防火墙立刻做出相关策略的动态修改( 如增加访问控制规则等) , 对攻击源 进行封堵, 从而达到整体安全控制的目的。这是一种单向的控制, IDS 由于其自身主动性的功能特点决定了 它的主导地位。为实现这个目标, 需要对防火墙和 IDS 的功能进行扩展, 建立统一的安全集成框架。联动 控制所产生的规则与防火墙原有的静态规则不同, 也不共存于同一个规则链表, 表现在 3 个特点上: 优先性、 动志性和阻断性。优先性是指生成的规则将首先被用于访问控制, 先于防火墙原有的规则。动志性是指生 成的规则有一定的生存时间, 不是一直存在的, 攻击行为阻断或消失后规则自动超时删除。阻断性是指生成 的规则的动作域永远都是拒绝的, 不可能生成一条允许通过的规则。 3. 2 基本结构
文件由许多 IP 包头部记录组成, 头部记录结构为:
防火墙与入侵检测系统联动研究
摘要 ： 在校 园网网络安全 日益严峻 的情 势下 ， 传 统的防 火墙 和入侵检测 系统各 自存在 不足 ， 不能满足网络安 全整体化的 要 求。文章提 出了一种新型的防 火墙和入侵检 测 系统联 动模 型 ， 实现 了对网络攻击动 态、 立体 、 主动防御 。 关键 词 ： 防 火墙 ； 入 侵 检 测 系统 ； 联 动
安全防护体系的重要组成部分 ，是一种对 内部网络数 据传 输 进 行即时监视 ，在发现可疑传输时发 出警报或者采 取主动响 应 措 施 的 网 络 安 全 设 备 。它 是 一 种 主动 的 安 全 防 护 技 术 ，一
定 程 度 上 增 强 了 网络 信 息 安全 防护 能 力 。
２ 防火 墙 和入侵 检 测技 术存 在 的不足
中 图分 类 号 ： Ｔ ３ ３ 文献标识码 ： Ａ 文章编号 ： １ ６ ７ ３ ． １ １ ３ １ （ ２ ０ １ ３ ） ０ ８ — ０ １ ２ ２ ． ０ １
单 独 的 某 一 种 网络 安 全 措 施 已 不 能满 足 人们 对 安 全 的 需 求， 迫 切 需 要 多 种 安 全 技 术 协 同作 战 ， 组 成 立 体 的 安 全 防 护 体
测 技 术 ，这 两 种 技 术 都 能 在 当 前 的 网络 安 全 防 护 体 系 中独 挡 面 ，也 都 有 各 自 的不 足 之 处 。若 能 成 功 实 现 防 火 墙 与 入 侵
一
能力充分发挥 出来 ， 相互 弥补 不足 ， 相 互提供 保护 ， 使网络安
全 防 护 体 系实 现 由 静态 到 动 态 、 由平 面 到 立 体 的转 变 。 防火 墙 和 入 侵 检 测 系统 的联 动 方 式 可 分 为 系 统 嵌 入 式 和 问接 联 动 式 。 系 统 嵌 入 式 是 把 入 侵 检 测 系 统 内嵌 至 防 火 墙 中 ，
防火墙与入侵检测联动系统的研究与设计
随 着 Ｉ ｔ ｒ ｅ 的发展和 校园 网络的建 立 ，网络 ｎｅｎ ｔ 与信 息安全 问题 Ｅ益 突 出 ，如 何保 障 网络安全 也 成 ｔ 为 网络管理 的重 中之 重 。校 园 网络 每年 都会 面临 大
所 以单 独使用 也具 有一定 的局限性 。 入侵 检 测技 术通 过 对 网络 系统 的运 行 状态 进行 监视 ，发现 导种 攻 击企 图 、攻 击行 为或 者攻 击结 果 ， 以保 证 系统资 源 的机 密性 、完整性 与可 用性 。这 是
１防火墙与入侵检测技术
防 火墙 技 术是 现在 市 场上 应 用范 围最广 、最 易 被 客 户接 受的 网络 安全 产产 品。 防火墙 将 内部可 信
