基于Linux的深度入侵防御系統(tǒng)的研究

分析了使用單一的安全技術(shù)無法保障系統(tǒng)的完整安全，提出了使用防火墻、IDS 和HIPS 三種技術(shù)融合的深度防御系統(tǒng)。其中系統(tǒng)核心部分HIPS 中提出了一種新的算法－TT 算法，可以有效降低傳統(tǒng)IPS對于系統(tǒng)吞吐率的影響。模擬實驗表明，此系統(tǒng)對內(nèi)部網(wǎng)絡具有較高的檢測速度、檢測準確率和較好的安全防御性等特點。
隨著網(wǎng)絡的發(fā)展，信息安全正日益成為人們關(guān)注的焦點。美國計算機緊急事件反應小組
CERT/CC 的分析報告指出包含病毒在內(nèi)的攻擊事件數(shù)目正逐年成倍上升， 1988 年報告事件僅6 起，2000 年已升至21,756 起，2003 年更達到137,529 起，從1988 年至2003 年共報
告了319,992 起事件。
為應對這些安全威脅，靜態(tài)安全技術(shù)一直被廣泛應用，但是靜態(tài)安全技術(shù)有許多限制和
不足。首先，所有的靜態(tài)防御技術(shù)都有可能被繞開而失效。其次，部署這些靜態(tài)防御措施在結(jié)構(gòu)和應用上往往十分復雜。靜態(tài)防御本質(zhì)上易于遭受“安靜”的錯誤，也就是說，這些機制不能辨別出自己正在受到攻擊，當發(fā)現(xiàn)時往往為時已晚，最多也只能將這些攻擊記入日志。
為解決這些問題，入侵檢測技術(shù)（IDS）在靜態(tài)防御技術(shù)基礎上逐漸發(fā)展起來，而入侵
防御技術(shù)（IPS）擴充了入侵檢測技術(shù)，它改進了大多數(shù)IDS 的被動模式，預先檢測并對入侵活動和惡意網(wǎng)絡流量進行攔截并將攻擊數(shù)據(jù)包丟棄，阻止其進入系統(tǒng)，起到了主動保護系統(tǒng)的作用，而不象IDS 那樣在系統(tǒng)遭受到攻擊行為后才發(fā)出警報并進行處理。
然而，單純應用IPS 并不足以解決目前嚴峻的網(wǎng)絡安全問題。IPS 雖然是一個主動的防
御系統(tǒng)，能有效保障網(wǎng)絡安全，但是這種保障仍然是相對的。目前IPS 還存在一些問題。例如，IPS 是控制類技術(shù)，所以它不大可能在防御攻擊的同時進行入侵數(shù)據(jù)的詳細記錄。因此需要尋求一種靜態(tài)安全技術(shù)、入侵檢測技術(shù)和入侵防御技術(shù)相結(jié)合的深度入侵防御（Defense in Depth）系統(tǒng)。