随着internet的迅猛发展,安全性已经成为网络互联技术中最关键的问题。本文——计算机与信息技术论文Internet防火墙技术综述,全面介绍了internet防火墙技术与产品的发展历程;详细剖析了第四代防火墙的功能特色、关键技术、实现方法及抗攻击能力;同时简要描述了internet防火墙技术的发展趋势。 关键词:internet 网路安全 防火墙 过滤 地址转换 1. 引言 防火墙技术是建立在现代通信网络技术和信息安全技术基础上的应用性安全技术,越来越多地应用于专用网络与公用网络的互连环境之中,尤以internet网络为最甚。internet的迅猛发展,使得防火墙产品在短短的几年内异军突起,很快形成了一个产业:1995年,刚刚面市的防火墙技术产品市场量还不到1万套;到1996年底,就猛增到10万套;据国际权威商业调查机构的预测,防火墙市场将以173%的复合增长率增长,今年底将达到150万套,市场营业额将从1995年的�1.6�亿美元上升到今年的9.8亿美元。� 为了更加全面地了解internet防火墙及其发展过程,特别是第四代防火墙的技术特色,我们非常有必要从产品和技术角度对防火墙技术的发展演变做一个详细的考察。� 2. internet防火墙技术简介� 防火墙原是指建筑物大厦用来防止火灾蔓延的隔断墙。从理论上讲,internet防火墙服务也属于类似的用来防止外界侵入的。它可以防 止internet上的各种危险(病毒、资源盗用等)传播到你的网络内部。而事实上,防火墙并不像现实生活中的防火墙,它有点像古代守护城池用的护城河,服务于以下多个目的:� 1)限定人们从一个特定的控制点进入;� 2)限定人们从一个特定的点离开;� 3)防止侵入者接近你的其他防御设施;� 4)有效地阻止破坏者对你的计算机系统进行破坏。� 在现实生活中,internet防火墙常常被安装在受保护的内部网络上并接入internet。 所有来自internet的传输信息或你发出的信息都必须经过防火墙。这样,防火墙就起到了保护诸如电子邮件、文件传输、远程登录、在特定的系统间进行信息交换等安全的作用。从逻辑上讲,防火墙是起分隔、限制、分析的作用,这一点同样可以从图1中体会出来。那么,防火墙究竟是什么呢?实际上,防火墙是加强internet(内部网)之间安全防御的一个或一组系统,它由一组硬件设备(包括路由器、服务器)及相应软件构成。3. 防火墙技术与产品发展的回顾� 防火墙是网络安全策略的有机组成部分,它通过控制和监测网络之间的信息交换和访问行为来实现对网络安全的有效管理。从总体上看,防火墙应该具有以下五大基本功能:� ●过滤进、出网络的数据;� ●管理进、出网络的访问行为;� ●封堵某些禁止行为;� ●记录通过防火墙的信息内容和活动;� ●对网络攻击进行检测和告警。� 为实现以上功能,在防火墙产品的开发中,人们广泛地应用了网络拓扑、计算机操作系统、路由、加密、访问控制、安全审计等成熟或先进的技术和手段。纵观防火墙近年来的发展,可以将其划分为如下四个阶段(即四代)。� 3.1 基于路由器的防火墙� 由于多数路由器本身就包含有分组过滤功能,故网络访问控制可能通过路控制来实现,从而使具有分组过滤功能的路由器成为第一代防火墙产品。第一代防火墙产品的特点是:� 1)利用路由器本身对分组的解析,以访问控制表(access list)方式实现对分组的过滤;� 2)过滤判断的依据可以是:地址、端口号、ip旗标及其他网络特征;� 3)只有分组过滤的功能,且防火墙与路由器是一体的。这样,对安全要求低的网络可以采用路由器附带防火墙功能的方法,而对安全性要求高的网络则需要单独利用一台路由器作为防火墙。� 第一代防火墙产品的不足之处十分明显,具体表现为:� ●路由协议十分灵活,本身具有安全漏洞,外部网络要探寻内部网络十分容易。