一个改进的入侵检测系统模型

维普资讯 http://www.cqvip.com 第３５卷（２００７）第１期　计算机与数字工程　一个改进的入侵检测系统模型　柳景超周立兵　（海军工程大学信息安全系　武汉４３００３３）　摘要首先介绍了模式匹配技术的工作过程，接着分析了Ｂ—Ｍ匹配算法，进而指出了该技术存在的主要缺点；然　后介绍了协议分析技术的检测攻击过程，说明了它的技术优势；最后将两项技术有机结合了起来建立了一个新的检测模　型。研究表明，该模型检测速度快、效率高，并且大大降低了漏报率。　关键词模式匹配协议分析入侵检测　中图分类号ＴＰ２７４　．５　Ｏ　引言　进行匹配，Ｂ—Ｍ匹配算法的基本思想如下：（１）　匹配自右向左进行；（２）若匹配失败发生在Ｐｉ≠ｔｉ，　随着网络技术和网络规模的不断发展，传统的　且ｔ；不出现在模式Ｐ中，则将模式右移，直到Ｐ。位　安全防护策略已不能满足当前安全形势的需要。　于匹配失败位ｔ；的右边第１位即（ｔ　＋１位），若ｔ　在这种条件下，入侵检测系统越来越受到重视，但　在Ｐ中有若干地方出现，则应选择ｊ＝ｍａｘ｛ｋ　Ｉ　Ｐ　＝　其效果并不令人满意，尤其是随着网络流量的大幅　ｔ。｝；（３）若模式Ｐ后面ｋ位和文本ｔ中－一致的部分，　度增加，大量漏报、误报的出现，使得先前应用到入　有一部分在Ｐ中其他部分出现，则可将向右移动，　侵检测系统上的安全策略已很难胜任，迫切需要一　直接使这部分对齐，且要求这一致部分尽可能　种新的安全方案来对当前的入侵检测模型进行改　地大。　进，使之适应当前网络流量大量增加的需要。　例：Ｐ　“ｍ’ｇ”，ｔ＝“ｔｈｉｓｉｓａｓｔｒｉｎｇ”，匹配从“　”　目前绝大多数入侵检测系统采用的是模式匹　　配算法，该算法主要匹配详尽，实现简单；但存在匹　处开始。模式　１　ｉ　ｌ　ｎ　ｌ　ｇ　配速度慢，丢包率高等问题。在当前网络传输速度　越来越大的情况下，匹配速度慢会导致严重的丢包　字符移动值Ｉ　２　Ｊ　１　ｌ　０　现象。为此，人们提出了协议分析技术，它利用网　首先比较的字符是模式串中最右边的字符　络协议的高度规则性能够快速探测攻击的存在，是　ｇ。　新一代１ＤＳ探测攻击手法的主要技术。　比较位置　本文通过对这两项技术做进一步分析，将二者　文本ｔ　ｔ　ｈ　１　Ｓ　１　Ｓ　ａ　Ｓ　ｔ　ｒ　１　ｎ　ｇ　的优点有效结合起来，提出了一个新的模型。研究　表明该模型拥有检测速度快，漏报率低等特点。　模式Ｐ　１　ｎ　ｇ　在文本中正在比较的是与“ｇ”对应的“ｉ”，它在　模式Ｐ中出现过，其移动值是２，所以将模式直接　１　模式匹配技术　模式匹配方法是入侵检测系统中最常用的一　右移２位，进行下一次比较。　种数据分析方法，其任务就是把存在入侵检测系　比较位置　统规则集中的已知入侵规则（模式）与系统正在检　文本ｔ　ｔ　ｈ　ｌ　Ｓ　１　Ｓ　ａ　Ｓ　ｔ　ｒ　１　ｎ　ｇ　测的网络数据包中的文本进行比较，如果匹配成　模式Ｐ　Ｉ　ｎ　ｇ　功，则可以判定发生了攻击。