针对目前报警信息关联技术中存在的问题,提出了基于入侵意图的报警信息关联分析技术。该技术不仅继承了基于入侵策略的报警信息关联分析方法所具有的时效性、预见性强等优点,而且提高了入侵策略模型的泛化能力,并通过建立“跳步”分析机制,提高了系统对入侵的理解能力

史亮

姚俊峰

王备战

Xiamen University Institutional Repository

第  下勺!第 ∀# 期产西 ∀#计 算 机 工 程∃ % & ∋( )∗ + , −咖∗+ .− /0 01 年 2 月3( 45 0 1·安全技术·文章 号6 ∀侧阅卜代封刀以刀叹场7∀今以∀∀洲卜刁 文做标双码6 8 中 分线号6 9 : ; 0<基于入使意图的报警信息关联分析技术史 亮,王告战,姚俊峰=厦门大学软件学院,厦门 1 ∀=>7 ? 7摘 耍6针对 目前报普信息关联技术中存在的间题,提出了基于入侵意图的报曹信息关联分析技术。该技术不仅继承了基于入侵策略的报警信息关联分析方法所具有的时效性、预见性强等优点,而且提高了入侵策略模型的泛化能力,并诵讨珍立“跳步”分析机制,提高了系统对入侵的理解能力。关位侧6入侵检测 ≅ 报警信息关联分析 ≅ 入侵策略模型8 4∗ + )Α Β− Χ% +&Δ ). % − 8 ΑΑ% Ε .Δ ). % − 8 − Δ 45Α.Α 9∗Ε Φ − % 4% /5Γ Δ Α∗ Η % − Β− )+ ( Α .% − Β− )∗ − ). % − Ι ϑΒ ! .Δ − /’ Κ 8 Λ Μ Γ ∗汕皿,5 8 Ν 3( − 血− /=Ι % Χ) Ο Δ+∗ Ι∗Φ% 4,> .Δ&∗ − Π − .Θ ∗+Α .)5, > .田旧∗ − 1 ∀=>7 ? 7Β8 ΡΑ )+ Δ ∗) 4 9Φ .Α ∋Δ ∋∗+ ∋+∗ Α∗ − )Α Δ− Δ4 ∗ +) Α ΔΑ Α %Ε .Δ).% −Δ− Δ4 5Α.Α )∗Ε Φ−% Χ% /5 ΡΔΑ∗ Η% − .− )+(Α.%− .− )∗ − ). %− .− % +Η ∗+ )% % Θ ∗代% &∗ )Φ∗ ∋+% Ρ 4∗ & Α ∗幼)∗Η .−)% Η即’? Δ 4∗+)Α ΔΑΑ%Ε .Δ ).% − Δ − Δ45Α.Α )∗ ∗Φ−% 4%/ .∗Α 了Ρ .Α &∗ )Φ ∗Η− % ) % − 45 .− Φ ∗ +. )Α )Φ∗ &∗ +. )Α %Χ )Φ ∗ Δ. ∗ 川比 ΔΑ Α%Ε .Δ).% −Δ− 日5Α.Α )∗Ε Φ− % ∀0 / 5 Ρ Δ Α∗Η% −.− )+’ΠΑ.% − Α)+ Δ )∗ / 5 Α ( ∗ Φ Δ Α Χ% +∗ Α∗ Δ Ρ 4∗,Ρ ( ) Δ4 Α % .&∋ +%Θ ∗Α )Φ ∗ ΔΗ Δ: )ΔΡ .4. )5 %Χ )Φ∗ .−)+’ΠΑ.% − Α)+ Δ)∗ / 5 & %Η∗ 4 凡Η如∗− ”%+∗,.) / .Θ ∗Α )Φ ∗ “ΑΣ. ∋∋.− / Α)∗ ∋, ’Δ − Δ 45Α .Α & ∗ ∗ Φ Δ − .Α& Δ− Η .)Α .&∋ +%Θ ∗ & ∗ − ) % − )Φ ∗ ∗ % & ∋+ ∗Φ∗−Α.% − ΔΡ .4 )5% Χ)Φ ∗ .−)+(Α.% − Η ∗ )∗ Ε ). %−Α5 Α)∗ & 叹Τ∗ 5 Ο % + Η Α 4 Β−)+(Α.