不会受 到 Ｉ Ｓ躲避技 术的欺骗。当 Ｔ Ｐ Ｉ Ｄ Ｃ ／Ｐ协议状态检测后，
但建立正常模 型困难 ，存在误检率高 和管理复杂的缺点 ’ 。异
数 据处 理模 块将解 析 出的特 征与 已知的攻击 特 征进 行匹配 ，
根据 匹配结果来判断 “ 入侵行为” 。如发现 入侵行为，则及时
件模 式相 匹配时就报警。它适合 于已知使 用模 式的检 测，只
能检 测到 已知的入侵 方式 ｌ 用检测代 表性 的检测方 法是 。误 模 式匹配算 法。
分类，可以被分为基于网络 ，基 于主机和基于应用 三类 ；根据 检测原 理来 分类，可以被分为异 常检测 和误用检 测两类 ；根 据体系结构来分类可 以被分为集 中式 、等级式 和协 作式三类 。
１２基 于网络入侵检测常用 的检测方法 ．
入侵检 测系统 比较 常见 的检测方 法有误 用检测 和异常检
０引 言
分布式拒绝服务 （ Ｄｏ ） Ｄ Ｓ 是一种破坏性大、防范 困难的攻击 形式 。２ １ ０ ２年，云端平 台 Ａ ａ ｉ ｋ ｍａ 针对互联 网发展状况作出调
查， 报告 中指出，由于互联 网应用频繁，过去三年来分布式 拒绝 服务 （ Ｄ Ｓ 攻击越来越严重， 量上升了 ２ ０ ％。据调查 显示， Ｄ ｏ） 数 ００
基金 项 目：湖南省教育厅项 目资助 ［ Ｃ０ ５］ １ ７ ８、湖南省教育厅项目资助 ［４ ２ ２、湖南理 工学院校 级大学生研究性学习和创新性 实验计 划项 目 ０ ０ Ｃ ７］
【 ＫＹＬ ０ １３ ＸＳ Ｘ２ １０ ］
作 者简介： 方欣 （ ９ １ ） １７一 ，男，湖南，讲师，硕士，主要研 究方向 ： 计算机 网络、信息安全 ； 万扬 （ ９ ０ ） １０ 一 ，男，湖南，本科，主要研 究方向： 计算机网络 、信息安全 ； 文霞 （ ９ １ ） １９ － ，女，湖南，本科，主要研究方向 ： 计算机网络 、信息安全 ； 郭彩云 （ ９ １ ） １９一 ，女，湖南，本科，主要研
Ｄ Ｓ 击 以其 实施 容 易 ，破 坏 力度 大，检测 困难 等特 点 而成 为网络 攻击检 测 与防御 的 重 中之 重 。近年 来 ， Ｄｏ 攻
针 对 网络 流量相 关性 的 Ｄ ｏ 攻 击检测 方法层 出不 穷 ，文章在 分析 Ｄ Ｓ 击检 测 方法的基 础上 ，利用基 于 ＤＳ Ｄｏ 攻
击行为。
入侵检 测系统基本 功能是 ： 视 、分 析用户及 系统活动； 监 发现入侵企 图或异常现象 ； 记录、报警和响应。人侵检测系统
工作流程如 图 ２所示 。
— 厂
— — —
—
数
数
数
事
据 捕
— 厂
— — —
获
据 过
滤
据 分
析
件 响
基 于协议分 析技术 的入侵 检测 系统 首先根 据 网络流量 ， 截获 网络 数据包 ；然后通wenku.baidu.com过协议分析来检 测入侵，其基 本模
