第１３卷第４期电脑与信息技术 Ｖｏ１．１３ Ｎｏ．４２００５年８月 ＣＯＭＰＵＴＥＲ ＡＮＤ ＩＮＦＯＲＭＡＴＩＯＮ ＴＥＣＨＮＯＬＯＧＹＡｕｇ ２００５文章编号：１００５－１２２８（２００５）０４－００５６－０４基于协议分析的入侵检测系统罗桂琼（湖南省工业贸易学校，湖南长沙４１００１４）摘要：文章系统地阐述了入侵检测系统的研究状况及主要实现技术，通过比较协议分析和模式匹配两种入侵检测技术，得出在数据分析时采用协议分析和模式匹配相结合的方法，可以大幅度减少计算量，提高分析效率，得到更准确的检测结果。关键词：入侵检测技术；入侵检测系统；模式匹配；协议分析中图分类号：ＴＰ３９３文献标识码：ＡＩ ｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ ｂａｓｅｄ ｏｎ ｐｒｏｔｏｃｏｌ ａｎａｌｙｓｉｓ ＬＵＯ Ｇｕｉ－ｇｉｏｎｇ（ Ｈｕｎａｎ Ｉｎｄｕｓｔｙｒ ａｎｄ Ｔｒａｄｅ ｓｃｈｏｏｌ，Ｃｈａｎｇｓｈａ，Ｈｕｎａｎ ４１００１４，Ｃｈｉｎａ）Ａｂｓｔｒａｃｔ：Ｔｈｉｓ ａｔｒｉｃｌｅ ｓｙｓｔｅｍａｔｉｃａｌｌｙ ｓｔａｔｅｓ ｔｈｅ ｒｅｓｅａｒｃｈ ｓｉｔｕａｔｉｏｎ ａｎｄ ｍａｊｏｒ ｒｅａｌｉｚａｔｉｏｎｔｅｃｈｎｏｌｏｇｉｅｓ ｏｆ ｉｎｔｕｒｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｓｙｓｔｅｍ． Ｔｈｒｏｕｇｈ ｃｏｍｐａｒｉｎｇ ｐｒｏｔｏｃｏｌ ａｎａｌｙｓｉｓ ａｎｄ ｐａｔｔｅｒｎｍａｔｃｈｉｎｇ， ｂｏｔｈ ｏｆ ｗｈｉｃｈ ａｒｅ ｉｎｔｕｒｓｉｏｎ ｄｅｔｅｃｔｉｏｎ ｔｅｃｈｎｏｌｏｇｉｅｓ， ｗｅ ｃａｎ ｄｒａｗ ａｃ ｏｎｃｌｕｓｉｏｎ ｔｈａｔｗｈｅｎ ｗｅ ｍａｋｅ ｄａｔａ ａｎａｌｙｓｉｓ， ｓｕｃｈ ｃｏｍｂｉｎａｔｉｏｎ ｃａｎ ｓｔｅａｄｉｌｙ ｒｅｄｕｃｅ ｃｏｍｐｕｔａｔｉｏｎａｌ ｌｏａｄ，ｉｍｐｒｏｖｅ ｔｈｅ ａｎａｌｙｓｉｓ ｅｆｆｉｃｉｅｎｃｙ ａｎｄ ｏｂｔａｉｎ ｔｈｅ ｍｏｒｅ ａｃｃｕｒａｔｅ ｒｅｓｕｌｔ．Ｋｅｙ ｗｏｒｄｓ：Ｉｎｔｕｒｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｔｅｃｈｎｏｌｏｇｙ； Ｉｎｔｕｒｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ；ｐａｔｔｅｎｒ ｍａ ｔｃｈｉｎｇ；ｐｒｏｔｏｃｏｌ ａｎａｌｙｓｉｓ０引言通过对协议进行解码，减少了ＩＤＳ需要分析的数据量，从而提高了解析的速度。由于该协议比较规 人侵检测系统（ＩＤＳ）作为一种重要的安全部范，因此协议分析的准确率比较高，目前一些产品件，是网络与信息安全防护体系的重要组成部分，已经实现或部分实现了协议分析技术。是传统计算机安全机制的重要补充。自１９８０年被提出以来，ＩＤＳ在２０多年间得到了较快的发展。