摘要：隨著互聯(lián)網(wǎng)應用的普及，網(wǎng)絡攻擊行為愈來愈嚴重。依據(jù)IPv6協(xié)議的擴展頭、包頭結(jié)構(gòu)、地址結(jié)構(gòu)和安全機制，設計了IPv6環(huán)境下的協(xié)議解碼和協(xié)議分析的過程。提出了一種新的基于協(xié)議分析的網(wǎng)絡入侵檢測系統(tǒng)框架。通過對協(xié)議解碼和分析，給出了IPv6環(huán)境下基于協(xié)議分析的網(wǎng)絡入侵檢測系統(tǒng)的設計方案。
關鍵詞：網(wǎng)絡安全；入侵檢測；協(xié)議分析；IPv6協(xié)議；模式匹配

0 緒言
    隨著互聯(lián)網(wǎng)的日益開放與高速發(fā)展，伴隨著來自網(wǎng)絡的攻擊行為也愈來愈嚴重，網(wǎng)絡安全問題成為一個亟待解決的難題。以往都采用靜態(tài)的安全防御體系，如防火墻、身份認證及數(shù)據(jù)加密技術(shù)等等，這些技術(shù)能解決一部分安全問題，但由于這些技術(shù)自身的缺陷，不能完全解決當前網(wǎng)絡安全問題。先進的入侵檢測技術(shù)應運而生。它首先通過對入侵行為的檢測，收集并分析信息，從而發(fā)現(xiàn)是否有違反安全策略的行為。在下一代IPv6協(xié)議環(huán)境下，著手建立實時、高效的網(wǎng)絡入侵檢測系統(tǒng)有著重要的實際價值。

1 網(wǎng)絡安全問題與對策
1．1 網(wǎng)絡安全面臨的威脅
    目前，網(wǎng)絡應用得到了普及，但是網(wǎng)絡中的網(wǎng)絡安全問題逐步顯現(xiàn)，會經(jīng)常干擾網(wǎng)絡的正常使用。目前來自網(wǎng)絡中的威脅主要有系統(tǒng)本身的脆弱性和外來的攻擊。
    網(wǎng)絡系統(tǒng)自身脆弱性的威脅包含兩個方面：信息系統(tǒng)處理環(huán)境上的不安全因素和系統(tǒng)自身存在可入侵性。網(wǎng)絡來自外界的威脅有：特洛伊木馬攻擊、端口掃描攻擊、拒絕服務攻擊、緩沖區(qū)溢出攻擊、WEB攻擊、非授權(quán)服務攻擊、網(wǎng)絡監(jiān)聽攻擊、利用系統(tǒng)漏洞進行攻擊等等。
1．2 網(wǎng)絡安全技術(shù)
    網(wǎng)絡安全問題受到人們的密切關注，所采用的安全措施也很多。常見的安全措施有：
    存取控制技術(shù)、防火墻技術(shù)、加密技術(shù)、病毒防治技術(shù)、入侵檢測技術(shù)等。
1．3 網(wǎng)絡安全模型
    網(wǎng)絡安全模型(PPDR)是商業(yè)策略模型PDR在網(wǎng)絡安全模型上的運用。PPDR是策略(Policv)、防護(Protection)、檢測(Detection)、響應(Response)四個英文單詞的首字母縮寫。它是一個螺旋上升的過程，經(jīng)過一個循環(huán)以后它的防護水平會得到全面的提高。它們之間的關系如圖1所示。

    PPDR模型中，策略是PPDR模型的核心組成部分，是網(wǎng)絡安全需達到的目標，同時也是各種措施的集合。
防護是網(wǎng)絡安全的首步。它包括安全規(guī)范的制定、安全配置和安傘措施。檢測是主動防御行為。響應指在檢測到攻擊之后，及時地做出反應，使系統(tǒng)恢復正常運行狀態(tài)。
    目前較科學的防御體系是在遵循PPDR模型的信息網(wǎng)絡安全體系的前提下，采用主動防御與被動防御相結(jié)合的方式。

