网络入侵检测技术分析及应用研究
合集下载
- 1、下载文档前请自行甄别文档内容的完整性，平台不提供额外的编辑、内容补充、找答案等附加服务。
- 2、"仅部分预览"的文档,不可在线预览部分如存在完整性等问题,可反馈申请退款(可完整预览的文档不适用该条件!)。
- 3、如文档侵犯您的权益，请联系客服反馈,我们会尽快为您处理(人工客服工作时间：9:00-18:30)。
＃ ｅ ｉ ｅ Ｔ Ｔ Ｉ Ｈ Ｏ Ｃ Ｌ Ｃ Ｄ （ Ｉ Ｅ Ｄ Ｖ Ｃ Ｒ Ｆ Ｔ Ｐ ｄ ｆ ｎ Ｓ ＡＲ Ｐ Ｏ Ｋ Ｔ Ｏ Ｅ Ｆ Ｌ Ｅ Ｉ Ｅ Ｄ Ｖ Ｌ Ｉ ，＼
— —
Ｄ Ｖ Ｌ Ｉ Ｉ Ｃ Ｌ Ｎ Ｅ ３ Ｍ Ｔ Ｏ Ｕ Ｆ Ｒ Ｄ ＦＩ Ｅ Ａ Ｙ Ａ Ｃ Ｓ ） Ｒ Ｆ Ｔ Ｐ Ｏ Ｔ Ｉ Ｄ Ｘ＋ ， Ｅ Ｈ ＤＢ Ｆ Ｅ Ｅ ， Ｌ Ｎ Ｃ Ｅ Ｓ
Ｌ Ａ Ｃ Ｓ ， Ｅ Ｖ Ｃ Ｋ Ｒ Ｌ Ｄ Ｉ Ｅ ， Ｅ Ｖ Ｃ Ｄ Ｍ ＮＤ Ｓ Ａ Ｔ Ｃ Ｅ Ｓ Ｓ Ｒ Ｉ Ｅ Ｅ ＮＥ Ｒ Ｖ Ｒ Ｓ Ｒ Ｉ Ｅ Ｅ Ａ Ｔ Ｒ ，
＿ — — ＿
Ｓ ＶＩ ＲＲ Ｒ ＮＯ Ｍ Ｌ， Ｉ Ｆｌ Ｄｒ ． ｙ ， ＮＵ Ｌ ０ Ｎ Ｌ ＮＵ Ｌ ＥＲ Ｃ Ｅ Ｅ Ｏ Ｒ Ａ ｐ ｔ ｖ ｓ ｓ Ｌ ， ， ＵＬ ， Ｌ ，
Ｎ Ｌ ）启动 Ｉ ｕＬ Ｐ过滤 驱动 ；启动 Ｉ Ｐ过滤驱动后，要启动 Ｉ Ｐ过滤钩 子驱动 ，其 中驱 动程序 收到上层发过来的控制代码后即按照注册的 钩 子 函数 进 行 入 侵 检 测 。 ４ 攻 击 模 式 库 ．
该 部 分 由用 户 自己设 置 。针 对 特 定 的攻 击 ， 设置 攻 击 的源 Ｉ ， Ｐ 端 口，及 子网掩码 ，目的 Ｉ ，端 口，及子网掩码，然后选择要拦截 Ｐ 或放行的协议类型 。每一次设置相 当于一条记录，可 以设置多条记 录 ， 攻 击 模 式 库 即 由这 些 记 录 共 同 构 成 。
［］ａｓｎＶ． ｏＡ ｓｓ ｍ ｆｒ ｄｔｃ ｎ ｎ ｔ ｏｋ ｉｔ ｄｒ ｉ １Ｐｘｏ ， Ｂｒ： ｙｔ ｅ ｏ ｅ ｔ ｇ ｅｗ ｒ ｎｒ ｅｓ ｎ ｅｉ ｕ ｒａ ｔ ￣． ｍｐ ｔｒ ｔ ｒｓ １９ ，１（ ３）：４５ ２６ ｅｌ ｉ ］ — ｍｅ Ｃｏ ｕｅ ｗｏｋ， ９ ９３ ２ Ｎｅ ２３ － ４ ３
摘
要 ：论 文首先分析 了入侵检 测的概 念 ，指出 了入侵检 测的发展 情况 ，以数据分析的角度给 出了它的基本分类 。作为 实
践 活动 ，在 后 面给 出 了 一 个基 本 的 网络 入 侵 检 测 的程 序 实现 ， 为相 应 的程 序 开发 起 到 借 鉴 作 用 。
关键 词：入侵检 测；网络 安全 ；计算机 应用；信 息 ；程序 设计 ；ＶＣ
