【记号】我做个记号

kingdom

【记号】我做个记号  信息基础设施的重要性，决定了网络入侵检测与预警的必要性。当我们像需要雷达来保卫领空一样地需要网络预警来保卫网络时，投入人力、物力和财力来攻克网络预警的关键技术，研制和开发实用的网络入侵检测与预警系统便成为十分必要的举措。?
　　一、开展入侵检测技术研究的紧迫性?
　　所有的安全威胁都有可能以攻击、侵入、渗透、影响、控制和破坏网络和网上信息系统作为重要手段。因此，对来自网上的破坏活动的监控与审计，是防范的先决条件，是构筑信息安全环境重要而必不可少的环节。?
　　国外早已开展了早期预警系统及入侵检测技术的研究，在一些重要的政治、军事和经济网络上对非法入侵实施监控。这些系统在保障信息网络安全、尽早发现入侵攻击迹象、分析入侵攻击的技术手段方面发挥着重要的作用。为了提高信息系统的防护能力，我国应尽快填补这方面的空白。?
　　二、多样化的检测对象?
　　网络入侵活动是由不同类型的个人或组织，怀着不同的目的，采用不同的技术，于不同的地点和时间，针对不同的目标而发动的。诸多的不同及其不同的组合，构成了检测对象的多样性。?
　　入侵检测与预警技术的研究，至少要达成如下多层次的目标：?
　　1.?对信息基础设施的安全状况及威胁(包括威胁的来源和程度)做出全面的系统评估。?
　　2.?把威胁的来源作为对象，按时间顺序、动作意图、威胁范围和程度，进行统计、分析及审计。?
　　3.?对来自外部网络的恶意代码和违规操作进行识别、跟踪、记录、分类和报警。?
　　4.?为遭到破坏的网络及信息系统的恢复提供技术性支持。?
　　三、预警的复杂性?
　　由于网络的危害行为是一系列很复杂的活动，特别是有预谋、有组织的网络入侵，因而有效的预警在技术实现上比较复杂并有一定的难度。?
　　预警的复杂性表现在：?
*?来源的识别；?
*?企图的判定；?
*?危害程度和潜在能力的判断；?
*?网络技术的跟踪；?
*?软件设计；?
*?硬件的适应性。?
　　根据我们的研究，以下三方面是亟待解决的问题。?
　　1.入侵技术在不断发展?
　　网络预警技术以网络攻击技术研究为依托，通过跟踪入侵技术的发展，增强入侵检测能力。入侵方法涉及到操作系统方方面面的漏洞，如系统设计缺陷、编码缺陷、系统配置缺陷、运行管理缺陷，甚至系统中预留的后门等。在Internet上有大量的黑客站点，发布大量系统漏洞资料和探讨攻击方法。全世界的黑客都可以利用这些共享资源来进行攻击方法的研究与传播，使得新的攻击方法能够以最快的速度成为现实的入侵武器。更为令人担忧的是有组织的活动，国外已将信息战手段同核武器、生化武器并列在一起，作为战略威慑加以讨论，破坏者所具备的能力，对我们而言仍是一个很大的未知数。?
　　入侵技术的发展给预警造成了很大的困难，特别是对基于入侵模式识别的预警系统。预先了解所有可能的入侵方法比较困难，因此一个有效的预警系统不仅需要识别已知的入侵模式，还要有能力对付未知的入侵模式。网络预警技术亦步亦趋地紧跟在已识别的入侵模式之后固然能够大大加强网络的安全防范，但这并不是唯一的发展方向。入侵检测技术从监测网络的异常活动和网络的正常活动两个角度来进行入侵检测则会更为有效。同时预警系统应有一定的学习能力，智能化地校正误警和漏警，提高预警的准确性。?
　　2.入侵活动可以具有很大的时间跨度和空间跨度?
　　有预谋的入侵活动往往有较周密的策划、试探性和技术性准备，一个入侵活动的各个步骤有可能在一段相对长的时间跨度和相当大的空间跨度之上分别完成，给预警带来困难。一个检测模型总会有一个有限的时间窗口，从而忽略滑出时间窗口的某些事实。同时，检测模型对于在较大空间范围内发生的异常现象的综合、联想能力也是有限的。?
　　3.非线性的特征还没有有效的识别模型?
　　入侵检测技术的难度不仅仅在于入侵模式的提取，更在于入侵模式的检测策略和算法。因为入侵模式是一个静态的事物，而现实的入侵活动则是灵活多变的。有效的入侵检测模型应能够接受足够大的时间跨度和空间跨度。从技术上说，入侵技术已经发展到一定阶段，而入侵检测技术在理论上、模型上和实践上还都没有真正发展起来。在市场上能够看得到的入侵检测系统也都处在同一水平上。我们分析，先进国家重要网络上配置的入侵检测系统应不是这一水平的技术，或者他们也在寻求其他更为有效的检测手段。?