摘要：在分析了入侵檢測系統的基本狀況和移動代理的特點后，指出了目前入侵檢測系統存在的不足，提出了基于移動代理的分布入侵檢測模型（MADIDS）。在這個入侵檢測系統中，引入了移動代理技術，使入侵檢測系統能夠跨平臺使用；將基于主機和基于網絡的檢測結合起來，配置多個檢測部件處理，各檢測部件代理側重某一方面的工作；并且將所有配置信息存放在數據庫中，實現了數據和處理的分離、數據收集、入侵檢測和實時響應的分布化。關鍵詞：入侵檢測 分布式 移動代理隨著計算機技術尤其是網絡技術的發展，計算機系統已經從獨立的主機發展到復雜的、互連的開放式的系統，這給人們在信息利用和資源共享上帶來了無與倫比的便利。與此同時，人們又面臨著由于入侵而引發的一系列的安全問題的困擾。傳統的安全防御策略（如訪問控制機制、加密技術、防火墻技術等均屬于靜態的安全防御技術）在某種程度上無法滿足越來越苛記得的安全需求。正是由于靜態的安全技術本自身存在著不可克服的缺點，從而引出了入侵檢測這一安全領域的新課題的誕生。入侵檢測是動態安全技術的最核心技術之一，是防火墻的合理補充，是安全防御體系的一個重要組成部分。1 入侵檢測系統概述1．1 入侵及入侵檢測（Intrusion Detection）入侵是指任何企圖破壞資源的完整性、保密性和有效性的行為，也指違背系統安全策略的任何事件。入侵行為不僅僅指來自外部的攻擊，同時也包括內部用戶的未授權行為，有時內部人員濫用他們特權的攻擊是系統安全的最大隱患。入侵檢測是指通過從計算機網絡或計算機系統中的若干關鍵點收集信息并對其進行分析，從中發現網絡或系統中是否有違反安全策略的行為和遭到攻擊的跡象，同時作出響應。入侵檢測系統（IDS：Intrusion Detection System）是實現入侵檢測功能的一系列的軟件、硬件的組合，它是入侵檢測的具體實現。入侵檢測系統就其最基本的形式來講，可以說是一個分類器，它是根據系統的安全策略來對收集到的事件/狀態信息進行分類處理，從而判斷出入侵和非入侵行為。1．2 入侵檢測系統的分類按獲得原始數據的方法，入侵檢測系統可分為基于網絡的入侵檢測系統和基于主機的入侵檢測系統兩種。通常，基于主機的IDS可監測系統、事件和Window NT下的安全記錄以及UNIX環境下的系統記錄。當有文件發生變化時，IDS將新的記錄條目與攻擊標記相比較，看其是否匹配。如果匹配，系統就會向管理員報警并向別的目標報告，以采取措施。基于網絡的入侵檢測系統使用原始網絡包作為數據源。基于網絡的IDS通常利用一個運行在隨機模式下網絡的適配器來實時監視并分析通過網絡的所有通信業務。1．3 現有入侵檢測系統的不足（1）入侵檢測系統不能很好的檢測所有的數據包。基于網絡的入侵檢測系統難以跟上網絡速度的發展。截獲網絡的每一個數據包，并分析匹配是否具有某種攻擊的特征、需要花費時間系統資源。現在很多網絡都是100M甚至千兆網絡，網絡速度的發展遠遠超過了數據包模式分析技術發展的速度。（2）攻擊特征庫的更新不及時，絕大多數的入侵檢測系統都是適用模式匹配的分析方法，這需要攻擊特征庫的特征值應該是最新的。但現在很多入侵檢測系統沒有提供某種如“推技術”的方法來時刻更新攻擊特征。在如今每天都有新漏洞發布、每天都有新的攻擊方法產生的情況下顯然不能滿足安全需求。（3）檢測分析方法單一。攻擊方法的越來越復雜，單一的基于模式匹配或統計的分析方法已經難以發現某一些攻擊。現在幾乎所有的入侵檢測系統都使用了單一的分析方法。（4）不同的入侵檢測系統之間不能互操作。在大型網絡中，網絡不同的部分可能使用了不同的入侵檢測系統，但現在的入侵檢測系統之間不能夠交換信息，使得發現了攻擊時難以找到攻擊的源頭，甚至給入侵者制造了攻擊的漏洞。