《入侵探测器通用技术条件》5篇

第一篇：《入侵探测器通用技术条件》

1.主题内容与适用范围

本标准规定了入侵探测器的通用技术要求和试验方法，是设计、制造入侵探测器及各类入侵探测器技术条件的基本基础。

本标准适用于防盗报警系统中使用的各类入侵探测器，也适用于防盗、防火复合系统中的入侵探测器。

2．引用标准

GB4208 外壳防护等级的分类

GB6833.1 电子测量仪器的电磁兼容性试验规范总则

GB6833.3 电子测量仪器电磁兼容性试验规范静电放电敏感度试验

GB6833.4 电子测量仪器电磁兼容性试验规范电源瞬间敏感度试验

GB6833.5 电子测量仪器电磁兼容性试验规范辐射敏感度试验

3．术语

3．1 入侵探测器intrusion detectors

用来探测入侵者的移动或其他动作的电子及机械部件所组成的装置。

3． 2 电路 high voltage circuit

交流电压有效值大于30V、直流电压大于42.4V,且交流电压小于600V并具有过压限制的电路。

3． 3 压电路low voltage circuit

交流电压有效值不大于30V，直流电压不大于42.4V,且输出功率不大于100W的电路。

3．4 安全电路safety circuit

用来避免引起火灾、触电或因无意碰到活动部件而发生危险的电路。

3．5 警戒状态 standby condition

入侵探测器接通电源后，能探测到入侵者并转入报警状态。

3．6 报警状态alarm condition

输出信号表明入侵已经发生的状态。

3．7 故障状态 failure condition

探测器不能正常工作的状态。

3．8 误报警 false alarm

没有入侵者，而由于入侵探测器本身的原因或操作不当或环境影响而触发报警。

3．9 漏报警 leakage alarm

入侵已经发生，而入侵探测器没有给出报警信号。

3．10 参考目标 reference target

体重为60±20kg的正常人或模拟物体。

3．11 探测范围 area of detection coverage

由入侵探测器所防护的区域

3．12 探测距离detection range

在给定方向从探测器到探测范围边界的距离。

3．13 可探测速度 detectable speed

探测器应能探测到的参考目标的移动速度，一般为0.3－３m/s。4．技术要求

4．1．1 外观

入侵探测器的外壳尺寸应与图纸相符。塑料外壳表面应无裂纹、退色及永久性污渍，也无明显变形和划痕。金属壳表面涂覆不能露出底层金属，并无起泡、腐浊、缺口、毛刺、蚀点、划痕、涂层脱落和沙孔等。控制机构灵活，标志清晰。

4．1．2 外壳

4．1．2．1 外壳的防护等级应符合GB4208的规定。

4．1．2．2 外壳和框架应有足够的机械强度和刚度。装与高压电路的外壳应能承受按5.2.3.2所规定的冲击强度试验而不产生永久性变形和损坏。

4．1．2．3 外壳应有防触电防护：处于暴露状态的部件不应有使人触电的危险。为连接外部天线的外接天线端子应有电阻连接到电源电路的地端，其阻值为5.1MΩ,额定功率大于或等于0.5W。

4．1．3 接线柱和引出线的牢固性

4．1．3．1 接线柱应有防止转动和松动的措施。对快接接线柱进行20次连接和20次断开试验后，在最容易拉断的方向施加24.5N的拉力60S,引出线与接线柱不应脱落。

4．1．3．2 引出线应能承受20次直角弯曲而不折断，每根引线并能承受14.7N的拉力作用60S而不损伤。

4．1．3．3 交流电源引线应能承受19.6N的拉力作用60S而不损伤。

4.2 电性能要求

4．2．1 功能

在正常环境条件下，按产品说明书进行正常操作时应完成产品标准所规定的功能。

4．2．2． 过流保护

4．2．2．1 如果在变压器的初级电路中有断路器或保险丝，则它们的额定值应与产品的最大输出额定值相适应。

4．2．2．2 对于不要求区分极性的接线柱与相邻接线柱或成对反接，或碰到电源端，均不应损坏设备，也不能使内部电路损坏。

对于要求区分极性的接线柱，则应极性标志放在最靠近接线柱的地方。

4．2．3 防拆保护

入侵探测器应有防拆开关，打开外壳时入侵探测器应输出报警信号。

4．2．4 灵敏度和探测范围

入侵探测器的灵敏度和探测范围应符合产品标准的规定。

4．2．5 电源适用范围

当入侵探测器的电源电压在额定值的85%—110%范围内变化时，入侵探测器应不需要调整而能正常工作，且性能指标应符合要求。

4．2．6 过压运行

入侵探测器在电源电压为额定值的115%时，以每分钟不大于15次的报警速率循环50次，每次均应完成警戒、报警功能。

4．2．7 电源功耗

入侵探测器警戒状态和报警状态的功耗应符合产品标准的规定。

4．2．8 备用电源

4．2．8．1 使用交流电源供电的入侵探测器应有直流备用电源，并能在交流电源断电时自动切换到备用电源。

4．2．8．2 备用电源的使用时间：银行、仓库、文物单位的报警系统为24h，商业报警系统为16h。交流电源恢复时对备用电源自动充电。

4．2．8．3 应提供备用电源的类型、电压、电池容量等有关资料。

4．2．9 接口

入侵探测器的接口：警戒状态为无电位的常闭触点或导通电阻不大于100Ω。报警状态和未加电时为常闭触点开路或开路电阻不小于1MΩ。

4．3 环境适应性要求

4．3．1 入侵探测器环境试验的分组

入侵探测器根据其使用环境的严酷程度分为三组。

I组：能经受偶尔的较轻振动，能适应中等程度的高低温和湿度的变化，在一般室内条件下使用。

II组：能经受突然跌落或频繁移动中承受较大振动和冲击，能适应较大程度的高低温和湿度的变化，并能在露天（或简易遮盖）条件下使用。

III组：除II组条件外，并在严寒露天 下使用。

入侵探测器在表1规定的条件下应能正常工作。试验后灵敏度或探测范围的变化量不应超过±25%。

4．3．3 入侵探测器经自由跌落试验后应能正常工作，并且无元器件松动、位移和损坏，机壳不应变形。

4． 4 稳性要求

入侵探测器在正常气候环境下，连续工作7天不应出现误报警和漏报警，其灵敏度或探测范围的变化不应超过±10%。

4．5 耐久性要求

入侵探测器在额定电压和额定负栽电流下进行警戒、报警和复位，循环6000次，应无电的或机械的故障，也不应有器件损坏或触点粘连。

4．6 抗干扰要求

4．6．1 入侵探测器应符合GB6833.1中规定的静电放电敏感度试验、电源瞬态敏感度试验、辐射敏感度试验中的要求，不应出现误报警和漏报警。

4．6．2 抗热气流干扰

入侵探测器在警戒状态下热气流干扰时应能正常工作，不应出现误报警和漏报警。

4．7 安全性要求

4．7．1 绝缘电阻

入侵探测器电源插头或电源引入端子与外壳或外壳裸露金属部件之间的绝缘电阻在正常环境条件下应不小于100 MΩ，湿热条件下应不小于10MΩ（直流电压小于36V且一端接地者除外）。

4．7．2 抗电强度

入侵探测器电源插头或电源引入端子与外壳或外壳裸露金属部分之间，应能承受表2规定的50HZ的交流电压的抗电强度试验，历时1min应无击穿和飞弧现象（直流电压小于36V且一端接地者除外）。

4．7．3 阻燃要求

外壳有开孔且有着火危险的入侵探测器，其外壳经火焰烧5次，每次5s，不应烧着起火。

4．7．4 人为故障引燃

无过载保护的入侵探测器在人为的造成最严酷的电路故障时不应有触电或燃烧的危险。

4．8 耐腐蚀要求

在有腐蚀气氛环境工作的入侵探测器经耐腐蚀试验后，应能正常工作，表面应无腐蚀及生锈现象。

4．9 可靠性要求

入侵探测器在正常工作条件下平均无故障工作时间分为A、B、C、D四级，各类产品指标不应低于A级的要求。

A级：1×103h

B级：5×103h

C级：2×104h

D级：6×104h 5．试验方法

5．11 试验条件

除有特殊情况外，所有试验应在以下正常环境条件下进行：

温度：15—30℃；

相对湿度：45%—75%；

大气压力：86—106kPa。

5．2 外观和结构性能试验

5．2．1 用卡尺等量具对照图纸检验外型尺寸，目视检验外观，用手检验控制机构，均应符合4.1.1和7.1.1的要求。

5．2．2 外壳防护等级按GB4208中的试验方法进行试验，应符合4.1.2.1的要求。

5．2．3 外壳机械强度试验

5．2．3．1 外壳压力试验

对于内部有高压电路的受试样品，将样品平放，在外壳水平面的中央放一个直径为177mm的钢质半球，球面朝下施加111N的力，作用60±2s，试验后进行外观检查，外壳不应产生永久性变形及损坏。