１现阶段重要的检测技术近几年由于非法人侵不断增多，网络与信息安全１．１特征模式匹配技术问题变得日渐突出，ＩＤＳ作为一种主动防御技术模式匹配检测技术易扩充、简单、符合ＣＩ ＤＦ因此越来越受到人们的关注。（Ｃｏｍｍｏｎ Ｉｎｔｕｒｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｆｒａｍｅｗｏｒｋ，公共人但是， 人侵检测技术还不够成熟和完善，还有侵检测框架）规范，因而被大多数人侵检测系统所很大的研究、发展空间。人侵检测技术的主要发展采用。根据有关部门的报告，国内送检的人侵检测趋势分很多方面，而协议分析技术是一种比较好产品中有９５％是属于使用人侵模板进行模式匹的人侵检测技术，它弥补了模式匹配技术的不足，配的特征检测产品［ｎ＞＞０收稿日期：２００５－０５－１８作者简介：罗桂琼（１９７０－），女，讲师，在读研究生，研究方向：网络管理与网络安全。第４期罗桂琼：基于协议分析的人侵检测系统 匹配算法直接影响系统的实时性能。在网络数据包搜索人侵特征时，需要一个有效的字符串搜索算法。字符串搜索算法中，最著名的两个算法是ＫＭＰ算法（Ｋｎｕｔｈ－Ｍｏｍｓ－Ｐｒａｔｔ）和ＢＭ算法（Ｂｏｙｅｒ－Ｍｏｏｒｓ ）。两个算法在最坏的情况下均具有线性的搜索时间，但ＢＭ算法比较次数较少。目前ＢＭ算法是国际上主要采用的模式匹配算法。特征模式匹配技术有两个最主要的缺陷： （１） 计算量大对一个特定的网络而言，每秒需要比较的最大次数二攻击特征字节数＊数据包字节数＊每秒的数据包数＊数据库的攻击特征数。假设一个玫击特征有２０字节，平均数据包大小为３００字节，每秒３０ ０００个数据包，数据库有４ ０００个攻击特征，我们每秒就需要有２０＊３００＊３０００＊４０００个字节的计算量。（ ２）探测准确性低该技术使用固定的特征库来探测攻击，只能探测出给定的攻击特征，即便是攻击串发生轻微的变化都会导致被忽略。一个基于模式匹配的方法不能判断看似不同字符串／命令串的真实含义和最终效果，从而影响人侵检测的速度和准确性。１．２协议分析技术协议分析技术利用网络协议的高度规则性快 速探测攻击的存在，包括协议解码、命令解析等。协议解码技术主要确定数据所属的协议，协议分析则是描述人侵并快速检测出人侵。１．２．１协议解码模块数据采集模块所捕获的链路层数据传送到协 议解码模块后，协议解码模块必须对这些数据进行分析，根据相应的协议把这些数据处理后放到指定的数据结构中，供上层模块调用。同时协议解码模块还要对这些数据包进行一些基本的校验（如校验和等），发现错误的数据包及时丢弃。目前局域网主要采用以太网，下面就以以太 网为例分析协议。以太网的帧格式如图１所示：前同步码｝目的地址｝源地址｝帧类型｝帧数据｝ＣＲＣ图１以太网的帧格式 协议的封装，协议解码即封装的逆过程。以 ＩＰ报文为例：ＩＰ数据报位于网络层，同样要由数据链路层来进行封装。图２说明了ＩＰ数据报的封装。