例如,在使用Ftp协议时,外部服务器容易从20号端口上与内部网相连,即使在路由器上设置了过滤规则,内部网络的20号端口仍可以由外部探寻。� ●路由器上分组过滤规则的设置和配置存在安全隐患。对路由器中过滤规则的设置和配置十分复杂,它涉及到规则的逻辑一致性。作用端口的有效性和规则集的正确性,一般的网络系统管理员难于胜任,加之一旦出现新的协议,管理员就得加上更多的规则去限制,这往往会带来很多错误。� ●路由器防火墙的最大隐患是:攻击者可以“假冒”地址。由于信息在网络上是以明文方式传送的,黑客(hacker)可以在网络上伪造假的路由信息欺防火墙。� ●路由器防火墙的本质缺陷是:由于路由器的主要功能是为网络访问提供动态的、灵活的路由,而防火墙则要对访问行为实施静态的、固态的控制,这是一对难以调和的矛盾,防火墙的规则设置会大大降低路由器的性能。 � 可以说基于路由器的防火墙技术只是网络安全的一种应急措施,用这种权宜之计去对付黑客的攻击是十分危险的。 3.2 用户化的防火墙工具套� 为了弥补路由器防火墙的不足,很多大型用户纷纷要求以专门开发的防火墙系统来保护自己的网络,从而推动了用户防火墙工具套的出现。� 作为第二代防火墙产品,用户化的防火墙工具套具有以下特征:� 1)将过滤功能从路由器中独立出来,并加上审计和告警功能;� 2)针对用户需求,提供模块化的软件包;� 3)软件可以通过网络发送,用户可以自己动手构造防火墙;� 4)与第一代防火墙相比,安全性提高了,价格也降低了。� 由于是纯软件产品,第二代防火墙产品无论在实现上还是在维护上都对系统管理员提出了相当复杂的要求,并带来以下问题:� 配置和维护过程复杂、费时;� 对用户的技术要求高;� 全软件实现,使用中出现差错的情况很多。� 3.3 建立在通用操作系统上的防火墙� 基于软件的防火墙在销售、使用和维护上的问题迫使防火墙开发商很快推出了建立在通用操作系统上的商用防火墙产品。近年来市场上广泛使用的就是这一代产品,它们具有如下一些特点:� 1)是批量上市的专用防火墙产品;� 2)包括分组过滤或者借用路由器的分组过滤功能;� 3)装有专用的代理系统,监控所有协议的数据和指令;� 4)保护用户编程空间和用户可配置内核参数的设置; 5)安全性和速度大大提高。� 第三代防火墙有以纯软件实现的,也有以硬件方式实现的,它们已经得到了广大用户的认同。但随着安全需求的变化和使用时间的推延,仍表现出不少问题,比如:� 1)作为基础的操作系统及其内核往往不为防火墙管理者所知,由于源码的保密,其安全性无从保证;� 2)由于大多数防火墙厂商并非通用操作系统的厂商,通用操作系统厂商不会对操作系统的安全性负责;� 3)从本质上看,第三代防火墙既要防止来自外部网络的攻击,还要防止来自操作系统厂商的攻击;� 4)在功能上包括了分组过滤、应用网关、电路级网关且具有加密鉴别功能;� 5)透明性好,易于使用。� 4. 第四代防火墙的主要技术及功能� 第四代防火墙产品将网关与安全系统合二为一,具有以下技术功能。� 4.1 双端口或三端口的结构� 新一代防火墙产品具有两个或三个独立的网卡,内外两个网卡可不做ip转化而串接于内部与外部之间,另一个网卡可专用于对服务器的安全保护。 � 4.2 透明的访问方式� 以前的防火墙在访问方式上要么要求用户做系统登录,要么需通过socks等库路径修改客户机的应用。第四代防火墙利用了透明的代理系统技术,从而降低了系统登录固有的安全风险和出错概率。� 4.3 灵活的代理系统� 代理系统是一种将信息从防火墙的一侧传送到另一侧的软件模块,第四代防火墙采用了两种代理机制:一种用于代理从内部网络到外部网络的连接;另一种用于代理从外部网络到内部网络的连接。前者采用网络地址转接(nit)技术来解决,后者采用非保密的用户定制代理或保密的代理系统技术来解决。