浅谈网络的攻击检测技术
·
碧海·
1 2 下一页 保证信息系统安全的经典手段是“存取控制”或“访问控制”，但无论在理论上还是在实践中，这种手段都不能彻底填补一个系统的安全漏洞，也还没有一种切实可行的办法解决合法用户在通过“身份鉴别”或“身份认证”后滥用特权的问题。攻击检测技术就像治安巡逻队，专门注重于发现形迹可疑者。
计算机网络技术的发展和应用对人类生活方式的影响越来越大。通过Internet网连接到几乎世界上任何一台计算机。因此，传统的安全域的概念也已经发生了深刻的变化，边界变得模糊了，网络系统管理员再也不能满足于守住安全边界了；也不再有信心保护敏感信息万无一失。越来越多的证据表明计算机信息系统的安全性是十分脆弱的。基于计算机、网络的信息系统的安全问题已经成为非常严重的问题。
一、存取控制与攻击检测：站岗与巡逻
保证信息系统安全的经典手段是“存取控制”或“访问控制”，这种手段在经典的以及现代的安全理论中都是实行系统安全策略的最重要的手段。但迄今为止，软件工程技术还没有达到A2级所要求的形式生成或证明一个系统的安全体系的程度，所以不可能百分之百地保证任何一个系统（尤其是底层系统）中不存在安全漏洞。而且，无论在理论上还是在实践中，试图彻底填补一个系统的安全漏洞都是不可能的，也还没有一种切实可行的办法解决合法用户在通过“身份鉴别”或“身份认证”后滥用特权的问题。打个比方，经典的安全体系就像一座城池，身份认证就好像进城时的查路条一样，着重点在于防范奸细混入；但是这种措施对于城池的安全仍是远远不够的。
攻击检测作为其他经典手段的补充和加强，是任何一个安全系统中不可或缺的最后一道防线；攻击检测可以分为被动、非在线地发现和实时、在线地发现计算机网络系统中的攻击者两种方法。从大量非法入侵或计算机盗窃案例可以清晰地看到，计算机系统的最基本防线“存取控制”或“访问控制”，在许多场合不是防止外界非法入侵和防止内部用户攻击的绝对无懈可击的屏障。大量攻击成功的案例是由于系统内部人员不恰当地或恶意地滥用特权而导致的。攻击检测技术则类似于治安巡逻队，专门注重于发现形迹可疑者，信息系统的攻击者很有可能通过了城门的身份检查，或者爬越了城墙而混入城中；这时要想进一步加强信息系统的安全强度，就需要增派一支巡逻队，专门负责检查在城市中鬼鬼祟祟行动可疑的人员。
攻击检测提供了一种机制，对合法用户而言能够在一定程度上使他们为其失误或非法行为负责，从而增强他们的责任感。对非法进入的攻击者而言则意味着增强了纠察力度，行使着公安局、检察院的职责。攻击检测具有最后防线性质的防范能力，或许是用来发现合法用户滥用特权的唯一方法，而且完善的攻击检测还能用具有法律效力的方式证明一个受到怀疑的人是否有罪。
早期中大型的计算机系统中都收集审计信息来建立跟踪文件，这些审计跟踪的目的多是为了性能测试或计费，因此对攻击检测提供的有用信息比较少。
二、攻击检测技术
1．攻击分类
在信息系统中，一般至少应当考虑如下三类安全威胁：外部攻击、内部攻击和行为滥用。攻击者来自该计算机系统的外部时称作外部攻击；当攻击者就是那些有权使用计算机，但无权访问某些特定的数据、程序或资源的人企图越权使用系统资源时视为内部攻击，包括假冒者（即那些使用其他合法用户的身份和口令的人）、秘密使用者（即那些有意逃避审计机制和存取控制的人员）；特权滥用者也是计算机系统资源的合法用户，表现为有意或无意地滥用他们的特权。
通过审计试图登录的失败记录可以发现外部攻击者的攻击企图；通过观察试图连接特定文件、程序和其他资源的失败记录可以发现内部攻击者的攻击企图，如可通过比较为每个用户单独建立的行为模型和特定的行为来检测发现假冒者；但要通过审计信息来发现那些权利滥用者往
往是很困难的。
基于审计信息的攻击检测特别难于防范具备较高优先特权的内部人员的攻击，因为攻击者可通过使用某些系统特权或调用比审计本身更低级的操作来逃避审计。对于那些具备系统特权的用户，需要审查所有关闭或暂停审计功能的操作，通过审查被审计的特殊用户、或者其他的审计参数来发现。审查更低级的功能，如审查系统服务或核心系统调用通常比较困难，通用的方法很难奏效，需要专用的工具和操作才能实现。总之，为了防范隐秘的内部攻击需要在技术手段以外确保管理手段行之有效，技术上则需要监视系统范围内的某些特定的指标（如CPU、内存和磁盘的活动），并与通常情况下它们的历史记录进行比较，以期发现之。 1 2 下一页 |