思想 。联动 即通 过一种 组 合 的方式 ，将 防火墙 技术 与入侵 检 测技术 进行 整合 ，在提 高 防 火墙 自身功能 和性 能 的 同时 ，由其他 技 术完成 防火 墙所 缺 乏的功 能 ，以适应 网络 安全整体 化 、立体化 的要 求。
一
量的 来 １ ９内部 和外部 的攻 击 ， 目前 一般 都使 用防 火
墙 实现 网络 上 的访 问控制 ，但 它对 来 自内部 的威 胁
种 积极 主动 的安全 防护 技 术 ，但 由于 网络 系统 的
和 数 据 驱动 的 攻击 （ 如病 毒 ） 能 为 力。 防火 墙 与 无
入侵检 测技 术两种 技 术具 有较 强的互 补性 ，若 成功 实现 防火 墙 与入侵 检 测的联 动 工作 ，就能 最大 程度
行 了设 计 ，并对 主 要 技 术 的 实现 进 行 了分 析 。 关 键 词 ：防 火墙 ；入 侵检 测 ； 网络 安 全
Ｒｅ ｅ ｒ ｈ ａ ｄ ｓ ａ ｃ ｎ Ｄｅ ｉ ｎ ｆ Ｌｉ ｋ ｇ ｓ ｇ ｏ ａ ｎ ａ ｅ Ｓｙ ｔ ｍ ａ ｅ ｏ ｓ ｅ ｂ ｓ ｄ ｎ
入侵检测技术和防火墙结合的网络安全探讨
案例三：某政府 机构通过部署入 侵检测系统和防 火墙，成功拦截 了多次网络攻击， 保护了政府机构 网络安全。
案例四：某银行通 过部署入侵 detection system 和防火墙，成功拦 截了多次网络攻击， 保护了银行网络安 全。
入侵检测技术和防 火墙结合的发展趋 势和展望
融合趋势：入 侵检测技术与 防火墙技术的 融合，提高网 络安全防护能
添加标题
添加标题Biblioteka 添加标题添加标题结合使用可以弥补单一技术的不足， 提高安全防护能力
结合使用可以提高网络安全防护的 准确性和效率
入侵检测技术： 实时监控网络 活动，及时发
现异常行为
防火墙技术： 保护内部网络 不受外部攻击， 限制访问权限
结合的必要性： 入侵检测技术 无法完全阻止 攻击，防火墙 技术无法完全
缺点：可能会影响网络性能， 导致网络延迟或丢包
入侵检测技术：实时监控网络 流量，及时发现异常行为
防火墙：保护内部网络不受外 部攻击，限制外部访问权限
互补性：入侵检测技术可以弥 补防火墙的不足，及时发现并 阻止攻击
互补性：防火墙可以限制入侵 检测技术的误报率，提高检测 准确性
互补性：入侵检测技术和防火 墙可以共同构建全面的网络安 全体系，提高网络安全性
检测到攻击
结合的优势： 提高网络安全 性，降低风险， 提高响应速度，
降低误报率
入侵检测技术和防 火墙的结合方式
代理模式：在防火墙和入侵检测系统之间设置代理服务器，实现数据转发和过滤 优点：可以保护内部网络免受外部攻击，同时提高网络性能 缺点：需要额外的硬件和软件支持，可能会增加网络延迟 应用场景：适用于需要高度安全的网络环境，如银行、政府机构等
力
智能化趋势： 利用人工智能 技术，提高入 侵检测和防火 墙的智能化水
网络入侵检测技术研究
网络入侵检测技术研究
闫艳
【期刊名称】《科技信息》
【年(卷),期】2008(000)010
【摘要】入侵追踪系统是在网络上自动发现攻击者真实位置的系统,可以揭穿地址欺骗等攻击者常用的手段.本文介绍了入侵检测系统的概念,分析了入侵检测系统的模型;并对现有的入侵检测系统进行了分类,讨论了入侵检测系统的评价标准,并分析了一些入侵检测系该的不足,提出将防火墙、漏洞扫描等与入侵检测系统相结合,可以进一步提高入侵检测系统的性能.