� 4.4 多级过滤技术� 为保证系统的安全性和防护水平,第四代防火墙采用了三级过滤措施,并辅以鉴别手段。在分组过滤一级,能过滤掉所有的源路由分组和假冒ip地址;在应用级网关一级,能利用Ftp、smtp等各种网关,控制和监测internet提供的所有通用服务;在电路网关一级,实现内部主机与外部站点的透明连接,并对服务的通行实行严格控制。� 4.5 网络地址转换技术� 第四代防火墙利用nat技术能透明地对所有内部地址做转换,使得外部网络无法了解内部网络的内部结构,同时允许内部网络使用自己编的ip源地址和专用网络,防火墙能详尽记录每一个主机的通信,确保每个分组送往正确的地址。� 4.6 internet网关技术� 由于是直接串联在网络之中,第四代防火墙必须支持用户在internet互联的所有服务,同时还要防止与internet服务有关的安全漏洞,故它要能够以多种安全的应用服务器(包括ftp、finger、mail、ident、news、www等)来实现网关功能。为确保服务器的安全性,对所有的文件和命令均要利用“改变根系统调用(chroot)”做物理上的隔离。� 在域名服务方面,第四代防火墙采用两种独立的域名服务器:一种是内部dns服务器,主要处理内部网络和dns信息;另一种是外部dns服务器,专门用于处理机构内部向internet提供的部分dns信息。在匿名ftp方面,服务器只提供对有限的受保护的部分目录的只读访问。在www服务器中,只支持静态的网页,而不允许图形或cgi代码等在防火墙内运行。在finger服务器中,对外部访问,防火墙只提可由内部用户配置的基本的文本信息,而不提供任何与攻击有关的系统信息。smtp与pop邮件服务器要对所有进、出防火墙的邮件做处理,并利用邮件映射与标头剥除的方法隐除内部的邮件环境。ident服务器对用户连接的识别做专门处理,网络新闻服务则为接收来自isp的新闻开设了专门的磁盘空间。 4.7 安全服务器网络(ssn)� 为了适应越来越多的用户向internet上提供服务时对服务器的需要,第四代防火墙采用分别保护的策略对用户上网的对外服务器实施保护,它利用一张网卡将对外服务器作为一个独立网络处理,对外服务器既是内部网络的一部分,又与内部网关完全隔离,这就是安全服务器网络(ssn)技术。而对ssn上的主机既可单独管理,也可设置成通过Ftp、tnlnet等方式从内部网上管理。� ssn方法提供的安全性要比传统的“隔离区(dmz)”方法好得多,因为ssn与外部网之间有防火墙保护,ssn与风部网之间也有防火墙的保护,而dmz只是一种在内、外部网络网关之间存在的一种防火墙方式。换言之,一旦ssn受破坏,内部网络仍会处于防火墙的保护之下,而一旦dmz受到破坏,内部网络便暴露于攻击之下。� 4.8 用户鉴别与加密� 为了减低防火墙产品在tnlnet、ftp等服务和远程管理上的安全风险,鉴别功能必不可少。第四代防火墙采用一次性使用的口令系统来作为用户的鉴别手段,并实现了对邮件的加密。� 4.9 用户定制服务� 为了满足特定用户的特定需求,第四代防火墙在提供众多服务的同时,还为用户定制提供支持,这类选项有:通用tcp、出站udp、ftp、smtp等,如果某一用户需要建立一个数据库的代理,便可以利用这些支持,方便设置。� 4.10 审计和告警� 第四代防火墙产品采用的审计和告警功能十分健全,日志文件包括:一般信息、内核信息、核心信息、接收邮件、邮件路径、发送邮件、已收消息、已发消息、连接需求、已鉴别的访问、告警条件、管理日志、进站代理、ftp代理、出站代理、邮件服务器、名服务器等。告警功能会守住每一个tcp或udp探寻,并能以发出邮件、声响等多种方式报警。� 此外,第四代防火墙还在网络诊断、数据备份保全等方面具有特色。