% − Η∗ )∗Ε ). % − 6 8 4∗ +) Α .− Χ% +& Δ).% − Δ ΑΑ%Ε .Δ).% − Δ− Δ. 5Α.Α 6 Β− )+(Α.% − Α)+Δ )∗ / 5 & %Η∗ 4∀ 概述传统的入侵检测系统往往注重于低层面的入侵和异常活动并独立地产生报警,而忽视了这些报警信息之间可能存在的内在联系以及报警背后所反映的问题,导致系统对报警信息的处理能力和对入侵的理解能力较差【’Υ。如何提高入侵检测系统对报警信息的关联分析能力,已经成为入侵枪侧领域中的一个重要的研究方向。报警信息关联分析是根据来自系统内部不同入侵枪测模块所产生的报警在特征上的相似性、在逻辑上的相关性,从系统的整体角度对分布式、阶段性入侵进行分析的过程。其目的是通过对各种报警信息的关联,构造入侵方案,从而使我们可以更准确地把握入侵的发展动向,提高对入侵的分析能力。目前报替信息关联分析技术可以划分成 大类。=4 7以文献∀ , ς所提出的技术思路为代表。其特点是根据报警信息在相关属性上的相似性来进行关联。该技术对于某些类型的报警信息的关联分析比较有效,但不能很好地揭示报警信息之间的内在联系。= 7以 Ω ∗ Ξ ( .+∗ Α用+% Θ .Η ∗ Α 模型 ∀# ∀提出的 ∋+ ∗+∗ Ξ ( .Α.)∗ Α Δ− ΗΕ %− Α∗ Ξ( ∗ − Ε ∗Α 模型 Ψ’〕为代表,该技术根据不同入侵步骤之间的服务与被服务关系,将隶属于同一入侵方案中的多个报警信息按合理顺序关联在一起。这种关联分析方法具有较大的灵活性,可以揭示报警信息之间的内在联系,指明入侵者所采取的入侵路线,并且具有发现未知入侵模式的能力。但是该方法对来自底层的报警信息的依赖性较强,如果某些关键入侵步骤没有被发现,那么新获得的报警信息和原先获得报警信息之间的关联分析将变得困难,虽然根据服务与被服务原则可以将某些在顺序上存在间隔的报警信息关联在一起,一 ∀ 0一一Ζ但是役有对隐藏在这些现象背后的有关入侵者、入侵进度和系统安全状况的信息进行分析。= 7关联分析技术以入侵策略分析模型∀? 为代表,该技术根据对入侵者入侵策略的研究,建立入侵策略模型,并根据所获得入侵报替信息,确定入侵者所采取的入侵方案,推测入侵者真正的目的和下一步将要进行的入侵行动,从而有可能在入侵者达到其目的之前对其采取相应的措施。同前两种方法相比,这种方法能更好地揭示报替信息之间的内在联系,具有更好的时效性和预见性,提高了系统对入侵的理解能力和控制能力。但是,这种利用攻击类型表述的入侵策略的泛化能力较弱,在进行关联分析时,某个步骤是否完成是以策略中对应位里所给出的入侵是否被证实已经完成为依据的,如果入侵者采用可以实现相同目的的不同攻击方法,即使实现了预期 目标,在关联分析时系统也会因为没有发现预定攻击而误认为该步骤尚未完成。而且,该方法对于报替信息中存在“跳步”现象的间题没有给出具体的解决方案。这里“跳步”是指6从所获得的报曹信息来看,入侵者不按入侵方案中攻击步骤的次序进行下一步攻击,而是跳过部分步骤直接进行后续攻击。针对目前报替信息关联分析技术所存在的不足,本文提出了一种基于意图分析的报替信息关联分析方法,该方法在鉴全砚目6 厦门大学“;< ?[ 二期信息创新平白基金资助项目 ≅ 厦门大学引进人才科研启动基金资助项目作者仿介6史 亮=∀ ; 2 一7,男,博士、讲师,主研方向6智能信息处理与网络信息安全 ≅ 王备战,博士、副教授 ≅ 姚俊峰,博士后、副教授收摘日月60 ?