入侵检测系统的性能问题研究

《入侵检测系统的性能问题研究》由会员上传分享，免费在线阅读，更多相关内容在学术论文-天天文库。

1、维普资讯http://www.cqvip.com入侵检测系统的性能问题研究赵丽·孙敏(晋中学院计算机科学系，山西晋中030600)2(山西大学计算机与信息技术学院，太原030006)E——mail：ldzhaoli@eyou．corn摘要首先针对现有的入侵检测系统，讨论了影响入侵检测系统性能的一些因素，然后通过分析，找到了一些相应的解决方法，最后得出结论，如果想提高入侵检测系统的性能。要全面考虑这些因素。关键词入侵检测系统容忍入侵文章编号1002-8331一(2005)10—0138--03文献标识码A中图分类号TP393．08PerformancePro

2、blemResearchofIntrusionDetectionSystemZhaoLi·SunMin2(DepartmentofComputerScience，JinzhongCollege，Jinzhong，Shanxi030600)(SchoolofComputerInformationTechnology，ShanxiUniversity，Taiyuan，Shanxi030006)Abstract：Aimmingattherecentintusiondetectionsystem，thispaperfirstlydiscussessomereaso

3、nsinfluencingtheperformanceofintrusiondetectionsystem，andthenfindsomemethordstosolvethembyanalyzingthefactors．Finallyanconclusionisobtainedthatthefactorsmustbeconsideredentirelyiftheperformanceofintrusiondetectionsystemwanttobeimproved．Keywords：intrusiondetectionsystem，intrusionto

4、lerance1引论3影响IDS性能的因素随着信息系统在数量和规模上的增加，防御系统变得越来3．1检测准确率越重要。入侵检测系统(IDS)是信息安全体系结构的重要部分，IDS系统必须判断准确，即检测准确率要高。但事实上，一个性能较好的IDS，不仅能检测到其它安全部件(如防火墙)IDS很容易出现判断失误，这些判断失误包括正误判、负误判所能检测到的攻击，还能检测到其它部件注意不到的新的攻和失控误判【l-X类。击，并且能追踪攻击源以提供法律信息。相反，性能有瑕疵的系正误判(falsepositive)指IDS将一个合法的操作判断为攻统不仅不能提供足够的信息，并且

5、可能提供的是致命的错误信击行为。这类失误会导致虚警，如果IDS系统出现过多的虚警，息。因此，管理部门得到的信息不仅是无效的，而且还会带来误人们就会忽视它，当真正有入侵时就不会引起足够的重视。导的反作用。同时，一些攻击者在发起真正的攻击前先对IDS负误判(falsenegative)指IDS将一个攻击行为判断为非入本身进行破坏，所以IDS自身的安全也受到了威胁。现在已有侵行为并允许它通过。从实际情况上讲，负误判比正误判的失各种不同的入侵检测系统或其模型，但它们在性能问题上并没误更严重，因为它完全背离了安全防护的宗旨。入侵操作不会有作综合的评述。该文在此基础上

6、对IDS的性能进行了探讨。产生任何报警，IDS系统变得没有任何作用，而系统的安全性还不如不去安装它，因为人们往往因已安装它而信任它，却没2IDS概述有理会到这其实是一种虚假的安全感。IDS指从网络系统中的若干关键点收集信息并进行分析，失控误判更为复杂，入侵者利用自己掌握的IDS原理知从而发现网络系统中是否有违反安全策略的行为和被攻击的识，让异常的行为能够通过IDS系统的监测。如攻击者在一段对象，并做出适当的响应。它既能检测非经授权而使用计算机比较长的时间里反复做一些稍微偏离系统正常使用情况的操系统的用户(hackers)，也能检测那些虽有合法的权限，但却滥

7、作动作，监测系统认为每一个操作都有点怀疑。但还不足以对用系统的用户(insiderthreat)。从功能逻辑上讲，入侵检测系统系统构成威胁。但由于监测系统会不断更新它对系统正常使用由探测器(Sensor)、分析器(Analyzer)和用户接13(UserInter-情况的写照，所以监测系统会认为这是一种正常的模式并逐渐face)组成。接受它，而想不到将这些操作组合起来会是严重的威胁。比如：IDS按入侵检测技术通常分为滥用检测(misusedetection)一种可以将数据包分为更小的数据的数据包碎片攻击。攻击者和异常检测(anomalydetection)

8、。根据收集的数据来源可分为可以把攻击行为使用的rCP／IP数据包拆