� 5. 第四代防火墙技术的实现方法 在第四代防火墙产品的设计与开发中,安全内核、代理系统、多级过滤、安全服务器、鉴别与加密是关键所在。� 5.1 安全内核的实现� 第四代防火墙是建立在安全操作系统之上的,安全操作系统来自对专用操作系统的安全加固和改造,从现在的诸多产品看,对安全操作系统内核的固化与改造主要从以下几个方面进行:� 1)取消危险的系统调用;� 2)限制命令的执行权限;� 3)取消ip的转发功能;� 4)检查每个分组的接口;� 5)采用随机连接序号;� 6)驻留分组过滤模块;� 7)取消动态路由功能;� 8)采用多个安全内核。� 5.2 代理系统的建立� 防火墙不允许任何信息直接穿过它,对所有的内外连接均要通过代理系统来实现,为保证整个防火墙的安全,所有的代理都应该采用改变根目录方式存在一个相对独立的区域以安全隔离。� 在所有的连接通过防火墙前,所有的代理要检查已定义的访问规则,这些规则控制代理的服务根据以下内容处理分组:� 1)源地址;� 2)目的地址;� 3)时间;� 4)同类服务器的最大数量。� 所有外部网络到防火墙内部或ssn的连接由进站代理处理,进站代理要保证内部主机能够了解外部主机的所有信息,而外部主机只能看到防火墙之外或ssn的地址。� 所有从内部网络ssn通过防火墙与外部网络建立的连接由出站代理处理,出站代理必须确保完全由它代表内部网络与外部地址相连,防止内部网址与外部网址的直接连接,同时还要处理内部网络ssn的连接。� 5.3 分组过滤器的设计� 作为防火墙的核心部件之一,过滤器的设计要尽量做到减少对防火墙的访问,过滤器在调用时将被下载到内核中执行,服务终止时,过滤规则会从内核中消除,所有的分组过滤功能都在内核中ip堆栈的深层运行,极为安全。分组过滤器包括以下参数。� 1)进站接口;� 2)出站接口;� 3)允许的连接;� 4)源端口范围;� 5)源地址;� 6)目的端口的范围等。� 对每一种参数的处理都充分体现设计原则和安全政策。� 5.4 安全服务器的设计� 安全服务器的设计有两个要点:第一,所有ssn的流量都要隔离处理,即从内部网和外部网而来的路由信息流在机制上是分离的;第二,ssn的作用类似于两个网络,它看上去像是内部网,因为它对外透明,同时又像是外部网络,因为它从内部网络对外访问的方式十分有限。� ssn上的每一个服务器都隐蔽于internet,ssn提供的服务对外部网络而言好像防火墙功能,由于地址已经是透明的,对各种网络应用没有限制。实现ssn的关键在于:� 1)解决分组过滤器与ssn的连接;� 2)支持通过防火对ssn的访问; 3)支持代理服务。 5.5鉴别与加密的考虑 鉴别与加密是防火墙识别用户、验证访问和保护信息的有效手段,鉴别机制除了提供安全保护之外,还有安全管理功能,目前国外防火墙产品中广泛使用令牌鉴别方式,具体方法有两种:一种是加密卡(cryptocard);另一种是secure id,这两种都是一次姓口令的生成工具。 对信息内容的加密与鉴别测涉及加密算法和数字签名技术,除pem、pgp和kerberos外,目前国外防火墙产品中尚没有更好的机制出现,由于加密算法涉及国家安全和主权,各国有不同的要求。 6. 第四代防火墙的抗攻击能力 作为一种安全防护设备,防火墙在网络中自然是众多攻击者的目标,故抗攻击能力也是防火墙的必备功能。在internet环境中针对防火墙的攻击很多,下面从几种主要的攻击方法来评估第四代防火墙的抗攻击能力。 6.1 抗ip假冒攻击 ip假冒是指一个非法的主机假冒内部的主机地址,取服务器的“信任”,从而达到对网络的攻击目的。由于第四代防火墙已经将网内的实际地址隐蔽起来,外部用户很难知道内部的ip地址,因而难以攻击。 