目前最常用的匹配　在文本中正在比较的依然是与“ｇ”对应的“ｉ，，，　算法为Ｂ—Ｍ匹配算法。　它在模式Ｐ中出现过，其移动值是２，所以将模式　１．１　Ｂ—Ｍ匹配算法　假设将长度为ｍ的模式Ｐ与长度为ｎ的文本ｔ　直接右移２位，进行下一次比较。　收到本文时间：２００６年３月７　１３　作者简介：柳景超，女，硕士生，主要研究方向入侵检测，数据挖掘。周立兵，男，硕士生，主要研究方向信息安全，计　算机软件质量保障技术。　维普资讯 http://www.cqvip.com ９８　柳景超等：一个改进的入侵检测系统模型　第３５卷　比较位置　令解析来进行入侵检测，有效弥补了模式匹配技术　文本ｔ　ｔ　ｈ　ｌ　Ｓ　ｌ　Ｓ　ａ　Ｓ　ｔ　ｒ　ｌ　ｎ　ｇ　之不足，给入侵检测战场带来了许多决定性的优　模式Ｐ　ｌ　ｎ　ｇ　势，如提高了性能和准确性。　在文本中正在比较的是与“ｇ”对应的“ａ”，它　２．１协议分析基础　在模式ｐ中没有出现过，因此根据算法第（２）步，模　ＴＣＰ／ＩＰ协议是一组不同层次上多个协议的组　式向右移３位。　合（如图ｉ）。上层协议的实现要通过下层协议的　‘比较位置　实现来完成。首先要下层协议的特征满足才考虑　文本ｔ　ｔ　ｈ　ｌ　Ｓ　ｌ　Ｓ　ａ　Ｓ　ｔ　ｒ　ｌ　ｎ　ｇ　上层协议的特征。因此，从分类上来说，下层协议　模式Ｐ　ｌ　ｎ　ｇ　可以看成是上层协议数据包的大类。在ＴＣＰ／ＩＰ协　议实现时上层协议的一些细节可以在下层协议及　在文本中正在比较的是与“ｇ”对应的“ｒ”，它　时得到体现。比如在ＩＰ的首部有协议字段可以确　在模式Ｐ中没有出现过，因此根据算法第（２）步，模　定时ＴＣＰ协议还是ＵＤＰ协议，而ＴＣＰ首部有端口　式向右移３位。　可以确定上层应用协议的类型究竟是ＨＴＦＰ还是　比较位置　ＳＭＴＰ或者其他协议。这种网络协议严格分层的特　文本ｔ　ｔ　ｈ　ｌ　８　ｌ　Ｓ　ａ　Ｓ　ｔ　ｒ　ｌ　ｎ　ｇ　点为协议分析提供了依据。　模式Ｐ　ｌ　ｎ　ｇ　Ａｐｐｌｉｃａｔｉｏｏｎ　ＬａＹｅｒ匝　圜　最后在文本的末端发现一个成功的匹配。　。ｒ　。ｐｏｌ。２存在问题　Ｌａｙｅｒｎ　Ｉ　ＵＤｎ　Ｐｅａ／ａ　ｅｒＰ　Ｉｌ　Ｐｒｏ协∞ｒＤａｔａＩＩ　（ｉ）支持这种算法的计算量是巨大的。对于　盯ｍＬａｙｅｒ　个满负载的１００ＭＢ以太网线路，所需要的计算　　ｌｎ　ｄｅ　ａ　　ｇｅ　ｒ　Ｉ哪Ｉ　ＩＰ一～…Ｉ　Ｄａｔａ　Ｉ　一量可以表示为（每个特征中的字节数）×（一个包　Ｉｎｔｅｒｌａｃｅ　Ｌａｙｅｒ　ｌ　；ｌ　Ｆｒａｍｅ　Ｄａｔａ　Ａｒｅａ　Ｉ．　中的字节数）×（包数量／秒）×（库中特征数）。　图１协议的分层　这个计算量远远超过大多数计算机的运算能力。　２．２检测攻击的过程　即使一个系统可以采用提供部分覆盖的方式（一旦　第一步：ＴＣＰ／ＩＰ协议规定一个以太网的数据　它发现特征中有一个字节不匹配则放弃搜索），这　包在第１３字节处包涵标示第三层协议的两字节。　些系统仍然会被性能所困扰，且还增加了被黑客躲　协议分析器直接到１３字节处，读２字节的协议标　避的可能性。因计算速度跟不上而产生大量的漏　示符。