基于Linux的深度入侵防御系統(tǒng)的研究

分析了使用單一的安全技術無法保障系統(tǒng)的完整安全，提出了使用防火墻、IDS 和HIPS 三種技術融合的深度防御系統(tǒng)。其中系統(tǒng)核心部分HIPS 中提出了一種新的算法－TT 算法，可以有效降低傳統(tǒng)IPS對于系統(tǒng)吞吐率的影響。模擬實驗表明，此系統(tǒng)對內部網(wǎng)絡具有較高的檢測速度、檢測準確率和較好的安全防御性等特點。
隨著網(wǎng)絡的發(fā)展，信息安全正日益成為人們關注的焦點。美國計算機緊急事件反應小組
CERT/CC 的分析報告指出包含病毒在內的攻擊事件數(shù)目正逐年成倍上升， 1988 年報告事件僅6 起，2000 年已升至21,756 起，2003 年更達到137,529 起，從1988 年至2003 年共報
告了319,992 起事件。
為應對這些安全威脅，靜態(tài)安全技術一直被廣泛應用，但是靜態(tài)安全技術有許多限制和
不足。首先，所有的靜態(tài)防御技術都有可能被繞開而失效。其次，部署這些靜態(tài)防御措施在結構和應用上往往十分復雜。靜態(tài)防御本質上易于遭受“安靜”的錯誤，也就是說，這些機制不能辨別出自己正在受到攻擊，當發(fā)現(xiàn)時往往為時已晚，最多也只能將這些攻擊記入日志。
為解決這些問題，入侵檢測技術（IDS）在靜態(tài)防御技術基礎上逐漸發(fā)展起來，而入侵
防御技術（IPS）擴充了入侵檢測技術，它改進了大多數(shù)IDS 的被動模式，預先檢測并對入侵活動和惡意網(wǎng)絡流量進行攔截并將攻擊數(shù)據(jù)包丟棄，阻止其進入系統(tǒng)，起到了主動保護系統(tǒng)的作用，而不象IDS 那樣在系統(tǒng)遭受到攻擊行為后才發(fā)出警報并進行處理。
然而，單純應用IPS 并不足以解決目前嚴峻的網(wǎng)絡安全問題。IPS 雖然是一個主動的防
御系統(tǒng)，能有效保障網(wǎng)絡安全，但是這種保障仍然是相對的。目前IPS 還存在一些問題。例如，IPS 是控制類技術，所以它不大可能在防御攻擊的同時進行入侵數(shù)據(jù)的詳細記錄。因此需要尋求一種靜態(tài)安全技術、入侵檢測技術和入侵防御技術相結合的深度入侵防御（Defense in Depth）系統(tǒng)。