数据报首部｝数据报数据区帧首部｝帧数据区图２ ＩＰ数据报的封装过程 为了识别ＩＰ数据报，发送方给帧首部的类型字段分配一个特殊值，解码模块可以根据这个特殊值提取ＩＰ数据报。例如在以太网中，类型字段是０８００Ｈ。因此，当数据采集模块将数据交给协议解码模块之后，协议解码模块要根据封装的过程对数据帧进行分析。其他协议如ＡＲＰ， ＴＣＰ，ＵＤＰ，ＩＣＭＰ协议封装解码过程大致如上。所不同的是要得到ＩＣＭＰ，ＵＤＰ的报文，解码模块要进行两次解码。首先要从中得到ＩＰ数据报，然后根据ＩＰ数据报首部的协议字段来得到不同的上层协议（（ＴＣＰ，ＵＤＰ，而ＩＣＭＰ属于网络层协议）数据。根据以太网的帧结构的定义，在以太帧的第 １３字节处包含了２个字节的第三层协议标识，０８００为ＩＰ协议，０８０６为ＡＲＰ协议，８１３８为ＮＯＶＥＬＬ协议等。在ＩＰ数据包的格式定义中，第１０个字节为第四层协议标识，如：ＴＣＰ为０６， ＵＤＰ为１１， ＩＣＭＰ为０１等。而ＴＣＰ数据包的第３，４个字节为应用层协议标识。如８０为ｈｔｔｐ协议，２１为ＦＴＰ协议，２３为ＴＥＬＮＥＴ协议等。１．２．２解析模块解析模块主要涉及两个问题：如何描述人侵 行为，用什么算法来快速检测人侵行为的存在。（１） 规则介绍每一个基于模式匹配的人侵检测方法都需要一个已定的人侵模式，这就需要一种对人侵行为的描述方法。各种人侵检测系统中的描述方法各有不同，现在一般采用ｓｎｏｒｔ的人侵行为描述方法。ｓｎｏｒｔ是一个开放源代码的轻量级的基于网络的人侵检测系统。这种描述方法简单、易于实现，能够描述绝大多数的人侵行为。ｓｎｏｔｒ规则描述采用插件机制来管理规则，它将每一类的攻击放到一个文件当中，系统管理员可以根据需要加载所需的攻击规则，也可以从文件中添加或删除规则。ｓｎｏｒｔ规则对每一个协议都制定了其检测的内容，内容的组合就可以构成一个完整的检测规则。规则都存放在规则文件中，这些文件都是普 ＴＣＰ； ・５８・电脑与信息技术第１３卷通的文本文件，可以用文本编辑器进行编辑。每一个规则文件可以包括其它的规则文件，格式如下：可使系统各功能模块内聚，增强ＩＤＳ的健壮性。ｉ ｎｃｌｕｄｅ＜包含文件名＞为了方便使用， 规则中允许自定义变量，一方面可以在规则定义中方便地使用，另一方面在修改时也可以只修改变量的定义。ｖａｒ： ＜变量名＞＜变量值＞具体的规则在逻辑上可以分为两部分：规则 头（Ｒｕｌｅ Ｈｅａｄｅｒ）和ｇｕｉｄｅ选项（ｒｕｌｅ ｏｐｔｉｏｎ）。规则头定义了规则的行为（ａｃｔｉｏｎ）、所匹配报文的协议、源地址、源端口、目的地址、目的端口以及源地址和目的地址的网络掩码等信息；规则选项则包含了所要显示给用户查看的警告信息以及用来判定这些报文是否为攻击报文的其它信息（如ｔｃｐ的ｆｌａｇ字段和数据字段的内容等）。 由于每一种人侵都有其特征，在编写具体规则时可以根据人侵的主要特征，采用规则头和规则选项进行合理的组合，以便能正确的描述出一种人侵。（２）人侵检测 在检测前要对已经解码过的数据包进行必要的预处理，以方便对数据包的检查和处理。检测阶段一般采用模式匹配算法，打开规则库进行查找，若找到匹配的规则，则说明有人侵行为。