对内部仅有低压电路的手试样品，在外壳水平面的中央放一个直径为137mm的钢质半球，球面朝下施加49N的力，作用602±s，试验后进行外观检查，外壳不应产生永久性变形及损坏。

5．2．3．2 外壳冲击强度试验

对于内部有高压电路的受试样品，将样品平放，用一个直径为50.8mm，重量为540g的钢球，从1.3m的高度垂直自由落下冲击在外壳表面上。

对于内部仅有低压电路的受试样品，将样品平放，用一个直径为50.8mm的钢球，从0.5m的高度垂直自由落下冲击在外壳表面上。

受试样品经冲击试验后均应符合4.1.2.2的要求。

5．2．4 接线柱和引出线牢固性试验

5．2．4．1 拉力试验

受试样品应固定在正常位置，引出线按产品规定连线，沿着引出线向样品逐渐施加拉力至4.1.3的规定值,保持60±2s，试验后外观检查应符合4.1.3的要求。

5．2．4．2 引出线弯曲试验

经外观和电性能检查的样品，在引出线末端挂1.5kg的重物，然后样品在垂直平面上倾斜大约900，时间约2—3s,接着返回原来位置，即构成一次弯曲。按此方法再向相反方向弯曲，达到规定次数后应符合4.1.3.2的要求。

5．3 电性能试验

5．3．1 功能检查

在额定电源电压下，按产品说明书进行正常操作，应符合4.2.1的要求。

5．3．2 过流保护

经初始检查的样品，对不要求区分极性的接线柱与相邻接线柱短路60±2s；

对不要求区分极性的接线柱的引线与相邻接线柱反接后，保持60±2s；

对不要求区分极性的接线柱的引线与电源端的引线碰触1±0.5s；

试验后均应符合4.2.2.2的要求。

5．3．3 防拆保护试验

经初始检测的样品，打开样品的外壳应发出报警信号。

5．3．4 灵敏度和探测范围试验

按产品技术条件检查受试样品应符合产品标准的规定。

5．3．5 电源电压适用范围试验

5．3．5．1 交流供电十用精度0.5级,量程1.5倍于电源电压的电压表监测,电源电压应以下几种进行试验,每次试验时间不小于15min，试验过程中应检测其功能、灵敏度或探测范围，受试样品应符合4.2.4和4.2.5的要求。

a.220V

b.187V

c.242V

5．3．5．2 直流供电时用精度0.5级，量度1.5倍于电源电压的直流电压表监测电源电源，用可调直流稳压电源改变其电压值，分别在额定值的85%和110%进行试验。每次试验时间不小于15min，试验过程中应检验其功能、灵敏度或探测范围，受试样品应符合4.2.4和4.2.5的要求。

5．3．6 过压运行试验

按4.2.6要求,经初始检查的样品在电源电压为额定值的115%时,受试验样品处于警戒状态,移动参考目标使受试样品转入报警状态,然后解除,再进入警戒状态,完成一次循环。

以每分钟不大于15次的报警速率，共循环50次，每次均应能完成警戒和报警功能。

5．3．7 电源功耗检查

用精度0.5级,量程1.5倍于额定电流值的电流表监测功耗电流应符合4.2.7的规定。

5．3．8 备用电源试验

5．3．8．1 自动切换试验

使用交、直流电源供电的产品按说明书连接备用电源，经初始检测后切断交流电源，检测受试样品功能和探测范围应符合4.2.1和4.2.4的规定。

5．3．8．2 使用备用电源的功耗和自充电检查

对于4.2.8.2备用电源的使用时间由备用电源的容量和受试样品在警戒状态下消耗电流I来计算。

按5.3.7测出I,再按备用电源的额定值Q(A.h)计算出时间T（h），应符合4.2.8.2的要求。

用0.5级电流表串入直流电源电路测量备用的充电电流。

5．3．9 接口检查

用三用表测量受试验样品输出端对地的电位和电阻值应符合4.2.9的要求。

5．4 环境适应性试验

在进行环境适应性试验时，除另有规定外，受试样品不应加任何防护包装。在试验中改变温度时，升温和降温速率不应超过1℃/min。

5．4．1 高温试验

5．4．1．1 受试样品在正常环境条件下放置1h后进行检测，测量其灵敏度S1可探测距离R1。

5．4．1．2 将受试样品接通电源放入高温箱内，使箱内温度上升到表1规定值，立即检查报警功能；恒温到时后再次检查报警功能，均应正常工作。

5．4．1．3 关断受试样品的电源，在正常环境条件下恢复2h后，进行检测，测量受试样品的灵敏度S2或探测距离R2，其余化量δ应符合4.3.2的要求。

R2-R1 S2-S1

δ= ×100% 或 δ= ×100% 或

R1 S1

注：R1或S1为环境试验前的初始测量值，R2或S2可按三次测量的平均值计算。

5．4．2 恒定湿热试验

5．4．2．1 将经过初始检测的样品关断电源，放入湿热箱内，使箱内温度升到40±2℃，然后使湿度达到（93+2-3）%，平衡后开始计时，维持此值48h后，在箱内接通电源进行功能检查，应能正常工作。从箱内取出后立即测量绝缘电阻和抗点强度，均应符合4.7.1和4.7.2的要求。

5．4．2．2 经抗电强度试验后的样品在正常环境条件下，关断电源，恢复2h，按5.4.1.3的试验方法进行最后检测,并计算灵敏度或探测范围的变化量,其值应不超过±25%。

5．4．3 低温试验

5．4．3．1 把作完湿热试验后的样品放入低温箱内，使箱内的温度降至表1中的规定值，恒温2h后，立即通电检查报警功能，应能正常工作。

5．4．3．2 受试样品继续留在箱内，在正常环境条件下，保持2h后把受试样品从箱内取出，按5.4.1.3的方法进行最后的检测,探测距离的变化量不应超过±25%。

5．4．4 低温贮存试验

5．4．4．1 将受试样品放入低温箱内，使箱内温度降低到-40±3℃，在此温度范围内保持16h，然后受试样品从箱内取出，在正常环境条件下恢复2h，对受试样品进行最后检测。也可按5.4.3.2的方法进行恢复。

5．4．4．2 按5.4.1.3的方法进行最后检测,并计算灵敏度或探测范围的变化量,其值不应超过±25%。

5．4．5 振动试验

5．4．5．1 将受试样品按正常位置牢固地固定在振动台上，如果受试样品有减振架，应拆去或架空。

5．4．5．2 振动为正弦振动，条件按表1规定，在X、Y、Z三个轴线方向分别在10—15 —10Hz范围内进行振动响应检查。如果有共振频率，则在此频率上振动30min；如果无共振频率，则在35Hz振动30min，共90min。

5．4．5．3 受试样品经振动试验后应能正常工作，并且无元器件松动、位移和损坏。

5．4．6 冲击试验

5．4．6．1 按5.4.5.1的方法把受试样品牢固地固定在冲击台上。

5．4．6．2 按表1 规定的加速度和持续时间分别在X、Y、Z三个轴向各冲击三次，试验后样品不应有明显的损坏或变形。按产品标准检验其功能，应能正常工作。

5．4．7 自由跌落试验

5．4．7．1 试验表面为平滑、坚硬的水泥地面。

5．4．7．2 经初始检测的样品，按出厂包装，在任意的四个面各自由跌落1次。

5．4．7．3 跌落高度为：小于或等于20kg的样品，跌落高度为1000mm，大于20kg而小于或等于50kg的样品，跌落高度为500mm。

5．4．7．4 受试样品经跌落试验后符合4.3.3的要求。

5．5 稳定性试验

5．5．1 经初始检测的样品，按正常使用位置安装，并施加额定电源电压，调到最高灵敏度或制造厂家规定范围，在正常环境条件下连续工作7天，每天至少进行一次报警功能检查，每次均应能正常工作，并且7天内不应出现漏报警或误报警。