许多拥有较高 网络安全技术水平的网站如 Ｙ ｈ ｏ ａ ｏ 、韩国国防部 、美 国特情局等都 曾遭到过 Ｄ ｏ 攻击 。因此 ，如何快 速高效地 ＤＳ
检测 出 Ｄ Ｓ攻击已成为信息安全研究 的热点。由于 Ｄ ｏ Ｄｏ Ｄ Ｓ攻击可以伪造源地址或 目标地址 ，因而具有极大的隐蔽性 ，对其 检测
有一定 的难度，本文采用协议分析技 术，借助入侵检测系统 Ｒ — Ｓ 对 Ｄ ｏ 攻击进行了检测研究。 ＧＩ ， Ｄ ＤＳ
异常检测首先建立一个 的正常活 动模 型，然后用这个模型 对系统和用户的实际活动进行审计，看是否会对系统构成威胁。 异常检测 的优点 是通用性强 ，能一定程 度上检测出未 知攻击，
将 分析结果送 到响应模 块，由响应模 块 向控制 台产生告 警信 息 ，同时将重要的数据保存起来 。
用户可以通过用户界面与控制台交 互，通过控制台，—方
究方向 ： 计算机 网络、信息安全。
２１ 年第０ 期 ０２ ４
略的行为 和遭到攻击 的迹象。进行入侵检测 的软件和硬件 的
包特定字段 来判定数 据包 的类 型，然后进行模 式匹配时数据 包 只和指定类 型的规则进 行匹配，这样大 大减少了所需 匹配 的规 则数 目和 长度，有 效 的提高了检测 速度与检 测效率 。２ ）
ａ ｌ ｓｓｔｃ ｎ ｏ ｙ— ｓ ｄｎｅ ｏ ｋｉ ｔｕ ｉｎｄｅｅ ｔｏ ｙ ｔｍ ｇ ｉｓ ｎａｙ ｉ ｈ ｏｌｇ ｂａ ｅ ｔ ｒ ｎｒ ｓｏ ｔｃｉ ｎｓ ｓｅ ａ ａｎ ｔＤＤＯ ｅ ｅ ｒ ｈ ｅ ｗ Ｓ ｒ ｓ ａｃ ． Ｋ ｅ ｒ ｓ ｉｔｕ ｉｎ ｅｅ ｔｏ ｐ ｏ ｏ ｏ ｎ ｌ ｉ； ｙ ｗｏ ｄ ： ｎ ｒ ｓｏ ｄ ｔｃｉｎ； ｒ ｔ ｃ １ ａｙｓｓ ＤＤｏＳ ａ
１ 入侵检测基础
１１入侵检测 的定义 ．
入侵 是指在没有授权的情况下，进行 的可能危及计算机资源完整性、机密性或可用性的行为。入侵检测是指对 入侵行为的检 测。它通过从计算 机网络或 系统 中的若干关键点收集信息，并对这些信息进行分析，从而发现 网络或系统 中是否有违 反安全策
●
收 稿 时 间 ： ０ １ １— ３ ２ １— ２ ２
应
型如 图 ３所示。该模 型从 逻辑上可分为数 据采集 、数 据分析
图２ 入 侵 检 测 系统 工 作 流 程
和显示 结果 三部 分，符合 ＣＤ Ｉ Ｆ的规范 。
网 络数 据源
入侵检测 系统 的分类 标准有 很多，比较常见是根据 信息
源、根据检 测原理 以及根据 体系结构来 分类。根据 信息源来
Ｆ ＡＮＧ ｎ Ｗ ＡＮ ａ ｇ Ｗ Ｅ Ｘｉ， Ｘｉ。 Ｙｎ ， Ｎ ａ ＧＵＯ ｉ ｕ Ｃａ— ｎ ｙ
（ ｎ ｎ ｎｔｕｅ ｆ ｃ ｎ ｅ ｎ ｃ ｎ ｌ ｙＹ ｅａ ｇｈ ｎ ｎ １ ０ ６ ｈｎ ） Ｈｕ ａ ｓｉ ｔ ｏ Ｓ ｉ ｃ ｄＴ ｈ ｏｏ ，ｕｙ ｎ ａ ４ ０ ， ｉ Ｉ ｔ ｅ ａ ｅ ｇ ｕ ４ Ｃ ａ