２基于协议分析的入侵检测基本流程图３是协议解析的基本过程。 以太网协议解析ＡＲＩ，协议解析Ｉ｝ＩＰ协议解析｝ＩＲＡＲＰ协议解析ＩＣＭＰ协议解析｝Ｉ ＴＣＰ协议解析Ｉ｝ＵＤＰ协议解析ＨＴｒＰ协议解析｝｝ＦｒＰ协议解析｝ＩＴＥＬＮＥＴ协议解析图３协议解析流程 现在的协议类型繁多，为了可以方便的添加协议分析仪，增强程序的可扩展性，一般都采用插件技术。对一个新的协议分析只需编写这个协议分析器并且调用注册函数在系统注册就可以使用了。协议分析器ｅｔｈｅｒｅａｌ及ｓｎｏｒｔ都采用插件技术。实践证明，插件技术在人侵检测系统中的应用３基于协议分析的入侵检测系统 基于协议分析的检测方法结合高速数据包捕获、协议分析和命令解析来进行人侵检测，是一种新的人侵检测技术。下面简单分析一个人侵检测实例，并总结基于协议分析的人侵检测系统的特点。３．１基于协议分析的入侵检测实例下面以微软ＵＳ中Ｕｎｉ ｃｏｄｅ漏洞攻击事件，讨论协议解码和命令解析的检测法的检测过程。攻击者发出的请求为： ｈｔ ｔｐ ： ／／受害者机器ＩＰ地址或域名／％Ｃ １／９Ｃ／ｗｉｎｎｔ／ｓｙｓｔｅｍ３２／ｃｍｄ．ｅｘｅ产生的包内容如下： ００００ ００ ＡＯ Ｃ９ ８Ｅ ＦＦ Ｃ１ ００（刃Ｅ８ ６ＦＡＤ ５９ ０８ ００ ４５ ００…．．．ｙ．．． Ｅ．．．（ 均１０ ０１ ９０ ８５ ００ ４０ ００ ８０ ０６ Ｅ３ ４Ｅ Ｃ８００ ００ Ｃ８ Ｃ８ ００．．．．．． Ｅ．．．Ｎ．．．……００２０ ００ ５０ ０４ ＯＢ ００ ５０ ００ １５ ３３ ＦＢ ６ＦＣＣ Ｃ１ ＥＯ ５０ １８ Ｔ．．．Ｐ．．．３．－－－Ｐ００３０ ２２ ３８ ２Ｂ Ｄ１ ００ ００ ４７ ４５ ５４ ２０ ２Ｆ２Ｅ ２Ｅ ２５ ６３ ３１ ＊８＋．．． ＧＥＴ／．．９Ｃ １００４０ ２５ ３９ ６３ ２Ｅ ２Ｆ ７９ ６９ ６Ｅ ６Ｅ ７４ ２１７３ ７９ ７３ ７４ ９９Ｃ．．／ｗｉｎｎｔ／ｓｙｓｔ００５０ ６５ ６ｄ ３３ ３２ ２ｆ ６３ ６ｄ ６４ ２ｅ ６５ ７８６５ ２０ ４８ ５４ ５４ ｅｍ３２／ｃｍｄ．ｅｘｅＨＴＴ 协议分析及检测过程如下：根据以太网协议规则， 应在第１３个字节处有２个字节的第三层网络层协议标志，从而得知其值为“０８００＂，可见以太网帧数据区域中携带的协议是ＩＰ协议。根据Ｉ Ｐ・协议结构，从第２４字节处起有１个字节的第四层传输层协议标志号，从而得知其值为“６０，可见ＩＰ帧中数据区域携带的协议为ＴＯ协议。 ＴＣＰ协议表明，在第３５字节处，有２个字节的应用层协议标志，即“端口号”，从而得知其值为＂００５０＂，转为十进制为８０，而端口号８０知其是个ＨＴＴＰ访问。同样根据协议知识，我们可以直接到数据区 域第５５个字节处，利用ＨＴＴＰ解析器读取ＵＲＬ，第４期罗桂琼：基于协议分析的人侵检测系统并还原为：ＧＥＴ／．．％Ｃ １％９Ｃ．．／ｗｉｎｎｔ／ｓｙｓｔｅｍ３２／ｃｍｄ．