计算机入侵检测技术应用研究

邮局订阅号：８２－９４６３６０元／年技术创新

信息安全

《ＰＬＣ技术应用２００例》您的论文得到两院院士关注

中国自控网计算机入侵检测技术应用研究ＲｅｓｅａｒｃｈｏｆＡｐｐｌｉｃａｔｉｏｎｓｏｎＣｏｍｐｕｔｅｒＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＴｅｃｈｎｏｌｏｇｙ（１．西安交通大学；２．云南民族大学）凌永发１，２王杰２陈跃斌２

Ｌｉｎｇ，ＹｏｎｇｆａＷａｎｇ，ＪｉｅＣｈｅｎ，Ｙｕｅｂｉｎ

摘要：介绍了计算机入侵检测技术的基本原理和过程，分析了基于数据挖掘、神经网络、支持向量机等最新技术应用于入侵检测的情况，提出了未来工作方向。

关键词：入侵检测；网络安全；应用

中图分类号：ＴＰ３９３．０８文献标识码：Ａ

Ａｂｓｔｒａｃｔ：Ｔｈｅｐａｐｅｒｐｒｅｓｅｎｔｓｔｈｅｂａｓｉｃｐｒｉｎｃｉｐｌｅａｎｄｐｒｏｃｅｓｓｏｆｃｏｍｐｕｔｅｒｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｔｅｃｈｎｏｌｏｇｙ，ａｎｄａｎａｌｙｓｅｓｔｈｅａｐｐｌｉｃａ－ｔｉｏｎｓａｂｏｕｔｉｎｔｒｕｓｉｏｎｄｅｔｅｃｔｉｏｎｂａｓｅｄｓｔａｔｉｓｔｉｃａｌｍｏｄｅｌ，ｍｏｄｅｌ，ｓｙｓｔｅｍ，ｎｅｕｒａｌｎｅｔｗｏｒｋａｎｄｓｕｐｐｏｒｔｖｅｃｔｏｒｍａｃｈｉｎｅｔｅｃｈｎｏｌｏｇｉｅｓｅｔｃ，ａｎｄｐｏｉｎｔｏｕｔｆｕｒｔｈｅｒｒｅｓｅａｒｃｈｅｓａｂｏｕｔｉｔ．Ｋｅｙｗｏｒｄｓ：ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎ；ＮｅｔｗｏｒｋＳｅｃｕｒｉｔｙ；Ａｐｐｌｉｃａｔｉｏｎ

文章编号：１００８－０５７０（２００６）０３－３－００５３－０３

引言近年来，随着网络的普及与应用领域的逐渐扩展，网络安全与信息安全问题日渐突出。在网络安全的实践中，建立一个完全安全的系统是不现实的。更为实用、可行的方案是建立一个比较容易实现的安全系统，同时按照一定的安全策略来建立相应的安全辅

助系统。

入侵检测技术是近年来出现的新型网络安全技术，目的是提供实时的入侵检测及采取相应的防护手

段，如记录日志、断开网络连接等。扩展了系统管理员

的安全管理能力（包括安全日志、监控、攻击识别及响应），帮助计算机系统抵御攻击。它以探测与控制技术为本质，起着主动防御的作用，是网络安全中极其重要的部分。

１入侵检测技术概述

入侵检测技术的研究已经走过了２０多年的发展历史：１９８０年４月，Ｊａｍｅｓ第一次详细阐述了入侵检测的概念。他将入侵尝试或威胁定义为：潜在的、有预谋的、未经授权的访问信息、操作信息，致使系统不可靠

或无法使用的企图，并提出用审计追踪来监视入侵威胁；１９８７年，乔治敦大学的Ｄｅｎｎｉｎｇ和ＳＲＩ／ＣＳＬ的Ｐｅ－

ｔｅｒ提出了一个经典的入侵检测模型，首次将入侵检测的概念作为一种计算机系统的安全防御措施提出；

１９９０年，加州大学戴维斯分校的Ｈｅｂｅｒｌｅｉｎ等提出新

概念：基于网络的入侵检测ＮＳＭ（ＮｅｔｗｏｒｋＳｅｃｕｒｉｔｙ

Ｍｏｎｉｔｏｒ），

入侵检测被分为基于主机的和基于网络的

两个基本类型，同时该系统第一次直接将网络流作为数据来源。从此之后，入侵检测系统发展史翻开了新

的一页。

入侵检测是一种动态的安全防护技术，它从计算

机系统和网络的不同关键点采集信息，然后分析这些信息以寻找入侵的迹象，针对外部攻击、内部攻击和

误操作给系统提供安全保护。

入侵检测系统ＩＤＳ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍ）是实现入侵检测功能的系统。它在被保护系统的安全性受到侵害时发出报警并采取适当的行动来阻止入侵行为，从而起到保护系统安全的作用。ＩＤＳ一般包括３

个部分：信息的收集和预处理、入侵分析引擎及响应和恢复系统。入侵检测首先要进行信息收集，检测成

功与否依赖于信息的可靠性、正确性和实时性；入侵分析引擎是ＩＤＳ中的核心部分，传统的入侵检测方式为异常检测和误用检测两种，目前的ＩＤＳ系统大多是两者的结合；事件响应和恢复很重要，但往往被忽略

