基于Euclidean距離的入侵檢測(cè)技術(shù)研究.pdf

1、隨著信息技術(shù),特別是Internet的飛速發(fā)展,計(jì)算機(jī)網(wǎng)絡(luò)已逐漸成為21世紀(jì)全球最重要的基礎(chǔ)設(shè)施.以此為基礎(chǔ)建立起來(lái)的各種信息系統(tǒng),給人們的生活、工作帶來(lái)了巨大變革.信息系統(tǒng)的應(yīng)用,加速了社會(huì)自動(dòng)化的進(jìn)程,減輕了日常繁雜的重復(fù)勞動(dòng),同時(shí)也提高了生產(chǎn)率,創(chuàng)造了可觀的經(jīng)濟(jì)效益.然而,由于計(jì)算機(jī)網(wǎng)絡(luò)具有連結(jié)形式多樣性、終端分布不均勻性和網(wǎng)絡(luò)的開(kāi)放性、互聯(lián)性等特征,致使網(wǎng)絡(luò)的安全隱患越來(lái)越多,網(wǎng)絡(luò)攻擊對(duì)入侵者的技術(shù)要求也越來(lái)越低,攻擊的手段越來(lái)

2、越先進(jìn),越來(lái)越隱蔽,而危害也越來(lái)越大.如何保障計(jì)算機(jī)系統(tǒng)、網(wǎng)絡(luò)系統(tǒng)及整個(gè)信息基礎(chǔ)設(shè)施的安全已經(jīng)成為刻不容緩的重要問(wèn)題,對(duì)于中國(guó)的國(guó)防系統(tǒng)具有尤其重要的意義.另外,統(tǒng)計(jì)數(shù)據(jù)還表明,超過(guò)80％的入侵和攻擊是從企業(yè)內(nèi)部發(fā)起的,由于防火墻自身所固有的防外不防內(nèi),使得防火墻對(duì)這些入侵和攻擊無(wú)能為力.為保護(hù)系統(tǒng)資源,需要建立不同于防火墻和防病毒軟件的主動(dòng)防御機(jī)制檢測(cè)入侵.入侵檢測(cè)系統(tǒng)(Intrusion Detection System)就是監(jiān)控網(wǎng)

3、絡(luò)或計(jì)算機(jī)系統(tǒng)的動(dòng)態(tài)行為特征并據(jù)此判斷是否有入侵的主動(dòng)防御措施.入侵檢測(cè)系統(tǒng)可以彌補(bǔ)防火墻的不足,檢測(cè)來(lái)自網(wǎng)絡(luò)內(nèi)部的攻擊,為網(wǎng)絡(luò)提供實(shí)時(shí)的監(jiān)控并且在發(fā)現(xiàn)入侵的初期采取相應(yīng)的防護(hù)措施.但是傳統(tǒng)入侵檢測(cè)方法存在不足,即誤用檢測(cè)方法難于檢測(cè)新形式的入侵,異常檢測(cè)方法難于建立合理有效的正常行為特征和檢測(cè)方法.因此,如何對(duì)計(jì)算機(jī)和網(wǎng)絡(luò)中的非法行為進(jìn)行主動(dòng)防御和有效抑制,成為當(dāng)今計(jì)算機(jī)安全亟待解決的重要問(wèn)題.該文首先回顧了網(wǎng)絡(luò)攻擊和入侵檢測(cè)的發(fā)展,

4、隨后對(duì)入侵檢測(cè)的體系結(jié)構(gòu)、關(guān)鍵技術(shù)、主要功能模塊的功能以及入侵檢測(cè)的標(biāo)準(zhǔn)化進(jìn)行了詳細(xì)的闡述.然后對(duì)現(xiàn)有入侵檢測(cè)系統(tǒng)進(jìn)行了分析.在此基礎(chǔ)上,將歐氏距離(Euclidean Distance)引入了入侵檢測(cè)系統(tǒng)以降低入侵檢測(cè)系統(tǒng)的誤報(bào)率,并提出了基于Euclidean距離的入侵檢測(cè)方法Intrusion Detection Based onEuclidean Distance(EDID).這種方法的實(shí)質(zhì)是在監(jiān)控特權(quán)進(jìn)程的正常系統(tǒng)調(diào)用基礎(chǔ)上建

5、立正常行為模糊子集A,用檢測(cè)到的實(shí)時(shí)調(diào)用序列建立模糊子集B,然后用模糊識(shí)別方法中的最小距離原則進(jìn)行檢測(cè).該文的創(chuàng)新點(diǎn)是:通過(guò)對(duì)特權(quán)進(jìn)程的系統(tǒng)調(diào)用及參數(shù)序列的研究,提出了基于Euclidean距離的入侵檢測(cè)方法EDID,不僅能有效降低漏報(bào)率和誤報(bào)率,而且使實(shí)時(shí)入侵檢測(cè)成為可能:設(shè)計(jì)有獨(dú)立而完整的特征數(shù)據(jù)庫(kù),根據(jù)被監(jiān)控程序的類別,分別設(shè)計(jì)正常行為、異常行為等,提高了檢測(cè)系統(tǒng)的強(qiáng)健性和可伸縮性;特征數(shù)據(jù)庫(kù)按樹(shù)型結(jié)構(gòu)存儲(chǔ),大大節(jié)省了存儲(chǔ)空間:在