Ｌｕ Ｌ ． Ｌ ｉ ｕＹｉ
（ ｈ ｎ ｓａＣｔ ｅ ｌ ｃ ｏ ｌ ｈ ｎ ｓａ４ ０ ０ ，ｈｎ Ｃ ａｇｈ ｉ Ｈ ａｔ Ｓ ｈ ｏ， ａｇｈ １ １ ０Ｃ ｉａ） ｙ ｈ Ｃ
Ａｂｓ ｒ ｃ ： ｉｓ ｙ ｔ ｅ ｉ ａ ａ ｙ ｅ ｔ ｏ ｃ ｐ ｆ ｉ ｔｕ ｉ ｎ ｄ ｔｃ ｏ ｐ ｉ ｔｎ ｕ ｅ ｄ ｖ ｌ ｐ ｎ ｆ ｉ ｒ ｓｏ ｅ ｔ ｎ ｔ ａ ｔＦ ｒ ｔ ｓｓ ｎ ｌ ｓ ｌ ｈ ｈｅ ｃ ｎ ｅ ｔｏ ｎ ｒ ｓｏ ｅ ｅ ｔ ｎ， ｏ ｎ ｇ ｏ ｔｔ ｅ ｅ ｏ ｍｅ ｔｏ ｕ ｉ ｎ ｄ ￣ｃ ｏ ，ｗｉ ａ ａ ｉ ｉ ｈ ｎｔ ｉ ｔ ｄ ｔ ｈ ａ ａ ｙ ｉ ｉ ｗ， ｏ ｎ ｔ ｔ ｓｃ ｃ ａ ｓ ｆ ａ ｉ ｎ． ｒ ｃｉ ｅ ｆｎ ｌ ｉ ｅ ｓｃ ｎ ｔ ｒ ｔｕ ｉ ｅ ｅ ｔｏ ｒ ｒ ｍ ｎ ｓｓｖ ｅ ｐ ｉ ｔ ｌ ｏｕ ｓｂａ ｉ ｌ ｓ ｉ ｃ ｔ ｉ ｉ ｏ Ａｓａｐ ａ ｔｃ ， ａ ｙ ｇ ｖ ｓａｂａ ｉ ｅ ｗｏ ｋ ｉ ｒ ｓｏｎ ｄ ｔ ｃ ｎ ｐ ｏｇ ａ ｉ ｉ ｌ ｎ ｉ ｍｐｌｍ ｅ ｔ ｔ ｎ， ｎ ｅ ｎａｏ ｉ ｉ ｏ ｄ ｒ ｏ ｐ ａ ｅ ｅ ｅ ｃ ｏ ｅ ｉ ｒ ｇ ａ ｄ ｖ ｌ ｐ ｅ ｔ ｒ ｅ ｌｙ ａ ｒ ｆ ｒ ｎ ｅｒ ｌ ｐ ｏ ｒ ｍ ｅ ｅ ｏ ｍ ｎ ｔ ｎ Ｋ ｅ ｗｏ ｄ ：ｎ ｒ ｓｏ ｅ ｅ ｔｏ ； ｔ ｒ ｅ ｕ ｉ Ｃｏ ｕ ｅ ｐ ｌ ａ ｏ ｓＩ ｆ ｒ ａ ｏ ； ｒ ｇ ａ ｅ ｉ ｎ； ｙ ｒ ｓ Ｉ ｔｕ ｉ ｎ ｄ ｔ ｃ ｎ Ｎｅ ｗｏ ｋ ｓ ｃ ｒｔ ｉ ｙ； ｍｐ ｔｒ ａ ｐ ｉ ｔ ｎ ； ｏ ｍ ｔ ｎ Ｐ ｏ ｍ ｄ ｓｇ ＶＣ ｃｉ ｎ ｉ ｒ
＿ — —
这种方式通过采样 网络安全相关的特征数据，而且与入侵模式库中 的模式进行匹配来实现。异常检测系统首先通过对宿主计算机系统 中的 一 组 与 安 全 相 关 的特 征 属 性 的 取值 进 行统 计 和 分 析 ，为 系 统 正 常 运 行 状 态 下 的 行 为 建 立起 一个 特 征轮 廓 印 。然 后 不 断 监 测 这 些 安 全相关特征属性的实时取值 ，与正常行为特 征轮廓 出现 大的差异时 检测入侵。 二 、入 侵 检 测 的程 序 实践 （ ） 系统 总体 设 计 一 本 系统 将 实现 为 一 个 基 于 网络 的入 侵 检 测 系 统 ，本 系 统 采 用 误 用检测技术 。与普通 的采用误 用检测 技术 的入侵 检测系统相比，该 系统 内部并没有设置复杂的特征库 ，所有 的入侵模式都要用户 自己 设置 ，然后依据这些模式对入侵行为进行拦截或放行 。 （ ）系 统 功 能 模 块 二 １ 网络数据收集及检测引擎 ． 本 部 分采 用 应用 层 截 包 方案 ，即 在 驱 动 程 序 中截 包 ，然后 送 到 应用层处理的工作模 式。在应用层工作 ，改变了工作模式 ，每当驱 动 程序 截 到数 据 ，送 到 应 用 层 处 理 后 再 次 送 回 内核 ，再 向 上传 递 到 Ｉ Ｐ协议 。综合考虑各种 因素 ，本部分决定采用应用层 的截包方 案。 ２ 驱动程序拦截 网络数据包 的方式 ． 利用驱动程序拦截 网络数据包的方式很多，本系统采用 Ｗ ｎ ｋ ｉ２ Ｆ ｌｅ — ｏ ｋＤ ｉ ｅ ｉ ｔ ｒ Ｈ ｏ ｒ ｖ ｒ拦截数据 包。 ｗ ｎ ０ ０设备程序开发包（ Ｄ ） 在 ｉ２ ０ Ｄ Ｋ 中 ，微 软 包 含 一 个 新 的 命 名 为 Ｆ ｅ — ｏ ｋ Ｄ ｉｅ 的 网 络 驱 动 程 ｉ ｒ Ｈ ｏ ｒ ｖ ｒ ｌ ｔ 序 。本程序采用 Ｄ ｖ ｌ ｌ ．ｙ ｒ Ｆ ｔｐ ｓ ｓ驱动程序实现 Ｉ Ｐ协议过滤 。其中 回 调 函 数 是 这 类 驱程 的 主 体 部 分 。Ｄ ｖ ｌ Ｉ ． ｙ Ｐ过 滤 驱 动 程 序 ｒ Ｆ ｔｐ ｓ ｓ Ｉ 使用这个过滤钩 子来判 断 Ｉ Ｐ数 据包 的处理方式。所注册 的过滤钩 子 是用 Ｐ ｃ ｅＦ ｌ ｅＥ ｔｎ ｉｎ ｔ 据 类 型 定 义 的 。Ｆ ｉ ｅ — ｏｋ ａ ｋ ｔ ｉ ｔｒ ｘ ｅ ｓｏ Ｐ ｒ数 ｉ ｔ ｒＨ ｏ 使用该 ｉｏ ／ 控制码建立一个 ＩＰ Ｒ ，并将其提交给 Ｉ 过滤驱动程序 。 Ｐ 该控制码 向 Ｉ Ｐ过滤驱动程序注册过滤钩子 回调 函数，当有 数据 包 发送或者接收 时， Ｐ过滤驱动程序 调用这些回调函数。 Ｉ 在本 系统 中 定义 了四种设备控制代码。分别是开始过滤、停止过 滤、添加过滤 规 则 、清 除 过 滤 规 则 ：
＿
Ｃ Ｌ Ｃ Ｄ ＦＩ Ｅ Ｄ Ｖ Ｃ ＿ Ｒ Ｆ Ｔ Ｐ Ｔ Ｏ Ｅ（ Ｌ Ｅ Ｉ Ｅ Ｄ Ｖ Ｌ Ｉ ，＼
＿
ＤＶ Ｌ Ｉ＿Ｏ Ｔ Ｎ Ｅ＋ ， ＴＯ ＵＦ ＲＤＦ Ｌ ＲＴ Ｃ Ｓ ） ＲＦＴ Ｐ ＩＣＬ ＩＤＸ ２Ｍ Ｈ ＤＢ ＦＥ ， ＩＥＷ ＩＥＡ ＣＥ Ｓ Ｅ Ｅ
＃ ｅ ｉ ｅ Ｃ Ｅ Ｒ ＦＩ Ｔ Ｒ Ｃ Ｌ Ｃ Ｄ ＦＩ Ｅ Ｄ ＶＩ Ｅ Ｄ Ｖ Ｌ Ｉ ，＼ ｄｆｎ ＬＡ Ｌ Ｅ Ｔ Ｏ Ｅ（ Ｌ Ｅ Ｃ ＲＦＴＰ
＿
３ Ｓ Ｍ管 理 器 ．Ｃ
程序通过 Ｓ Ｍ管理器创建或打开服务 。首先通过语句 Ｃ
Ｏ ｅ Ｓ Ｍ ｎ ｇ ｒ （ Ｕ Ｌ Ｕ Ｌ，Ｓ Ｍ Ｎ Ｇ Ｒ Ａ Ｌ Ａ Ｃ Ｓ ） ： 开 Ｓ Ｍ ｐｎＣａａｅ Ｎ Ｌ ，Ｎ Ｌ Ｃ ＡＡＥ Ｌ ＣＥＳ 打 Ｃ
＿ —