一∀一∀ ,·口川  6 Α 4. Δ− / ∴] & ( 比( ∗ −分析思想上与第 类关联分析方法相似,不同的是,我们用反映入侵者在不同步骤处意图的入侵目标取代具体的入侵类型,采用一种基于攻击流的表述方式来对入侵策略模型进行描述。这种基于意图的报替信息关联分析技术不仅继承了第类关联分析方法所具有的时效性、预见性强等优点,而且提高了入侵策略模型的泛化能力。并通过建立“跳步”分析机制,提高了系统对入侵的理解能力。入畏策略模童众所周知,为了达到入侵目的,入侵者需要采取一系列的攻击步骤。在一个入侵方案中,不同攻击步骤的发生次序是具有规律性的,我们可以利用这种入侵步骤的规律性来构造入侵检测方案,从而可以更准确地把握入侵的发展动向,提高对入侵的分析能力。入侵策略模型是根据入侵者为了达到某种 目的所采取的一系列有规律性的攻击步骤所建立起来的、反映入侵者意图的一种表述模式。这里用一种基于攻击流的表述方式来对入侵方案进行描述,其基本表述单元如图 ∀ 所示。其中,每个单元节点表示入侵者在该阶段所期望实现的攻击目标,单元与单元之间的箭头方向表示 目标实现上的先后顺序,Ι Φ% +) Ε( )⊥ ._= 其中 .,_ ⎯4, ,⋯,−7 表示单元 . 到单元 _间可能出现的“跳步”现象。Ι Φ % +) ∗ ( ) % −入侵目标 4入侵目标 ! ∀# ∃ % # & ∋困 ( 羞于攻击谁入倪方案猫途方法中的羞本摘述单元在利用攻击流描述的入侵策略模型中,我们用入侵目标表示模型中的单元节点,这就是意味在关联分析时,判断入侵策略模型中某个步骤是否实现的依据不再局限在某个或某种入侵方式是否被实施,而是在于入侵者是否已经通过某种途径达到其在该步骤处期望达到的目的。这种方法可以使整个入侵方案的设计更具有普遍性,降低了由于入侵者通过调整攻击手段,导致其产生的报警信息无法同已知信息进行正确关联的风险。并且这种入侵策略模型也为分析诸如“跳步”现象等问题提供了技术基础。)∗ +通过 , , !− 控制端启动驻留在其它被渗透主机上的, ! ! − 攻击程序 .)/ +对 目标主机进行 , , 0 攻击。针对这种入侵方案,我们可以利用基于攻击流的表述方式对该方案进行描述,图 1 给出了具体的描违方案。2 关联分析技术23 ( 对新的报份信息的关联茸周现在我们来分析一下根据基于攻击流的入侵策略对报警信息进行关联分析的基本原则。当接收到一条新的报警时,分析引擎将根据新报警信息中各属性的具体值,在已获得的多个入侵方案实例中查找具有相似特征的入侵实例,如具有相同的目标 &4 地址等,并根据匹配结果分两种情况来确定其关联方式5)6 +如果匹配,那么首先根据报警所描述的入侵类型来确定该入侵的目的,然后根据入侵目的,结合与该报警相匹配的一个或多个入侵实例,来推测入侵者的所采取的入侵方案,从而进一步确定哪些入侵实例更符合入侵者的入侵策略,并找到在这些入侵实例中新报警信息所反映的攻击步骤的具体位置。)1 +如果不匹配,那么将为其产生新的入侵实例。同样,首先要确定该报警信息所描述的入侵的目的是什么,然后根据入侵目的,在入侵方案中查找具有该入侵环节的一个或多个方案。对于那些满足条件的方案,将各产生一个新的入侵实例,这些实例分别反映了分析系统对入侵者所采取的入侵策略的推测。最后,在这些入侵实例中确定新报警信息所反映的攻击步骤的具体位置。