如果读出的值是０８００，那说明以太网帧的　报是这类系统的主要特点。　数据域携带的协议是网际间协议（ＩＰ）。　（２）没有考虑到通信协议的特点。在降低了　第二步：在１５字节处读４ｂｉｔｓ的ＩＰ协议版本字　判断效能的同时，对采用连带攻击，数据包分片攻　段信息，如为０４，ＩＰ为ＩＰｖ４，如为Ｏ６，则ＩＰ为ＩＰｖ６。　击的方法显得无能为力。　ＩＰｖ４协议规定ＩＰ报头的协议字段是传输层的协议　（３）检测准确率低。使用固定的特征模式来　标识，该位在第２４字节处，协议分析器直接到第２４　检测入侵只能检测特定的特征，这将会错过通过对　字节处读第四层协议标示符的一个字节；ＩＰｖ６协议　原始攻击串做对攻击效果无影响的微小变形而衍　的下一协议头部字段标识传输层协议的类型，该位　生所得的攻击。　在２１字节处，协议分析器直接到第２１字节处读第　２协议分析技术　四层协议标示符的一个字节。如果这个值是０１，　则ＩＰ包的数据域所携带的协议为．ＩＣＭＰ。若为０６，　模式匹配技术的一个基本出发点是它将数据　那么，ＩＰ包的数据域所携带的协议传输控制协议　看作不同字节的随机流数据，认为包结构是未知　（ＴＣＰ）。若为１７，则表示这个数据包是ＵＤＰ协议　的。事实上，若是对于大量的随机变化，诸如数字　的数据包。　图像或声音流，用模式匹配技术是一个明智的手　第三步：ＴＣＰ协议规定在第３５字节处包涵一　法。但是，分析数字图像和分析网络通信协议是两　对两字节的应用层协议标示符（端口号）。跳到３５　个不同的问题。通信协议不是一个随机的不同的　比特处，读一对端口号。如果两个端口号中的一个　字节流，它的包中的字节是遵照一定规则组织的。　是００８０，那么ＴＣＰ消息的数据域携带的协议是超　协议分析技术结合高速数据包捕捉、协议分析和命　文本传输协议（ＨｒＩＴｐ）。同样可以对ＵＤＰ数据包、　维普资讯 http://www.cqvip.com 第３５卷（２００７）第１期　计算机与数字工程　ＩＣＭＰ数据包加以分析。　分析器进行检测（对解码后的数据与已知的攻击模　如果相匹配，则报警）。改进的模型如　第四步：协议规则规定Ｈ１ＴｒＰ位于ＴＣＰ之上，　式进行比较，ＵＲＬ开始于第５５比特。协议分析器在５５比特处　图２所示。　读统一资源定位器（ＵＲＬ），这个ＵＲＬ字符串将被　输入到ＨｒｒｒＰ命令解析器并将其还原。　第五步：将获得的特征值与特征库内容比较，　大量研究表明，将该模型运用到实际网络中，　同样混杂在速率２０Ｍｂｐｓ、同时约有１５０００个连接　的大量的日常流量中，进行同样的各类型的Ｈ１ＴｒＰ　ＳＭＴＰ攻击、ＩＣＭＰ攻击共１０００次，结果显示：　如与特征吻合，则访问被判断为攻击行为，产生报　攻击、漏报率由７０％降至２０％，误报率由５０％降至几乎　警，并采取相应措施。　为０。即使在重裁的高速网络上，大量的包也可以　２．３性能分析　协议分析技术利用协议规则寻找攻击，极大地　被及时地分析，遗漏少，降低了漏报率，精确性高。　