（5）不能和其他網絡安全產品互操作。入侵檢測不是安全的終極武器，一個安全的網絡中應該根據安全政策使用多種安全產品。但入侵檢測系統不能很好的和其他安全產品協作。比如，一個網絡中每兩個小時自動運行一次漏洞掃描程序，如果他們不能夠互操作，入侵檢測系統將每兩個小時產生一次警報。（6）結構存在問題。現在的很多入侵檢測系統是從原來的基于網絡或基于主機的入侵檢測系統不斷改進而得來的，在體系結構等方面不能滿足分布、開放的要求。2 在入侵檢測系統中的應用移動代理2．1 移動代理及其特點移動代理與普通程序的最大不同就是可以在運行期間在虛擬機之間遷移而無意中止程序的執行。通過在各個操作系統中運行移動代理的虛擬機，可以將硬件和操作系統的平臺細節屏蔽，使代理獲得一個統一的界面。在這個基礎上，代理可以在各個平臺之間自由移動。2．2 將移動代理應用于入侵檢測的優點（1）移動邏輯計算，而不是數據，從而減少網絡流量。以往的入侵檢測系統，大多是分散收集數據包，而后交由控制中心分析是否有攻擊出現，這種檢測系統將增加網絡負擔，加大了流量。移動代理的使用是對RPC（遠程過程調用）思想的一個擴展，遠程代碼保留在本地，只需要傳遞函數參數，意味著在各節點收集的大量初始信息可以在本地處理，這樣就增加了入侵檢測系統的效率。（2）負載平衡。如果在一個中心接點分析數據包，將會大大增加中心加點的計算工作量，是入侵檢測系統的一個瓶頸，效率降低，檢測處理時間多。根據RPC的思想，移動代理可將較大的計算工作分布在多個處理器上并行執行，從而避免了瓶頸問題的出現。（3）動態可擴展性。一個長期有效的入侵檢測系統必須具有可擴展性，跟蹤入侵方法和入侵技術，及時擴充對應的檢測技術。代理是自治的，在一定程序上是松散捆綁的，雖然句柄之間有一定的聯系，它們之間相互是可以獨立操作的。因此，即使系統很復雜，在不影響其他代理正常工作的情況下，單個的功能模塊也能夠被刪除、更改，甚至改進。可見，這種系統也內含著一種容錯機制。由此可見在入侵檢測領域，移動代理技術有著一般代理所不可比擬的優勢。本文的目的就是提出一個基于移動代理技術的入侵檢測模型，并對其進行分析設計。3 基于移動代理的分布式入侵檢測系統MADIDS3．1 系統框架MADIDS是Mobile Agent-based Distributed Intrusion Detection System（基于移動代理的分布式入侵檢測系統）的縮寫。MADIDS系統檢測框架如圖1所示。從圖2中，可以看出系統層次雖然可以是多層，但功能級別只有兩層：協調中心級和檢測目標級。檢測目標級的功能主要是針對需要安全保護的主機進行入侵檢測，不是對于所有的主機都設定，避免不必要的資源占有，減少投資。協調中心級主要負責對本機所在網段內的網絡進行監聽，并檢測可能的入侵行為，并且同本層的其它機器和上層機器代理進行交互，協同檢測可能的入侵。本級的設置通常入于局域網絡的中心，通過對網絡接入點的數據進行監控，所以能夠對于所有來自外部和發向外部的數據進行監控。正是由于它的這個條件，所以它的功能對于來自外部的攻擊行為能夠更好的進行檢測。最上層的協調中心處在入侵檢測系統的最上層，所有下層無法判斷的入侵行為在此處進行匯總后，形成對于入侵行為的整體認識，可以更加方便、準確和全面的實現入侵檢測。它的處理結構與其他層次的協調中心結構相似，只是本地的入侵檢測功能主要是對來自網絡外部的數據流進行分析。并且由于來自外部的網絡狀態難于進行統計和分析，所以主要采用模式匹配的方法進行處理。同時通過與來自下一層協調中心的協同處理來實現實際的入侵檢測。這種分層次的檢測框架不同于傳統意義上的集中式入侵檢測系統。