一种面向特定网络服务的异常检测方法

【摘要】： 随着计算机网络的发展,网络安全问题越来越严重,入侵检测作为网络安全防御体系的重要组成部分受到人们的关注。当前入侵检测系统存在严重的漏报和误报,检测方法单一等不足。同时,大部分的误用检测系统都不能很好地检测未知攻击。本文通过对网络攻击分类的研究,发现U2R和R2L两类攻击与DoS及S/P类攻击在形成原理上有本质的不同,对它们的检测需要加以区分。 针对上述问题,本文在前期入侵检测研究基础上提出了一种面向特定网络服务的异常入侵检测模型,对U2R和R2L两类攻击进行检测并适度弥补误用检测模型的不足。这种模型考虑应用层的载荷知识,提取服务请求报文的类型、长度和载荷分布等属性进行分析。本文以DNS服务为例,对面向DNS服务的异常入侵检测系统进行设计与实现,采用统计分析和n-gram算法计算正常应用层网络流量的统计模型,用于检测针对DNS服务的异常网络行为,并对阀值的设定和模型的更新进行论述。本文把面向DNS服务的异常分析引擎作为一个可扩展的插件集成到原有的误用NIDS平台之上,完成了与主动式安全防范系统的集成。通过攻击实例的测试,本文提出的面向DNS服务的异常入侵检测系统能够有效检测出针对DNS服务的U2R和R2L攻击。