基于状态协议分析的网络入侵检测技术

《基于状态协议分析的网络入侵检测技术》由会员上传分享，免费在线阅读，更多相关内容在教育资源-天天文库。

1、第"#卷第2期电脑开发与应用0总"$&1!//!文章编号*&##.%/,/#0"##(1#2%##//%#.基于状态协议分析的网络入侵检测技术3456789:;58<=>7;?454@5>7;A4@B;>C<4DE=4F7;G5E54H8757@7IJ;EIK=>=王庆生张秀荣0太原理工大学太原#.##"21L摘要M协议分析是网络入侵检测技术中的一种关键技术’但不能解决对于包含在多个数据包中的攻击-针对这一问题’提出了基于状态协议分析的检测技术’构建一个有限自动机0NOPOQRSTQUVWQUP’简称NS1来约束网络’并用由正则表达式产生的语言来描述一系列的正常的状态转化’充分利用协议的状

2、态信息检测入侵-L关键词M协议分析’状态协议分析’入侵检测’自动机中图分类号*XY.).Z#,文献标识码*SJ[GAJ]AX^R_‘UQUaUbWPWbcdOdOdWPRddRPQOWbQRa^POeTROPPRQfU‘gOPQ‘TdOUPhRQRaQOUPijTQQ^RQRa^POeTRhURdPkQ‘RdUblRQ^RWQQWagdf^Oa^^WlROPlUblRhVWPc_WagWmRdiSOVOPmWQQ^R_‘UnbRV’Q^Od_W_R‘_TQdoU‘fW‘hPRQfU‘gOPQ‘TdOUPhRQRaQOUPQRa^POeTRdnWdRhUPdQWQR_‘UQUaUbWPWb

3、cdOdiX^RQRa^POeTRdRQdT_WoOPOQRWTQUVWQUP0NS1QUaUPQ‘UbWPRQfU‘gWPhhRda‘OnRdWdR‘ORdUoPU‘VWbdQWQRaUPlR‘dOUPncQ^RQc_RbWPmTWmRUo‘RmTbW‘Rp_‘RddOUPiqQ_‘U_UdRdWPOPQ‘TdOUPhRQRaQOUPQRa^POeTRQ^WQQWgRdoTbbWhlWPQWmRUoQ^R_‘UQUaUbdQWQROPoU‘VWQOUPoU‘hRQRaQOPmOPQ‘TdOUPirstuv?G_‘UQUaUbWPWbcdOd’dQWQR_‘UQUaUbWPWbcdOd’

4、OPQ‘TdOUPhRQRaQOUP’WTQUVWQUP随着网络应用的普及’对网络的入侵也日益增传统的

5、qz{主要使用包匹配技术’将数据包与加’各种攻击手段层出不穷-单纯依靠防火墙抵御入侵描述已知攻击特征的规则表达式进行匹配检测攻击-的预防性安全策略已经越来越不能满足安全防护的需这种方法实现简单’但检测能力和灵活性差’对未知攻求’入侵检测技术是近年来出现的新型网络安全技术’击和使用躲避检测技术的变体攻击无能为力+由于对目的是提供实时的入侵检测及采取相应的防护手段’所监控网络的全部数据传输进行匹配搜索’面对网络如记录日志w断开网络连接等-扩展了系统管理员的安传输量的迅速增加’检测效率难以提高

6、+简单匹配对于全管理能力0包括安全日志w监控w攻击识别及响应1’多步骤攻击’分布式协作攻击等复杂攻击不能有效检帮助计算机系统抵御攻击-它以探测与控制技术为本测-针对包匹配技术的缺点’一些学者将协议分析应用质’起着主动防御的作用’是网络安全中极其重要的部到入侵检测领域’根据数据包的封装协议对检测数据分x$y-进行分析-目前’入侵检测系统0qPQ‘TdOUPzRQRaQOUP协议分析技术是对单个数据包进行分析的技术’{cdQRV’简称qz{1按检测数据来源主要有网络入侵检虽然它很大程度上能够有效阻止攻击行为’但是由于测系统0

7、RQfU‘g%nWdRhqz{’简称

8、qz{1和基于主机现在的很多攻

9、击是碎片攻击’若仅仅检查单个数据包’的入侵检测系统0}UdQ%nWdRhqz{’简称}qz{1x&y-无法发现攻击行为’只有将前后的信息联系起来才能

10、qz{根据被监控网络中的数据包内容检测入侵+发现攻击-状态协议分析就是在常规协议分析技术的}qz{则对系统审计日志和操作系统进程进行分析来基础上’加入状态特性分析’即不仅仅检测单一的连接检测入侵-而入侵检测技术主要有异常检测和误用检请求或响应’而是将一个会话的所有流量作为一个整测两种x/y’其中异常检测将攻击视为不同于正常的行体来考虑-有些网络攻击行为仅靠检测单一的连接请为’通过识别任何违反正常的行为检测入侵+误用检测求或响应是检测不到的’因

11、为攻击行为包含在多个请明确定义攻击特征’通过将检测数据与攻击规则匹配求中’此时状态协议分析技术就显得十分必要-为此’来检测已知的攻击-异常检测可以检测未知的攻击’但文中采用状态协议分析技术’就与X~Y有关的攻击行容易产生高误报率+误用检测有较高的准确率’但只能为进行入侵检测技术的研究-检测规则定义的已知攻击-!"##$%&#%&&收到’"##(%#"%"&改回!!王庆生’男’&)$"年生’硕士’副教授’硕导’研究方向*计