2 基于IPv6的入侵檢測系統(tǒng)NIDS框架設計
2．1 系統(tǒng)功能設計
    基于IPv6協(xié)議的網(wǎng)絡入侵檢測系統(tǒng)要對網(wǎng)絡流量進行實時跟蹤和分析，實時地檢測并分析用戶在系統(tǒng)中的活動狀態(tài)，統(tǒng)計網(wǎng)絡流量，拒絕服務攻擊等異常用戶行為，同時還要能對已知攻擊特征進行正確識別，減少誤報和漏報，影響整體性能，并及時向控制臺報警，為有效防御提供依據(jù)，并根據(jù)定制的條件過濾掉相同的報警事件，減輕傳輸與響應的壓力。此外還要能提供入侵檢測規(guī)則的升級處理，實時更新入侵檢測特征庫，提高入侵檢測系統(tǒng)的入侵檢測能力，同時要制定實時響應策略，根據(jù)用戶的規(guī)則定義，經(jīng)過系統(tǒng)自動過濾，對警報事件及時響應。檢測系統(tǒng)還要能對未發(fā)現(xiàn)的系統(tǒng)漏洞特征進行預報警處理。一個高性能的入侵檢測系統(tǒng)除了具備以上功能外，具備較高的可管理性和自身安全性也非常重要。[!--empirenews.page--]
2．2 入侵檢測系統(tǒng)框架設計
    入侵檢測系統(tǒng)一般會放在重要的網(wǎng)段內(nèi)，實時地監(jiān)視網(wǎng)段中的各種數(shù)據(jù)包，對每個數(shù)據(jù)包都會進行特征分析。若數(shù)據(jù)包與入侵檢測系統(tǒng)的規(guī)則一致，入侵檢測系統(tǒng)就會發(fā)出警報，通知管理員做相應的處理。入侵檢測系統(tǒng)NIDS整體框架流程圖如圖2所示。

    在圖2中我們可以看到，首先是網(wǎng)絡設備數(shù)據(jù)包捕獲模塊通過一定的規(guī)則從網(wǎng)絡上獲取相關的數(shù)據(jù)包，這些數(shù)據(jù)包會按照順序存放在數(shù)據(jù)包隊列中。在傳輸?shù)倪^程中會對原始數(shù)據(jù)包進行重新分組。數(shù)據(jù)包經(jīng)過以上的一些預處理后再結(jié)合入侵檢測系統(tǒng)已設置的規(guī)則庫進行內(nèi)容分析處理。最終把分析的結(jié)果傳遞給控制臺事件分析模塊，同時還會激發(fā)自動響應模塊做出對應的相關響應處理。

2．3 入侵檢測系統(tǒng)流程圖
    入侵檢測系統(tǒng)由數(shù)據(jù)采集、數(shù)據(jù)分析和結(jié)果輸出三部分組成。其總體運行流程圖如圖3所示。

[!--empirenews.page--]
2．4 部署分布式NIDS
    在整個網(wǎng)絡中部署入侵檢測系統(tǒng)，要在需要檢測的主機上配置入侵檢測系統(tǒng)檢測器。檢測器可以放于防火墻之外，也可以放在防火墻之內(nèi)。
    怎么放置檢測卡，要看我們的側(cè)重點在哪里。如果放在防火墻之外，可以清楚掌握站點和防火墻的非法攻擊；放在防火墻之內(nèi)，可以通過設置良好的防火墻，使得檢測器不用將大部分的注意力分散在這類攻擊上。當放在防火墻內(nèi)部會比外部脆弱一些。
    如果有需要，我們可以將檢測器同時放置在防火墻的內(nèi)部和外部。

3 基于IPv6的NIDS模塊設計與實現(xiàn)
    基于IPv6的入侵檢測系統(tǒng)從邏輯上可分為數(shù)據(jù)采集、數(shù)據(jù)分析和結(jié)果輸出三部分，符合CIDF的規(guī)范。系統(tǒng)由數(shù)據(jù)包捕獲模塊、協(xié)議解析模塊、規(guī)則處理模塊、分析檢測模塊、存儲模塊和響應模塊六個模塊組成，體系結(jié)構(gòu)框架如圖4所示。