【总页数】2页(P60,46)
【作者】闫艳
【作者单位】枣庄市台儿庄区人民医院,山东,枣庄,277400
【正文语种】中文
【中图分类】TP3
【相关文献】
1.计算机网络入侵检测技术研究 [J], 吕光铭
2.基于人工智能的通信网络入侵检测技术研究与设计 [J], 黎日文
3.计算机网络入侵检测技术研究 [J], 吕光铭
4.计算机网络入侵检测技术研究 [J], 宋哲理
5.网络入侵检测技术研究 [J], 李麒鑫
因版权原因，仅展示原文概要，查看原文内容请购买。
防火墙与入侵检测系统联动防护体系研究
防火墙与入侵检测系统联动防护体系研究牛凯廷;康京山【摘要】在网络安全防护系统中,防火墙侧重于网络访问控制,入侵检测系统侧重于网络入侵行为检测,将防火墙和入侵检测系统进行联动,将被动控制和主动防御相结合,既能实现网络访问控制又能阻断攻击,形成一个较全面的防护系统.文中基于开放接口的联动方式,详细研究了以联动中心为核心,防火墙与入侵检测系统联动的安全防护体系.该体系保证了联动设备功能的完整性、独立性及不同厂家设备间的兼容性,提高了网络攻击行为检测和阻断的实时性、有效性.文中对联动防护体系模型、关键功能模块进行分析研究,构成"防护—检测—响应—再防护"的循环防护,为受保护网络提供了强大的安全保障.%In the network security system, firewall is focused on access control and IDS is focused on detecting attacks. The linkage between firewall and IDS can not only implement the access control but also kill the attacks. The linkage forms a comprehensive security protecting system through the passive control and the active prevention. This paper researches a comprehensive security protecting system based on the open port. The core of this system is "Center of Linkage" and based on this,firewall and IDS are linked. This linkage can improve the integrity, independence, compatibility of the equipment and the instantaneity, effectiveness of the detecting and blockingbetter. This paper researches the model of the linkage system and the major functions. It forms a"Protection-Detection-Response-Protection"cycling system.【期刊名称】《价值工程》【年(卷),期】2017(036)025【总页数】3页(P198-200)【关键词】防火墙;入侵检测;联动中心【作者】牛凯廷;康京山【作者单位】中国电子科技集团公司第五十四研究所,石家庄050081;中国电子科技集团公司第五十四研究所,石家庄050081【正文语种】中文【中图分类】TP393防火墙作为网络访问控制设备，主要用于控制进出网络的数据流，是最主要的网络安全防护手段。
防火墙与入侵检测联动系统的研究与设计
防火墙与入侵检测联动系统的研究与设计
徐春桥
【期刊名称】《计算机安全》
【年(卷),期】2011(000)004
【摘要】防火墙与入侵检测作为保护网络安全的重要技术手段被广泛应用,但目前二者往往都分开单独使用,不能满足网络安全整体化的要求.以完善校园网络安全管理为背景,对防火墙与入侵检测系统进行了介绍,对防火墙与入侵检测联动系统进行了设计,并对主要技术的实现进行了分析.
