主機(jī)異常入侵檢測方法研究.pdf

1、主機(jī)異常入侵檢測是通過檢查或監(jiān)視主機(jī)是否偏離或脫離正常運(yùn)行狀態(tài)，而判斷或發(fā)現(xiàn)其是否遭受外部攻擊的一種技術(shù)，是網(wǎng)絡(luò)安全防護(hù)的重要手段?，F(xiàn)有的很多主機(jī)異常入侵檢測技術(shù)，如特征檢測、異常檢測和狀態(tài)檢測等，雖然各有優(yōu)勢，但也都存在缺陷。如常用的特征檢測技術(shù)，在攻擊發(fā)生變異后就會(huì)失效、或降低準(zhǔn)確率或升高誤/漏報(bào)率。另外現(xiàn)有的主機(jī)異常入侵檢測系統(tǒng)，其數(shù)據(jù)源常常和被監(jiān)控主機(jī)的操作系統(tǒng)等因素密切相關(guān)，于是不同的系統(tǒng)需安裝不同的主機(jī)引擎，這也對(duì)屬主系統(tǒng)的

2、運(yùn)行和穩(wěn)定造成影響。因此，研究新的主機(jī)異常入侵檢測方法和技術(shù)成為當(dāng)今的前沿?zé)狳c(diǎn)研究問題。
　　 針對(duì)上述問題，在深入分析網(wǎng)絡(luò)攻擊和入侵特點(diǎn)的基礎(chǔ)上，研究基于與系統(tǒng)無關(guān)的、具有代表性的且易于獲取和計(jì)算的數(shù)據(jù)源的主機(jī)異常入侵檢測方法，試圖在提高方法適用性、提高檢測準(zhǔn)確性，降低系統(tǒng)誤報(bào)率和漏報(bào)率之間取得更好的平衡。
　　 主機(jī)的實(shí)時(shí)流量、系統(tǒng)資源使用模式、系統(tǒng)核心文件的訪問狀態(tài)以及其它安全工具的告警信息都為檢測主機(jī)異常提供了有

3、價(jià)值線索，采用適當(dāng)?shù)姆椒ň涂赏诰虺鲞@些數(shù)據(jù)中隱藏的主機(jī)異常入侵行為。
　　 提出了一種基于主機(jī)流量的異常檢測方法。主機(jī)的網(wǎng)絡(luò)流量在一定程度上可以反映主機(jī)的活動(dòng)特點(diǎn)，深入分析主機(jī)的實(shí)時(shí)流量是檢測主機(jī)異常入侵的可行途徑。
　　 選擇主機(jī)流量中有代表性的13個(gè)特征，用貝葉斯邏輯回歸方法客觀地確定其對(duì)主機(jī)異常入侵的影響。用貝葉斯方法確定特征的先驗(yàn)概率，并結(jié)合訓(xùn)練數(shù)據(jù)集的信息，得到邏輯回歸模型各個(gè)特征的后驗(yàn)概率?？紤]到算法的簡單高

4、效以及模型的客觀性，使用模型擬合優(yōu)度檢驗(yàn)AIC信息標(biāo)準(zhǔn)(AIC：Akaike Information Criterion)對(duì)變量特征進(jìn)行篩選，保留對(duì)檢測結(jié)果影響最大的幾個(gè)主要流量特征作為模型的變量。
　　 實(shí)驗(yàn)結(jié)果表明該模型能夠檢測大部分類型的異常入侵。
　　 提出了一種基于主機(jī)資源使用模式的異常檢測方法。主機(jī)的安全狀態(tài)與其資源的使用情況密切相關(guān)。建立了主機(jī)資源可用性測度指標(biāo)體系，包括主機(jī)的計(jì)算資源、存儲(chǔ)資源、網(wǎng)絡(luò)資源、

5、IO資源以及進(jìn)程/線程的統(tǒng)計(jì)信息，分析主機(jī)資源的正常使用輪廓，確定各個(gè)指標(biāo)對(duì)主機(jī)資源可用性的影響并進(jìn)而判斷主機(jī)的安全狀態(tài)。運(yùn)用層次分析法確定指標(biāo)的主觀權(quán)重，熵權(quán)法確定指標(biāo)的客觀權(quán)重，然后將主、客觀權(quán)重進(jìn)行有機(jī)集成，得到組合權(quán)重的最優(yōu)解，在此基礎(chǔ)上建立目標(biāo)主機(jī)資源可用性綜合評(píng)價(jià)模型，進(jìn)而評(píng)估主機(jī)安全狀態(tài)。
　　 設(shè)計(jì)了基于D-S證據(jù)理論的多源異構(gòu)數(shù)據(jù)融合模型，根據(jù)融合結(jié)果判斷主機(jī)異常。網(wǎng)絡(luò)攻擊的形式和手段日益多樣化，依靠單一數(shù)據(jù)源

6、檢測所能檢測到的攻擊類型受到很大限制，且檢測的效率也受到極大的影響。網(wǎng)絡(luò)入侵行為常常會(huì)在多方面特征中表現(xiàn)出異常，融合多種異構(gòu)信息來檢測主機(jī)異常是一種新的思路。主機(jī)流量信息、資源信息、文件系統(tǒng)信息以及其他安全設(shè)備的告警都為主機(jī)的異常檢測提供大量信息，對(duì)這些信息進(jìn)行融合后可得到高層的準(zhǔn)確判斷。選擇多種安全相關(guān)且計(jì)算量小的信息，運(yùn)用D-S證據(jù)理論進(jìn)行融合，消除信息本身的不確定性，同時(shí)引入主機(jī)正常輪廓的自適應(yīng)機(jī)制，為主機(jī)活動(dòng)是否異常提供一個(gè)較為