5．5．2 实验后按5.4.1.3方法进行最后检测,并计算灵敏度或探测距离的变化量,其值不应超过±10%。

5．6 耐久性实验

5．6．1 经初始检测的样品，在额定电源电压和额定工作电流下，使样品从警戒状态进入报警状态，再由报警状态转入警戒状态为一次循环，一不大于15次/min的速率共循环6000次。

5．6．2 试验后进行外观检查和功能检查，应符合4.5条的要求。

5．7 抗干扰试验

5．7．1 抗电磁干扰实验

5．7．1．1 静电放电敏感度实验

经初始检测的样品按GB6833.3中规定的实验方法进行试验,受试样品应能正常工作,不出现漏报警或误报警。

5．7．1．2 电源瞬间敏感度试验

经初始检测的样品，按GB6833.4中规定的试验方法进行试验,手试样品应能正常工作,不出现误报警或漏报警。

5．7．1．3 辐射敏感度试验

经初始检测的样品，按GB6833.5中规定的试验方法进行试验,受试样品应能正常工作,不应出现误报警或漏报警。

5．7．2 抗热气流干扰试验

经初始检测的样品，按正常工作位置放置在一个3000W电炉上方1m处，受试样品在额定电源电压下处于警戒状态，然后将电源通电5min，关断25min，共试验3h，在此过程中受试样品应能正常工作，不应出现误报警或漏报警。

5．8 安全性试验

5．8．1 绝缘电阻试验

用500V精度1.0级的兆欧表，测量受试样品的电源插头或电源引入端与外壳上裸露金属零部件之间的绝缘电阻。受试样品的电源开关在接通位置，但其电源插头不接入电网。施加500V试验电压稳定5s后，读取绝缘电阻数值，应符合4.7.1的要求。试验后受试样品应能正常工作。

5．8．2 抗电强度试验

经初始检测的样品，在其电源插头或电源引入端与机壳或机壳裸露金属零部件之间，用功率不小于500VA，50Hz的可调电源馈给试验电压，试验电压以200V/min的速度由6V逐渐加到表2的规定值保持1min，试验结果应符合4.7.2的要求。试验后以200V/min的速率将试验电压降到低于工作电压后，断开试验电源。

5．8．3 阻燃试验

采用本生灯，燃稀气体为丁烷加空气，火焰直径9.5mm

第二篇：入侵检测技术论文

目录

第一章 绪论

1.1 入侵检测技术的背景 1.2 程序设计的目的 第二章 入侵检测系统 2.1 网络入侵概述

2.2 网络存在的安全隐患

2.3 网络入侵与攻击的常用手段 2.4 入侵检测技术

2.4.1 误用入侵检测技术 2.4.2 异常入侵检测技术

第三章 协议分析 3.1 协议分析简介 3.2 协议分析的优势

第四章 PANIDS系统的设计及实现 4.1 PANIDS系统总体结构设计

4.2 系统基本信息读取模块的设计及实现 4.3 网络数据包捕获模块的设计及实现 4.4 基于协议分析的入侵检测模块的设计及实现 4.4.1 数据包的分解 4.4.2 入侵检测的实现 4.5 实验结果及结论

第五章 总结与参考文献

摘要

网络技术高速发展的今天，人们越来越依赖于网络进行信息的处理。因此，网络安全就显得相当重要，随之产生的各种网络安全技术也得到了不断地发展。防火墙、加密等技术，总的来说均属于静态的防御技术。如果单纯依靠这些技术，仍然难以保证网络的安全性。入侵检测技术是一种主动的防御技术，它不仅能检测未经授权的对象入侵，而且也能监视授权对象对系统资源的非法使用。传统的入侵检测系统一般都采用模式匹配技术，但由于技术本身的特点，使其具有计算量大、检测效率低等缺点，而基于协议分析的检测技术较好的解决了这些问题，其运用协议的规则性及整个会话过程的上下文相关性，不仅提高了入侵检测系统的速度，而且减少了漏报和误报率。本文提出了一种基于协议分析的网络入侵检测系统PANIDS的模型，在该模型中通过Winpcap捕获数据包，并对数据包进行协议分析，判断其是否符合某种入侵模式，从而达到入侵检测的目的。

关键词： 入侵检测，协议分析，PANIDS

第一章 绪论

1.1 入侵检测技术的背景

随着计算机网络的飞速发展，网络通信已经渗透到社会经济、文化和科学的各个领域；对人类社会的进步和发展起着举足轻重的作用，它正影响和改变着人们工作、学习和生活的方式。另外，Internet的发展和应用水平也已经成为衡量一个国家政治、经济、军事、技术实力的标志；发展网络技术是国民经济现代化建设不可缺少的必要条件。网络使得信息的获取、传递、存储、处理和利用变得更加有效、迅速，网络带给人们的便利比比皆是。然而，网络在给人们的学习、生活和工作带来巨大便利的同时也带来了各种安全问题。网络黑客可以轻松的取走你的机密文件，窃取你的银行存款，破坏你的企业帐目，公布你的隐私信函，篡改、干扰和毁坏你的数据库，甚至直接破坏你的磁盘或计算机，使你的网络瘫痪或者崩溃。因此，研究各种切实有效的安全技术来保障计算机系统和网络系统的安全，已经成为刻不容缓的课题。伴随着网络的发展，各种网络安全技术也随之发展起来。常用的网络安全技术有：数据加密、虚拟专用网络（VPN，Virtual Private Network）、防火墙、杀毒软件、数字签名和身份认证等技术。这些传统的网络安全技术，对保护网络的安全起到非常重要的作用，然而它们也存在不少缺陷。例如，防火墙技术虽然为网络服务提供了较好的身份认证和访问控制，但是它不能防止来自防火墙内部的攻击、不能防备最新出现的威胁、不能防止绕过防火墙的攻击，入侵者可以利用脆弱性程序或系统漏洞绕过防火墙的访问控制来进行非法攻击。传统的身份认证技术，很难抵抗脆弱性口令、字典攻击、特洛伊木马、网络窥探器以及电磁辐射等攻击手段。虚拟专用网技术只能保证传输过程中的安全，并不能防御诸如拒绝服务攻击、缓冲区溢出等常见的攻击。另外，这些技术都属于静态安全技术的范畴；静态安全技术的缺点是只能静态和消极地防御入侵，而不能主动检测和跟踪入侵。而入侵检测技术是一种动态安全技术，它主动地收集包括系统审计数据，网络数据包以及用户活动状态等多方面的信息；然后进行安全性分析，从而及时发现各种入侵并产生响应。1.2 程序设计的目的

在目前的计算机安全状态下，基于防火墙、加密技术等的安全防护固然重要；但是要根本改善系统的安全现状，必须要发展入侵检测技术。它已经成为计算机安全策略中的核心技术之一。Intrusion Detection System（简称IDS）作为一种主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护。从网络安全立体纵深的多层次防御角度出发，入侵检测理应受到高度重视，这从国外入侵检测产品市场的蓬勃发展就可以看出。在国内，随着上网关键部门、关键业务越来越多，迫切需要具有自主版权的入侵检测产品；但目前我国的入侵检测技术还不够成熟，处于发展和跟踪国外技术的阶段，所以对入侵检测系统的研究非常重要。传统的入侵检测系统中一般采用传统的模式匹配技术,将待分析事件与入侵规则相匹配。从网络数据包的包头开始与攻击特征字符串比较。若比较结果不同,则下移一个字节再进行；若比较结果相同,那么就检测到一个可 能 的攻击。这种逐字节匹配方法具有计算负载大及探测不够灵活两个最根本的缺陷。面对近几年不断出现的ATM、千兆以太网、G比特光纤网等高速网络应用,实现实时入侵检测成为一个现实的问题。适应高速网络的环境，改进检测算法以提高运行速度和效率是解决该问题的一个途径。协议分析能够智能地”理解”协议,利用网络协议的高度规则性快速探测攻击的存在,从而大大减少了模式匹配所需的运算。所以说研究基于协议分析的入侵检测技术具有很强的现实意义。

第二章 入侵检测系统

2.1 网络入侵概述

网络在给人们带来便利的同时也引入了很多安全问题。从防卫者的角度来看，网络安全的目标可以归结为以下几个方面 ：（1）网络服务的可用性。在需要时，网络信息服务能为授权用户提供实时有效的服务。

