基于脚本的入侵防御系统研究

论文摘要

入侵防御系统（Intrusion Preventation and Protection System - IPS）是一种新的网络安全技术,它融合了多种安全防护技术（防火墙、入侵检测、防病毒、漏洞扫描等）的技术优势,能够提供全面、深层次的网络边界安全防护。目前已商品化的入侵防御系统,通常采用专用操作系统和特定硬件实现,从而限制了系统的通用性和可扩展,随着硬件计算能力加强以及入侵手段的多样化,专用的检测设备必将导致成本的增加,相对固化的检测策略无法完全检测多样化的入侵方式,必然会出现检测准确率的降低。本文提出一种在通用计算机环境下,通过机制和策略分离,实现一个策略脚本解释器并解释执行分析脚本,脚本可对重组的报文实现对会话全程的跟踪,检测出异常的行为生成事件；同时,脚本也可对事件生成引擎生成的事件进行分析处理,当发现攻击特征,就引发相应的操作,比如告警、记录或生成新的事件、防御阻断。基于脚本的入侵防御系统包含以下三个部分：（1）事件生成引擎：利用动态协议探测技术,检测网卡所采集到的数据报文的协议类型,然后根据协议类型判断当前连接的状态,进而产生不同的事件供策略脚本处理。（2）策略脚本解释器：解释执行策略脚本,脚本语言可以对抽象出来的事件做充分细致的分析,组合事件生成引擎中应用层协议分析和脚本的分析能力可以提供更加强大的入侵检测功能。无论是脚本解析还是正则匹配,都是针对一个完整会话重组过的数据来进行,实现了检测的细粒度,提高了入侵检测的精准度；（3）阻断与联动技术：根据策略脚本解释器提供抽象出来的事件,入侵阻断模块通过脚本伪造iptables指令与内核防火墙联动或者伪造命令行与其他防御模块联动实现对入侵的及时阻断,从而阻断攻击。在真实环境中,利用现有的通用计算机平台,千兆环境下,我们对所搭建的IPS系统进行测试,平台的CPU占用率,内存使用率,复杂入侵行为检测的准确率,以及对入侵行为的阻断率等性能指标进行了测试,其结果是令人满意的.

论文目录

• 摘要
• Abstract
• 目录
• 第一章 绪论
• 1.1 IPS的概念和特征
• 1.2 入侵防御系统（IPS）与入侵检测系统（IDS）之间的差异
• 1.3 入侵防御系统的分类
• 1.3.1 根据保护对象分类
• 1.3.2 基于检测方法分类
• 1.4 论文的选题意义及工作论述
• 1.4.1 论文的选题意义
• 1.4.2 工作论述
• 1.5 论文结构
• 第二章 相关技术
• 2.1 编译原理
• 2.2 正则表达式与有穷自动机
• 2.2.1 正则表达式
• 2.2.2 有穷自动机
• 2.3 Flex与Bison简介
• 2.3.1 Flex与Bison程序规则
• 2.3.2 Flex与Bison程序编写步骤
• 2.3.3 Flex和Bison之间的接口
• 2.4 包过滤技术
• 2.5 Expect简介
• 第三章 IPS的整体框架设计
• 3.1 数据采集
• 3.2 事件分发处理引擎
• 3.3 策略脚本解释器
• 3.4 防御阻断与联动
• 第四章 基于脚本的开放型IPS具体实现
• 4.1 数据采集
• 4.2 事件处理与分发引擎
• 4.2.1 TCP处理
• 4.2.2 UDP处理
• 4.2.3 动态协议探测技术
• 4.3 策略脚本
• 4.3.1 策略脚本实现
• 4.3.2 举例:Pop3协议策略脚本
• 4.4 防御阻断与联动技术
• 4.4.1 内嵌包过滤防火墙
• 4.4.2 使用脚本语言实现检测模块和防御阻断模块之间的联动
• 4.4.3 使用脚本语言实现与其它防御设备之间的联动
• 第五章 部署与测试
• 5.1 IPS的部署
• 5.2 性能测试
• 第六章 总结与展望
• 6.1 总结
• 6.2 系统不足与展望
• 致谢
• 主要参考文献
• 附录A（攻读学位期间发表论文目录）