事件 产 生 器 事件 分 析 器
协议分析技术 中的命令 解析 器使 用的命 令解析技 术可以对各
种上层协议 进行解析 ，对每一个用户命令作出详细 的分析，还
可以通 过 Ｉ Ｐ分片重组等手段 来判 断一些欺骗性复杂攻击。
响应
事 件 数据 库
响 应 单元
回
２基于协议分析技术的入侵检 测系统基本原理
ｃ ｍｐｅ ， ｅｗｏｋ ｓｃ ｒ ｙ ｆ ｅ ｌ ｔｃ ｎ ｔｇ ｌｎ ｘ ｏ ｅ ｅｏ ｖｏ ｓｓｏ ｔｏ ｎ ｓａ ｄｗｅ ｋ ｅｓｓ ｃｎ ｏ ｌｘ ｎ ｔ ｒ ｅｕ ｉ ， ｒｗａｌｅ ｈ ｏｏ ｙ ａｏ ｅｅ ｐ ｓ ｄｔ ｂ ｉｕ ｈ ｒ ｍｉｇ ｎ ａ ｎ ｓｅ ， ａ ｔ ｉ ｈ ｃ
ｎ ｔ ｅ ｒｓ ｌ ｅ ｏ ｓ ｃ ｒ ｅｂ ｃ ｏ ｒ ｒ ｂ ｅ ｃ ｎ ｎ ｔｓ ｐ ｔ ｅ ｉｔｍａ ｅ ｒ ￣ ｃ ｓ Ｉ ｒ ｅｎ ｍｂ ｒｏ ｏ ｅ ｏｖ ｄ ｔ ｅ ｕ ｅ ｔ ａ ｋ ｄ ｏ ｏ ｌｍ， ａ ｏ ｔ ｈ ｎ ｅ １ ｔ ｋ ａ ａ ｋ ． ｎ ａ ｌ ｇ ｕ ｅ ｆ ｂ ｈ ｐ ｏ ｎ ｗｏ ａ
组合就是人侵检 测系统 ， 简称 Ｉ ＳＩｔ ｓ ｎＤ ｔｃ ｏ ｙｔ 。 Ｄ （ ｒ ｉ ｅｅｔ ｎ ｓ ｍ） ｎｕ ｏ ｉ Ｓ ｅ
通用人侵检测框架 （ ｏ Ｃ ｍｍｏ ｎｒ ｓ ｎＤ ｔｃ ｏ ｒｍ ｗ ｒ ） ｎＩｔ ｉ ｅｅｔ ｎＦ ａ ｅ ０ｋ ｕｏ ｉ 如图 １ 所示 。
测两种。
图３ 基于协议分析的Ｉ 总体框架 ＤＳ
数 据采集模 块负责从 网络上收集 原始 的网络数 据流，这
些 数据 经过预 处理 后，被送 到数 据处理 模块 进行 特征解 析，
误 用检测是 对 已知的攻击或入侵 的方式做 出确定性 的描 述 ，形成相 应的事件 模式 。当被 审计 的事 件与 已知的入侵事
（ 南理 工学院 ，湖 南岳 阳 ４ ４ ０ ） 湖 １０ ６
摘 要 ：随 着网络技 术的发展 ， 网络环 境 变得越 来越 复杂 ，对网络安全 来说 ，单纯的 防火墙技 术暴露 出
明显的不足 和弱点 ，包括 无法解 决安全后 门问题 ，不 能阻止 网络 内部攻击等 问题 。在众 多的 网络安 全威 胁 中，
面可以对各个模块进行配 置，另—方面也可以接收告警信息。
２１协议 分 析基 本 流 程 ．
１ ）预 处 理。Ｒ Ｉ Ｓ的传感 器 捕 获数 据 包 后，将 数 据 Ｇ— Ｄ 送 到 Ｔ Ｐ Ｉ ，采用状 态追踪技术 ，在 Ｉ Ｃ ／Ｐ层 Ｐ分片重组 、排序 、 Ｔ Ｐ流重组 的基础上，记录和保持 Ｓ ｓｉｎ的发起 、建立和结 Ｃ ｅｓ ｏ 束 等状态 ，同时 记录序列号并 进行协议状 态检测分析 ，确保