管 理 器 ，然 后 通 过 Ｃ ｅ ｔ Ｓ ｒ ｉｅ（ Ｓ Ｍ ｐ １ Ｄ ｖ Ｓ Ｒ Ｉ Ｌ ｒ ａ ｅ ｅ ｖ ｅ ｍ ｈ Ｃ ，Ｉ Ｆ ｔ ｒ ， Ｅ Ｖ ＣＥ Ａ
一
２ — ６
中图分类 号：Ｔ ３３ ８ 文献标识码 ：Ａ 文章鳊 号 ：１０— ５９ （ ００ ０— ０６ Ｏ Ｐ ９． ０ ０７ ９９ ２１ ） ３ ０２一 １
Ｎｅ ｗｏ ｋ Ｉ ｔ ｕ ｉ ｎ Ｄｅｅ ｔ ｎ Ｔｅ ｈ ｏ ｏ ｙＡｎ ｌ ｓｓａ ｄ Ａｐ ｌ ｄ Ｒｅ ｅ ｒ ｈ ｔ ｒ ｎ ｒ ｓｏ ｔ ｃｉ ｃ ｎ ｌ ｇ ａ ｙ ｉ ｎ ｐ ｉ ｓ ａ ｃ ｏ ｅ
三 、 总 结
驱 动程序 会按照用户的选择对 拦截的数据包进行处理 ， 在报警 及 响应过程 完毕后，点击菜 单项的 Ｓ ｏ Ｒ ｐ ｒ ｈ ． ｅ ｏ ｔ选项 ，会对遭受的 攻击及处 理的结果作 出响应 。该系统可以较好的完成入侵检测的功
能 ，保 证 网络 的安 全 。
参考文献 ：
＃ ｆ ｎｅ Ｔ Ｐ Ｉ ＨＯ Ｋ Ｃ Ｌ Ｏ （ Ｌ Ｄ Ｖ Ｃ ｄｅ ｉ Ｓ Ｏ Ｐ Ｏ Ｔ Ｃ ＤＥ ＦＩ Ｅ Ｅ Ｉ Ｅ
— — — —
Ｄ Ｖ Ｌ Ｉ ，＼ ＲＦ Ｔ Ｐ
＿
Ｄ Ｖ Ｌ Ｉ Ｏ Ｔ Ｉ Ｄ Ｘ Ｉ Ｍ Ｔ Ｏ Ｕ Ｆ Ｒ Ｄ Ｆ Ｌ Ｎ Ａ Ｃ Ｓ） Ｒ Ｆ ＴＰ ＩＣ Ｌ Ｎ Ｅ ＋，Ｅ Ｈ ＤＢ Ｆ ＥＥ ， ＩＥ ＡＹ ＣＥ Ｓ ＃ ｅ ｎ Ｄ ＦＩ Ｔ Ｒ ｄ ｆｉ ｅ Ａ Ｄ ＬＥ
计算 机 光盘 软件 与应 用
工 程 技 术
Ｃ ｍ ｕ ｅ Ｄ Ｓ ｆｗ ｒ ｎ ｐ ｌ ｃ ｔ ｏ ｓ ｏ ｐ ｔ ｒ Ｃ ｏ ｔ ａ ｅ ａ ｄ Ａ ｐ ａ ｉｎ ｉ
２ １ 第 ３期 ０ ０年
网络入侵检测技术分析及应用研究
鲁 力．芦 毅
４００ １ １０） （ 沙市卫 生学校 ，长沙 长
【］ ２董小玲 ． 息安全的分水岭一 信 计算机安全，０ １１ ６ ４ ２ ０ ，： — ２ ３
２０ ０Ｏ年世界信息安全 问题回顾卟
作者简介 鲁力 （９ ３ ） １ ７一 ，广 西人 ，长沙市卫生学校工作 ，本科 ，讲师 ，从事 计算机科 学方面 的教学与研 究工作 卢毅 （ ９ １ ） １８ 一 ，男 ，湖南涟源人 ，大学本科学历 ，讲师 ，工作单位 长沙市卫 生学校 ，主要 从事 中职 计算机 教学研 究工作
一
、
入 侵 检 测 技 术综 述
ＯＣ Ｌ ＮＤ Ｘ， ＥＴ ＯＤ ＢＵ ＦＥ ＥＤ Ｆ Ｌ Ａ Ｆ Ｒ ， Ｉ Ｅ ＮＹ ＡＣ Ｅ Ｓ） Ｄ Ｖ Ｌ Ｐ Ｉ Ｔ Ｉ Ｅ Ｍ Ｈ Ｒ Ｆ ＴＩ ＣＳ
— ～ —
