入侵檢測系統(tǒng)與網(wǎng)絡(luò)教學平臺互動的研究及實現(xiàn)

入侵檢測系統(tǒng)與網(wǎng)絡(luò)教學平臺互動的研究及實現(xiàn)

摘要目前網(wǎng)絡(luò)安全問題越來越嚴重，入侵檢測系統(tǒng)已經(jīng)被廣泛的使用，同時，依托網(wǎng)絡(luò)環(huán)境，網(wǎng)絡(luò)教學平臺應(yīng)運而生。本文針對學校的特殊應(yīng)用，研究并實現(xiàn)了入侵檢測系統(tǒng)與網(wǎng)絡(luò)教學平臺的互動，一方面，利用入侵檢測系統(tǒng)檢測網(wǎng)絡(luò)教學平臺訪問者的攻擊及漏洞，維護網(wǎng)絡(luò)教學平臺的正常運行；另一方面，通過將攻擊信息、系統(tǒng)漏洞、補救修復(fù)方法等對網(wǎng)絡(luò)教學平臺訪問者的反饋，增進其網(wǎng)絡(luò)安全知識及意識，充分發(fā)揮教育功能。

關(guān)鍵詞網(wǎng)絡(luò)教學；入侵檢測系統(tǒng)；網(wǎng)絡(luò)安全1引言

網(wǎng)絡(luò)教學平臺作為一種新興的教學與學習互動的教育工具目前在各大專院校得到了普遍的應(yīng)用，大量的學生通過訪問網(wǎng)絡(luò)教學平臺進行自學或是輔助學習。但是，網(wǎng)絡(luò)教學平臺的使用者常常會發(fā)現(xiàn)網(wǎng)絡(luò)連接速度太慢，影響學習和教學，經(jīng)過調(diào)查發(fā)現(xiàn)，部分問題源于網(wǎng)絡(luò)安全，進一步驗證了網(wǎng)絡(luò)安全問題的無處不在。而在目前網(wǎng)絡(luò)安全熱的背后，許多人對網(wǎng)絡(luò)安全的認識還處于初級階段，并不成熟。因此，作為教育工作者，依托網(wǎng)絡(luò)教學平臺，我們實現(xiàn)了網(wǎng)絡(luò)入侵檢測系統(tǒng)與其互動，在保證網(wǎng)絡(luò)教學平臺自身安全的基礎(chǔ)上，提供給使用者網(wǎng)絡(luò)安全的解決方案，喚醒使用者對網(wǎng)絡(luò)安全的重視。2全新的安全機制

無論是在個人平臺、傳統(tǒng)主從構(gòu)架，或多層次構(gòu)架，Internet平臺等，防毒軟件及防火墻都扮演了重要的角色，盡管如此，研究仍然發(fā)現(xiàn)網(wǎng)絡(luò)學習者往往個人使用電腦網(wǎng)絡(luò)警覺性不足，并且不具備相關(guān)電腦知識，還是會飽受網(wǎng)絡(luò)病毒或黑客入侵的危機，有些學習者甚至不知道自己的機器已經(jīng)被黑客入侵或感染了網(wǎng)絡(luò)病毒，進而繼續(xù)感染給網(wǎng)絡(luò)學習平臺或其他使用者的電腦上，進而導(dǎo)致教學平臺無法正常運作?？v觀目前的網(wǎng)絡(luò)教學平臺，系統(tǒng)管理者所處理的方式都是利用防火墻及防毒軟件杜絕網(wǎng)絡(luò)的危害，屬于被動的預(yù)防或是治療。

而我們的研究認為網(wǎng)絡(luò)教學平臺除了提供網(wǎng)絡(luò)教學的服務(wù)之外，應(yīng)有義務(wù)主動的告知使用者在學習時的網(wǎng)絡(luò)情況并告知處理方法。因此建立教學平臺的網(wǎng)絡(luò)安全告知的機制是必要的，這樣，我們變以往被動的安全機制為主動防御和治療的安全機制，讓使用者了解電腦目前的狀況，解決安全問題，并從根本上喚起使用者的警覺心，加強網(wǎng)絡(luò)安全意識。進而，從本質(zhì)上有效的截斷病毒傳播，維護網(wǎng)絡(luò)安全。3網(wǎng)絡(luò)教學平臺的研究