6.2 抗特洛伊木马攻击 特洛伊木马能将病毒或破坏性程序传入计算机网络,且通常是将这些恶意程序隐蔽在正常的程序之中,尤其是热门程序或游戏,一些用户下载病执行这一程序,其中的病毒便会发作。第四代防火墙是建立在安全的操作系统之上的,其内核中不能执行下载的程序,故而可以防止特洛伊木马的发生。必须指出的是,防火墙能抗特洛伊木马的攻击并并不表明其保护的某个主机也能防止这类攻击。事实上,内部用户可以通过防火墙下载程序,并执行下载的程序。 6.3 抗口令字探寻攻击 在网络中探寻口令的方法很多,最常见的是口令嗅探和口令解密。嗅探是通过监测网络通信,截获用户转给服务器的口令字,记录下来,以便使用;解密是指采用强力攻击、猜测或截获含有加密口令的文件,并设法解密。此外,攻击者还常常利用一些常用口令直接登录。 第四代防火墙采用了一次性口令字和禁此直接登录防火墙措施,能够有效防止对口令字的攻击。 6.4 抗网络安全性分析 网络安全性分析工具是提供管理人员分析网络安全性之用,一旦这类工具用作攻击网络的手段,则能够比较方便地探测到内部网络的安全缺陷和弱点所在。目前,sata软件可以从网上免费获得,internet scanner可以从市面上购买,这些分析工具给网路安全构成了直接的威胁。第四代防火墙采用了地主转换技术,将内部网络隐蔽起来,使网路安全分析工具无法从外部对内部网络做分析。 6.5 抗邮件攻击 邮件也是越来越突出的攻击方式,第四代防火墙不接收任何邮件,故难以采用这种方式对它攻击,同样值得一提的是,防火墙不接收邮件,并不表示它不让邮件通过,实际上用户仍可收发邮件,内部用户要防邮件,最终的解决办法是对邮件加密。 7. 防火墙技术展望 伴随着internet的飞速发展,防火墙技术产品的更新步伐必然会加强,而要全面展望防火墙技术的发展几乎是不可能的。但是,从产品及功能上,却又可以看出一些动向和趋势。下面诸点可能是下一步的走向和选择: 1)防火墙将从目前对子网或内部网管理的方式向远程上网集中管理是方式发展。 2)过滤深度会不断加强,从目前的地址、服务过滤,发展到url(页面)过滤、关键字过滤和对activex、java等的过滤,并逐渐有病毒扫描功能。 3)利用防火墙建立专用网是较长一段时间用户使用的主流,ip的加密需求越来越强,安全协议的开发是一大热点。� 4)单向防火墙(又叫做网络二极管)将作为一种产品门类而出现。� 5)对网络攻击的检测和各种告警将成为防火墙的重要功能。 6)安全管理工具不断完善,特别是可以活动的日志分析工具等将成为防火墙产品中的一部分。� 另外值得一提的是,伴随着防火墙技术的不断发展,人们选择防火墙的标准将主要集中在易于管理、应用透明性、鉴别与加密功能、操作环境和硬件要求、vpn的功能与ca的功能、接口的数量、成本等几个方面。
《科技传播》杂志国家级科技学术期刊中英文目录知网 万方全文收录随着对网络安全问题的理解日益深入,入侵检测技术得到了迅速的发展,应用防护的概念逐渐被人们所接受,并应用到入侵检测产品中。而在千兆环境中,如何解决应用防护和千兆高速网络环境中数据包线速处理之间的矛盾,成为网络安全技术发展一个新的挑战。 入侵检测技术的演进。 入侵检测系统(IDS, Intrusion Detection System)是近十多年发展起来的新一代安全防范技术,它通过对计算机网络或系统中的若干关键点收集信息并对其进行分析,从中发现是否有违反安全策略的行为和被攻击的迹象。IDS产品被认为是在防火墙之后的第二道安全防线在攻击检测、安全审计和监控等方面都发挥了重要的作用。 但在入侵检测产品的使用过程中,暴露出了诸多的问题。特别是误报、漏报和对攻击行为缺乏实时响应等问题比较突出,并且严重影响了产品发挥实际的作用。Gartner在2003年一份研究报告中称入侵检测系统已经“死”了。