（ ） 入 侵检 测 的技 术 分类 一 当 前入 侵 检 测 技 术 ，从 数据 分 析 角 度 不 同 ，可 以分 为 误 用 模 型 的入 侵 检 测 以及 异 常 入 侵 检 测 系 统 两 种 。前者 做 一个 基 本假 设 ：一 切来 自网络 及 本 地 的安 全 入 侵 都 可 以按 某 种 方 式 被 精 确 地 编 码 ，并 通 过 对 已知 的各 种 入 侵 形 式 进 行 相 应 的 编 码 ， 来 构 成 入 侵 模 式 库 。
— —
Ｄ Ｖ Ｌ Ｉ Ｉ Ｃ Ｌ Ｎ Ｅ ３ Ｍ Ｔ Ｏ Ｕ Ｆ Ｒ Ｄ ＦＩ Ｅ Ａ Ｙ Ａ Ｃ Ｓ ） Ｒ Ｆ Ｔ Ｐ Ｏ Ｔ Ｉ Ｄ Ｘ＋ ， Ｅ Ｈ ＤＢ Ｆ Ｅ Ｅ ， Ｌ Ｎ Ｃ Ｅ Ｓ
Ｌ Ａ Ｃ Ｓ ， Ｅ Ｖ Ｃ Ｋ Ｒ Ｌ Ｄ Ｉ Ｅ ， Ｅ Ｖ Ｃ Ｄ Ｍ ＮＤ Ｓ Ａ Ｔ Ｃ Ｅ Ｓ Ｓ Ｒ Ｉ Ｅ Ｅ ＮＥ Ｒ Ｖ Ｒ Ｓ Ｒ Ｉ Ｅ Ｅ Ａ Ｔ Ｒ ，
＿ — — ＿
Ｓ ＶＩ ＲＲ Ｒ ＮＯ Ｍ Ｌ， Ｉ Ｆｌ Ｄｒ ． ｙ ， ＮＵ Ｌ ０ Ｎ Ｌ ＮＵ Ｌ ＥＲ Ｃ Ｅ Ｅ Ｏ Ｒ Ａ ｐ ｔ ｖ ｓ ｓ Ｌ ， ， ＵＬ ， Ｌ ，
Ｎ Ｌ ）启动 Ｉ ｕＬ Ｐ过滤 驱动 ；启动 Ｉ Ｐ过滤驱动后，要启动 Ｉ Ｐ过滤钩 子驱动 ，其 中驱 动程序 收到上层发过来的控制代码后即按照注册的 钩 子 函数 进 行 入 侵 检 测 。 ４ 攻 击 模 式 库 ．
该 部 分 由用 户 自己设 置 。针 对 特 定 的攻 击 ， 设置 攻 击 的源 Ｉ ， Ｐ 端 口，及 子网掩码 ，目的 Ｉ ，端 口，及子网掩码，然后选择要拦截 Ｐ 或放行的协议类型 。每一次设置相 当于一条记录，可 以设置多条记 录 ， 攻 击 模 式 库 即 由这 些 记 录 共 同 构 成 。
［］ａｓｎＶ． ｏＡ ｓｓ ｍ ｆｒ ｄｔｃ ｎ ｎ ｔ ｏｋ ｉｔ ｄｒ ｉ １Ｐｘｏ ， Ｂｒ： ｙｔ ｅ ｏ ｅ ｔ ｇ ｅｗ ｒ ｎｒ ｅｓ ｎ ｅｉ ｕ ｒａ ｔ ￣． ｍｐ ｔｒ ｔ ｒｓ １９ ，１（ ３）：４５ ２６ ｅｌ ｉ ］ — ｍｅ Ｃｏ ｕｅ ｗｏｋ， ９ ９３ ２ Ｎｅ ２３ － ４ ３
摘
要 ：论 文首先分析 了入侵检 测的概 念 ，指出 了入侵检 测的发展 情况 ，以数据分析的角度给 出了它的基本分类 。作为 实
践 活动 ，在 后 面给 出 了 一 个基 本 的 网络 入 侵 检 测 的程 序 实现 ， 为相 应 的程 序 开发 起 到 借 鉴 作 用 。
关键 词：入侵检 测；网络 安全 ；计算机 应用；信 息 ；程序 设计 ；ＶＣ
Ｌｕ Ｌ ． Ｌ ｉ ｕＹｉ
（ ｈ ｎ ｓａＣｔ ｅ ｌ ｃ ｏ ｌ ｈ ｎ ｓａ４ ０ ０ ，ｈｎ Ｃ ａｇｈ ｉ Ｈ ａｔ Ｓ ｈ ｏ， ａｇｈ １ １ ０Ｃ ｉａ） ｙ ｈ Ｃ