    (1)數(shù)據(jù)包捕獲模塊。數(shù)據(jù)包捕獲是入侵檢測的基礎，數(shù)據(jù)捕獲的準確性、可靠性和效率決定了整個入侵檢測系統(tǒng)的性能。它的主要功能就是從以太網(wǎng)上捕獲數(shù)據(jù)包。我們的設計是采用在Linux操作系統(tǒng)中使用系統(tǒng)底層調(diào)用來實現(xiàn)數(shù)據(jù)包的捕獲。我們?yōu)榱颂岣邤?shù)據(jù)包的捕獲性能，系統(tǒng)中采用的是在Linux下非常流行的BPF捕獲機制。它的優(yōu)點是不需要再用底層的調(diào)用來編寫代碼，封裝了底層調(diào)用并作了優(yōu)化處理。
    (2)協(xié)議解析模塊。協(xié)議解析模塊是入侵檢測系統(tǒng)的基礎，它對捕獲到的數(shù)據(jù)包進行詳細的協(xié)議分析，檢測出每個數(shù)據(jù)包的類型和特征。此模塊的設計功能是否齊全和合理，會直接影響到入侵檢測系統(tǒng)的性能。
    (3)規(guī)則處理模塊。規(guī)則庫是一個入侵檢測系統(tǒng)的知識庫，它的成功與否會直接決定入侵檢測系統(tǒng)的綜合性能，當入侵檢測庫越豐富的時候，系統(tǒng)能檢測到的入侵行為就會越多，系統(tǒng)才會更安全。
    (4)分析檢測模塊。分析檢測模塊完成的是一個匹配性工作。協(xié)議解析模塊對捕獲的數(shù)據(jù)包進行分析，規(guī)則處理模塊建立了入侵規(guī)則庫，而入侵檢測模塊需要做的就是完成對這兩部分的匹配工作。當匹配成功，就說明有入侵行為發(fā)生。此外，該模塊除了使用入侵規(guī)則庫來檢測入侵之外，還有異常檢測功能，比方說對掃描入侵行為的檢測就使用了異常檢測技術(shù)。我們采用的是基于協(xié)議分析匹配技術(shù)。
    (5)存儲模塊。存儲模塊的主要功能是存儲網(wǎng)絡相關信息，健全日志，以方便事后分析和處理。例如分析IP協(xié)議的分布情況，分析某個IP的活動情況，等等。我們采用的是使用MySQL數(shù)據(jù)庫存儲的。
    (6)響應模塊。當入侵檢測系統(tǒng)檢測到入侵時，會通過響應模塊來處理相關的事務。響應模塊可以采取各種措施對檢測引擎檢測到的入侵行為進行相應的響應，常見的有傳送消息給防火墻、截斷外部入侵行為等，也可以只向網(wǎng)絡管理員進行報警，由網(wǎng)絡管理員根據(jù)入侵情況再決定采取相應的防御措施。

4 結(jié)論
    目前采用的網(wǎng)絡安全防御體系由于自身存在著缺陷和不足，使得網(wǎng)絡安全問題一直困擾著我們的工作。網(wǎng)絡入侵檢測技術(shù)通過改變以往的被動防御方式，能夠主動地跟蹤入侵行為，并及時做出相應的響應。使得網(wǎng)絡入侵檢測系統(tǒng)成為了防火墻之后最有力的安全防線。正是這些優(yōu)點使得網(wǎng)絡入侵檢測系統(tǒng)成為了當前網(wǎng)絡安全方面研究的熱點。同時隨著IPv6的應用和普及，原有的網(wǎng)絡將面臨全新的挑戰(zhàn)，當然也包括對網(wǎng)絡安全體系的挑戰(zhàn)。本文提出的就是在IPv6協(xié)議下構(gòu)建全新的網(wǎng)絡入侵檢測防御體系。