（2）网络信息的保密性。网络服务要求能防止敏感信息泄漏，只有授权用户才能获取服务信息。

（3）网络信息的完整性。网络服务必须保证服务者提供的信息内容不能被非授权篡改。完整性是对信息的准确性和可靠性的评价指标。

（4）网络信息的不可抵赖性。用户不能否认消息或文件的来源地，也不能否认接受了信息或文件。

（5）网络运行的可控性。也就是网络管理的可控性，包括网络运行的物理的可控性和逻辑或配置的可控性，能够有效地控制网络用户的行为及信息的传播范围。

2.2 网络存在的安全隐患

网络入侵从根本上来说，主要是因为网络存在很多安全隐患，这样才使得攻击者有机可乘。导致网络不安全的主要因素可以归结为下面几点：

（1）软件的Bug。众所周知，各种操作系统、协议栈、服务器守护进程、各种应用程序等都存在不少漏洞。可以不夸张的说，几乎每个互联网上的软件都或多或少的存在一些安全漏洞。这些漏洞中，最常见的有缓冲区溢出、竞争条件（多个程序同时访问一段数据）等。

（2）系统配置不当。操作系统的默认配置往往照顾用户的友好性，但是容易使用的同时也就意味着容易遭受攻击。这类常见的漏洞有：系统管理员配置不恰当、系统本身存在后门等。

（3）脆弱性口令。大部分人为了输入口令的时候方便简单，多数都使用自己或家人的名字、生日、门牌号、电话号码等作为口令。攻击者可以通过猜测口令或拿到口令文件后，利用字典攻击等手段来轻易破解口令。

（4）信息泄漏。入侵者常用的方法之一就是窃听。在广播式的局域网上，将网卡配置成”混杂”模式，就可以窃听到该局域网的所有数据包。如果在服务器上安装窃听软件就可以拿到远程用户的帐号和口令。

（5）设计的缺陷。最典型的就是TCP/IP协议，在协议设计时并没有考虑到安全因素。虽然现在已经充分意识到了这一点，但是由于TCP/IP协议已经广泛使用，因此暂时还无法被完全代替。另外，虽然操作系统设计的时候考虑了很多安全因素，但是仍然无法避免地存在一些缺陷。例如，广泛使用的Windows操作系统，几乎每隔几个月都要出一定数量的安全补丁，就是因为系统存在很多安全隐患。2.3 网络入侵与攻击的常用手段

长期以来，黑客攻击技术没有成为系统安全研究的一个重点，一方面是攻击技术很大程度上依赖于个人的经验以及攻击者之间的交流，这种交流通常都是地下的，黑客有他们自己的交流方式和行为准则，这与传统的学术研究领域不相同；另一方面，研究者还没有充分认识到：只有更多地了解攻击技术，才能更好地保护系统的安全。下面简单介绍几种主要的攻击类型。1.探测攻击

通过扫描允许连接的服务和开放端口，能迅速发现目标主机端口的分配情况以及所提供的各项服务和服务程序的版本号。另外通过扫描还可以探测到系统的漏洞等信息。黑客找到有机可乘的服务或端口后就可以进行攻击了。常见的探测扫描程序有：SATAN、NTScan、X_Scan、Nessus等。2.网络监听

将网卡设置为混杂模式，对已流经某个以太网段的所有数据包进行监听，以获取敏感信息，如包含了”usename”或”password”等信息的数据包。常见的网络监听工具有：NetRay、Sniffer、Etherfind、Snoop、Tcpdump等。3.解码类攻击

通过各种方法获取password文件，然后用口令猜测程序来破译用户帐号和密码。常见的解码工具有：Crack、LophtCrack等。

2.4 入侵检测技术

入侵检测技术可以分为两大类：异常入侵检测技术和误用入侵检测技术。下面分别介绍这两种入侵检测技术。2.4.1 误用入侵检测技术

误用入侵检测首先对表示特定入侵的行为模式进行编码，建立误用模式库；然后对实际检测过程中得到的审计事件数据进行过滤，检查是否包含入侵特征串。误用检测的缺陷在于只能检测已知的攻击模式。常见的误用入侵检测技术有以下几种：

1.模式匹配

模式匹配是最常用的误用检测技术，特点是原理简单、扩展性好、检测效率高、可以实时检测；但是只能适用于比较简单的攻击方式。它将收集到的信息与已知的网络入侵和系统误用模式串进行比较，从而发现违背安全策略的行为。著名的轻量级开放源代码入侵检测系统Snort就是采用这种技术。2.专家系统

该技术根据安全专家对可疑行为的分析经验来形成一套推理规则，然后在此基础上建立相应的专家系统来自动对所涉及的入侵行为进行分析。该系统应当能够随着经验的积累而利用其自学习能力进行规则的扩充和修正。专家系统方法存在一些实际问题：处理海量数据时存在效率问题，这是由于专家系统的推理和决策模块通常使用解释型语言来实现，所以执行速度比编译型语言慢；专家系统的性能完全取决于设计者的知识和技能；规则库维护非常艰巨，更改规则时必须考虑到对知识库中其他规则的影响等等。3.状态迁移法

状态迁移图可用来描述系统所处的状态和状态之间可能的迁移。状态迁移图用于入侵检测时，表示了入侵者从合法状态迁移到最终的危害状态所采取的一系列行动。

在检测未知的脆弱性时，因为状态迁移法强调的是系统处于易受损的状态而不是未知入侵的审计特征，因此这种方法更具有健壮性。而它潜在的一个弱点是太拘泥于预先定义的状态迁移序列。这种模型运行在原始审计数据的抽象层次上，它利用系统状态的观念和事件的转变流；这就有可能提供了一种既能减少误警率又能检测到新的攻击的途径。另外，因为涉及了比较高层次的抽象，有希望把它的知识库移植到不同的机器、网络和应用的入侵检测上。2.4.2 异常入侵检测技术

异常检测是通过对系统异常行为的检测来发现入侵。异常检测的关键问题在于正常使用模式的建立，以及如何利用该模式对当前系统或用户行为进行比较，从而判断出与正常模式的偏离程度。”模式”（profiles）通常使用一组系统的度量（metrics）来定义。度量，就是指系统或用户行为在特定方面的衡量标准。每个度量都对应于一个门限值。常用的异常检测技术有： 1.统计分析

最早的异常检测系统采用的是统计分析技术。首先，检测器根据用户对象的动作为每个用户建立一个用户特征表，通过比较当前特征与已存储定型的以前特征，从而判断是否异常行为。统计分析的优点：有成熟的概率统计理论支持、维护方便，不需要象误用检测系统那样不断地对规则库进行更新和维护等。统计分析的缺点：大多数统计分析系统是以批处理的方式对审计记录进行分析的，不能提供对入侵行为的实时检测、统计分析不能反映事件在时间顺序上的前后相关性，而不少入侵行为都有明显的前后相关性、门限值的确定非常棘手等。2.神经网络

这种方法对用户行为具有学习和自适应功能，能够根据实际检测到的信息有效地加以处理并做出入侵可能性的判断。利用神经网络所具有的识别、分类和归纳能力，可以使入侵检测系统适应用户行为特征的可变性。从模式识别的角度来看，入侵检测系统可以使用神经网络来提取用户行为的模式特征，并以此创建用户的行为特征轮廓。总之，把神经网络引入入侵检测系统，能很好地解决用户行为的动态特征以及搜索数据的不完整性、不确定性所造成的难以精确检测的问题。利用神经网络检测入侵的基本思想是用一系列信息单元（命令）训练神经单元，这样在给定一组输入后，就可能预测输出。将神经网络应用于攻击模式的学习，理论上也是可行的。但目前主要应用于系统行为的学习，包括用户以及系统守护程序的行为。与统计理论相比，神经网络更好地表达了变量间的非线性关系，并且能自动学习并更新。

神经网络也存在一些问题：在不少情况下，系统趋向于形成某种不稳定的网络结构，不能从训练数据中学习特定的知识，这种情况目前尚不能完全确定产生的原因；另外，神经网络对判断为异常的事件不会提供任何解释或说明信息，这导致了用户无法确认入侵的责任人，也无法判断究竟是系统哪方面存在的问题导致了攻击者得以成功入侵。