Ａｂｓ ｒ ｃ ： ｉｓ ｙ ｔ ｅ ｉ ａ ａ ｙ ｅ ｔ ｏ ｃ ｐ ｆ ｉ ｔｕ ｉ ｎ ｄ ｔｃ ｏ ｐ ｉ ｔｎ ｕ ｅ ｄ ｖ ｌ ｐ ｎ ｆ ｉ ｒ ｓｏ ｅ ｔ ｎ ｔ ａ ｔＦ ｒ ｔ ｓｓ ｎ ｌ ｓ ｌ ｈ ｈｅ ｃ ｎ ｅ ｔｏ ｎ ｒ ｓｏ ｅ ｅ ｔ ｎ， ｏ ｎ ｇ ｏ ｔｔ ｅ ｅ ｏ ｍｅ ｔｏ ｕ ｉ ｎ ｄ ￣ｃ ｏ ，ｗｉ ａ ａ ｉ ｉ ｈ ｎｔ ｉ ｔ ｄ ｔ ｈ ａ ａ ｙ ｉ ｉ ｗ， ｏ ｎ ｔ ｔ ｓｃ ｃ ａ ｓ ｆ ａ ｉ ｎ． ｒ ｃｉ ｅ ｆｎ ｌ ｉ ｅ ｓｃ ｎ ｔ ｒ ｔｕ ｉ ｅ ｅ ｔｏ ｒ ｒ ｍ ｎ ｓｓｖ ｅ ｐ ｉ ｔ ｌ ｏｕ ｓｂａ ｉ ｌ ｓ ｉ ｃ ｔ ｉ ｉ ｏ Ａｓａｐ ａ ｔｃ ， ａ ｙ ｇ ｖ ｓａｂａ ｉ ｅ ｗｏ ｋ ｉ ｒ ｓｏｎ ｄ ｔ ｃ ｎ ｐ ｏｇ ａ ｉ ｉ ｌ ｎ ｉ ｍｐｌｍ ｅ ｔ ｔ ｎ， ｎ ｅ ｎａｏ ｉ ｉ ｏ ｄ ｒ ｏ ｐ ａ ｅ ｅ ｅ ｃ ｏ ｅ ｉ ｒ ｇ ａ ｄ ｖ ｌ ｐ ｅ ｔ ｒ ｅ ｌｙ ａ ｒ ｆ ｒ ｎ ｅｒ ｌ ｐ ｏ ｒ ｍ ｅ ｅ ｏ ｍ ｎ ｔ ｎ Ｋ ｅ ｗｏ ｄ ：ｎ ｒ ｓｏ ｅ ｅ ｔｏ ； ｔ ｒ ｅ ｕ ｉ Ｃｏ ｕ ｅ ｐ ｌ ａ ｏ ｓＩ ｆ ｒ ａ ｏ ； ｒ ｇ ａ ｅ ｉ ｎ； ｙ ｒ ｓ Ｉ ｔｕ ｉ ｎ ｄ ｔ ｃ ｎ Ｎｅ ｗｏ ｋ ｓ ｃ ｒｔ ｉ ｙ； ｍｐ ｔｒ ａ ｐ ｉ ｔ ｎ ； ｏ ｍ ｔ ｎ Ｐ ｏ ｍ ｄ ｓｇ ＶＣ ｃｉ ｎ ｉ ｒ
＿ — —
这种方式通过采样 网络安全相关的特征数据，而且与入侵模式库中 的模式进行匹配来实现。异常检测系统首先通过对宿主计算机系统 中的 一 组 与 安 全 相 关 的特 征 属 性 的 取值 进 行统 计 和 分 析 ，为 系 统 正 常 运 行 状 态 下 的 行 为 建 立起 一个 特 征轮 廓 印 。然 后 不 断 监 测 这 些 安 全相关特征属性的实时取值 ，与正常行为特 征轮廓 出现 大的差异时 检测入侵。 二 、入 侵 检 测 的程 序 实践 （ ） 系统 总体 设 计 一 本 系统 将 实现 为 一 个 基 于 网络 的入 侵 检 测 系 统 ，本 系 统 采 用 误 用检测技术 。与普通 的采用误 用检测 技术 的入侵 检测系统相比，该 系统 内部并没有设置复杂的特征库 ，所有 的入侵模式都要用户 自己 设置 ，然后依据这些模式对入侵行为进行拦截或放行 。 （ ）系 统 功 能 模 块 二 １ 网络数据收集及检测引擎 ． 本 部 分采 用 应用 层 截 包 方案 ，即 在 驱 动 程 序 中截 包 ，然后 送 到 应用层处理的工作模 式。在应用层工作 ，改变了工作模式 ，每当驱 动 程序 截 到数 据 ，送 到 应 用 层 处 理 后 再 次 送 回 内核 ，再 向 上传 递 到 Ｉ Ｐ协议 。