入侵检测技术包括异常入侵检测和误用入侵检测。以下关于误用检测技术的描述中，正确的..

免费智能真题库 > 历年试卷 > 信息安全工程师 > 2019年上半年信息安全工程师上午试卷综合知识

第44题

知识点：基于误用的入侵检测技术入侵检测入侵检测技术误用检测异常

关键词：入侵检测章/节：入侵检测技术

入侵检测技术包括异常入侵检测和误用入侵检测。以下关于误用检测技术的描述中，正确的是（）。

A. 误用检测根据对用户正常行为的了解和掌握来识别入侵行为

B. 误用检测根据掌握的关于入侵或攻击的知识来识别入侵行为

C. 误用检测不需要建立入侵或攻击的行为特征库

D. 误用检测需要建立用户的正常行为特征轮廓


知识点讲解
· 基于误用的入侵检测技术 · 入侵检测 · 入侵检测技术 · 误用检测 · 异常

基于误用的入侵检测技术

误用入侵检测通常称为基于特征的入侵检测方法，是指根据已知的入侵模式检测入侵行为。攻击者常常利用系统和应用软件中的漏洞技术进行攻击，而这些基于漏洞的攻击方法具有某种特征模式。如果入侵者的攻击方法恰好匹配上检测系统中的特征模式，则入侵行为立即被检测到，如下图所示。

基于攻击模式匹配的原理图

显然，误用入侵检测依赖于攻击模式库。因此，这种采用误用入侵检测技术的IDS产品的检测能力就取决于攻击模式库的大小以及攻击方法的覆盖面。如果攻击模式库太小，则IDS的有效性就大打折扣。而如果攻击模式库过大，则IDS的性能会受到影响。

基于上述分析，误用入侵检测的前提条件是，入侵行为能够按某种方式进行特征编码，而入侵检测的过程实际上就是模式匹配的过程。根据入侵特征描述的方式或构造技术，误用检测方法可以进一步细分。下面介绍几种常见的误用检测方法。

基于条件概率的误用检测方法

基于条件概率的误用检测方法，是将入侵方式对应一个事件序列，然后观测事件发生序列，应用贝叶斯定理进行推理，推测入侵行为。令ES表示某个事件序列，发生入侵的先验概率为P（Intrusion），发生入侵时该事件序列ES出现的后验概率为P（ES|Intrusion），该事件序列出现的概率为P（ES），则有：

通常网络安全员可以给出先验概率P（Intrusion），对入侵报告进行数据统计处理可得P（ES|?Intrusion）和P（ES|Intrusion），于是可以计算出：

P（ES）=［P（ES|Intrusion）-P（ES|?Intrusion）］×P（Intrusion）+P（ES|?Intrusion）

因此，可以通过对事件序列的观测推算出P（Intrusion|ES）。基于条件概率的误用检测方法是基于概率论的一种通用方法。它是对贝叶斯方法的改进，其缺点是先验概率难以给出，而且事件的独立性难以满足。

基于状态迁移的误用检测方法

状态迁移方法利用状态图表示攻击特征，不同状态刻画了系统某一时刻的特征。初始状态对应于入侵开始前的系统状态，危害状态对应于已成功入侵时刻的系统状态。初始状态与危害状态之间的迁移可能有一个或多个中间状态。攻击者的操作将导致状态发生迁移，使系统从初始状态迁移到危害状态。基于状态迁移的误用检测方法通过检查系统的状态变化发现系统中的入侵行为。采用该方法的IDS有STAT（State Transition Analysis Technique）和USTAT（State Transition Analysis Tool for UNIX）。

基于键盘监控的误用检测方法

基于键盘监控的误用检测方法，是假设入侵行为对应特定的击键序列模式，然后监测用户的击键模式，并将这一模式与入侵模式匹配，从而发现入侵行为。这种方法的缺点是，在没有操作系统支持的情况下，缺少捕获用户击键的可靠方法。此外，也可能存在多种击键方式表示同一种攻击。而且，如果没有击键语义分析，用户提供别名（例如Korn shell）很容易欺骗这种检测技术。最后，该方法不能够检测恶意程序的自动攻击。