Gartner认为IDS不能给网络带来附加的安全,反而会增加管理员的困扰,建议用户使用入侵防御系统(IPS, Intrusion Prevention System)来代替IDS。Gartner公司认为只有在线的或基于主机的攻击阻止(实时拦截)才是最有效的入侵防御系统。 从功能上来看,IDS是一种并联在网络上的设备,它只能被动地检测网络遭到了何种攻击,它的阻断攻击能力非常有限,一般只能通过发送TCP reset包或联动防火墙来阻止攻击。而IPS则是一种主动的、积极的入侵防范、阻止系统,它部署在网络的进出口处,当它检测到攻击企图后,它会自动地将攻击包丢掉或采取措施将攻击源阻断。因此,从实用效果上来看,和IDS相比入侵防御系统IPS向前发展了一步,能够对网络起到较好的实时防护作用。 近年来,网络攻击的发展趋势是逐渐转向高层应用。根据Gartner的分析,目前对网络的攻击有70%以上是集中在应用层,并且这一数字呈上升趋势。应用层的攻击有可能会造成非常严重的后果,比如用户帐号丢失和公司机密泄漏等。因此,对具体应用的有效保护就显得越发重要。从检测方法上看,IPS与IDS都是基于模式匹配、协议分析以及异常流量统计等技术。这些检测技术的特点是主要针对已知的攻击类型,进行基于攻击特征串的匹配。但对于应用层的攻击,通常是利用特定的应用程序的漏洞,无论是IDS还是IPS都无法通过现有的检测技术进行防范。 为了解决日益突出的应用层防护问题,继入侵防御系统IPS之后,应用入侵防护系统(AIP,Application Intrusion Prevention)逐渐成为一个新的热点,并且正得到日益广泛的应用。 应用入侵防护 对应用层的防范通常比内网防范难度要更大,因为这些应用要允许外部的访问。防火墙的访问控制策略中必须开放应用服务对应的端口,如web的80端口。这样,黑客通过这些端口发起攻击时防火墙无法进行识别控制。入侵检测和入侵防御系统并不是针对应用协议进行设计,所以同样无法检测对相应协议漏洞的攻击。而应用入侵防护系统则能够弥补防火墙和入侵检测系统的不足,对特定应用进行有效保护。 所谓应用入侵防护系统AIP,是用来保护特定应用服务(如web和数据库等应用)的网络设备,通常部署在应用服务器之前,通过AIP系统安全策略的控制来防止基于应用协议漏洞和设计缺陷的恶意攻击。 在对应用层的攻击中,大部分时通过HTTP协议(80端口)进行。在国外权威机构的一次网络安全评估过程中发现,97%的web站点存在一定应用协议问题。虽然这些站点通过部署防火墙在网络层以下进行了很好的防范,但其应用层的漏洞仍可被利用进而受到入侵和攻击。因此对于web等应用协议,应用入侵防护系统AIP应用比较广泛。通过制订合理的安全策略,AIP能够对以下类型的web攻击进行有效防范: 恶意脚本 Cookie投毒 隐藏域修改 缓存溢出 参数篡改 强制浏览 Sql插入 已知漏洞攻击 应用入侵防护技术近两年刚刚出现,但发展迅速。Yankee Group预测在未来的五年里, AIP将和防火墙,入侵检测和反病毒等安全技术一起,成为网络安全整体解决方案的一个重要组成部分。 千兆解决方案 应用入侵防护产品在保护企业业务流程和相关数据方面发挥着日益重要的作用,同时随着网络带宽的不断增加,只有在适合千兆环境应用的高性能产品才能够满足大型网络的需要。 传统的软件形式的应用入侵防护产品受性能的限制,只能应用在中小型网络中;基于x86架构的硬件产品无法达到千兆流量的要求;近年来,网络处理器(NP)在千兆环境中得到了日益广泛的应用,但NP的优势主要在于网络层以下的包处理上,若进行内容处理则会导致性能的下降。 通过高性能内容处理芯片和网络处理芯片相结合形式,为千兆应用入侵防护产品提供了由于的解决方案。其设计特点是采用不同的处理器实现各自独立的功能,由网络处理芯片实现网络层和传输层以下的协议栈处理,通过高速内容处理芯片进行应用层的协议分析和内容检查。