基于應(yīng)用層協(xié)議分析的入侵檢測系統(tǒng)研究.pdf

1、入侵檢測技術(shù)作為一種安全防護系統(tǒng),提供了對內(nèi)部、外部攻擊和誤操作的實時保護.異常檢測方法需要根據(jù)大量的數(shù)據(jù)建立異常模型,模型的建立及報警閥值的選擇關(guān)系到系統(tǒng)誤報率的高低,這些都是比較困難的.同時,攻擊者可以使用大量的壞數(shù)據(jù)訓(xùn)練異常檢測系統(tǒng),使其閥值偏離正常,逃避檢測.與異常檢測方法相比,誤用檢測方法將收集到的信息與已知的模式樣本庫進行匹配,從而發(fā)現(xiàn)違背安全策略的行為.盡管誤用入侵檢測存在缺點,如不能對未知的攻擊進行檢測和規(guī)則集隨著攻擊種

2、類的增加而不斷增加等,但如果規(guī)則設(shè)置的精確合理,可以把誤報率降到很低的程度,所以在實際中得到了廣泛的應(yīng)用.現(xiàn)在針對基于誤用的入侵檢測,如何從攻擊中抽取特征組成更加高效的規(guī)則集及匹配算法的優(yōu)化成為研究的重點.該論文提出了一個基于應(yīng)用層協(xié)議分析的入侵檢測系統(tǒng)——APAIDS,并實現(xiàn)了關(guān)于HTTP協(xié)議分析的檢測插件.通過應(yīng)用層協(xié)議的分析,可以對編碼變形的入侵進行解碼,然后再與規(guī)則集匹配,從而縮小了規(guī)則集,同時避免了傳統(tǒng)入侵檢測系統(tǒng)由于編碼變形