第1章入侵检测技术1

组长:黄齐超杨光罗力王昌益吴飞朱日干张云峰入侵检测技术简介总目录第1章入侵检测技术的历史第2章入侵检测的相关概念第3章入侵检测技术的分类第4章基于主机的入侵检测技术第5章基于网络的入侵检测技术第6章混合型的入侵检测技术第7章先进入侵检测技术第8章分布式的入侵检测架构第9章入侵检测系统的设计考虑第10章入侵检测的响应问题第11章相关的法律问题第12章未来需求与技术发展前景第1章入侵检测技术的历史1.1主机审计——入侵检测的起点1.2入侵检测基本模型的建立1.3技术发展的历程主机审计出现在入侵检测技术之前，其定义为：产生、记录并检查按照时间顺序排列的系统事件记录的过程。在早期的中央主机集中计算的环境之下，主机审计的主要目的是统计用户的上机时间，便于进行计费管理。不久，随着计算机的普及，审计的用途扩展到跟踪记录计算机系统的资源使用情况，经过进一步的发展，主机审计开始应用于追踪调查计算机系统中用户的不正当使用行为的目的。此时的主机审计，已经逐步开始引入了安全审计的概念。安全审计的主要需求来自于商业领域和军事、行政领域。1.1主机审计——入侵检测的起点20世纪70年代TCSEC（可信计算机系统评估准则）首次定义了计算机系统的安全等级评估标准，并且给出了满足各个安全等级的计算机系统所应满足的各方面的条件。TCSEC准则规定，作为C2和C2等级以上的计算机系统必须包括审计机制，并给出满足要求的审计机制所应达到的诸多安全目标。在此之后，计算机安全问题得到了更多的注意和重视。James-Anderson在1980年首次明确提出安全审计的目标，并强调应该对计算机审计机制做出若干修改，以便计算机安全人员能够方便地检查和分析审计数据。Anderson在报告中定义了3种类型的恶意用户。①伪装者（masquerader）:此类用户试图绕过系统安全访问控制机制，利用合法用户的系统账户。②违法者（misfeasor）:在计算机系统上执行非法活动的合法用户。③秘密活动者（clandestineduser）:此类用户在获取系统最高权限后，利用此种权限以一种审计机制难以发现的方式进行秘密活动，或者干脆关闭审计记录过程。Anderson指出，可以通过观察在审计数据记录中的偏离历史正常行为模式的用户活动来检查和发现伪装者和一定程度上的违法者。Anderson对此问题的建议，实质上就是入侵检测中异常检测技术的基本假设和检测思路，为后来的入侵检测技术发展奠定了早期的思想基础。1987年,DorothyDenning发表了入侵检测领域内的经典论文《入侵检测模型》。这篇文献正式启动了入侵检测领域内的研究工作，被认为是入侵检测领域内的开创性成果。Denning提出的统计分析模型在早期研发的入侵检测专家系统（IDES）中得到较好的实现。IDES系统主要采纳了Anderson的技术报告中所给出的检测建议，但是，Denning的论文中还包括了其他检测模型。Denning对入侵检测的基本模型给出了建议，如图1-1所示。1.2入侵检测基本模型的建立图1-1通用入侵检测模型在图1-1所示的通用入侵检测模型中，事件生成器从给定的数据来源中，生成入侵检测事件，并分别送入到活动档案计算模块和规则库检测模块中。活动档案模块根据新生成的事件，自动更新系统行为的活动档案；规则库根据当前系统活动档案和当前事件的情况，发现异常活动情况，并可以按照一定的时间规则自动地删减规则库中的规则集合。Denning所提出的入侵检测基本模型，其意义在于一般化的模型定义，并不强调具体的实现技术。入侵检测技术自20世纪80年代早期提出以来，经过20多年的不断发展，从最初的一种有价值的研究想法和单纯的理论模型，迅速发展出种类繁多的各种实际原型系统，并且在近10年内涌现出许多商用入侵检测系统产品，成为计算机安全防护领域内不可缺少的一种重要的安全防护技术。1980年，Anderson在其完成的一份技术报告中提出了改进安全审计系统的建议，以便用于检测计算机用户的非授权活动，同时，提出了基本的检测思路。1.3技术发展的历程1984—1986年，Denning和Neumann在SRI公司内设计和实现了著名的IDES，该系统是早期入侵检测系统中最有影响力的一个。1987年，DorothyDenning发表的经典论文“AnIntrusionDetectionModal”中提出入侵检测的基本模型，并提出了几种可用于入侵检测的统计分析模型。Denning的论文正式启动了入侵检测领域内的研究工作。同年，在SRI召开了首次入侵检测方面的专题研讨会。1989—1991年，StephenSmaha设计开发了Haystack入侵检测系统，该系统用于美国空军内部网络的安全检测目的。1990年，加州大学Davis分校的ToddHeberlien发表在IEEE上的论文“ANetworkSecurityMonitor”，标志着入侵检测第一次将网络数据包作为实际输入的信息源。NSM系统截获TCP/IP分组数据，可用于监控异构网络环境下的异常活动。1991年，在多个部门的赞助支持下，在NSM系统和Haystack系统的基础上，StephenSmaha主持设计开发了DIDS（分布式入侵检测系统）。1992年，加州大学圣巴巴拉分校的Porras和Ilgun提出状态转移分析的入侵检测技术，并实现了原型系统USTAT，之后发展出NSTAT、NetSTAT等系统。差不多同一时期，KathleenJackson在LosAlamos国家实验室设计开发了NADIR入侵检测系统。而SAIC和HaystackLabs分别开发出了CMDS系统和Stalker系统，这两个系统是首批投入商用的主机入侵检测系统。1994年，Porras在SRI开发出IDES系统的后继版本NIDES系统，后者在系统整体结构设计和统计分析算法上有了较大改进。1995年，普渡大学的S.Kumar在STAT的思路基础上，提出了基于有色Petri网的模式匹配计算模型，并实现了IDIOT原型系统。1996年，新墨西哥大学的Forrest提出了基于计算机免疫学的入侵检测技术。1997年，Cisco公司开始将入侵检测技术嵌入到路由器，同时，ISS公司发布了基于Windows平台的RealSecure入侵检测系统，自此拉开商用网络入侵检测系统的发展序幕。1998年，MIT的RichardLippmann等人为DARPA进行了一次入侵检测系统的离线评估活动，该评估活动使用的是人工合成的模拟数据，最后的测试结果对于后来的入侵检测系统开发和评估工作都产生了较大影响。1999年，LosAlamos的V.Paxson开发了Bro系统，用于高速网络环境下的入侵检测。Bro系统在设计上考虑了鲁棒性、安全性，并且处理了许多反规避的技术问题。同年，加州大学的Davis分校发布了GrIDS系统，该系统试图为入侵检测技术扩展到大型网络环境提供一个实际的解决方案。WenkeLee提出用于入侵检测的数据挖掘技术框架。2000年，普渡大学的DiegoZamboni和E.Spafford提出了入侵检测的自治代理结构，并实现了原型系统AAFID系统。值得指出的是，在发展的早期阶段，入侵检测还没有获得计算机用户的足够注意。早期的入侵检测系统几乎都是基于主机的，但是过去的10年里最流行的商业入侵检测系统大多却是基于网络的。现在和未来几年内的发展趋势似乎是混合型以及分布式系统的发展。