从而实现了千兆流量线速转发和高速内容处理的完美结合,真正能够为用户提供千兆高性能的应用防护解决方案。 在上面系统框架中,包处理引擎收到数据包后,首先由网络处理器进行传输层以下的协议栈处理,并将数据包还原成数据流。接下来由内容处理器对数据流进行应用协议处理,根据控制器设定的安全策略对各种应用攻击进行检测和过滤。只有符合安全策略要求的数据流才会被发送到服务器,攻击包则被丢弃。 在高性能的千兆解决方案中,能够实现网络层到应用层的多层次立体防护体系。对于面向大型web应用,产品通过多种功能的集成实现有效的应用防护: Web应用入侵防护。通过系统内置的网络内容处理芯片,对web请求和回应流量进行细致的分析。根据内置的规则及启发式的安全策略,有效防范各种针对web应用的攻击行为。 DOS攻击的防护。系统通过网络处理芯片,对Synflood、Icmpflood、Upflood、PinfOfDeath、Smurf、Ping Sweep等网络层的拒绝服务攻击进行过滤的防范,有效保护服务器。 访问控制。通过硬件的ACL匹配算法,系统能够在实现线速转发的同时对数据包进行实时的访问控制。 中科网威在新一代千兆应用入侵防护产品设计中采用了上述解决方案,实现了千兆流量下的线速处理。系统以透明模式接入网络,在增强安全性的同时,网络性能不会受到任何影响,真正实现了应用层内容处理和千兆高性能的完美结合。
入侵检测技术论文篇二 浅析入侵检测技术 摘 要 入侵检测系统是一个能够对网络或计算机系统的活动进行实时监测的系统,它能够发现并报告网络或系统中存在的可疑迹象,为网络安全管理提供有价值的信息。 关键词 入侵检测 信号分析 模型匹配 分布式 中图分类号:TP393 文献标识码:A 随着计算机技术尤其是网络技术的发展,计算机系统已经从独立的主机发展到复杂的、互连的开放式系统。这给人们在信息利用和资源共享上带来了无与伦比的便利,但又面临着由于入侵而引发的安全问题。传统的安全防御策略( 如访问控制机制、防火墙技术等)均属于静态的安全防御技术,对网络环境下日新月异的攻击手段缺乏主动的反应。由于静态的安全技术自身存在着不可克服的缺点,促发了人们在研究过程中新的探索,从而引出入侵检测这一安全领域的新课题的诞生。入侵检测是动态安全技术的最核心技术之一,是防火墙的合理补充,是安全防御体系的一个重要组成部分。 1 入侵检测系统( IDS) 执行的主要任务 所谓IDS就是一个能够对网络或计算机系统的活动进行实时监测的系统,它能够发现并报告网络或系统中存在的可疑迹象,为网络安全管理提供有价值的信息。IDS 执行的主要任务是:监视、分析用户及系统活动;对系统构造和弱点的审计;识别反映已知进攻的活动模式并向相关人士报警;异常行为模式的统计分析;评估重要系统和数据文件的完整性;操作系统的审计跟踪管理,并识别用户违反安全策略的行为。 2 入侵检测的步骤 2.1 信息收集 入侵检测的第一步是信息收集。内容包括系统、网络、数据及用户活动的状态和行为。 入侵检测利用的信息一般来自以下4方面:系统和网络日志文件:目录和文件中的不期望的改变; 程序执行中的不期望行为;物理形式的入侵信息。这包括两个方面的内容:一是未授权的对网络硬件的连接;二是对物理资源的未授权访问。 2.2 信号分析 对上述4 类收集到的有关系统、网络、数据及用户活动的状态和行为等信息, 一般通过3 种技术手段进行分析:模式匹配、统计分析和完整分析。其中前两种方法用于实时的入侵检测,而完整性分析则用于事后分析。 2.3 响应 入侵检测系统在发现入侵后会及时做出响应, 包括切断网络连接、记录事件和报警等。响应一般分为主动响应和被动响应两种类型。