综合考虑各种 因素 ，本部分决定采用应用层 的截包方 案。 ２ 驱动程序拦截 网络数据包 的方式 ． 利用驱动程序拦截 网络数据包的方式很多，本系统采用 Ｗ ｎ ｋ ｉ２ Ｆ ｌｅ — ｏ ｋＤ ｉ ｅ ｉ ｔ ｒ Ｈ ｏ ｒ ｖ ｒ拦截数据 包。 ｗ ｎ ０ ０设备程序开发包（ Ｄ ） 在 ｉ２ ０ Ｄ Ｋ 中 ，微 软 包 含 一 个 新 的 命 名 为 Ｆ ｅ — ｏ ｋ Ｄ ｉｅ 的 网 络 驱 动 程 ｉ ｒ Ｈ ｏ ｒ ｖ ｒ ｌ ｔ 序 。本程序采用 Ｄ ｖ ｌ ｌ ．ｙ ｒ Ｆ ｔｐ ｓ ｓ驱动程序实现 Ｉ Ｐ协议过滤 。其中 回 调 函 数 是 这 类 驱程 的 主 体 部 分 。Ｄ ｖ ｌ Ｉ ． ｙ Ｐ过 滤 驱 动 程 序 ｒ Ｆ ｔｐ ｓ ｓ Ｉ 使用这个过滤钩 子来判 断 Ｉ Ｐ数 据包 的处理方式。所注册 的过滤钩 子 是用 Ｐ ｃ ｅＦ ｌ ｅＥ ｔｎ ｉｎ ｔ 据 类 型 定 义 的 。Ｆ ｉ ｅ — ｏｋ ａ ｋ ｔ ｉ ｔｒ ｘ ｅ ｓｏ Ｐ ｒ数 ｉ ｔ ｒＨ ｏ 使用该 ｉｏ ／ 控制码建立一个 ＩＰ Ｒ ，并将其提交给 Ｉ 过滤驱动程序 。 Ｐ 该控制码 向 Ｉ Ｐ过滤驱动程序注册过滤钩子 回调 函数，当有 数据 包 发送或者接收 时， Ｐ过滤驱动程序 调用这些回调函数。 Ｉ 在本 系统 中 定义 了四种设备控制代码。分别是开始过滤、停止过 滤、添加过滤 规 则 、清 除 过 滤 规 则 ：
＿
Ｃ Ｌ Ｃ Ｄ ＦＩ Ｅ Ｄ Ｖ Ｃ ＿ Ｒ Ｆ Ｔ Ｐ Ｔ Ｏ Ｅ（ Ｌ Ｅ Ｉ Ｅ Ｄ Ｖ Ｌ Ｉ ，＼
＿
ＤＶ Ｌ Ｉ＿Ｏ Ｔ Ｎ Ｅ＋ ， ＴＯ ＵＦ ＲＤＦ Ｌ ＲＴ Ｃ Ｓ ） ＲＦＴ Ｐ ＩＣＬ ＩＤＸ ２Ｍ Ｈ ＤＢ ＦＥ ， ＩＥＷ ＩＥＡ ＣＥ Ｓ Ｅ Ｅ
＃ ｅ ｉ ｅ Ｃ Ｅ Ｒ ＦＩ Ｔ Ｒ Ｃ Ｌ Ｃ Ｄ ＦＩ Ｅ Ｄ ＶＩ Ｅ Ｄ Ｖ Ｌ Ｉ ，＼ ｄｆｎ ＬＡ Ｌ Ｅ Ｔ Ｏ Ｅ（ Ｌ Ｅ Ｃ ＲＦＴＰ
＿
３ Ｓ Ｍ管 理 器 ．Ｃ
程序通过 Ｓ Ｍ管理器创建或打开服务 。首先通过语句 Ｃ
Ｏ ｅ Ｓ Ｍ ｎ ｇ ｒ （ Ｕ Ｌ Ｕ Ｌ，Ｓ Ｍ Ｎ Ｇ Ｒ Ａ Ｌ Ａ Ｃ Ｓ ） ： 开 Ｓ Ｍ ｐｎＣａａｅ Ｎ Ｌ ，Ｎ Ｌ Ｃ ＡＡＥ Ｌ ＣＥＳ 打 Ｃ
＿ —
管 理 器 ，然 后 通 过 Ｃ ｅ ｔ Ｓ ｒ ｉｅ（ Ｓ Ｍ ｐ １ Ｄ ｖ Ｓ Ｒ Ｉ Ｌ ｒ ａ ｅ ｅ ｖ ｅ ｍ ｈ Ｃ ，Ｉ Ｆ ｔ ｒ ， Ｅ Ｖ ＣＥ Ａ
一
２ — ６
中图分类 号：Ｔ ３３ ８ 文献标识码 ：Ａ 文章鳊 号 ：１０— ５９ （ ００ ０— ０６ Ｏ Ｐ ９． ０ ０７ ９９ ２１ ） ３ ０２一 １