基于规则的误用检测方法

基于规则的误用检测方法是将攻击行为或入侵模式表示成一种规则，只要符合规则就认定它是一种入侵行为。这种方法的优点是，检测起来比较简单，但是也存在缺点，即检测受到规则库限制，无法发现新的攻击，并且容易受干扰。目前，大部分IDS采用的是这种方法。Snort是典型的基于规则的误用检测方法的应用实例。

入侵检测

入侵检测是用于检测任何损害或企图损害系统的机密性、完整性或可用性的行为的一种网络安全技术。它通过监视受保护系统的状态和活动，采用异常检测或误用检测的方式，发现非授权的或恶意的系统及网络行为，为防范入侵行为提供有效的手段。

入侵检测系统要解决的最基本的两个问题是：如何充分并可靠地提取描述行为特征的数据，以及如何根据特征数据，高效并准确地判断行为的性质。由系统的构成来说，通常包括数据源（原始数据）、分析引擎（通过异常检测或误用检测进行分析）、响应（对分析结果采用必要和适当的措施）3个模块。

入侵检测技术

入侵检测系统所采用的技术可分为特征检测与异常检测两种：

（1）特征检测。特征检测也称为误用检测，假设入侵者活动可以用一种模式来表示，系统的目标是检测主体活动是否符合这些模式。它可以将已有的入侵方法检查出来，但对新的入侵方法无能为力。其难点在于如何设计模式，使之既能够表达“入侵”现象又不会将正常的活动包含进来。

（2）异常检测。假设入侵者活动异常于正常主体的活动。根据这一理念建立主体正常活动的“活动简档”，将当前主体的活动状况与“活动简档”相比较，当违反其统计规律时，认为该活动可能是“入侵”行为。异常检测的难题在于如何建立“活动简档”以及如何设计统计算法，从而不把正常的操作作为“入侵”或忽略真正的“入侵”行为。

常用检测方法

入侵检测系统常用的检测方法有特征检测、统计检测与专家系统。

（1）特征检测。对已知的攻击或入侵的方式作出确定性的描述，形成相应的事件模式。当被审计的事件与已知的入侵事件模式相匹配时，即报警。原理上与专家系统相仿。其检测方法上与计算机病毒的检测方式类似。目前基于对包特征描述的模式匹配应用较为广泛。该方法预报检测的准确率较高，但对于无经验知识的入侵与攻击行为无能为力。

（2）统计检测。统计模型常用异常检测，在统计模型中常用的测量参数包括：审计事件的数量、间隔时间、资源消耗情况等。常用的入侵检测5种统计模型为：

.操作模型。假设异常可通过测量结果与一些固定指标相比较得到，固定指标可以根据经验值或一段时间内的统计平均得到，举例来说，在短时间内的多次失败的登录很有可能是口令尝试攻击。

.方差。计算参数的方差，设定其置信区间，当测量值超过置信区间的范围时表明有可能是异常。

.多元模型。操作模型的扩展，通过同时分析多个参数实现检测。

.马尔柯夫过程模型。将每种类型的事件定义为系统状态，用状态转移矩阵来表示状态的变化，当一个事件发生时，或状态矩阵该转移的概率较小则可能是异常事件。

.时间序列分析。将事件计数时间序列分析。将事件计数与资源耗用根据时间排成序列，如果一个新事件在该时间发生的概率较低，则该事件可能是入侵。

统计方法的最大优点是它可以“学习”用户的使用习惯，从而具有较高检出率与可用性。但是它的“学习”能力也给入侵者以机会通过逐步“训练”使入侵事件符合正常操作的统计规律，从而绕过入侵检测系统。

（3）专家系统。用专家系统对入侵进行检测，经常是针对有特征入侵行为。所谓的规则，即是知识，不同的系统与设置具有不同的规则，且规则之间往往无通用性。专家系统的建立依赖于知识库的完备性，知识库的完备性又取决于审计记录的完备性与实时性。入侵的特征抽取与表达，是入侵检测专家系统的关键。运用专家系统防范有特征入侵行为的有效性完全取决于专家系统知识库的完备性。

性能

仅仅能够检测到各种攻击是不够的，入侵检测系统还必须能够承受高速网络和高性能网络节点所产生的事件流的压力。有两种途径可以用来实时分析庞大的信息量，分别是分割事件流和使用外围网络传感器。