這里的入侵檢測系統雖然是分層次的，各層的級別與作用都不一樣，但較高層次作用不是集中控制與分析，而是協調中心，是為了便于管理、檢測復雜入侵和系統自身的安全。集中式入侵檢測系統中采用單個主機對整個網絡中的數據流量進行分析，尋找可能的入侵行為。這種技術優點是：數據的集中處理可以更加準確地分析可能的入侵行為。缺點是：由于數據的集中處理，這個檢測主機成了網絡安全的瓶頸。它出現故障或遭受攻擊，則整個網絡的安全就會消失。同時這種方式數據的采集對于大型的網絡也很難實現，只能采用類似于防火墻的方式，在網絡接入點采集網絡內外的出入數據，故無法實現內部的安全檢測。MADIDS系統不是單純的主機檢測或是網絡檢測，也不是單純 集中式檢測或分布比檢測。而是將這些技術結合起來，并且與網絡的分層結構相匹配，采用一種與代理技術相融合的基于分層的網絡入侵檢測系統。代理技術應用到入侵檢測的每一層，移動代理主要用于檢測分布式攻擊。3.2 系統功能模塊構成如圖2，MADIDS的主要部件有：檢測部件、協調部件和集成部件。其中，檢測部件可以脫離其它兩個部件而單獨工作，此時，移動代理失去功能。檢測部件的功能是截獲網絡原始數據包、查看日志采用相應的檢測方法進行分析，并采取相應的響應措施，以減少協調部件的工作量及系統網絡傳輸的影響。檢測部件包括分析檢測器、響應器、數據存放器（數據庫）數據收集器和本地管理器五個部分。協調部分在檢測部件不能確定是否發生入侵的情況下發揮作用，協調各檢測部件進行工作以便跟蹤檢測有關入侵，并能進行較復雜的數據分析，來識別分布式入侵檢測。此外，代理的移動也是在協調部件的安排下進行活動的。協調部件由移動代理管理器、部件狀態顯示器、數據存入器和分析器構成。集成部件的主要作用是和機器上已安裝的IDS配合，充分利用原有的IDS的資源，提高檢測效率。集成部件由詞法分析器、配置管理器、數據存放器和格式轉換器構成。集成部件將其他IDS系統的檢測入侵記錄轉換成檢測部件所能識別的格式，便于分析檢測。系統中功能模塊可能是由具有特定功能的獨立的應用程序、靜態agent、移動代理、小型的系統或者一個數據庫系統來構成。在具體部署時，這些部件可能在同一臺計算機上，也可以各自分布在一個大型網絡的不同節點。總之，各功能模塊都是MADIDS的一部分。模塊之間借助代理平臺提供的通信機制實現進行信息交換，這樣既簡化了模塊之間的數據交換的復雜性，使得各功能模塊非常容易地分布在不同主機上，也給系統提供了一個擴展的接口。3．3 MADIDS中代理構成MADIDS是一個具有多代理協同工作的分布式入侵檢測系統。在MADIDS系統框架中，Agent處于系統最底層，是最基本的結構單元，進行著最初的數據收集與數據處理等各種工作，是最具靈活性的組成部分，MADIDS系統框架的可擴展性的一個方面就在于此。集成部件中的agent負責吸取其它IDS的檢測信息。檢測部件是每臺監控主機上各Agent的總控實體，負責主機級的入侵檢測。協調部件是被保護網絡上各主機檢測部件的協調實體，它們還可以相互級連起來，形成層次結構，負責網絡級的入侵檢測，它也有agent完成基本的功能。3．3．1 數據收集Agent數據收集agent有三類：主機日志收集代理、網絡數據收集代理和其它IDS數據收集代理。它們各自是一個獨立運行實體，監控主機某一方面并負責向相應分析器報告異常行為或者可疑行為。例如，有這樣一個簡單的Agent，它檢查telnet連接數量，當在一定時間內有大量的連接（可以基于某個閾值來定）發生時，就認為是可疑事件發生。這個Agent就會向其上級分析器發出一個報告。但是Agent本身無權直接產生警報。通常情況下，對一到多個由Agent產生的報告，分析器會向用戶發出一個警告。