【总页数】3页(P59-61)
【作者】徐春桥
【作者单位】河北政法职业学院,河北,石家庄,050061
【正文语种】中文
【相关文献】
1.基于响应决策的防火墙与入侵检测联动系统的研究 [J], 潘晓君
2.Linux平台下基于IPv6的入侵检测与防火墙联动系统设计与实现 [J], 傅彬;黄星磊;戴赞定;胡焰;钟迪明
3.一种通用入侵检测与防火墙联动系统 [J], 王刚;孙济洲;崔康;辛静薇
4.基于SNMPv3协议的校园网防火墙与入侵检测联动系统构建 [J], 骆参驹;杨颖
5.Linux平台下基于IPv6的入侵检测与防火墙联动系统设计与实现 [J], 傅彬;黄星磊;戴赞定;
因版权原因，仅展示原文概要，查看原文内容请购买。
防火墙与入侵检测系统联动的研究
防火墙与入侵检测系统联动的研究
路莹
【期刊名称】《中华医学图书情报杂志》
【年(卷),期】2009(018)001
【摘要】在信息安全日益严峻的形势下,单一的安全技术和产品已经不能完全满足用户的网络安全.因此,网络安全应采用多种安全技术.防火墙与入侵检测系统联动,可以有效提升防火墙的机动性和实时反应能力,同时也可增强入侵检测系统的阻断能力.
【总页数】3页(P56-58)
【作者】路莹
【作者单位】解放军医学图书馆,北京,100039
【正文语种】中文
【中图分类】TP393.08
【相关文献】
1.防火墙与入侵检测系统联动研究 [J], 谢恩宝
2.防火墙与入侵检测系统联动技术的分析与研究 [J], 吴燕
3.防火墙与入侵检测系统联动防护体系研究 [J], 牛凯廷;康京山
4.防火墙与入侵检测系统联动的研究与设计 [J], 曲朝阳;崔洪杰;王敬东;孟凡奇
5.防火墙与入侵检测系统联动技术的分析与研究 [J], 吴燕
因版权原因，仅展示原文概要，查看原文内容请购买。
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
* 收稿日期:2012-01-12,修回日期:2012-02-07** 基金项目:中华全国供销合作总社2011年度职教专项课题(8);山西省自然科学基金资助项目(2010011022-2)***靳 燕,女,1982年生,硕士,讲师,研究方向:计算机网络与网络安全。
文章编号:1003-5850(2012)03-0033-03入侵检测与防火墙的联动平台研究靳 燕(山西大学商务学院信息学院,太原 030031) 摘 要:通过分析入侵检测系统和防火墙技术的各自优势,认为实现防火墙的数据过滤与入侵检测的实时监控间的有效互补是非常重要的。
提出了网络安全事件的基本分类方法,定义出入侵检测系统提供给防火墙的信息格式,采用向入侵检测系统和防火墙中嵌入相关模块的方法,实现了入侵检测系统对攻击行为的自动响应,从而实现了防火墙与入侵检测系统间的协同工作。
这样无论是来自内网还是外网的攻击,都可以被联动平台识别并自动响应。
关键词:入侵检测系流,防火墙技术,自动响应,联动系统中图分类号:T P 393.08 文献标识码:AResearch on the Platform of Linkage between IntrusionDetection System and FirewallJIN Yan(S chool of I nf ormation ,Business College of S hanx i U niver sity ,T aiyuan 030031,China ) Abstract :T he advantag es of intrusion detection system and fir ew all technolo gy are analyzed .It is ver y important of implem enting com plementary betw een data filtering of firew all and real-time mo nitoring ofintrusion detectio n system.T he basic classification m ethod