軟件相異性的系統(tǒng)性研究與應(yīng)用.pdf

1、行為距離入侵檢測(cè)系統(tǒng)的主要工作原理是比較兩個(gè)功能相似的軟件在處理同樣的輸入時(shí)所得到的結(jié)果的異同來判斷其中一個(gè)軟件是否被惡意軟件所入侵。在構(gòu)造此類入侵檢測(cè)系統(tǒng)時(shí),一般假定所選定的軟件擁有足夠相異性,以至于他們不會(huì)同時(shí)被同一個(gè)惡意軟件所攻破。本文的前半部分通過針對(duì)2007年全年6000多個(gè)軟件漏洞進(jìn)行系統(tǒng)性分析來衡量這個(gè)假設(shè)的合理性。本文的后半部分則利用軟件的相異性具體設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)用于檢測(cè)HTTP服務(wù)攻擊的入侵檢測(cè)系統(tǒng)來保護(hù)網(wǎng)絡(luò)服務(wù)器軟

2、件的正常運(yùn)行。
　　 用已有商業(yè)軟件來構(gòu)造軟件相異性主要有兩種方法:一種是利用可以提供相同功能的多款不同的軟件(因而可以同時(shí)利用這些軟件來構(gòu)造入侵檢測(cè)系統(tǒng));另一種是利用運(yùn)行在不同操作系統(tǒng)平臺(tái)的同一款軟件(即利用不同操作系統(tǒng)來構(gòu)造相應(yīng)的入侵檢測(cè)系統(tǒng))。本文的前半部分從這兩方面分析現(xiàn)有的軟件產(chǎn)品是否足以相異以至于可以構(gòu)造有效的入侵檢測(cè)系統(tǒng),或同時(shí)部署多個(gè)相異軟件來提高整個(gè)系統(tǒng)的抗攻擊能力。本文從2007年全年的所有公布的漏洞軟件這

3、個(gè)樣本入手來進(jìn)行系統(tǒng)分析,分析的結(jié)果表明98％以上的功能相同的應(yīng)用軟件都可以用來有效地構(gòu)造此類入侵檢測(cè)系統(tǒng),將近半數(shù)的應(yīng)用軟件可以通過同時(shí)運(yùn)行在多個(gè)操作系統(tǒng)平臺(tái)上來有效的提高系統(tǒng)的安全性。
　　 在驗(yàn)證了目前的大部分已有商業(yè)軟件的相異性對(duì)于提高系統(tǒng)安全性上的有效性之后,本文進(jìn)一步利用相異的可替代軟件具體設(shè)計(jì)并實(shí)現(xiàn)了一個(gè)檢測(cè)針對(duì)HTTP服務(wù)器軟件進(jìn)行HTTP請(qǐng)求攻擊的入侵檢測(cè)系統(tǒng)。該入侵檢測(cè)系統(tǒng)通過監(jiān)控服務(wù)器軟件的輸出和庫函數(shù)的調(diào)