模式匹配技术和协议分析技术相结合不仅减　减少所需的计算量，即便在高负载的网络上也可以　完全探测出各种攻击，并对其进行更详细的分析而　少了误报，而且可以简化检测过程，由于系统在每　不会丢包。协议分析的优势在于：　层协议都会解码，因此若在包中发现第四层传输层　就没有必要再去检查是否有载于传　１．针对不同的应用协议形成不同命令分析　协议为ＴＣＰ，器，分析器对每一个用户命令作出详细分析；　输层其他协议（如ＵＤＰ）的攻击；可以检测分片攻　２．在通信中如果出现ＩＰ碎片，可以重组数据　击和协议验证，如果ＩＰ协议被分片，包首先会被重　报，然后进行协议分析探测碎片攻击；　组，然后再从细节分析攻击行为，采用重组技术，系　３．模拟执行一个命令字符串，在通信连接到　统可以检测出利用躲避技术的攻击，如包分片，　ＲＰＣ分段边界欺骗等。　达之前准确判断该通信是否恶意，可以提高系统检　ＴＣＰ，测的准确性、大大降低误报率；　４．基于协议分析技术的入侵检测系统引擎将　４　结束语　使用协议分析方法的ＩＤＳ比单纯使用模式匹　能够判断一个通信的实际内容及含义，它们不太容　易受到黑客躲避技术的影响；　配的方法在性能上有很大提高，但也存在不足之　５．基于协议分析技术的入侵检测系统的有效　处，如可能会产生误报，有时解码引擎必须新编写，　性和准确性带来的直接益处是对系统资源的极低　等等。今后应该在改进协议分析性能和提高模式　匹配的效率等方面作进一步的研究，使两个领域的　消耗。　协议包解析过滤　监听程序　———１ｒ—一　．．．．．．．．．．．．．协议分析　技术在ＩＤＳ检测中有机结合起来。　参考文献　Ｊ．．．．．．．一　网络数据包　［１］罗守山．入侵检测［Ｍ］．北京：北京邮电大学出版社，　２Ｏｏ４　处理ＴＣＰ　ｌｌ处ＮＵＤＰｌ　理ＩｃＭｑ　ｌ模式匹配器　［２］Ｊｏｈｎ　Ｍｃｈｕｇｈ，Ｉｎｔｒｕｓｉｏｎ　ａｎｄ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ［Ｊ］，Ｉｎｔｅｒ－　ｎａｔｉｏｎａｌ　Ｊｏｕｒｎａｌ　ｏｆ　Ｉｎｆｏｒｍａｔｉｏｎ，２００１，１（１）：１４—１５　［３］杨小平，苏静．基于协议分析的入侵检测技术研究［Ｊ］，　计算机应用研究，２００４　［４］景蕊等，基于协议分析的网络入侵检测技术［Ｊ］，计算　报警产生器　机工程与应用，２００３．３６　图２改进的ＩＤＳ模型　［５］杜建国等，协议分析和命令解析在入侵检测中的应用　［Ｊ］，计算机工程与应用　３　一个改进的模型　［６］蒋建春，冯登国．网络入侵检测原理与技术［Ｍ］．北京：　国防工业出版社，２００１　协议分析技术结合模式匹配技术应用到入侵　［７］连一峰．入侵检测综述（一）［Ｊ］，网络安全技术与应　检测中，可以快速检测出入侵行为。首先将捕获到　用，２００３，３　ＤＳ中模式匹配算法及其并行化设计［Ｊ］，　的数据包根据不同的网络协议进行解码，把解码结　［８］于泠，陈波．Ｉ果存入相应的数据结构，然后提交给相应的数据包　计算机工程，２００４，２