前面介绍了误用检测和异常检测所使用的一些常用检测手段，在近期入侵检测系统的发展过程中，研究人员提出了一些新的入侵检测技术。这些技术不能简单地归类为误用检测或异常检测，它们提供了一种有别于传统入侵检测视角的技术层次。这些新技术有：免疫系统、基因算法、数据挖掘、基于代理的检测等等，他们提供了更具有普遍意义的分析检测技术，或者提出了新的检测系统构架，因此无论是对误用检测还是对异常检测来说都可以得到很好的应用。

第三章 协议分析

3.1 协议分析简介 1.以太帧协议分析

这是对以太网数据帧头进行协议分析，并把分析的结果记入Packet结构中。分析完以太帧头后把数据包传送到下一级协议分析程序中。数据帧的第13和14两个字节组成的字段是协议类型字段。如果用十六进制表示，那么IP协议对应0X0800、ARP对应0X0806、RARP对应0X0835。2.ARP和RARP数据包协议分析

这是对ARP或RARP数据进行协议分析，并把协议分析后的数据送入基于ICMP协议规则集的匹配检测模块进行检测，查看是否存在ARP和RARP相关的攻击。由于基于ARP/RARP协议的攻击较少，所以把他们归入ICMP协议规则集中。3.IP数据包协议分析

这是对IP 数据包进行协议分析，并把协议分析后的数据送入基于IP协议规则集的匹配检测程序中进行检测。IP数据包首部的第一个字节的后面4个比特组成的字段标识了IP首部的长度。该字段的值乘以4就等于IP首部的长度。没有包含IP选项的普通IP首部长度为20，如果大于20就说明此IP数据包包含IP首部。第5和第6个字节是IP数据包的16位标识，每一IP数据包都有唯一的标识。该标识在IP数据包分片重组时中起到至关重要的作用，每个分片就是通过检查此ID号来判别是否属于同一个IP包。第7个字节开始的前3个比特是重要的标志位：第一个标志位（最高位）为保留位（该位必须为0，否则就是一个错误的IP数据包），第二个标志位DF指示该IP数据包能否分片（该位为0则表示该IP数据包可以分片，为1则不能分片），第三个标志位MF指示该数据包是否为最后一个分片（该位为0表示此数据包是最后一个分片，为1表示不是最后一个分片）。从MF标志位开始的后面13个比特位记录了分片的偏移量。分片的IP数据包，各个分片到目的端才会重组；传输过程中每个分片可以独立选路。如何才能重组一个分片了的IP数据包呢？首先，16位分片ID（Fragment ID）标识了每个IP数据包的唯一性。数据包分片后，它的每个分片具有相同的标识。其次，通过每个分片的片偏移量可以确定每个分片的位置，再结合MF可以判断该分片是否为最后一个分片。综合上述信息，就可以顺利的重组一个数据包。分片重组对网络入侵检测系统具有重要意义。首先，有一些攻击方法利用了操作系统协议栈中分片合并实现上的漏洞，例如著名的TearDrop攻击就是在短时间内发送若干偏移量有重叠的分片，目标机接收到这样的分片的时候就会合并分片，由于其偏移量的重叠而发生内存错误，甚至会导致协议栈的崩溃。这种攻击手段单从一个数据包上是无法辨认的，需要在协议分析中模拟操作系统的分片合并，以发现不合法的分片。另外，Tiny Fragment（极小分片）等攻击方法，将攻击信息隐藏在多个微小分片内来绕过入侵检测系统或防火墙的检测从而达到攻击的目的。对付这种攻击也需要在检测的过程中合并碎片，恢复数据包的真实面目。

IP包头的第10个字节开始的后面八个比特位表示了协议的类型：其中1表示ICMP协议，2表示IGMP协议，6表示TCP协议，17表示UDP协议。（这些数字是十进制的）。对IP数据包检测完毕后，如果检测到攻击就记录该数据包，然后重新开始检测一个新的原始数据包。如果没有检测到攻击，则在判断上层协议类型之后就把数据包分流到TCP、UDP等协议分析程序中进行进一步协议分析。4.TCP数据包协议分析

这是对TCP数据包进行协议分析，并把协议分析后的数据送入基于TCP协议规则集的匹配检测程序中进行检测。首先读入TCP数据包，对TCP包头进行协议分析；并检查是否有TCP选项，如果有的话就对TCP选项进行协议分析。然后，判断该TCP数据包是否发生分段，如果发生了分段就进行TCP重组。再把重组后的数据包送入基于TCP协议规则集的匹配检测程序进行检测。如果检测到攻击就记录下该攻击数据包，以备攻击取证等使用。记录数据包后又返回，重新读取一个新的数据包。如果没有检测到攻击，就把该数据包送入下一级协议分析模块中，作进一步的协议分析。

5.ICMP数据包协议分析

这是对ICMP数据包进行协议分析，并把协议分析后的数据送入基于ICMP协议规则集的匹配检测程序中进行检测。ICMP报文有很多类型，根据报文中的类型字段和代码字段就可以区分每一种ICMP报文类型。6.UDP协议分析

这是对UDP数据包进行协议分析，并把协议分析后的数据送入基于UDP协议规则集的匹配检测程序中进行检测。如果检测到攻击就记录该数据包，然后返回并读取下一个数据包。如果没有检测到攻击，那么就把数据包送入基于应用层协议规则集的检测模块进行进一步的检测分析。应用层协议很复杂，这里不进行详细讨论。

3.2 协议分析的优势（1）提高性能：当系统提升协议栈来解析每一层时，它用已获得的知识来消除在数据包结构中不可能出现的攻击。比如4层协议是TCP，那就不用再搜索其他第四层协议如UDP上形成的攻击。如果数据包最高层是简单网络管理协议SNMP（Simple Network Management Protocol），那就不用再寻找Telnet或HTTP攻击。这样检测的范围明显缩小，而且更具有针对性；从而使得IDS系统性能得到明显改善。

（2）能够探测碎片攻击等基于协议漏洞的攻击：在基于协议分析的IDS中，各种协议都被解析。如果出现IP分片，数据包将首先被重装；然后再对整个数据包进行详细分析来检测隐藏在碎片中的潜在攻击行为。这是采用传统模式匹配技术的NIDS所无法做到的。（3）降低误报和漏报率：协议分析能减少传统模式匹配NIDS系统中常见的误报和漏报现象。在基于协议分析的NIDS系统中误报率会明显减少，因为它们知道和每个协议有关的潜在攻击的确切位置以及该位置每个字节的真正含义。例如，针对基于协议分析的IDS不但能识别简单的路径欺骗：例如把CGI攻击”/cgi-bin/phf”变为”/cgi-bin/./phf”或”/cgi-binphf”；而且也能识别复杂的HEX编码欺骗：例如”/winnt/system32/cmd.exe”，编码后变为”/winnt/system32/%2563md.exe”，通过协议分析%25 解码后为‘%’，%63解码后为‘c’，这样就解析出了攻击串。又如针对Unicode（UTF-8）的编码欺骗（与ASCII字符相关的HEX编码一直到％7f，Unicode编码值要高于它），攻击串编码后得到”/winnt/system32%c0%afcmd.exe”，通过解码可知%c0%af在Unicode中对应/,所以解码后就能顺利还原出攻击串。第四章 PANIDS系统的设计及实现

4.1 PANIDS系统总体结构设计

PANIDS系统 主要由系统基本信息读取模块、网络数据包捕获模块、基于协议分析的入侵检测模块、响应模块和控制管理中心等几部分组成。4.2 系统基本信息读取模块的设计及实现

