传统的入侵检测方法主要是误用检测和异常检测,在入侵检测系统中广泛使用,但其在应用中存在着维护困难、误报率高、报警的可靠性比较低等问题。这些问题出现的原因在很大程度上是因为它们针对潜在攻击的定义是上下文无关的。它们将违反安全策略的行为认为是入侵,而对于安全策略本身并未考虑在内。 由于上述原因,当前基于策略的入侵检测方法逐渐被重视,此方法主要考虑是安全策略的本身,将其与系统及所在环境的实际情况结合,根据系统行为是否符合安全策略来检测入侵行为。基于策略的入侵检测方法维护成本低,误报率低,检测可靠性高,可以做到实时检测,并且可以阻止部分攻击。 本文针对涉密内网的特征,设计并实现了一个基于策略的UNIX主机入侵检测系统。该系统采用基于策略入侵检测方法,以安全策略为中心,通过安全策略控制、审计系统用户的行为,检测并阻止入侵,加强服务器系统的安全性。该系统采用分布式结构,浏览器/服务器(B/S)的管理方式,采用基于策略的进程控制、网络控制、命令控制、登录控制、密码控制、文件完整性监控等多种安全策略检测处理入侵行为。 原型系统测试表明,该基于策略的主机入侵检测系统维护成本低,警报的可靠性和准确性较高,并可以阻止一部分攻击。该方案对服务器系统安全有所加强,所占用的主机资源和网络资源较少,适用于针对涉密网等高安全级别的可信系统中。