依靠對所控制的各個事件Agent的報告進行綜合，檢測部件可以了解到所在主機系統當前的安全狀態，而協調部件可以了解到所監控網絡的安全狀態。事件收集Agent之間并不直接進行通信。相反，Agent將所有的消息都發送給其控制者——分析器，由分析器根據Agent的配置信息來決定將如何處理這些信息。對Agent本身而言，它可以使用以下技術來增強其處理能力：1．Agent可以使用遺傳程序設計技術，這樣隨著使用時間的增加，Agent本身可以逐漸學習，逐漸積累經驗，從而可以進化。2．Agent可以使用狀態保持技術來記憶每次運行時獲得的信息，這樣可以使Agent能夠檢測到持續很長時間的入侵行為，也能夠檢測以行為模式的改變。由于在基于主機的異常入侵檢測中，使用了歷史行為統計模式，而為了更好地適應用戶的全法行為模式，就需要將歷史行為統計模式進行更新，而Agent在運行中所檢測的事件正是更新統計數據的絕好材料。3．3．2 移動代理（mobile agent）mobile agent由協調部件管理，可以在系統內向下層或者在同一層次移動，作用是跟蹤入侵路徑和收集信息。移動代理跟蹤入侵路徑，并且確定它的起點，即入侵用戶留下被目標主機日志記載的有入侵嫌疑的地方。協調部件、檢測部件和移動代理以下列方式協同工作：首先，檢測部件檢測到一個嫌疑事件，并將其報告給協調部件，要求協調部件跟蹤處理；協調器件利用ATP（agent transfer protocol）協議分派一個移動代理負責跟蹤到目標系統；這個移動代理自動在每一臺機器之間進行遷移，為此不需要協調部件引導而能獨立跟蹤入侵。當某一個目標系統在短時間內被發現有我個嫌疑事件時，協調部件將分派多個移動代理到目標系統中收集所有的嫌疑事件的信息。單獨的一個移動代理不會對入侵作出判斷，也無法確定是否發生了入侵，多個移動代理結合起來才能夠供協調部件作出判斷。由于移動代理可以轉移到安裝了agent執行環境中的任何系統中，因此它能夠智能地進行入侵路由跟蹤。3．3．3 代理之間的消息協作代理之間通訊的協作消息按照傳播的方式不同，可以分為點對點消息和廣播消息。點對點消息用于低層代理向高層代理提供的信息，低層代理由于時間和空間的局限性，根據現有的信息無法判斷是否是攻擊，就將可疑事件提交給高層代理。例如，當攻擊者進行FTP Bounce攻擊時，由于這種攻擊是在三臺機器間進行的，單臺機器上的檢測代理是無法確定攻擊的，必須同時提交給高一級的代理才能作出判斷。由于某些攻擊（或者潛在的攻擊）在空間上或時間上具有一定的連續性，當某個代理檢測出攻擊時，可以讓其它的代理獲得先驗知識，來提高檢測效率，這時代理就會用廣播消息來通知其它代理。例如攻擊者攻擊某個網絡時，往往是先掃描該網絡中的主機所開啟的服務，從中找突破口。當一個代理探測出是端口掃描時，可以將消息廣播給同一級的代理，使它們能提前預防，當攻擊者再掃描時，無法知道系統開啟的服務。入侵檢測作為一種信息安全措施，在現階段的中國還處于初步研究和探索階段。本文就是在這一社會背景下開展研究和探索的。經過研究、探索、分析和設計后，本文對agent這一新興的技術在入侵檢測系統中應用的優勢進行探討，提出了較完整的MADIDS的體系結構，并將這一技術引入MADIDS。MADIDS系統能夠滿足分布式環境下對入侵檢測系統的要求，能檢測分布式攻擊，這也是目前入侵檢測系統發展的一個方向。盡管采取了先進了技術和平臺，但是正如攻擊技術不斷發展一樣，入侵的檢測也會不斷更新、成熟。同時，網絡安全需要縱深的、多樣的防護。MADIDS系統還需要在檢測方法上進一步改進，提高檢測的準確率和檢測速度，加強系統自身安全性。另外，同防火墻、網絡管理工具結合，構成立體式的防衛城墻也是MADIDS進一步研究的方向。