第章产出估算与效益分析 产出估算 效益分析 经济效益分析 以下三种响应收集辅助信息改变环境以堵住导致入侵发生的漏洞对攻击者采取行动这是种不被推荐的做法，因为行为有点过激。被动响应则是将信息提供给系统用户，依靠管理员在这信息的基础上采取进步的行动。目前的入侵检测技术发展迅速，应用的技术也很广泛，如何来评价的优缺点就显得非常重要。评价的优劣主要有这样几个方面准确性。准确性是指不会标记环境中的个合法行为为异常或入侵。性能。的性能是指处理审计事件的速度。对个实时来说，必须要求性能良好。完整性。完整性是指能检测出所有的攻击。故障容错。当被保护系统遭到攻击和毁坏时，能迅速恢复系统原有的数据和功能。自身抵抗攻击能力。这点很重要，尤其是“拒绝服务”攻击。因为多数对目标系统的攻击都是采用首先用“拒绝服务”攻击摧毁，再实施对系统的攻击。及时性。个必须尽快地执行和传送它的分析结果，以便在系统造成严重危害之前能及时做出反应，阻止攻击者破坏审计数据或本身。随着入侵检测技术的发展，成型的产品已陆续应用到实践中。入侵检测系统的典型代表是国际互联网安全系统公司公司的。目前较为着名的商用入侵检测产品还有公司的公司的公司的公司的等。国内的该类产品较少，但发展很快，已有总参北方所中科网威启明星辰等公司推出产品。人们在完善原有技术的基础上，又在研究新的检测方法，如数据融合技术，主动的自主代理方法，智能技术以及免疫学原理的应用等。其主要的发展方向可概括为大规模分布式入侵检测。传统的入侵检测技术般只局限于单的主机或网络框架，显然不能适应大规模网络的监测，不同的入侵检测系统之间也不能协同工作。因此，必须发展大规模的分布式入侵检测技术。宽带高速网络的实时入侵检测技术。大量高速网络的不断涌现，各种宽带接入手段层出不穷，如何实现高速网络下的实时入侵检测成为个现实的问题。数网管软件平台都是在和平台上实现的。目前公认的三大网管软件平台是和。虽然它们的产品形态有不同的操作系统的版本，但都遵循协议和提供类似的网管功能。不过，尽管上述网管软件平台具有类似的网管功能，但是它们在网管支撑软件的支持系统的可靠性用户界面操作功能管理方式和应用程序接口，以及数据库的支持等方面都存在差别。可能在其它操作系统之上实现的网管软件平台版本仅是标准的子集。例如，在操作系统上实现的网管软件平台版本便仅仅只是的子集。网管支撑软件是运行于网管软件平台之上，支持面向特定网络功能网络设备和操作系统管理的支撑软件系统。网络设备生产厂商往往为其生产的网络设备开发专门的网络管理软件。这类软件建立在网络管理平台之上，针对特定的网络管理设备，通过应用程序接口与平台交互，并利用平台提供的数据库和资源，实现对网络设备的管理，比如就是这种类型的网络管理软件，它可建立在和等管理平台之上，管理广域互联网络中的路由器及其它设备。通过它，可以实现对的各种网络互联设备如路由器交换机等进行复杂网络管理。网络管理系统的体系结构简称网络拓扑是决定网络管理性能的重要因素之。通常可以分为集中式和非集中式两类体系结构。目前，集中式网管体系结构通常采用以平台为中心的工作模式，该工作模式把单的管理者分成两部分管理平台和管理应用。管理平台主要关心收集的信息并进行简单的计算，而管理应用则利用管理平台提供的信息进行决策和执行更高级的功能。非集中方式的网络管理体系结构包括层次方式和分布式。层次方式采用管理者的管理者的概念，以域为单位，每个域有个管理者，它们之间的通讯通过上层的，而不直接通讯。层次方式相对来说具有定的伸缩性通过增加级，层次可进步加深。分布式是端对端的体系结构，整个系统有多个管理方，几个对等的管理者同时运行于网络中，每个管理者负责管理系统中个特定部分“域”，管理者之间可以相互通讯或通过高级管理者进行协调。对于选择集中式还是非集中式，这要根据实际场合的需要来决定。而介于两者之间的部分分布式网管体系结构，则是近期发展起来的兼顾两者优点的种新型网管体系结构随着技术的广泛应用，也正在悄然取代原有的企业内部局域网，由于异种平台的存在及网络管理方法和模型的多样性，使得网络管理软件开发和维护的费用很高，培训管理人员的时间很长，因此人们迫切需要寻求高效方便的网络管理模式来适应网络高速发展的新形势。随着和及其开发工具的迅速发展，基于的网络管理技术也因此应运而生。基于的网管解决方案主要有以下几方面的优点地理上和系统间的可移动性系统管理员可以在上的任何站点或的远程站点上利用浏览器透明存取网络管理信息统的浏览器界面方便了用户的使用和学习，从而可节省培训费用和管理开销管理应用程序间的平滑链接由于管理应用程序独立于平台，可以通过标准的协议将多个基于的管理应用程序集成在起，实现管理应用程序间的透明移动和访问利用技术能够迅速对软件进行升级。为了规范和促进基于的网管系统开发，目前已相继公布了两个主要推荐标准和。