我國的教育問題正處于一個關(guān)鍵發(fā)展階段，隨著高等教育改革的實施和深化發(fā)展，接受高等教育的人數(shù)快速增長，怎樣提供更多的機會，普及高等教育也就迫在眉睫。為了解決這一問題，教育工作者嘗試利用互聯(lián)網(wǎng)通過網(wǎng)絡(luò)進行教育，逐步實現(xiàn)遠程教育的普及。而能夠提供這些服務(wù)的，只能是搭建網(wǎng)絡(luò)教學平臺。

通常，網(wǎng)絡(luò)教學平臺都按照Browser/Server模式，一般將傳統(tǒng)的兩層體系結(jié)構(gòu)擴展成瀏覽器—WEB服務(wù)器+應(yīng)用服務(wù)器—數(shù)據(jù)庫服務(wù)器三層體系結(jié)構(gòu)，因為這種模式采用多種標準的協(xié)議和技術(shù)，適合于任何硬件平臺和軟件環(huán)境。

常見的基于Windows的網(wǎng)絡(luò)教學平臺，采用JSP與SQLServer2000數(shù)據(jù)庫相結(jié)合，其體系結(jié)構(gòu)如圖1所示。網(wǎng)絡(luò)教學平臺一般由教師教學系統(tǒng)、學生學習系統(tǒng)和教學管理系統(tǒng)三大模塊組成，這些模塊之間相互聯(lián)系，相互配合，構(gòu)成一個完整的網(wǎng)絡(luò)教學系統(tǒng)。系統(tǒng)功能框圖如圖2所示。

由于我們計劃在真實的網(wǎng)絡(luò)教學平臺中搭建入侵檢測系統(tǒng)，選擇了學校自己建設(shè)的網(wǎng)絡(luò)教學平臺，即西安郵電學院網(wǎng)絡(luò)教學平臺。它是為教師課堂面授課程服務(wù)的網(wǎng)絡(luò)輔助教學的支撐平臺，該系統(tǒng)支持教師與學生進行網(wǎng)上互動式教學活動，它能向?qū)W生提供網(wǎng)絡(luò)輔助學習支持功能，如選課與登錄相應(yīng)的課程、瀏覽相應(yīng)的課程輔導(dǎo)材料、網(wǎng)上提問、在線測試、討論式學習等等；它能向教師提供網(wǎng)上教學支持功能，如發(fā)布選課程信息、布置作業(yè)、制作課件、網(wǎng)上答疑、在線測試、討論式學習、并永久保留各項網(wǎng)上學習痕跡和各項統(tǒng)計消息等等從而拓展教學空間，擴大師生視野?？梢?，我校的網(wǎng)絡(luò)教學平臺是一個典型的網(wǎng)絡(luò)教學平臺，具有很好的實踐價值。同時，為完成在網(wǎng)絡(luò)教學平臺中搭建入侵檢測系統(tǒng)的工作，我們對西安郵電學院網(wǎng)絡(luò)教學平臺的特點進行了分析和研究：

⑴所有的操作都在Web頁面，簡單易懂，客戶端不用使用特殊的插件。

⑵為各種形式的教學資料提供了交流平臺，使教師和學生能夠相互交流和共享教學資料。

⑶交互工具強大，教師可以開辟聊天室，討論組，利用郵件，備忘錄來交流。

⑷具有個人備忘錄，博客等全面的功能。4入侵檢測系統(tǒng)的研究

本文的入侵監(jiān)測系統(tǒng)選用東軟的NetEyeIDS系統(tǒng)。它是東軟開發(fā)的具有自主版權(quán)的網(wǎng)絡(luò)入侵監(jiān)測系統(tǒng)。采用先進的基于網(wǎng)絡(luò)數(shù)據(jù)流實時智能分析技術(shù)判斷來自網(wǎng)絡(luò)內(nèi)部和外部的入侵企圖，進行報警，響應(yīng)和防范。作為防火墻之后的第二道安全閘門，配合防火墻系統(tǒng)使用，全面保障網(wǎng)絡(luò)的安全，組成完整的網(wǎng)絡(luò)安全解決方案。