器采用高性能数据包驱动器，不仅支持线速百兆ｅｘｅ流量检测，而且对千兆网络传感器具有高达９００Ｍ 获得的此特征值与特征库内容比较，如与特网络流量的１００％检测能力。征吻合，则访问被判断为攻击行为。参考文献：３．２基于协议分析的入侵检测系统的特点［１］ Ｋｅｎｎｅｔｈ Ｄ．Ｒｅｅｄ．Ｐｒｏｔｏｃｏｌ Ａｎａｌｙｓｉｓ， ＷＢ７７．０［Ｍ］．ＷｅｓｔＮｅｔ．Ｉｎｃ，（１） 解析命令字符串ＵＲＬ第一个字节的位２００１ Ｇｅｏｒｇｅ Ｃｏｕｌｏｕｒｉｓ，Ｊｅａｎ Ｄｏｌｉｍｏｅｒ，Ｔｉｍ Ｋｉｎｄｂｅｒ．Ｄｉｓｔｒｉ－ｂｕｔ ｅｄ Ｓｙｓｔｅｍｓ Ｃｏｎｃｅｐｔｓ ａｎｄ Ｄｅｓｉｇｎ［ Ｍ］．Ｐｅａｒｓｏｎ Ｅｄｕｃａｔｉｏｎ，置给予解析器。解析器是一个命令解析程序，最新２００１． 一代ＩＤＳ网络人侵检测引擎包含超过７０个不同［２］ Ｊ．Ｐ．Ｍａｒｑｕｅｓ ｄｅ Ｓａ． Ｐａｔｔｅｎｒ Ｒｅｃｏｎｇｉｔｉｏｎ Ｃｏｎｃｅｐｔｓ， Ｍｅｔｈｏｄｓａｎｄ Ａｐｐｌｉｃａｔｉｏｎｓ［ Ｍ］．Ｎｅｗ Ｙｏｒｋ： Ｓｐｒｉｎｇｅｒ－Ｖｅｒｌａｇ，２００２．的命令解析器，可在不同的上层应用协议上，对每［３］ ＤｏＩ Ｐ Ｖｏｕｇｌａｓ ｌ ］Ｅ．Ｃｏ［ ｍｅ：Ｄｅｒ，ｓＤａｉｇｎ， ｖｉｄ ＩｍｐｌＩ－Ｓｔｅｍｅｅｖｅｎｔｎｓａｔ．Ｉｉｏｎｔｎ，ｅｍｅａｎｄ ｔｗｏ Ｉｒｋｉｎｔｎｇ ｅｎｒａｗｉｌｓ ｔｈ （ＴｈｉＴＣＰ／ｒｄ一个用户命令作出详细分析。 Ｅｄｉｔｉｏｎ） ［ Ｍ ］．Ｐｒｅｎｔｉｃｅ－Ｈｅｌ．Ｉｎｃ，１９９９．（ ２）探测碎片攻击和协议确认在基于协议［４］ Ｔａｒｃｋ Ａｂｂｅｓ，Ａｄｅｌ Ｂｏｕｈｏｕｌｄ，Ｍｉｃｈａｅｌ Ｒｕｓｉｎｏｗｉｃｈ． ＰｒｏｔｏｃｏｌＡｎａ ｌｉｓｉｓ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｕｓｉｎｇ Ｄｅｃｉｓｉｏｎ．２００４，ＩＴＣＣ／０４．分析的ＩＤＳ中，各种协议都被解析，如果出现ＩＰ［５］薛静锋，宁宇鹏，阎慧．人侵检测技术〔ＭＩ－１１；京：机械工业出碎片，数据包将首先被重装，然后通过详细分析来版社， ２００４．［６〕美国发布．信息保障技术框架（３．０版）［Ｃ］．北京：了解潜在的攻击行为。由于协议被完整解析，还可北京中软电子出版社， ２１）一）４．以用来确认协议的完整性。［７〕索红光，石乐义，梁玉环．ＴＣＰ／ＩＰ协议分析器的设计开发．计算机工程与应用． １９９９００：８０－８３．（ ３）降低误报率协议解析大大降低了模式［８］戴英侠，连一峰，王航．系统安全与人侵检测［Ｍ］．北京：清华匹配ＩＤＳ系统中常见的误报现象。使用命令解析大学出版社， ２００２．［９〕李文嘉，张大方，谢高岗一种基于数据包分析的网络人器可以确保一个特征串的实际意义被真正理解， 侵检测探针．同济大学学报，，２００２，３０（１０）：２．［１０］ Ｄｅｎｎｉｎｇ．Ｄ．Ａｎ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｍｏｄｅｌ．