1、2.1 入侵的定義2.2 什么是入侵檢測2.3 入侵檢測與P2DR模型第2章 入侵檢測的相關(guān)概念通常，計算機(jī)安全的3個基本目標(biāo)是 機(jī)密性、完整性和可用性。安全的計算機(jī)系統(tǒng)應(yīng)該實現(xiàn)上述3個目標(biāo)，即保護(hù)自身的信息和資源不被非授權(quán)訪問、修改和拒絕服務(wù)攻擊。安全策略用于將抽象的安全目標(biāo)和概念映射為現(xiàn)實世界中的具體安全規(guī)則，通常定義為一組用于保護(hù)系統(tǒng)計算資源和信息資源的目標(biāo)、過程和管理規(guī)則的集合。安全策略建立在所期望系統(tǒng)運(yùn)行方式的基礎(chǔ)上，并將這些期望值完整地記錄下來，用于定義系統(tǒng)內(nèi)所有可接受的操作類型。2.1 入侵的定義任何潛在的危害系統(tǒng)安全狀況的事件和情況都可稱為“威脅”。Anderson在其1980

2、年的技術(shù)報告中，建立了關(guān)于威脅的早期模型，并按照威脅的來源，分為如下3類。 外部入侵者： 系統(tǒng)的非授權(quán)用戶。 內(nèi)部入侵者： 超越合法權(quán)限的系統(tǒng)授權(quán)用戶。其中，又可分為“偽裝者”和“秘密活動者”。 違法者： 在計算機(jī)系統(tǒng)上執(zhí)行非法活動的合法用戶。在入侵檢測中，術(shù)語“入侵”（intrusion）表示系統(tǒng)內(nèi)部發(fā)生的任何違反安全策略的事件，其中包括了上面Anderson模型中提到的所有威脅類型，同時還包括如下的威脅類型： 惡意程序的威脅，例如病毒、特洛伊木馬程序、惡意Java或ActiveX程序等； 探測和掃描系統(tǒng)配置信息和安全漏洞，為未來攻擊進(jìn)行準(zhǔn)備工作的活動。美國國家安全通信委員會（NSTAC）下

3、屬的入侵檢測小組（IDSG）在1997年給出的關(guān)于“入侵”的定義是：入侵是對信息系統(tǒng)的非授權(quán)訪問以及（或者）未經(jīng)許可在信息系統(tǒng)中進(jìn)行的操作。美國國家安全通信委員會下屬的入侵檢測小組在1997年給出的關(guān)于“入侵檢測”的定義如下：入侵檢測是對企圖入侵、正在進(jìn)行的入侵或者已經(jīng)發(fā)生的入侵進(jìn)行識別的過程。2.2 什么是入侵檢測圖2-1 通用入侵檢測系統(tǒng)模型圖2-1所示的通用入侵檢測系統(tǒng)模型，主要由以下幾大部分組成。 數(shù)據(jù)收集器（又可稱為探測器）： 主要負(fù)責(zé)收集數(shù)據(jù)。檢測器（又可稱為分析器或檢測引擎）： 負(fù)責(zé)分析和檢測入侵的任務(wù)，并發(fā)出警報信號。 知識庫： 提供必要的數(shù)據(jù)信息支持。 控制器： 根據(jù)警報信號

4、，人工或自動做出反應(yīng)動作。另外，絕大多數(shù)的入侵檢測系統(tǒng)都會包含一個用戶接口組件，用于觀察系統(tǒng)的運(yùn)行狀態(tài)和輸出信號，并對系統(tǒng)行為進(jìn)行控制。P2DR模型是一個動態(tài)的計算機(jī)系統(tǒng)安全理論模型。P2DR特點是動態(tài)性和基于時間的特性。圖2-2 P2DR安全模型2.3 入侵檢測與P2DR模型具體而言，P2DR模型的內(nèi)容包括如下。策略： P2DR模型的核心內(nèi)容。具體實施過程中，策略規(guī)定了系統(tǒng)所要達(dá)到的安全目標(biāo)和為達(dá)到目標(biāo)所采取的各種具體安全措施及其實施強(qiáng)度等。 防護(hù)： 具體包括制定安全管理規(guī)則、進(jìn)行系統(tǒng)安全配置工作以及安裝各種安全防護(hù)設(shè)備。 檢測： 在采取各種安全措施后，根據(jù)系統(tǒng)運(yùn)行情況的變化，對系統(tǒng)安全狀態(tài)

5、進(jìn)行實時的動態(tài)監(jiān)控。 響應(yīng)： 當(dāng)發(fā)現(xiàn)了入侵活動或入侵結(jié)果后，需要系統(tǒng)作出及時的反應(yīng)并采取措施，其中包括記錄入侵行為、通知管理員、阻斷進(jìn)一步的入侵活動以及恢復(fù)系統(tǒng)正常運(yùn)行等。P2DR模型闡述了如下結(jié)論： 安全的目標(biāo)實際上就是盡可能地增大保護(hù)時間，盡量減少檢測時間和響應(yīng)時間。 入侵檢測技術(shù)（intrusion detection）就是實現(xiàn)P2DR模型中“Detection”部分的主要技術(shù)手段。在P2DR模型中，安全策略處于中心地位，但是從另一個角度來看，安全策略也是制定入侵檢測中檢測策略的一個重要信息來源，入侵檢測系統(tǒng)需要根據(jù)現(xiàn)有已知的安全策略信息，來更好地配置系統(tǒng)模塊參數(shù)信息。當(dāng)發(fā)現(xiàn)入侵行為后，入侵檢測系統(tǒng)會通