主动响应由用户驱动或系统本身自动执行, 可对入侵者采取行动、修正系统环境或收集有用信息;被动响应则包括告警和通知、简单网络管理协议( SNMP) 陷阱和插件等。 3 常用的入侵检测方法 3.1基于用户行为概率统计模型的入侵检测方法 这种入侵检测方法是基于对用户历史行为建模, 以及在早期的证据或模型的基础上, 审计系统实时的检测用户对系统的使用情况, 根据系统内部保存的用户行为概率统计模型进行检测, 当发现有可疑的用户行为发生时, 保持跟踪并监测、记录该用户的行为。 3.2 基于神经网络的入侵检测方法 这种方法是利用神经网络技术进行入侵检测。因此, 这种方法对用户行为具有学习和自适应功能, 能够根据实际检测到的信息有效地加以处理并作出入侵可能性的判断。 3.3 基于专家系统的入侵检测技术 该技术根据安全专家对可疑行为进行分析的经验来形成一套推理规则, 然后在此基础上建立相应的专家系统, 由此专家系统自动对所涉及的入侵行为进行分析该系统应当能够随着经验的积累而利用其自学习能力进行规则的扩充和修正。 4 入侵检测技术的发展方向 4.1 分布式入侵检测与通用入侵检测架构 传统的IDS一般局限于单一的主机或网络架构, 对异构系统及大规模的网络的监测明显不足, 同时不同的IDS 系统之间不能协同工作, 为解决这一问题, 需要分布式入侵检测技术与通用入侵检测架构。 4.2 智能化的入侵检测 入侵方法越来越多样化与综合化, 尽管已经有智能体、神经网络与遗传算法在入侵检测领域的应用研究, 但是这只是一些尝试性的研究工作, 需要对智能化的IDS 加以进一步地研究以解决其自学习与自适应能力。 4.3入侵检测的评测方法 用户需对众多的IDS 系统进行评价, 评价指标包括IDS 检测范围、系统资源占用、IDS 系统自身的可靠性。从而设计通用的入侵检测测试与评估方法和平台, 实现对多种IDS 系统的检测已成为当前IDS 的另一重要研究与发展领域。 4.4 与其它网络安全技术相结合 结合防火墙、PKIX、安全电子交易SET 等新的网络安全与电子商务技术,提供完整的网络安全保障。 入侵检测作为一种积极主动的安全防护技术, 提供了对内部攻击、外部攻击和误操作的实时保护, 在网络系统受到危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发, 入侵检测理应受到人们的高度重视, 这从国外入侵检测产品市场的蓬勃发展就可以看出。在国内, 随着上网的关键部门、关键业务越来越多, 迫切需要具有自主版权的入侵检测产品。入侵检测产品仍具有较大的发展空间, 从技术途径来讲, 除了完善常规的、传统的技术( 模式识别和完整性检测) 外, 应重点加强统计分析的相关技术研究。入侵检测是保护信息系统安全的重要途径, 对网络应用的发展具有重要意义与深远影响。研究与开发自主知识产权的IDS 系统将成为我国信息安全领域的重要课题。 参考文献 [1]耿麦香.网络入侵检测技术研究综述[J].网络安全技术与应用,2004(6). [2]王福生.数据挖掘技术在网络入侵检测中的应用[J].现代情报,2006(9). [3]蒋萍.网络入侵检测技术[J].郑州航空工业管理学院学报,2003(3). 看了“入侵检测技术论文”的人还看: 1. 关于入侵检测技术论文 2. 计算机网络入侵检测技术论文 3. 论文网络病毒检测技术论文 4. 安全防范技术论文 5. 计算机网络安全技术论文赏析
138 浏览 4 回答
136 浏览 2 回答
120 浏览 2 回答
200 浏览 2 回答
111 浏览 2 回答
232 浏览 2 回答
313 浏览 2 回答
307 浏览 5 回答
355 浏览 3 回答
87 浏览 3 回答
343 浏览 3 回答
258 浏览 3 回答
104 浏览 2 回答
222 浏览 2 回答
277 浏览 2 回答