（1）分割事件流。可以使用一个分割器将事件流切分为更小的可以进行管理的事件流，从而入侵检测传感器就可以对它们进行实时分析。

（2）使用外围网络传感器。在网络外围并靠近系统必须保护的主机附近使用多个传感器。

入侵检测技术

入侵检测技术是指对计算机网络资源的恶意使用行为（包括系统外部的入侵和内部用户的非授权行为）进行识别和相应处理。为了保证计算机系统的安全而设计与配置的一种能够及时发现并报告系统中未授权或异常现象的技术，是一种用户检测计算机网络中违反安全策略行为的技术。许多政府机构及大型公司（如花旗集团等）都采用了入侵检测方法。入侵检测方法也能够检测到其他情况，如是否遵守安全规程等。人们经常忽略安全机制（加利福尼亚一架大型航空公司每月发生2万～4万次违规事件），但系统能够检测到这些违规行为，及时改正违规行为。

从检测方法上，可将检测系统分为基于行为和基于知识两种；从检测系统所分析的原始数据上，可分为来自系统日志和网络数据包两种，前者一般以系统日志、应用程序日志等作为数据源，用以监测系统上正在运行的进程是否合法，后者直接从网络中采集原始数据包，其网络引擎放置在需要保护的网段内，不占用网络资源，对所有本网段内的数据包进行信息收集并判断。通常采用的入侵检测手段如下。

（1）监视、分析用户及系统活动。

（2）系统构造和弱点的审计。

（3）识别反映已知进攻的活动模式并向相关人士报警。

（4）异常行为模式的统计分析。

（5）评估重要系统和数据文件的完整性。

（6）操作系统的审计跟踪管理，并识别用户违反安全策略的行为。

误用检测

误用检测一般是由计算机安全专家首先对攻击情况和系统漏洞进行分析和分类，然后手工编写相应的检测规则和特征模型。误用入侵检测指通过预先定义好的入侵模式以及观察到的入侵发生情况进行模式匹配和检测，若匹配成功时则代表有入侵。

误用检测的优点在于它依据具体特征库进行判断，所以检测准确度很高。其主要缺点在于对具体系统的依赖性太强，系统移植性较差，难以检测出内部人员的入侵行为。

异常

异常是一种形式的异常控制流，它一部分是由硬件实现的，一部分是由操作系统实现的。因为它们有一部分是由硬件实现的，所以具体细节将随系统的不同而有所不同。然而，对于每个系统而言，基本的思想都是相同的。

异常（exception）就是控制流中的突变，用来响应处理器状态中的某些变化。异常可以分为四类：中断（interrupt）、陷阱（trap）、故障（fault）和中止（abort）。下表对这些类别的属性做了小结。

异常的类别

（1）陷阱。陷阱是有意的异常，是执行一条指令的结果。就像中断处理程序一样，陷阱处理程序将控制返回到下一条指令。陷阱最重要的用途是在用户程序和内核之间提供一个像过程一样的接口，叫做系统调用。

用户程序经常需要向内核请求服务，例如读一个文件、创建一个新的进程、加载一个新的程序或者中止当前进程。为了允许对这些内核服务的受控的访问，处理器提供了一条特殊的syscall指令，当用户程序想要请求服务n时，可以执行这条指令。执行syscall指令会导致一个到异常处理程序的陷阱，这个处理程序对参数解码，并调用适当的内核程序。

（2）故障。故障由错误情况引起，它可能被故障处理程序修正。当一个故障发生时，处理器将控制转移给故障处理程序。如果处理程序能够修正这个错误情况，它就将控制返回到故障指令，从而重新执行它。否则，处理程序返回到内核中的abort例程，abort例程会中止引起故障的应用程序。

（3）中止。中止是不可恢复的致命错误造成的结果，典型的是一些硬件错误，例如DRAM或者SRAM位被损坏时发生的奇偶错误。中止处理程序从不将控制返回给应用程序。处理程序将控制返回给一个abort例程，该例程会中止这个应用程序。

题号导航 2019年上半年信息安全工程师上午试卷综合知识

本试卷我的完整做题情况



	第44题在手机中做本题