( 1 对存在“璐步3攻击现象的处理下面我们来分析一下对如何处理在入侵实例中存在的“跳步”现象。现有关联分析技术在遇到这一类问题时,要么导致关联分析无法正常进行,要么系统依据新的攻击与已检测到的入侵之间是否满足服务与被服务条件来确定是否关联,而对于为什么会出现“跳步”攻击的原因和该现象背后所反映的问题没有加以分析。对于“跳步”攻击的处理方法来说,最简单的方案是假定被“跳过”的攻击已经被实施。应该说这种假设思想是有一定现实意义的,这是因为攻击步骤是否实施,其证据完全救赖于该攻击活动是否被底层 &, 所发现,如果入侵者采用圈1 先成一次分布式拒绝服务攻击的入怪方案比如入侵者希望对某个主机发动分布式拒绝服务攻击,那么他就可以通过以下步骤来逐步达到他的目的5) 6+ 信息采集,查找系统可能存在的安全漏洞 .)1 +对于存在问题的主机,利用发现的安全漏洞,获取系统的访问权限 .)2+进行非法权限提升 .)7 +安装后门程序、, , ! 控制程序和 , , ! 攻击程序 .)8 +获取足够网络资源 .一种比较隐蔽的手段,比如利用新的系统漏洞或依靠非技术手段,使得入侵者可以利用不触发报警的方法来到达攻击目的,这时对被跳过步骤的已实现假设是合乎情理的。但是,在处理“多跳步” )多个步骤的实现情况未被证实+和一些关键步骤被跳过的情况时,这种假设就显得比较牵强,并且这种假设方法在某种程度土忽视了“跳步”现象所反映出来的有关入侵和入侵者的信息。从入侵者的角度分析,为了实现入侵的最终目标,入侵者会充分利用一切可用信息和手段,以尽可能小的代价)时间开销、被发现的概率以及攻击的成功率等因素+来完成任务。基于这种低风险原则的认识,我们认为,由于入侵者入侵所产生的报警信息,无论入侵的结果是成功还是失败,无论在入侵步骤上是否存在“跳步”现象,报警信息本身都从一个侧面揭示了入侵者的入侵能力和对系统的了解程度等相关信息,这为分析入侵、控制入侵提供了分析依据。在我们所提一 (引一公6鄂、出的基于意图分析的报替信息关联分析方法中,对于那些被认为是“跳步”攻击所产生的报警信息,其处理方法为6=4 7根据“跳步”攻击的入侵目的,确定其在入侵实例中的位置,并将该单元=假定为 37 设置为已实施 ≅= 7将入侵实例中连接上一个已实施单元=假定为 Β7与单元 3 的条件通道设置为攻击流的流动通道,将ΑΦ % +)∗ ( )⊥ ._ 设置为“短路[ ≅= 7根据 Α Φ% +)Ε () ⊥ ._,给出对当前入侵的分析。为每个入侵策略模型建立“跳步”攻击分析表,通过查表方式获得该入侵策略中对各个 Ι Φ% +) Ε( ) ⊥ ._ 的分析结果及应当采取的对策。对“短路”原因的推断是建立在入侵者所遵循的低风险原则的基础上的。这里以图 所示的入侵策略中 ΑΦ% +) Ε () ⊥ ∀ 的“短路”现象为例来看一下如何根据“跳步”攻击来对入侵进行分析。Α Φ% +) Ε( )Ζ ∀ 表示从目标主机6 ∀2 ∀1注∀ ∀0辱舞阅、 , , 沙产 α 一入侵者6β0 2 2 ∀1 ∀絮,)龟、报警信息来看,入侵者在完成对系统的信息探测之后,在没有进行对某个主机的非法渗透攻击的情况下直接对该主机进行了非法权限提升攻击,除了“入侵者从其它位置上发动攻击”和“入侵者采取较为隐蔽的入侵手段”等一般可以想到的原因之外,我们认为还存在以下几种可能的推断6=47 入侵者对系统的先验知识不足。