小型入侵检测系统的设计.docVIP

小型入侵检测系统的设计 摘 要：本文对入侵检测系统的定义、分类、功能、技术、及发展趋势等方面作了全面的介绍，并通过开发一个小型的入侵检测系统，详细介绍了当前流行的Winpcap抓包技术和多线程编程技术，证明了入侵检测技术在网络安全领域有着重要的意义。 关键词：入侵检测（IDS）；Winpcap；探针；多线程 The DesignRealization of Mini Intrusion Detection System Abstract: This paper has done the overall introduction to such respects as the definition , classification,function, technology, and development trend of the Intrusion Detection System,etc. And is it develop one Mini Intrusion Detection System to pass , introduce present prevailing Winpcap catch packets technology and mutithread programming technology in detail, have proved that there are important meanings in the field of network security to Intrusion Detection technique. Keywords: Intrusion Detection System(IDS);Winpcap;Pointer;Multithread 1 IDS简介 入侵检测（Intrusion Detection），顾名思义，是对入侵行为的发觉。它通过对计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现网络或系统中是否有违反安全策略的行为和被攻击的迹象。进行入侵检测的软件与硬件的组合便是入侵检测系统（Intrusion Detection System,简称IDS）。  与其他安全产品不同的是，入侵检测系统需要更多的智能，它必须可以将得到的数据进行分析，并得出有用的结果。一个合格的入侵检测系统能大大的简化管理员的工作，保证网络安全的运行。因此，入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。这些都通过它执行以下任务来实现： 　　·系统构造和弱点的审计； 　　·识别反映已知进攻的活动模式并向相关人士报警； 　　·异常行为模式的统计分析,监视、分析用户及系统活动； 　　·评估重要系统和数据文件的完整性； 　　·操作系统的审计跟踪管理，并识别用户违反安全策略的行为。　　 1.1 入侵检测系统的主要功能　　对一个成功的入侵检测系统来讲，它不但可使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，还能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。而且，入侵检测的规模还应根据网络威胁、系统构造和安全需求的改变而改变。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等。具体来说，入侵检测系统的主要功能有：　　·监测并分析用户和系统的活动； ·核查系统配置和漏洞；　　·评估系统关键资源和数据文件的完整性；　　·识别已知的攻击行为；　　·统计分析异常行为；　　·操作系统日志管理，并识别违反安全策略的用户活动。 1.2 入侵检测系统的分类　　一般来说，入侵检测系统可分为主机型和网络型。　　主机型入侵检测系统往往以系统日志、应用程序日志等作为数据源，当然也可以通过其他手段（如监督系统调用）从所在的主机收集信息进行分析。主机型入侵检测系统保护的一般是所在的系统。　　网络型入侵检测系统的数据源则是网络上的数据包。往往将一台机子的网卡设于混杂模式（promisc mode）,监听所有本网段内的数据包并进行判断。一般网络型入侵检测系统担负着保护整个网段的任务。　　不难看出，网络型IDS的优点主要是简便：一个网段上只需安装一个或几个这样的系统，便可以监测整个网段的情况。且由于往往分出单独的计算机做这种应用，不会给运行关键业务的主机带来负载上的增加。但由于现在网络的日趋复杂和高速网络的普及，这种结构正受到越来越大的挑战。一个典型的例子便是交换式以太网。　　而尽管主机型IDS的缺点显而易见：必须为不同平台开发不同的程序、增加系统负荷、所需安装数量众多等，但是