基于LSM的改进型Linux入侵检测系统

论文摘要

近年来计算机技术的飞速发展,使得计算机网络迅速蔓延到人们生活的各个方面。但凡事都有其两面性,网络是一把双刃剑：一方面,计算机网络的快速发展对人类社会的发展创造了广阔的天地,但在同一时间,也为不法分子提供了一个更广泛和更方便的地方。今天,越来越多的针对计算机的攻击在发生着,它已成为人们关注的焦点,足以引起人们的重视。特别是在广泛使用的Linux系统,这个问题最为严重,越来越多的安全访问控制模型和框架被研发出来,用来加强Linux系统的安全,如安全增强型Linux (SELinux)的、域和类型增强(DTE)、Linux入侵检测系统(LIDS)等等。但是尽管如此,这些模型与框架或多或少的都存在各式各样的漏洞,由于开源的原因使得攻击者也都会发现这些漏洞,从而利用这些本应该对系统提供保护的模块来对系统进行攻击与破坏,破坏性较一般攻击有过之而无不及。本文正是基于此提出了一种改进型的LIDS。文章先总结了已有的关于Linux安全研究综述,介绍了入侵检测的概念以及系统的相关技术知识,然后在此基础上提出了一种基于LSM的改进型LIDS,对文件系统的保护做了重新架构以及对LIDS配置文件的安全性做了改进。针对LIDS的文件保护功能的不足与缺陷,实现一种新型文件入侵检测模型,该模型采用否定选择算法来实现入侵检测,能够准确识别出是否被入侵,关键文件是否被破坏或篡改。实现了一种文件恢复策略,即对被破坏或者篡改的文件能够快速准确的恢复,在硬盘划出一个Protect库,对重要文件进行备份,当检测到入侵后会及时恢复,使得系统快速恢复原态。构建一个Important库,内部存放经过统计的高危文件和LIDS的配置文件,使用内核级Rootkit (?)将他们隐藏起来,利用内核级Rootkit的高针对性隐藏技术来保护系统,实现了通过修改系统调用和修改VFS层两种方法来达到保护系统的目的。经过严密的实验证明,改进后的LIDS能够极大的增强对文件的保护能力,可以抵御绝大多数的恶意攻击,能够通过统计数据来筛选出经常受攻击的文件,并将这些文件与LIDS的核心配置文件保护起来,并且通过备份使得系统在被破坏之后能够及时恢复,以避免攻击者利用这些修改过的文件对系统进行进一步的破坏。最后提出了系统的不足之处,指明了之后的工作方向。

论文目录

• 摘要
• Abstract
• 1 绪论
• 1.1 研究背景和意义
• 1.2 国内外研究现状
• 1.2.1 linux安全技术发展
• 1.2.2 入侵检测技术
• 1.3 本文的主要工作
• 1.3.1 目前存在的问题
• 1.3.2 本文的主要工作
• 1.4 论文的组织结构
• 2 入侵检测技术概述
• 2.1 入侵检测的概念
• 2.2 入侵检测的通用框架
• 2.3 入侵检测的分类
• 2.3.1 按照数据源划分
• 2.3.2 按照分析方法划分
• 2.4 入侵检测系统的发展趋势
• 2.4.1 大规模数据的检测方法
• 2.4.2 分布式入侵检测
• 2.4.3 数据挖掘技术在入侵检测中的应用
• 3 系统相关知识介绍
• 3.1 LSM框架概述
• 3.1.1 LSM的设计思想
• 3.1.2 LSM框架的实现
• 3.2 LIDS概述
• 3.2.1 保护文件系统
• 3.2.2 保护系统进程
• 3.2.3 封装内核
• 4 改进型LIDS的实现
• 4.1 开发背景与需求
• 4.2 改进型LIDS的详细设计
• 4.2.1 整体框架概述
• 4.2.2 系统相关技术
• 4.3 改进型LIDS的实现
• 4.3.1 主要算法的实现
• 4.3.2 隐藏模块的实现
• 4.3.3 系统的具体实现
• 5 实验结果及分析
• 5.1 原版LIDS与改进型LIDS的对比实验与结果分析
• 5.1.1 系统的安装与配置
• 5.1.2 实验过程及结果分析
• 5.2 内核级Rootkit隐蔽性检验实验
• 5.2.1 实验目的与方法
• 5.2.2 实验过程与结果分析
• 结论
• 参考文献
• 攻读硕士学位期间发表学术论文情况
• 致谢