of the netw ork security ev ent is pro posed,and the inform ation form at w hich intrusion detectio n system pr ovides to the firew all is defined .By embedding the relev ant modules in the intrusion detection sy stem and firew all ,the intrusion detection sy stem could autom atically respo nd to agg ressiv e behavior,and firew all and intr usio n detection systems could w ork together.So w hether attacks are fro m the inter nal netw ork or ex ter nal netw ork,they co uld be recog nized and be responded automatically.Key words :intrusion detection system ,firew all ,autom ated response ,linkag e system 互联网的飞速发展、网络技术的巨大进步给社会生活各个方面带来了深刻影响,人们的工作生活与网络系统紧密相关。
网络系统已成为现代生活中不可或缺的重要组成元素,同时病毒、木马、黑客攻击、网上经济犯罪、垃圾电子邮件等各种网络安全威胁也伴随产生,随时在浪费我们的时间、破坏我们的网络信息系统。
保护网络系统安全成为网络研究中一个重要话题。
网络安全的研究目标是通过各种安全防御技术以及安全管理机制实现网络信息系统的完整性、机密性和可用性。
实现网络系统安全需要有两道防线:安全保护是第一道防线,包括安全细则、安全配制和各种安全防御措施,采用的主要技术手段有信息加密、防火墙、安全路由器、身份认证、访问控制等。
但这些技术仅在防止非法入侵上有一定的效果,一个安全的信息系统除了要采取防御措施之外,还应有一定的实时监控、攻击与反攻击的能力。
入侵检测技术用于解决计算机网络系统的安全问题,作为系统信息安全的第2道防线,是防火墙的合理补充,它能帮助系统对付网络攻击,扩展了系统管理员的安全管理能力,增强了信息系统的完整性。
1 入侵检测技术剖析入侵检测系统是实现入侵检测功能的检测技术与软件算法的结合体,通过对计算机网络或计算机系统・33・ 第25卷 第3期电脑开发与应用(总193)中的若干关键点进行监控以收集行为特征信息,并结合已有的知识经验对行为进行分析判断,从而发现网络或系统中是否有违反安全策略的行为,并依据事先已定义好的响应方式做出响应处理。
在不同的网络环境和不同的系统安全策略下,入侵检测系统的具体实现也会有所不同。
从功能逻辑来讲,入侵检测系统通常包含4个部分:行为模式库、数据采集模块、入侵检测模块和响应处理模块。
¹行为模式库为入侵检测系统提供必要的数据信息支持,是进行入侵检测的一个前提。
º数据采集模块:主要负责从系统或网络关键点处捕获原始数据,并对采集到的数据做预处理工作,将最终的能够反映系统或网络行为特征的数据提交给入侵检测模块。
»入侵检测模块又称入侵分析引擎,负责从数据采集模块处接受行为特征数据,并将行为特征数据与已有的模式知识库进行模式匹配,以分析行为事件是否为非法入侵,最终的检测结果传递给响应模块作为其输入数据。
¼响应处理模块依据已经定义好的安全策略对行为事件做出决策,决定做何种响应动作,是进行日志记录还是进行响应。
当有网络攻击发生且被入侵检测系统检测到后,响应模块会依据相应的响应策略做出决策。
如果需要响应攻击,可以是主动响应或自动响应两种方式[1]。
若在网络环境中,有防火墙设备。
其作为进出内网的必要通道,可以根据访问控制规则对外来访问进行拦截。
若能实现入侵检测与防火墙间的联动,由防火墙实现对攻击者的拦截,将很大程度上提高响应的效率。