为了更好的显示出本机的特性，在此PANIDS系统中特别增加系统基本信息读取模块。通过此模块能显示出主机名和本机的IP地址和所使用的Winsock的版本

在此模块中主要用到函数gethostname()和gethostbyname()。gethostname()函数作用是获取本地主机的主机名，其定义如下：

int PASCAL FAR gethostname(char FAR * name, int namelen);name：用于指向所获取的主机名的缓冲区的指针。Namelen：缓冲区的大小，以字节为单位。

gethostbyname()在此模块中是一个主要函数，该函数可以从主机名数据库中得到对应的”主机”。其定义如下：

#include struct hostent FAR *PASCAL FAR gethostbyname(const char FAR * addr)name：指向主机名的指针。

gethostbyname()返回对应于给定主机名的包含主机名字和地址信息的hostent结构指针。结构的声明与gethostaddr()中一致。如果没有错误发生，gethostbyname()返回如上所述的一个指向hostent结构的指针，否则，返回一个空指针。hostent结构的数据结构如下： struct hostent { char *h_name;//地址的正式名称

char **h_aliases;//空字节-地址的预备名称的指针 int h_addrtype;//地址类型，通常是AF_INET int h_length;//地址的比特长度

char **h_addr_list;//零字节-主机网络地址指针,网络字节顺序 };返回的指针指向一个由Windows Sockets实现分配的结构。应用程序不应该试图修改这个结构或者释放它的任何部分。此外，每一线程仅有一份这个结构的拷贝，所以应用程序应该在发出其他Windows Scokets API调用前，把自己所需的信息拷贝下来。

gethostbyname()实现没有必要识别传送给它的IP地址串。对于这样的请求，应该把IP地址串当作一个未知主机名同样处理。如果应用程序有IP地址串需要处理，它应该使用inet_addr()函数把地址串转换为IP地址，然后调用gethostbyaddr()来得到hostent结构。4.3 网络数据包捕获模块的设计及实现 网络数据包捕获的方法有很多，比如既可以利用原始套接字来实现，也可以通过Libpcap、Jpcap和WinPcap 提供的接口函数来实现。Libpcap、Jpcap和WinPcap是世界各地的网络专家共同努力的结果，为开发者提供了很多高效且与系统无关的网络数据包截获接口函数；所以在性能上一般比采用普通的套接字方法要好。LibPcap是一个优秀跨平台的网络抓包开发工具，JPcap是它的一个Java版本。WinPcap在某种程度上可以说它是LibPcap的一个Windows版本，因为它们的大部分接口函数以及所采用的数据结构都是一样的。另外，WinPcap在某些方面进行了优化，还提供了发送原始数据包和统计网络通信过程中各种信息的功能（LibPcap没有统计功能），方便进行测试；所以采用WinPcap所提供的库函数来截获网络数据包。

Winpcap捕获数据包的实现

1.网络数据包捕获的主要数据结构(1)PACKET结构

typedef struct _PACKET { HANDLE hEvent;OVERLAPPED OverLapped;PVOID Buffer;//这个buffer就是指向存放数据包的用户缓冲区 UINT Length;//buffer的长度

DWORD ulBytesReceived;//调用PacketReceivePacket()函数所读 //取的字节数,可能包含多个数据包 BOOLEAN bIoComplete;} PACKET, *LPPACKET;其他未注释的几个成员,都是过时的成员,他们的存在只是为了与原来的兼容。此结构主要用来存放从内核中读取的数据包。(2)pcap_file_header 结构 struct pcap_file_header{ bpf_u_int32 magic;//一个标识号，标识特定驱动器产生的dump文件 u_short version_major;//WinPcap的主版本号 u_short version_minor;//WinPcap的次版本号

bpf_int32 thiszone;//GMT时间与本地时间的校正值 bpf_u_int32 sigfigs;//精确的时间戳

bpf_u_int32 snaplen;//每个数据包需要存放到硬盘上的最大长度 bpf_u_int32 linktype;//链路层的数据类型 };//这个头部共24个字节

把截获的数据包以标准的Windump格式存放到硬盘上时，就是以这个结构 作为文件的开头。(3)bpf_hdr结构 struct bpf_hdr { struct timeval bh_tstamp;//数据包捕获的时间戳信息 UINT bh_caplen;//数据包被捕获部分的长度 UINT bh_datalen;//数据的原始长度 USHORT bh_hdrlen;//此结构的长度 };从内核中读取数据包并存放在用户缓冲区中时，采用此结构来封装所截获的 数据包。其中timeval的结构如下 struct timeval { long tv_sec;//以秒为单位的时间 long tv_usec;//以毫秒为单位的时间 };(4)dump_bpf_hdr结构 struct dump_bpf_hdr{ struct timeval ts;//数据包捕获的时间戳 UINT caplen;//数据包被捕获部分的长度 UINT len;//数据包的原始长度 };把数据包存放到硬盘上或者向网络上发送数据包时，都使用此结构来封装每一个数据包。

2.数据包捕获的具体实现

在了解其数据结构的基础上，下面来分析其是如何具体实现网络数据包捕获的。其前期的主要过程应为：首先应找到设备列表，然后显示适配器列表和选择适配器，最后通过pcap_open_live（）函数根据网卡名字将所选的网卡打开，并设置为混杂模式。

用Winpacp捕获数据包时，数据包捕获的程序流程图如图4.3所示，其中pcap_loop()是截包的关键环节，它是一个循环截包函数，分析此函数的源码可知，其内部主要处理过程如图4.4所示。在pcap_loop()的每次循环中，首先通过调用PacketReceivePacket()函数，从内核缓冲区中把一组数据包读取到用户缓冲区。然后，根据bpf_hdr结构提供的该数据包的定位信息，把用户缓冲区的多个数据包逐个的提取出来，并依次送入回调函数进行进一步处理。通过这个过程就实现了网络数据包的捕获。

4.4 基于协议分析的入侵检测模块的设计及实现

此模块是基于协议分析入侵检测系统PANIDS的核心部分，下面我们重点讨论此模块的设计及实现。4.4.1 数据包的分解 当需要发送数据时，就需要进行封装。封装的过程就是把用户数据用协议来进行封装，首先由应用层协议进行封装，如HTTP协议。而HTTP协议是基于TCP协议的。它就被TCP协议进行封装，http包作为TCP数据段的数据部分。而TCP协议是基于IP协议的，所以TCP段就作为IP协议的数据部分，加上IP协议头，就构成了IP数据报，而IP数据报是基于以太网的，所以这个时候就被封装成了以太网帧，这个时候就可以发送数据了。通过物理介质进行传送。在这里我们所用到的是数据包的分解。分解的过程与封装的过程恰恰相反，这个时候就需要从一个以太网帧中读出用户数据，就需要一层一层地进行分解，首先是去掉以太网头和以太网尾，在把剩下的部分传递给IP层软件进行分解，去掉IP头，然后把剩下的传递给传输层，例如TCP协议，此时就去掉TCP头，剩下应用层协议部分数据包了，例如HTTP协议，此时HTTP协议软件模块就会进一步分解，把用户数据给分解出来，例如是HTML代码。这样应用软件就可以操作用户数据了，如用浏览器来浏览HTML页面。其具体的数据包分解如下：

ethernet =(struct sniff_ethernet*)(pkt_data);ip =(struct sniff_ip*)(pkt_data + size_ethernet);tcp =(struct sniff_tcp*)(pkt_data + size_ethernet + size_ip);udp =(struct sniff_udp*)(pkt_data + size_ethernet + size_ip);icmp =(struct sniff_icmp*)(pkt_data + size_ethernet + size_ip);4.4.2 入侵检测的实现

通过Winpcap捕获数据包，数据包分解完以后就对其进行协议分析，判断分组是否符合某种入侵模式，如果符合，则进行入侵告警。在本系统中实现了对多种常见入侵模式的检测，采用的入侵模式包括ICMP分片、常用端口、IGMP分片、WinNuke攻击、应用层攻击。1.ICMP分片

ICMP报文是TCP/IP协议中一种控制报文，它的长度一般都比较小，如果出现ICMP报文分片，那么说明一定出现了Ping of Death攻击。

在本系统中ip->ip_p == 0×1，这是表示ip首部的协议类型字段，0×1代表ICMP。

string str1 = inet_ntoa(in_addrIP);string str2 = inet_ntoa(ip->ip_src);当(ip->ip_off > 1)&& str1!= str2时，就表认为是Ping of Death攻击。如果都符合，就报警（调用函数将受到攻击的时间、攻击名称以及攻击的IP地址显示出来）。

2.常用端口

一些攻击特洛伊木马、蠕虫病毒等都会采用一些固定端口进行通信，那么如果在分组分析过程中发现出现了某个端口的出现，则可以认为可能出现了某种攻击，这里为了减少误判，应当设置一个阈值，仅当某个端口的分组出现超过阈值后才进行报警。这就意味着检测到发往某个端口的的分组超过阈值后才认为出现了某种攻击，并进行告警。本系统定义了两种端口扫描，Trojan Horse端口扫描和代理服务器端口扫描。Trojan Horse端口扫描实现如下：首先根据if((tcp->th_flags & TH_SYN)==TH_SYN)判断其是否为TCP SYN报文，若是，并且端口为Trojan Horse的常用扫描端口时，最后判断报文数是否超过阈值TrojanThreshold，如果超过的后，就被认定为Trojan Horse端口扫描，然后报警。对代理服务器端口扫描检测的实现方法和Trojan Horse端口扫描实现方法一样，这里不再论述。