整個系統(tǒng)采用客戶/服務(wù)器結(jié)構(gòu)，由檢測引擎和管理主機組成。結(jié)構(gòu)示意圖如圖3所示。主要功能模塊有：網(wǎng)絡(luò)攻擊與入侵檢測功能；多種通信協(xié)議內(nèi)容恢復(fù)功能；應(yīng)用審計和網(wǎng)絡(luò)審計功能；圖表顯示網(wǎng)絡(luò)信息功能；報表功能；實時網(wǎng)絡(luò)監(jiān)考功能；網(wǎng)絡(luò)掃描器；數(shù)據(jù)備份恢復(fù)功能；其它輔助管理工具。

實踐研究得出東軟NetEye入侵檢測系統(tǒng)的技術(shù)優(yōu)勢包括：

⑴以“網(wǎng)絡(luò)安全問題是一個完整的過程，而不是一個孤立的事件”為核心設(shè)計思想。有效監(jiān)控網(wǎng)絡(luò)全過程，整體保障網(wǎng)絡(luò)安全和健康。

⑵強大的攻擊檢測能力和優(yōu)越的性能，是功能強大的入侵檢測產(chǎn)品。

⑶NetEye入侵檢測系統(tǒng)獨有的網(wǎng)絡(luò)內(nèi)容恢復(fù)、應(yīng)用審計、網(wǎng)絡(luò)審計等功能，是完整的網(wǎng)絡(luò)行為錄像機。

⑷NetEye入侵檢測系統(tǒng)獨有的網(wǎng)絡(luò)實時監(jiān)控和診斷功能，是全面的網(wǎng)絡(luò)故障分析器。

⑸NetEye入侵檢測系統(tǒng)獨有的網(wǎng)絡(luò)主動掃描功能，綜合主動發(fā)現(xiàn)和被動分析功能。是靈活的網(wǎng)絡(luò)安全探測儀。

綜上所述，NetEye入侵檢測系統(tǒng)是一個具有易用性、易維護性、高可用性、易部署性等特色的網(wǎng)絡(luò)安全產(chǎn)品，而且整體擁有成本最低。5互動研究及設(shè)計

首先明確我們設(shè)計所針對的對象：

網(wǎng)絡(luò)教學平臺：西安郵電學院網(wǎng)絡(luò)教學平臺

平臺環(huán)境：Linux服務(wù)器

工作模式：B/S模式

入侵檢測系統(tǒng)原型：NetEyeIDS系統(tǒng)

平臺環(huán)境：Linux服務(wù)器

工作模式：日志記錄和報警模式

最終的設(shè)計目標是：實現(xiàn)在原有的網(wǎng)絡(luò)教學平臺中搭建入侵檢測系統(tǒng)，支持對用戶和系統(tǒng)的運行狀況分析，查找非法用戶和合法用戶的越權(quán)操作，檢測系統(tǒng)配置的正確性和安全漏洞，提示管理員和用戶修補漏洞，對用戶的非正?；顒舆M行統(tǒng)計分析，發(fā)現(xiàn)攻擊行為的特征，實時檢測到攻擊行為并且進行響應(yīng)等功能。

整個互動的構(gòu)架是基于CIDF模型框架模型，該模型定義：一個完整的入侵檢測系統(tǒng)分為以下組件：事件產(chǎn)生器、事件分析器、響應(yīng)單元和事件數(shù)據(jù)庫。

這四部分的功能如下：

事件產(chǎn)生器：目的是從整個計算環(huán)境中獲得事件，并向系統(tǒng)的其他部分提供此事件。

事件分析器：分析得到的數(shù)據(jù)，并產(chǎn)生分析結(jié)果。

響應(yīng)單元：對分析結(jié)果做出反應(yīng)的功能單元，可以切斷連接、改變文件屬性等，也可以只是簡單的報告。

事件數(shù)據(jù)庫：是存放各種中間和最終數(shù)據(jù)的地方的統(tǒng)稱，可以是復(fù)雜的數(shù)據(jù)庫，也可以是簡單的文本文件。