正因为如此,入侵者才被迫冒着被发现的风险对系统进行信息的探测≅= 7系统本身可能存在安全漏洞。如果在信息探测中发现了系统内部所存在的安全漏洞,本着低风险原则,入侵者极有可能会利用了该漏洞,以合法身份登录到主机 8 上,并直接进行下一步的非法权限提升攻击。# 实脸结果与分析实验中,采用的是 χ 8 Ω以 00 0 提供的侧试样本—! .− Ε 0 Β− !Δ Ρ % +Δ )% +5 Α Ε ∗ − Δ +.% =χ χ % Α 7 ∀  0 ∀1 ∀。 该入侵样本中包含了入侵者为发动 χ χ % Α 攻击所采取的步骤,这些攻击信息被划分成 ? 个阶段6探测,获取非法访问权限,安装用于拒绝服务攻击的 Ι∗+ Θ∗ + 端程序并发动拒绝服务攻击,这同我们所设计的 χ χ % Α 的入侵策略模型基本吻合。为了模拟实际的攻击现场,用 Λ ∗) ∋% Σ∗ 42∀ 来完成数据包的重发过程。用文献哆ς中所提出的方案来进行底层检侧,并将其产生的报警结果作为输入供高层分析模块进行关联分析。在高层分析端,其分析机制主要依据前面所提出的技术方案来实现。除了入侵策略第 ∀ 阶段以外=第 4阶段对应信息探测,在实际检测中,其可能的后续步骤有许多种选择7,每当发现新的入侵进展情况,系统都会给出入侵的发展动向,并对存在跳步攻击的情况给出分析结果和对策。由于在实验所采用的样本数据所反映的入侵过程中,入侵者在对主机进行渗透攻击时,针对该主机上的安全漏洞=运行 ΑΔΗ & .− Η 服务7采用了基于该漏洞的远程缓冲区滋出攻击,成功获取了该主机的 Ω % )权限,所以高层分析模块在实际分析时并没有发现非法渗透攻击。因此当发现权限提升攻击时,关联分析模块在给出报替和下一步攻击预测的同时,也对存在跳步的情况给出了相应的分析结果。图 给出了由记录的实验结果所绘制的入侵者整个攻击的实施方案,该方案同! ! Ι一χ χ % Α一∀ 0一.− Α. Η∗ 样本数据的介绍资料所给出的入侵方案基本吻合。助山旧云− ΗΝ勺∃+ Χ40 ΚΔ) )∗ & ∋七Ω生Ω 叼万=卫Ι)劝 +% % )χ 】7 ,Ι & 欢 +∃ Ι444Φ朋山∗ + )% Δ乎− 【圈 ! ! ΑΖ χ χ %Α·! Ν .− Α4 Η∗ 禅本盆 中入位者的攻击方案? 结束语本文中,针对目前报警信息关联技术中存在的问题,提出了基于入侵意图的报警信息关联分析技术。该技术不仅继承了基于入侵策略的关联分析方法所具有的时效性、预见性强等优点,而且提高了入侵策略模型的泛化能力。并通过建立“跳步”分析机制,提高了系统对入侵的理解和监控能力。由于报瞥信息关联分析技术是建立在底层报警信息和入侵策略模型的基础上,因此其分析的准确性和效率很大程度上依赖于底层检侧系统和相关入侵策略模型是否可靠、准确。如何提高底层 Βχ Ι检侧的可靠性,如何从实际攻击样本中发掘出入侵者的策略,从而使所建立的模型更合理,这些工作将是我们下一步的研究方向。乡考文蔽∀ Λ .− / 只 ∃ ( . δ, Ω ∗ ∗ Θ∗ Α χ ? ∃ % − Α。刀Ε 五−/ 8 −ΔΕ Σ ΙΕ∗ −硕0? )Φ+%( / Φ∃α4Δ ). % − % Χ Β− )−_Α.朋 8 4∗ε)ΑΨ∃ ς 巧优∗曰.− / Α % Χ )Φ ∗ / )Φ 8 ∗ φ∃ %− Χ∗ +∗− Ε ∗ 佣 ∃% & ∋()∗+ γ ∃%& & (− .