3.IGMP分片

IGMP（Internet Group Message Protocol）是Internet中多播组管理协议，其长度也一般较小。同上ip->ip_p==0×2也是表示首部的协议类型字段，0×2代表IGMP，本系统实现了对其两种攻击模式的检测。

（1）通过if(ntohs(ip->ip_len)>1499)首先判断其是否为分片的IGMP报文，若是，并且收到的报文数超过设定的阈值IGMPThreshold，则就最终判定其为IGMP DoS攻击，然后报警。

（2）通过if(strcmp(mbf,mbuffer)==0||strcmp(mbf,”0.0.0.0″)==0)判断其是否为某种特定的源地址等于目的地址或者目的地址等于0的报文，若是，并且收到的报文数超过设定的阈值LandThreshold则被判定为land DoS攻击,然后报警。

4.WinNuke攻击 通过if((tcp->th_flags & TH_URG)==TH_URG)判断其是否为TCP URG报文，若是，则根据WinNuke的典型特征是使用TCP中的Ugrent指针，并使用135、137、138、139端口，因此可以利用这两个特征加以判断，同样为了减少误判，应当设置一个阈值。当阈值超过设定的WinNukeThreshold时，就被最终判定为WinNuke攻击，然后报警。5.应用层攻击

其是分析应用层的数据特征，判断是否存在入侵。在本系统中实现了对一种较为简单的应用层攻击的检测。它也是属于TCP SYN报文中的一种。主要思想是监测报文中是否存在system32关键字，如果存在，则报警。

4.5 实验结果及结论

程序编译成功后，执行可执行文件，此时系统已被启动，然后在”设置”菜单中将网卡设为混杂模式，点击”开始”按钮，本系统开始检测。由实验结果可知，本系统能较好的检测出一些典型攻击，并能在界面上显示出攻击日期/时间、攻击的类型、攻击源的IP地址，达到了预期的效果。

第五章 总结与参考文献

入侵检测是一种积极主动的安全防护技术；它既能检测未经授权的对象入侵系统，又能监视授权对象对系统资源的非法操作。入侵检测与防火墙、身份认证、数据加密、数字签名等安全技术共同构筑了一个多层次的动态安全体系。本文主要对基于网络的入侵检测系统的关键技术进行了研究和探讨。首先较全面、系统地分析了入侵检测技术的历史、现状和发展趋势、了解了黑客常用的攻击手段及其原理。然后，系统地阐述了入侵检测的原理。接着讲述了协议分析和模式匹配技术，最后，针对当前典型的网络入侵，设计并实现了一个基于协议分析的网络入侵检测系统PANIDS，实现了多层次的协议分析，包括基本协议的解析、协议上下文的关联分析以及应用层协议的分析，并取得了较为满意的检测效果。

[1] 戴英侠，连一峰，王航.系统安全与入侵检测[M].北京：清华大学出版社 [2] 聂元铭，丘平.网络信息安全技术[M].北京：科学出版社

[3] 董玉格，金海，赵振.攻击与防护-网络安全与实用防护技术[M].北京：人民 邮电出版社 [4] 戴云,范平志.入侵检测系统研究综述[J].计算机工程与应用 [5] 刘文淘.网络入侵检测系统[M].北京：电子工业出版社，

第三篇：一般焊接件技术要求

1.本件的焊接应符合JB/T5000.3-1998<<焊接件通用技术条件>>的规定.2.本件加工后的尺寸及形位公差应符合JB/T5000.9-1998<<切削加工件通用技术条件>>的规定.3.除注明者外,均采用E4303焊条进行连续焊缝焊接.4.图中未注明的角焊缝,其高度分别为两连接件中最薄者厚度的0.8倍(单面焊)和0.4倍(双面焊).5.焊缝需经消除残余应力处理,校平矫直后再进行机加工.6.本件涂装前非加工表面应进行除锈处理,除锈等级达到Sa2 1/2或SP.10.7.锐角倒钝。

第四篇：潍坊张宁：信息化技术“入侵”英语教学

潍坊张宁：信息化技术“入侵”英语教学

2014年，潍坊市坊子经济发展区中心小学在区教育局的推荐下，在英语教学中试用了学乐云教学平台。经过一年的实践和应用，张宁老师表示，平台全面而强大的功能深受师生喜欢，成为了协助老师教学、提高学生成绩的好帮手。

预习作业——激发学习的原动力

云教学平台，支持预习作业类型多样化。各种题型（如选择题、填空题、口语题、听力题）通过图片、音频或者视频形式呈现在学生面前，与传统的书面作业相比，有种焕然一新的感觉。

作业完成后，学生上传至平台，并进行自主交流、互评互赞；教师依据系统记录的大数据，了解作业完成情况，再配以一定的精神小奖励。成就驱动型的作业、轻松快乐的氛围，让学生觉得完成英语作业不再是一件枯燥乏味的事，有效提高了英语学习的积极性。

寓教于乐——英语教学效率明显提高

音频、视频与文字的完美结合，使学生预习课文有规律可循。掌握了单词发音后，又可借助意思，自主学习课文的语法和句意，降低了课堂教学的难度。

在预习到位的基础上，教师和学生能摆脱传统课堂，从原本紧张的教学中节约出一部分时间进行娱乐。教师可利用平台资源，带领学生学唱英文歌曲、欣赏英文动画或者做游戏，通过这种方式将课堂趣味化，达到提高英语教学效率的目的。全校学生竞相参加英语比赛，在区里获奖人数明显增多，远远超出了教师的预想。

优化英语教学——重在提升听、读、写能力 教师布置听听力、阅读课文、情景对话的作业，并要求学生上传录音。通过检测学生掌握单词和字母发音的程度来调整教学进度，有效提升学生的听力水平及口语交流能力。

系统地使用云教学平台教授英语，学生能根据辅音字母和元音字母不同的发音规则，拼读出新单词的读法，迅速记忆单词。学生改变了以往死记硬背的坏习惯，提高了背单词的积极性。单词默写效果由以前的不及格逐渐上升到了能默对百分之八九十，课外阅读英语书籍的兴趣更是空前高涨。

平台互动——促进新型的师生关系

教师和学生围绕提高英语成绩的目的，相互作用于一个平台上，共同完成相应的教学任务，建立了新型的师生关系。由原来单纯的师生关系，变成了师生和伙伴关系共存。

频繁的沟通和互动，让学生更容易接受英语老师的身份，彼此成为无话不谈的好朋友。

总而言之，学乐云教学平台的使用，精准了教学管理，优化了课堂教学，为教师指明了教育教学的发展方向。

(原标题：张宁——云教学，方便你我他）

第五篇：网络安全与入侵检测技术的应用研究

网络安全与入侵检测技术的应用研究

摘要：介绍了入侵检测系统和预警技术的含义，并对入侵检测系统模型进行深入分析和分类，讨论了入侵检测系统的评价标准，最后对入侵检测系统的发展趋势作了有意义的预测。

关键词：入侵检测 网络安全 防火墙

随着Internet的应用日益广泛和电子商务的兴起，网络安全作为一个无法回避的问题呈现在人们面前。提到网络安全，很多人首先想到的是防火墙，防火墙作为一种静态的访问控制类安全产品通常使用包过滤的技术来实现网络的隔离。适当配置的防火墙虽然可以将非预期的访问请求屏蔽在外，但不能检查出经过他的合法流量中是否包含着恶意的入侵代码。在这种需求背景下，入侵检测系统（IDS）应运而生。入侵检测系统成为了安全市场上新的热点，不仅愈来愈多的受到人们的关注，而且已经开始在各种不同的环境中发挥其关键作用。入侵检测技术概述

入侵检测就是对指向计算和网络资源的恶意行为的识别和响应过程，为通过从计算机网络或计算机系统中的若干关键点收集信息并对其进行分析，从中发现发现网络或系统中是否有违反安全策略的行为和遭到袭击的迹象的一种安全技术。

如果一个系统的计算机或者网络安装了入侵检测系统，它会监视系统的某些范围，当系统受到攻击的时候，它可以检测出来并做出响应。入侵被检测出来的过程包括监控在计算机系统或者网络中发生的事件，再分析处理这些事件，检测出入侵事件。入侵检测系统是使这监控和分析过程自动化的产品，可以是软件，也可以是硬件。