。

图１给出了入侵检测模型，它是Ｄｅｎｎｉｎｇ和Ｐｅｔｅｒ

凌永发：博士后，副教授基金资助：国家自然科学基金（１０３７１０９７），云南省计算机应用技术重点实验室开放基金资助项目

５３－－技术创新

中文核心期刊《微计算机信息》（管控一体化）２００６年第２２卷第３－３期

３６０元／年邮局订阅号：８２－９４６《现场总线技术应用２００例

》

信息安全于１９８７年提出的一个抽象的入侵检测模型。该模型主要由６部分构成：主体、对象、审计记录、活动简档、异常记录和活动规则。但是由于缺乏相应的通用标准，不同系统之间缺乏互操作性和互用性，大大阻碍了入侵检测系统的发展。为了解决不同ＩＤＳ之间的互操作和共存问题，１９９９年５月，加州大学Ｄａｖｉｓ分校的安全实验室完成了通用入侵检测框架ＣＩＤＦ（ＣｏｍｍｏｎＩｎｔｒｕｓｉｏｎＤｅｔｅｃ－ｔｉｏｎＦｒａｍｅｗｏｒｋ）标准的制定，试图提供一个允许入侵检测、分析和响应系统和部件共享分布式协作攻击信息的基础结构；Ｉｎｔｅｒｎｅｔ工程任务组ＩＥＴＦ（ＩｎｔｅｒｎｅｔＥｎ－ｇｉｎｅｅｒｉｎｇＴａｓｋＦｏｒｃｅ）成立了入侵检测任务组ＩＤＷＧ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＷｏｒｋｉｎｇＧｒｏｕｐ），主要负责建立入侵检测数据交换格式ＩＤＥＦ（ＩｎｔｒｕｓｉｏｎＤｅｔｅｃｔｉｏｎＳｙｓｔｅｍＥｘｃｈａｎｇｅＦｏｒｍａｔ）标准，并提供支持该标准的工具，以便更高效率地开发ＩＤＳ系统。该框架的目的主要是：（１）ＩＤＳ构件共享，即一个ＩＤＳ的构件可以被另一个ＩＤＳ构件所使用；（２）数据共享，即通过提供标准的数据格式，使得ＩＤＳ中的各类数据可以在不同系统之间传递并共享；（３）完善互用性标准并建立一套开发接口和支持工具，以提供独立开发部分构件的能力。２入侵检测技术的应用目前，在入侵检测系统中常用的检测方法有：基于用户行为概率统计模型、基于模型推理、基于状态转移分析、基于模式匹配、基于专家系统、基于数据挖掘、基于神经网络以及基于支持向量机技术等等。从发展趋势来看，入侵检测技术常采用智能化检测的相关技术，包括数据挖掘、神经网络、支持向量机等。目前对这些技术的研究是学术界的热点，但实际应用的产品几乎没有。这并不是说这些研究没有价值，从长远来看，智能化是大势所趋，现在需要基础性研究，只是目前还缺乏关键性突破。２．１数据挖掘技术的应用由于海量数据的存在及网络环境和网络攻击的复杂性，传统的基于手工编码建立模型的方式缺乏精确性、实时性，所以数据挖掘应运而生。数据挖掘方法是提供一个通用的检测模型，与特定的攻击种类无关，所以其各种攻击的阈值是动态调整的，要根据所采用的训练数据而定，也就是说训练数据至关重要。诸如分类、关联、序列、聚类等分析方法已得到验证，能够有效地提高了入侵检测的精确性，特别是在选择统计特征时尤其有用。该方向已成为研究的一个热点，属于网络安全和人工智能的交叉学科。数据挖掘技术是一种决策支持过程，它主要基于人工智能技术，能高度自动化地分析原有数据，做出归纳性的推理，从中挖掘出潜在的模式，预测出客户的行为。现有的入侵检测系统在提取用户行为特征以及建立正常或异常模式库方面有时并不能很好地反映实际情况，所建立的模式库也不够完善，容易造成误警或漏警，给网络系统造成损失。而数据挖掘技术非常适用于从历史行为的大量数据中进行特征提取，

同时也可用于对当前用户行为数据进行特征提取。数据挖掘在从数据中提取特征与规则方面的这种强大优势使它融入入侵检测系统成为一个趋势。在入侵检测系统中运用数据挖掘技术可以有效地从各种数据中提取出有用的信息。

数据挖掘利用了人工智能的一些已经成熟的算法和技术，如神经网络、遗传算法、决策树、邻近搜索算法、规则推理、模糊逻辑等，采用哪几种技术主要取决于问题类型以及数据的类型和规模。无论采用何种技术，从功能上都可将数据挖掘的分析方法分为以下

４种：关联分析、序列模式分析、分类分析和聚类分析。

引入数据挖掘技术的入侵检测系统工作过程如下：（１）收集用户历史行为数据和系统中各种审计数据或网络数据；（２）将采集到的数据进行集成与预处理；（３）从系统有关数据中提取有关行为特征和规则；

（４）建立系统所需的异常模式或正常模式的知识库；（５）从当前用户的行为数据中提取当前用户行为特征；（６）根据一定的算法，从知识库中提取相关规则数

据，检测当前用户行为特征，根据检测结果采取相应措施。

２．２神经网络技术的应用神经网络模型力图模仿生物神经系统，通过接受外部输入的刺激，不断获得并积累知识，进而具有一

定的判断预测能力。尽管神经网络模型的种类很多，

得基本模式都是由大量简单的计算单元（又称为节点或神经元）广泛相互连接而构成的一种并行分布处理网络。基于神经信息传输的原理，各个节点通过可变的权值彼此相连接，每个节点对Ｎ个加权的输入求

和，当求和值超过某个阀值时，节点呈“兴奋”状态，表示有信号输出。节点的特征由其阀值和非线性函数的

５４－－