2 防火墙技术剖析防火墙来自建筑结构的安全技术,指在楼宇里起分隔作用的墙。
在网络安全理论体系里,防火墙是一个由软件和硬件设备组合而成,位于内部网和外部网之间、专用网与公共网之间的一道防御系统,目的是防止外部网络用户未经授权的访问。
使用防火墙,使内部网与外部网之间建立起一个安全网关,能够保护内部网免受非法用户的侵入[2]。
防火墙是网络安全基础建设不可或缺的角色,但随着攻击技术的发展,当前的防火墙其自身的局限性也越来越明显,主要体现在:¹防火墙无法防范绕过防火墙的攻击;º防火墙不能防止来自内网的攻击;»防火墙无法发现攻击源;¼防火墙自身也会存在问题或受到外来攻击。
入侵检测系统能帮助系统对付网络攻击,扩展了系统管理员的安全管理能力(包括安全审计、监视、进攻识别和响应),增强了信息系统的完整性。
入侵检测系统通过监视网络资源,主动寻找分析入侵行为的迹象,是一种动态的安全防护技术,可以选用入侵检测技术来弥补防火墙的不足,使两者充分发挥各自优势,共同维护网络系统的安全。
3 搭建入侵检测与防火墙的联动平台从对入侵检测与防火墙技术的分析中可以看出,入侵检测系统的不足在于无法有效阻止攻击行为,而防火墙的访问控制机制恰好弥补了入侵检测系统在这方面的不足。
另一方面,入侵检测作为防火墙后的第2道安全防线,可以检测出绕过防火墙到达网络内部的攻击,又可以弥补防火墙的不足。
防火墙与入侵检测系统的功能特点和局限性决定了它们彼此需要对方,且不能相互取代。
实现防火墙的数据过滤与入侵检测的实时监控之间的有效互补在网络安全解决方案实施中非常重要[3-4]。
防火墙与入侵检测系统间联动的基本原理是:由两者搭建起的安全体系中,当入侵检测系统检测到入侵行为,且需要阻断该入侵行为时,将能够启动联动机制,主动通知防火墙立刻做出相关策略的动态修改,以实现对攻击源的拦截,从而达到主动响应、有效控制的目的。
真正意义的联动系统要依靠统一的安全集成框架、标准的通信协议。
联动系统实现的关键是如何表示出入侵检测系统为防火墙所提供的信息以及防火墙依据这些信息应如何去执行[3]。
在联动系统的研究过程中,需要解决3个问题:¹定义出通用安全事件类型并对其进行表示;º入侵检测系统为防火墙生成访问控制规则,或提供规则生成时所需要的信息;»入侵检测与防火墙通信使用的协议。
各类安全产品的安全事件可以抽象为基本防外安全事件集和基本安全事件集。
对于只需防止外来攻击的安全事件归至基本防外安全事件集,其他原安全事件均属于基本安全事件集。
防火墙的规则集包括的基本信息有:源IP地址和源端口号、目的IP地址和目的端口号。
入侵检测系统向防火墙提供信息时要至少包含这些信息,同时再增加安全事件类型、攻击时间。
为了保证传送信息的保密性,防火墙与入侵检测系统通信时,选用安全套接层SSL,可有效防止信息被窃听。
入侵检测系统与防火墙的安全联动模型如图1所示。
在该联动模型中,防火墙系统中嵌入一个功能模块M,入侵检测系统中嵌入另一个功能模块N。
当入侵检测系统检测到攻击后,根据响应策略来决定是否要实现与防火墙的联动,如果需要将启动N模块,并向防火墙M模块发送信息(源IP地址和端口号、目的IP地址和端口号、安全事件类型、攻击时间);防火墙・34・(总194)入侵检测与防火墙的联动平台研究2012年 M模块接收到信息后动态生成过滤规则,当攻击停止所生成的过滤规则要立即删除,以保证以后的正常通信。
该联动模型通过依靠防火墙的过滤机制来实现入侵检测对攻击行为的自动响应,并及时地自动更新防火墙过滤规则,实现两者之间的协同工作。
4 结 论通过向入侵检测与防火墙中嵌入相关功能模块,在入侵检测系统检测到攻击行为时,依据响应策略决定是否启动模块来联动防火墙以有效拦截攻击行为,从而使得入侵检测系统可以依靠防火墙的过滤机制来实现对攻击行为的自动响应,实现了两者之间的协同工作。
这样既弥补了防火墙无法检测来自内网攻击的缺点,又弥补了入侵检测系统无法自动响应攻击的缺点。
目前实现入侵检测与防火墙间联动的理论主要有两种:¹将入侵检测系统嵌入到防火墙中;º通过开放接口的研究来实现防火墙与入侵检测系统的各组件间的联动。