∗Δ ). %−Α Ι ∗Ε ( +. )5, Κ 么Α Φ.− / )% −χ ∃ ,=>7一∀卜 #?一? # η ιΔ 】Η∗ Α 8,Ι Σ .− ∗+ Τ ∋+% Ρ ΔΡ .4.Α). ∗ 8 4∗ +) ∃ % +∗ 4Δ).% − Ψ∃ 4 ∋+%Ε % Χ )Φ∗# )Φ Β− )∗+− Δ) .% − Δ 4 Α5& :%Α.( & % − Ω ∗ ∗∗ − ) 8 Η ΘΔ− ∗∗ Α .− Β−娜Α.% −χ ∗ )∗ ∗ ). % −,=>7 46 ? #一1 < χ Δ. − %,∃ ( − − .− / ΦΔ& Ω ϕ ( Α .− / 8 ϑ ∗ ) ∗ + % / ∗ − Ε%( Α 8 4∗+) Ι)+∗Δ & .− )%Ι ∗∗− 硕0 ?Ψ∃ ς Ω 优 % Χ )Φ∗ 8 ∃φ 叭 κΝ+Σ ΑΦ% ∋ % − χ Δ)Δ φ .− .− / Χ% +Ι ∗Ε (+. )5 8 ∋∋4.∗Δ).% − Α ,=>7 4一∀∀ 6 4一∀ # 9∗ 帅4∗ )% − Α,!∗Θ .) Τ 8 Ω ∗Ξ ( .+∗ Α4∋ + % Θ .Η ∗Α φ %Η∗ 4 Χ% + ∃ % & ∋( )∗+8湘Ε Σ Α 4∃ ς ∋ +% ∗ % Χ Λ ∗Ο Ι∗ ∗(+. )5 ∋Δ +Δ Η ./ & Α Κ Ρ +Σ Α Φ % ∋,0= > 7一0 ; 6∀一< ? ϑ ( Δ− / φ δ 8 ! Δ+ / ∗ Ι Ε Δ4∗ χ .Α)+. Ρ ( )∗Η Β− )+(Α.% − χ ∗ )∗ ∗ ).% − ϕ+ Δ & ∗ Ο % + ΣΓ Δ Α∗Η% − 8 ))ΔΕ Σ Ι)+ Δ )∗/ 5 8 − Δ4 5Α .ΑΨ3】 ∃ % & ∋ ()∗ + Λ ∗) Ο % +Σ Α,∀; ; ;,∀= ∀ # 76 # 1 ?一# 2 ? 1 ! ! Ι ⊥ χ χ ΝΙ ⊥ ∀ 0 Ψ ∀ Φ)∋ 刀Ο Ο Ο 44而) ∗Η叭Ι 94. Η∗Θ Δ ΒηΗ Δ )Δκ 0= 刃η! ! Ι∗ χ χ Ν Ι⊥ 4 Ν Φ)4−ς、2 χ 8 Ω ∋8 0=7 0〔∀ Φ ))∋ 6κΒ Ο Ο Ο 44 & .) ∗ Η ( κΒ Ι 9κ .Η ∗ Θ Δ4 κΗ Δ )Δκ 0∃叨 0= 刃一Η Δ )赴.− Η ∗ ],Φ)& 4 < 史 亮,庄镇泉 一种基于入侵事件的检测分析技术Β3ς 计算机工程与科学,0 ?,2=< 76 ∀一∀?,一 ∀ 一

基于入侵意图的报警信息关联分析技术

http://dspace.xmu.edu.cn/bitstream/handle/2288/18902/%e5%9f%ba%e4%ba%8e%e5%85%a5%e4%be%b5%e6%84%8f%e5%9b%be%e7%9a%84%e6%8a%a5%e8%ad%a6%e4%bf%a1%e6%81%af%e5%85%b3%e8%81%94%e5%88%86%e6%9e%90%e6%8a%80%e6%9c%af.pdf?sequence=1&isAllowed=y

基于入侵意图的报警信息关联分析技术

Abstract

Similar works

Full text

Available Versions

Xiamen University Institutional Repository