基于Linux的深度入侵防御系统的研究

分析了使用单一的安全技术无法保障系统的完整安全，提出了使用防火墙、IDS 和HIPS 三种技术融合的深度防御系统。其中系统核心部分HIPS 中提出了一种新的算法－TT 算法，可以有效降低传统IPS对于系统吞吐率的影响。模拟实验表明，此系统对内部网络具有较高的检测速度、检测准确率和较好的安全防御性等特点。
随着网络的发展，信息安全正日益成为人们关注的焦点。美国计算机紧急事件反应小组
CERT/CC 的分析报告指出包含病毒在内的攻击事件数目正逐年成倍上升， 1988 年报告事件仅6 起，2000 年已升至21,756 起，2003 年更达到137,529 起，从1988 年至2003 年共报
告了319,992 起事件。
为应对这些安全威胁，静态安全技术一直被广泛应用，但是静态安全技术有许多限制和
不足。首先，所有的静态防御技术都有可能被绕开而失效。其次，部署这些静态防御措施在结构和应用上往往十分复杂。静态防御本质上易于遭受“安静”的错误，也就是说，这些机制不能辨别出自己正在受到攻击，当发现时往往为时已晚，最多也只能将这些攻击记入日志。
为解决这些问题，入侵检测技术（IDS）在静态防御技术基础上逐渐发展起来，而入侵
防御技术（IPS）扩充了入侵检测技术，它改进了大多数IDS 的被动模式，预先检测并对入侵活动和恶意网络流量进行拦截并将攻击数据包丢弃，阻止其进入系统，起到了主动保护系统的作用，而不象IDS 那样在系统遭受到攻击行为后才发出警报并进行处理。
然而，单纯应用IPS 并不足以解决目前严峻的网络安全问题。IPS 虽然是一个主动的防
御系统，能有效保障网络安全，但是这种保障仍然是相对的。目前IPS 还存在一些问题。例如，IPS 是控制类技术，所以它不大可能在防御攻击的同时进行入侵数据的详细记录。因此需要寻求一种静态安全技术、入侵检测技术和入侵防御技术相结合的深度入侵防御（Defense in Depth）系统。