ＩＥＥＥ Ｔｒａｎｓａｃｔｉｏｎｓ辨认出串是不是攻击或可疑的。ｏ ｎ Ｓｏｆｔｗａｅｒ Ｅｎｇｉｎｅｅｒｉｎｇ．１９８７，１３（２）：２２２－２３２．（ ４）真正高性能新一代ＩＤＳ系统网络传感［１１］ Ｎｅｘｔ Ｇｅｎｅｒａｔｉｏｎ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｅｘｐｅｒｔ Ｓｙｓｔｅｍ（ＮＩＤＥＳ）．ｈｔ ｔｐ：／／ｗｗｗ．ｓｄｌ．ｓｒｉ．ｃｏｍ／ｐｒｏｊｅｃｔｓ／ｎｉｄｅｓ／ｉｎｄｅｘ．ｈｔｍｌ．（上接第９页）解过程中的标识）与目标标识不断过程而引人扩展Ｐｅｔｒｉ网，得到了基于扩展Ｐｅｔｒｉ完全一致，这时候，可以按照经验，人为地预先定网模型的文本分类方法，在进行分类的过程中具义一个阑值，如果一致性吻合超过这个阑值则可有并行、并发、异步等特性，可以提高系统速度和归为此类。效率，对于系统向分布式处理扩展也具有良好的４算法评价可扩充性。目前，正着手进一步的后续工作，完善 本算法利用Ｐｅｔｒｉ网的异步、并行等特性能有该方法并利用特定测试数据库对算法的准确性和效提高系统分类速度和效率。这里属性权值是由扩展性方面作进一步的试验，并与传统的方法相定性基准来确定的，定性基准可不事先确定，而由比较。初步的工作表明，该方法是行之有效的。学习获得。作为扩展Ｐｅｔｒｉ网基础的定性映射虽然参考文献：已经被证明与人工神经元等价［［６７，但是在扩展［１］黄营著，吴立德，石崎洋之，徐国伟．于语种的文本分类方法【 Ｊ］．中文信息学报．．２０００，１４（６）：１－７．Ｐｅｔｒｉ网模型表示中，转移结点的每一个输人输出［２ｌ曹化工，杨曼红．基于对象Ｐｅｔｉｒ网的工作流过程定义【１ｌ．计的值都有确定的含义，而在一般神经网络文本分算机辅助设计与图形学学报． ２００１，１３（１）：１３－１８．［３］冯嘉礼，詹蒙．感觉量一质特征抽取的定性映射模型［Ｊ］．清华类中［［７ｌ，只关注输人层与输出层的神经元之值，并大学学报（自然科学版） ．１９９８，３８（５２）：７－１１．不关注它的含义，而且对多层信息必须经过预处［４〕周如旗，李广原，冯嘉礼一种基于属性抽取与整合的Ｐｅｔｉｒ网模ＷＪｌ ．南京大学学报（自然科学版）．２００３，３９（２）：１８９－１９３．理才能进行推理［［８ｌ。这里扩展Ｐｅｔｒｉ网只须确定研［５］张焕炯，基于汉明距离的文本相似度计算【１ｌ，计算机工程与究对象和它的层次属性，然后在定性基准下，经定应用． ２００１，３９（１２）：２１－２２．［６］冯嘉礼，人工神经元的一种定性映射解释【１ｌ，计算机科学．性映射进行属性操作推理。２００１， ２８（９）增刊：２４８－２５３．［７〕刘钢，胡四泉，范植华，等．神经网络在文本分类上的一种应用５结束语［ ７ｌ，计算机工程与应用．２００３，３６（１２）：７３－７５．为使文本自动分类过程更接近于人类思维判 ［８ｌ宜士斌，冯嘉礼，属性神经网络模型［．ｉｌ．计算机研究与发展．２００２， ３９（１１）：１１４３－１１４６．