两个推荐标准各有其特色，并高度。参考文献孟洛明.现代网络管理技术.北京.北京邮电大学出版社胡崧编著完美网页设计教材中国青年出版社吴国新吉逸编著计算机网络高等教育出版社陈炜编著软件开发技术人民邮电出版社李超网站布局实录科学出版社希望电子出版刘国钧，陈绍业，王凤翥.图书馆目录.北京高等教育出版社，辛希孟.信息技术和信息服务国际研讨会论文集集.北京中国社会科学出版社，.张筑生.计算机网络北京北京大学数学系数学研究所，.冯西桥.语言.北京清华大学核能技术设计研究院，.致谢历时将近两个月的时间终于将这篇论文写完，在论文的写作过程中遇到了无数的困难和障碍，都在同学和老师的帮助下度过了。尤其要强烈感谢我的论文指导老师李翠红老师，她对我进行了无私的指导和帮助，不厌其烦的帮助进行论文的修改和改进。另外，在校图书馆查找资料的时候，图书馆的老师也给我提供了很多方面的支持与帮助。在此向帮助和指导过我的各位老师表示最中心的感谢！感谢这篇论文所涉及到的各位学者。本文引用了数位学者的研究文献，如果没有各位学者的研究成果的帮助和启发，我将很难完成本篇论文的写作。感谢我的同学和朋友，在我写论文的过程中给予我了很多你问素材，还在论文的撰写和排版灯过程中提供热情的帮助。由于我的学术水平有限，所写论文难免有不足之处，恳请各位老师和学友批评和指正！，在不影响网络性能的情况下对网络进行检测，从而提供对内部攻击外部攻击和误解操作的实时保护。由于入侵检测系统是防火墙后的又道防线，从二可以极大地减少网络免受各种攻击的损害。假如说防火墙是幢大楼的门锁，那入侵检测系统就是这幢大楼里的监视系统。门锁可以防止小偷进入大楼，但不能保证小偷地被拒之门外，更不能防止大楼内部个别人员的不良企图。而旦小偷爬入大楼，或内部人员有越界行为，门锁就没有任何作用了，这时，只有实时监视系统才能发现情况并发出警告。入侵检测系统不仅仅针对外来的入侵者，同时也针对内部的入侵行为。入侵分析技术主要有三大类签名统计和数据完整性。签名分析法名分析法主要用来检测有无对系统的已知弱点进行的攻击行为。这类攻击可以通过监视有无针对特定对象的种行为而被检测到。主要方法从攻击模式中归纳出其签名，编写到系统的代码里，再由系统对检测过程中收集到的信息进行签名分析。签名分析实际上是个模板匹配操作，匹配的方是系统设置情况和用户操作动作，方是已知攻击模式的签名数据库。统计分析法统计分析法是以系统正常使用情况下观察到的动作为基础，如果个操作偏离了正常的轨道，此操作就值得怀疑。主要方法首先根据被检测系统的正常行为定义个规律性的东西，在此称为“写照”，然后检测有没有明显偏离“写照”的行为。统计分析法的理论经常是统计学，此方法中，“写照”的确定至关重要。数据完整分析法数据完整分析法主要用来查证文件或对象是否被修改过，它的理论经常是密码学。侵检测系统的分类现有的的分类，大都基于信息源和分析方法。为了体现对从布局采集分析响应等各个层次及系统性研究方面的问题，在这里采用五类标准控制策略同步技术信息源分析方法响应方式。按照控制策略分类控制策略描述了的各元素是如何控制的，以及的输入和输出是如何管理的。按照控制策略可以划分为，集中式部分分布式和全部分布式。在集中式中，个中央节点控制系统中所有的监视检测和报告。在部分分布式中，监控和探测是由本地的个控制点控制，层次似的将报告发向个或多个中心站。在全分布式中，监控和探测是使用种叫“代理”的方法，代理进行分析并做出响应决策。按照同步技术分类同步技术是指被监控的事件以及对这些事件的分析在同时间进行。按照同步技中，信息源是以文件的形式传给分析器，次只处理特定时间段内产生的信息，并在入侵发生时将结果反馈给用户。很多早期的基于主机的都采用这种方案。在实时连续型中，事件发生，信息源就传给分析引擎，并且立刻得到处理和反映。实时是基于网络首选的方案。按照信息源分类按照信息源分类是目前最通用的划分方法，它分为基于主机的基于网络的和分布式。基于主机的通过分析来自单个的计算机系统的系统审计踪迹和系统日志来检测攻击。基于主机的是在关键的网段或交换部位通过捕获并分析网络数据包来检测攻击。分布式，能够同时分析来自主机系统日志和网络数据流，系统由多个部件组成，采用分布式结构。按照分析方法分类按照分析方法划分为滥用检测型和异常检测型。滥用检测型的中，首先建立个对过去各种入侵方法和系统缺陷知识的数据库，当收集到的信息与库中的原型相符合时则报警。任何不符合特定条件的活动将会被认为合法，因此这样的系统虚警率很低。异常检测型是建立在如下假设的基础之上的，即任何种入侵行为都能由于其偏离正常或者所期望的系统和用户活动规律而被检测出来。所以它需要个记录合法活动的数据库，由于库的有限性使得虚警率比较高。按照响应方式划分为主动响应和被动响应。当特定的入侵被检测到时，主动会采用