协议分析技 术的 网络入 侵检测 系统对 ＤＤｏ Ｓ进 行研 究。
关 键词 ：入侵检 测 ；协议 分析 ；Ｄ ｏ ＤＳ 中图分类号 ：Ｔ ３３０ 文献标识码 ：Ａ 文章编号：１７ — １２（ ０２） ４ ０ ３ —３ Ｐ９． ８ ６ １ １２ ２ １ ０ —０ ６ ０
ＤＤ ｏ ｔ ｃ ｓ ｄ ｏ ｏ ｏ ｏ ＳＡｔａ ｋｓＢａ ｅ ｎ Ｐｒ ｔ ｃ ｌ Ａｎａ ｙ ｉ ｆＮｅ ｗｏ ｋ ｎｔ ｕｓｏ ｌ ｓｓｏ ｔ ｒ Ｉ ｒ ｉ ｎ Ｄｅ ｅ ｔｏ ｓｅ ｓ ａ ｃ ｔ ｃｉ ｎ Ｓｙ ｔ ｍ Ｒｅ ｅ ｒ ｈ
２ １年 第 ０ 期 ０２ ４
■ ｄ ｉ ０３ ６ ￣ｉ ｎ ６ １１ ２ ０ ２０ １ ｏ １ ９ ９ ｓ ７ －１ ２ ２ １ ４ ０ ０ ｓ １
基于协 议分析 技术的 网络入侵 检测 系统 中 ＤＤｏ 击的方法研 究 Ｓ攻
方欣 ，万扬 ，文霞 ，郭彩云 －
Ａ ｂｓ ｒ ｃ ：Ｗ ｉｈ ｔ ｖ ｌ ｐｍ ｅ ｔ ｒ ｅ ｈ ｌ ｙ ｔａｔ ｔ ｈｅ ｄｅ ｅ ｏ ｎｔｏｆｎｅ ｗｏ ｋ ｔ ｃ ｎｏ ｏｇ ．ｎｅｗ ｏ ｋ ｅ ｉｏ ｔ ｒ ｎｖ ｒ ｎｍ ｅ ｔｂ ｃ ｎ ｅ ｏｍ ｅ ｉｃ ｅ ｓｎ ｙ ｓ ｎ ｒ ａ ｉ ｇｌ
基 于协议分析技术 的入侵检 测系统基 本思路是 将从 网上
图１ ＤＦ ＣＩ 模型结构 图
捕 获的数据 包按 Ｔ ＰＩ 据传 输的反向顺 序逐个将各层的首 Ｃ／ Ｐ数
部 中的关 键字段解 析 出来 】 ，然后根 据各层 头部的关键 字段 来 区分出是何种 协议 ， 由各层首部 中的特殊字段 （ 如标 识字段 ） 来 确定 应该是 何种协议 ，再 以此 协议特征 进行分析来确定攻
ｎｅ ｏｋ ｅ ｕ ｉｙ ｔｒ ａｓ ＤＤｏＳ ｉｓｉ ｗ ｔ ｒ ｓ ｃ ｒｔ ｈ ｅ ｔ． ｔ ｍｐｌｍ ｅ ｔｔｏ ｓｅ ｓ ｏ ｕ ｄｅｍ ｉｅ ｅ ｏ ｔ ｏ ｄ ｔｃｉ ｎ ｄ￣ ｃ ｔｅ ｎｍ ａ ｉ ｅ ｎａｉ ｎ ｉ ａ ｙ ｔ ｎ ｒ ｎ ｆ ｒｓｔ ｅｅ ｔｏ ｉ ｕｌ ｓｉ ｋｎｇ ｉ ｉ ｅ ｏ ｔ ｏ ｋ ａ ｃ ｅｅ ｔｏ ｎ ｐ ｅ ｎ ｉｎ ａ ｔｐ ｐｒｏ ｔ．Ｉ ｅ ｅ ｔｙ ａ ｓ ｎ ｎｄｅ ｓｓ ｅ ｍ ｅ ｏｋ ｔｂ ｃ ｍｅ ａｎｅｗ ｒ ａａ ｋ ｄ ｔｃｉｎ ａ ｄ ｒ ｖｅ ｔｏ ｏ ｉ ｒ ｙ ｎ ｒ ｃ ｎ ｅ ｒ，ａ ｅ ｌｓ ｆ ａ ｏｆｎ ｔ ｒ ｉ ｗ ｔａ ｃｄ ｔｃｉ ｎｏ ｏ Ｒ ｃ ｓ ｉ ｈ ｎ ｌｓｓｏｆｔｅＤＤ ｏ ｔａ ｋ ｅｅ ｔ ｅｈ ｄｂａ ｅ ｎ ｔｅｕｓ ｆｐ ｏ ｏ ｏ ｒ ｆ ｅｅ ｔｏ ｆＤＤ Ｓ ａ ａ ｋ ．ｎｔ ｅａ ａｙ ｉ ｉ ｈ Ｓ ａｔ ｃ ｄ ｔｃｉ ｍ ｔ ｏ ｓ ｄｏ ｈ ｅｏ ｒ ｔ ｃ １ ｏｎ