Ｎｅ ｗｏ ｋ Ｉ ｔ ｕ ｉ ｎ Ｄｅｅ ｔ ｎ Ｔｅ ｈ ｏ ｏ ｙＡｎ ｌ ｓｓａ ｄ Ａｐ ｌ ｄ Ｒｅ ｅ ｒ ｈ ｔ ｒ ｎ ｒ ｓｏ ｔ ｃｉ ｃ ｎ ｌ ｇ ａ ｙ ｉ ｎ ｐ ｉ ｓ ａ ｃ ｏ ｅ
三 、 总 结
驱 动程序 会按照用户的选择对 拦截的数据包进行处理 ， 在报警 及 响应过程 完毕后，点击菜 单项的 Ｓ ｏ Ｒ ｐ ｒ ｈ ． ｅ ｏ ｔ选项 ，会对遭受的 攻击及处 理的结果作 出响应 。该系统可以较好的完成入侵检测的功
能 ，保 证 网络 的安 全 。
参考文献 ：
＃ ｆ ｎｅ Ｔ Ｐ Ｉ ＨＯ Ｋ Ｃ Ｌ Ｏ （ Ｌ Ｄ Ｖ Ｃ ｄｅ ｉ Ｓ Ｏ Ｐ Ｏ Ｔ Ｃ ＤＥ ＦＩ Ｅ Ｅ Ｉ Ｅ
— — — —
Ｄ Ｖ Ｌ Ｉ ，＼ ＲＦ Ｔ Ｐ
＿
Ｄ Ｖ Ｌ Ｉ Ｏ Ｔ Ｉ Ｄ Ｘ Ｉ Ｍ Ｔ Ｏ Ｕ Ｆ Ｒ Ｄ Ｆ Ｌ Ｎ Ａ Ｃ Ｓ） Ｒ Ｆ ＴＰ ＩＣ Ｌ Ｎ Ｅ ＋，Ｅ Ｈ ＤＢ Ｆ ＥＥ ， ＩＥ ＡＹ ＣＥ Ｓ ＃ ｅ ｎ Ｄ ＦＩ Ｔ Ｒ ｄ ｆｉ ｅ Ａ Ｄ ＬＥ
计算 机 光盘 软件 与应 用
工 程 技 术
Ｃ ｍ ｕ ｅ Ｄ Ｓ ｆｗ ｒ ｎ ｐ ｌ ｃ ｔ ｏ ｓ ｏ ｐ ｔ ｒ Ｃ ｏ ｔ ａ ｅ ａ ｄ Ａ ｐ ａ ｉｎ ｉ
２ １ 第 ３期 ０ ０年
网络入侵检测技术分析及应用研究
鲁 力．芦 毅
４００ １ １０） （ 沙市卫 生学校 ，长沙 长
【］ ２董小玲 ． 息安全的分水岭一 信 计算机安全，０ １１ ６ ４ ２ ０ ，： — ２ ３
２０ ０Ｏ年世界信息安全 问题回顾卟
作者简介 鲁力 （９ ３ ） １ ７一 ，广 西人 ，长沙市卫生学校工作 ，本科 ，讲师 ，从事 计算机科 学方面 的教学与研 究工作 卢毅 （ ９ １ ） １８ 一 ，男 ，湖南涟源人 ，大学本科学历 ，讲师 ，工作单位 长沙市卫 生学校 ，主要 从事 中职 计算机 教学研 究工作
一
、
入 侵 检 测 技 术综 述
ＯＣ Ｌ ＮＤ Ｘ， ＥＴ ＯＤ ＢＵ ＦＥ ＥＤ Ｆ Ｌ Ａ Ｆ Ｒ ， Ｉ Ｅ ＮＹ ＡＣ Ｅ Ｓ） Ｄ Ｖ Ｌ Ｐ Ｉ Ｔ Ｉ Ｅ Ｍ Ｈ Ｒ Ｆ ＴＩ ＣＳ
— ～ —
（ ） 入 侵检 测 的技 术 分类 一 当 前入 侵 检 测 技 术 ，从 数据 分 析 角 度 不 同 ，可 以分 为 误 用 模 型 的入 侵 检 测 以及 异 常 入 侵 检 测 系 统 两 种 。前者 做 一个 基 本假 设 ：一 切来 自网络 及 本 地 的安 全 入 侵 都 可 以按 某 种 方 式 被 精 确 地 编 码 ，并 通 过 对 已知 的各 种 入 侵 形 式 进 行 相 应 的 编 码 ， 来 构 成 入 侵 模 式 库 。