其中，IDS需要分析的數(shù)據(jù)統(tǒng)稱為事件，它可以是網(wǎng)絡(luò)中的數(shù)據(jù)包，也可以是從系統(tǒng)日志等其他途徑得到的信息。在這個模型中，前三者以程序的形式出現(xiàn)，而最后一個則往往是文件或數(shù)據(jù)流的形式。

為了適應(yīng)復(fù)雜的網(wǎng)絡(luò)環(huán)境，提高現(xiàn)有的網(wǎng)絡(luò)入侵檢測系統(tǒng)擴展性、高可靠性、高勁型、準確性，參考CIDF模型，結(jié)合當今的入侵檢測技術(shù)(模式匹配、統(tǒng)計模型、狀態(tài)檢測、協(xié)議分析)的需要，并最終配合網(wǎng)絡(luò)教學平臺使用，達到互動的目的，我們采用了以下的框架。后期對前面設(shè)計中提到的各個模塊進行完全實現(xiàn)，下面一一說明。

（1）數(shù)據(jù)預(yù)處理模塊：使用NetEyeIDS原始模塊。

（2）入侵檢測規(guī)則庫：使用NetEyeIDS原始模塊。

（3）狀態(tài)檢測模塊：主要針對底層協(xié)議的攻擊檢測，這類攻擊數(shù)量相對較少，變化慢，大部分可以通過在防火墻中進行設(shè)置實現(xiàn)。目前采用有限狀態(tài)機的原理編程實現(xiàn)。

（4）協(xié)議分析模塊：由于目前網(wǎng)絡(luò)教學平臺的用戶基本上都只能通過web方式使用，故使用協(xié)議僅僅為HTTP協(xié)議，該協(xié)議攻擊的檢測使用規(guī)則匹配就可以達到很好的效果，采用基于內(nèi)容分析和協(xié)議解析的方法實現(xiàn)。

（5）異常統(tǒng)計模塊：該模塊目前實現(xiàn)了在NetEyeIDS檢測中個別環(huán)節(jié)添加了閾值進行重復(fù)報警限制的功能。

（6）模式匹配模塊：使用NetEyeIDS原始模塊。

（7）入侵響應(yīng)模塊：這里在使用NetEyeIDS原始報警模塊的基礎(chǔ)上，添加了郵件報警及系統(tǒng)消息報警兩部分功能，分別對用戶和管理員進行報警。

（8）日志記錄模塊：使用NetEyeIDS原始模塊。７結(jié)論

利用NetEyeIDS在網(wǎng)絡(luò)教學平臺中實現(xiàn)與入侵檢測系統(tǒng)的互動，不僅附加成本問題，而且對系統(tǒng)的負載也輕，實際中導(dǎo)入教學平臺進行測試，可以提高系統(tǒng)的穩(wěn)定性及可靠性，是每個學習者享有更安全、更良好的教學平臺。另外系統(tǒng)的高移植性，適合于任何操作系統(tǒng)構(gòu)成的教學平臺。

在入侵檢測技術(shù)發(fā)展的同時，入侵技術(shù)也在更新，一些地下組織己經(jīng)將如何繞過IDS或攻擊IDS系統(tǒng)作為研究重點。高速網(wǎng)絡(luò)，尤其是交換技術(shù)的發(fā)展以及通過加密信道的數(shù)據(jù)通信，使得通過共享網(wǎng)段偵聽的網(wǎng)絡(luò)數(shù)據(jù)采集方法顯得不足，而大量的通信量對數(shù)據(jù)分析也提出了新的要求。隨著信息系統(tǒng)對一個國家的社會生產(chǎn)與國民經(jīng)濟的影響越來越重要，信息戰(zhàn)已逐步被各個國家重視，信息戰(zhàn)中的主要攻擊“武器”之一就是網(wǎng)絡(luò)的入侵技術(shù)，信息戰(zhàn)的防御主要包括“保護”、“檢測”與“響應(yīng)”，入侵檢測則是其中“檢測”與“響應(yīng)”環(huán)節(jié)不可缺少的部分。參考文獻[1]劉文濤.Linux網(wǎng)絡(luò)入侵檢測系統(tǒng).2004年，北京：電子工業(yè)出版社[