入侵检测是对防火墙的合理补充，可以帮助系统对付网络攻击，扩展了系统管理员的安全管理能力（包括安全审计、监视、进攻识别和响应），提高了信息安全基础结构的完整性。它从计算机网络系统中的若干关键点收集信息，并分析这些信息，看看网络中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测被认为是防火墙之后的第二道安全闸门，在不影响网络性能的情况下能对网络进行监测，从而提供对内部攻击、外部攻击和误操作的实时保护。

入侵检测技术是动态安全技术的最核心技术之一。传统的操作系统加固技术和防火墙隔离技术等都是静态安全防御技术，对网络环境下日新月异的攻击手段缺乏主动的反应。如果与“传统”的静态防火墙技术共同使用，将可以大大提高系统的安全防护水平。入侵检测系统实现

入侵检测系统不但需要使系统管理员时刻了解网络系统（包括程序、文件和硬件设备等）的任何变更，而且还应能给网络安全策略的制订提供指南。更为重要的一点是，它应该管理、配置简单，从而使非专业人员非常容易地获得网络安全。入侵检测系统在发现入侵后，会及时作出响应，包括切断网络连接、记录事件和报警等，入侵检测系统的实现一般包括以下几个步骤。2.1 信息收集

入侵检测的第一步是信息收集，内容包括系统、网络、数据及用户活动的状态和行为。而且，需要在计算机网络系统中的若干不同关键点收集信息，这除了尽可能扩大检测范围的因素外，还有一个重要的因素就是从一个源来的信息有可能看不出疑点，但从几个源来的信息的不一致性却是可疑行为或入侵的最好标识。入侵检测利用的信息一般来自以下四个方面： ⑴系统和网络日志文件

黑客经常在系统日志文件中留下他们的踪迹，因此，充分利用系统和网络日志文件信息是检测入侵的必要条件。日志中包含发生在系统和网络上的不寻常和不期望活动的证据，这些证据可以指出有人正在入侵或已成功入侵了系统。通过查看日志文件，能够发现成功的入侵或入侵企图，并很快地启动相应的应急响应程序。

⑵目录和文件中的不期望的改变

网络环境中的文件系统包含很多软件和数据文件，包含重要信息的文件和私有数据文件经常是黑客修改或破坏的目标。目录和文件中的不期望的改变，特别是那些正常情况下限制访问的，很可能就是一种入侵产生的指示和信号。

⑶程序执行中的不期望行为

网络系统上的程序执行一般包括操作系统、网络服务、用户起动的程序和特定目的的应用，例如数据库服务器。每个在系统上执行的程序由一到多个进程来实现，每个进程执行在具有不同权限的环境中。一个进程出现了不期望的行为可能表明黑客正在入侵你的系统。

⑷物理形式的入侵信息 这包括两个方面的内容，一是未授权的对网络硬件连接；二是对物理资源的未授权访问。黑客会想方设法去突破网络的周边防卫，如果他们能够在物理上访问内部网，就能安装他们自己的设备和软件。2.2 信号分析

对上述四类收集到的有关系统、网络、数据及用户活动的状态和行为等信息，一般通过三种技术手段进行分析：模式匹配，统计分析和完整性分析。其中前两种方法用于实时的入侵检测，而完整性分析则用于事后分析。

⑴模式匹配

模式匹配就是将收集到的信息与已知的网络入侵和系统误用模式数据库进行比较，从而发现违背安全策略的行为。该过程可以很简单，也可以很复杂。该方法的一大优点是只需收集相关的数据集合，显著减少系统负担，且技术已相当成熟。但是，该方法存在的弱点是需要不断的升级以对付不断出现的黑客攻击手法，不能检测到从未出现过的黑客攻击手段。

⑵统计分析

统计分析方法首先给系统对象（如用户、文件、目录和设备等）创建一个统计描述，统计正常使用时的一些测量属性（如访问次数、操作失败次数和延时等）。测量属性的平均值将被用来与网络、系统的行为进行比较，任何观察值在正常值范围之外时，就认为有入侵发生。其优点是可检测到未知的入侵和更为复杂的入侵，缺点是误报、漏报率高，且不适应用户正常行为的突然改变。

⑶完整性分析

完整性分析主要关注某个文件或对象是否被更改，这经常包括文件和目录的内容及属性，它在发现被更改的、被特洛伊化的应用程序方面特别有效。入侵检测系统的局限性

由于网络的危害行为是一系列十分复杂的活动，特别是有预谋、有组织的网络入侵，入侵检测系统的研究遇到了以下三方面亟待解决的问题。3.1 入侵技术在不断发展

入侵检测技术以网络攻击技术研究为依托，通过跟踪入侵技术的发展增强入侵检测能力。在因特网上有大量的黑客站点，发布大量系统漏洞资料和探讨攻击方法。更为令人担忧的是有组织的活动，国外已将信息战手段同核生化武器等列在一起，作为战略威慑加以讨论，破坏者所具备的能力，对我们是很大的未知数。

入侵技术的发展给入侵检测造成了很大的困难，预先了解所有可能的入侵方法是困难的，因此一个有效的入侵检测系统不仅需要识别已知的入侵模式，还要有能力对付未知的入侵模式。

3.2 入侵活动可以具有很大的时间跨度和空间跨度

有预谋的入侵活动往往有较周密的策划、试探性和技术性准备，一个入侵活动的各个步骤有可能在一段相对长的时间跨度和相当大的空间跨度之上分别地完成，给预警带来困难。一个检测模型总会有一个有限的时间窗口，从而忽略滑出时间窗口的某些事实。同时，检测模型对于在较大空间范围中发生的的异常现象的综合、联想能力也是有限的。3.3 非线性的特征还没有有效的识别模型

入侵检测技术的难度不仅仅在于入侵模式的提取，更在于入侵模式的检测策略和算法。因为入侵模式是一个静态的事物，而现实的入侵活动则是灵活多变的。有效的入侵检测模型应能够受大的时间跨度和空间跨度。从技术上说，入侵技术已经发展到一定阶段，而入侵检测技术在理论上、模型上和实践上还都没有真正发展起来。在市场上能看得到的入侵检测系统也都处在同一水平。

面对复杂的网络入侵活动，网络入侵检测技术的研究不仅仅包括入侵技术的研究，更要重视建立入侵检测策略和模型的理论研究。入侵检测技术研究的主要内容

网络入侵检测技术研究主要包括：网络入侵技术研究、检测模型研究、审计分析策略研究等。通过将这些技术组合起来，形成一个互动发展的有机体。4.1 入侵技术研究

入侵技术研究包括三个部分：第一，密切跟踪分析国际上入侵技术的发展，不断获得最新的攻击方法。通过分析这些已知的攻击方法来丰富预警系统的检测能力。第二，加强并利用预警系统的审计、跟踪和现场记录功能，记录并反馈异常事件实例。通过实例分析提取可疑的网络活动特征，扩充系统的检测范围，使系统能够应对未知的入侵活动。第三，利用攻网技术的研究成果，创造新的入侵方法，并应用于检测技术。4.2 检测模型研究

对于预警系统来说，检测模型的确定是很重要的。由于入侵活动的复杂性，仅仅依靠了解入侵方法还不能完全实现预警，还应有适当检测模型与之配合。在预警技术研究中，入侵检测模型是关键技术之一。4.3 审计分析策略研究

预警技术研究的另一个重点在于对审计数据的分析处理。其中包括：威胁来源的识别、企图的判定、危害程度和能力的判断等等。预警所产生的审计数据是检测与预警的宝贵资源。这些审计数据可能是很大量的，如果缺乏有效的分析手段将会浪费这一资源。结束语

入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。从网络安全立体纵深、多层次防御的角度出发，入侵检测理应受到人们的高度重视。但在国内，随着上网的关键部门、关键业务越来越多，迫切需要具有自主版权的入侵检测产品。但现状是入侵检测仅仅停留在研究和实验样品阶段，或者是防火墙中集成较为初级的入侵检测模块。可见，入侵检测产品仍具有较大的发展空间，从技术途径来讲，除了完善常规的、传统的技术外，应重点加强统计分析的相关技术应用研究。

参考文献

[1] 黄亚飞.防火墙技术与应用.武汉：湖北教育出版社，2003 [2] 张小斌.网络安全与黑客防范.北京：清华大学出版社，1999