淺析防火墻融合入侵檢測系統的網絡安全技術應用

◆樊 鵬

（中國飛行試驗研究院 陜西 710089）

淺析防火墻融合入侵檢測系統的網絡安全技術應用

◆樊 鵬

（中國飛行試驗研究院 陜西 710089）

面對如今越來越嚴峻的網絡安全形勢，加強安全技術應用責任重大。防火墻技術與入侵檢測系統之間的技術互補性突出，研究出防火墻與入侵檢測系統相互融合的網絡安全模型，不斷提高技術應用的專業性。本文分析了這一網絡安全模型，并就重要組成與各接口作簡要說明。

防火墻；入侵檢測系統；網絡安全

0 引言

如今，互聯網技術發展日新月異，互聯網終端產品更新換代異常快速，所有產品接入互聯網后實現了信息的實時共享。不斷擴大的網絡開放共享與互聯互通特性使得如今的網絡安全形勢越來越突出，存在大量信息丟失、數據篡改、黑客惡意攻擊等問題。網絡安全技術應用已經成為了亟待加強的全球性課題。防火墻技術與入侵檢測系統已成為人們解決網絡安全問題的常見手段。由于兩項技術在互補性，防火墻技術與入侵檢測系統融合后將變得更加主動化和動態化。兩者之間的結合聯動，可靠入侵檢測系統及時探明防火墻外的入侵行為，入侵信息經由防火墻分析，可快速做出策略響應，從源頭阻止入侵活動，實現高效網絡安全。

1 防火墻

防火墻是專注于保護本地網絡系統的安全技術，一道防火墻就是一個安全控制點，對于網絡內部安全性的保護作用是明顯的，可過濾不同的網絡安全可疑風險。不同的組織機構內部網絡系統都需要建立防火墻。防火墻可對網絡進行合理劃分，重點監控并隔離關鍵網段，降低網絡危害。通常在開展網絡訪問活動中，很多防火墻系統都使用單次單密碼的動態性指令，或通過其他的身份認證機制等方式讓安全認證功能集中于主機位置。

對防火墻技術而言，其缺陷主要集中在對可跨越防火墻的不良侵害無計可施，最典型的表現就是對內部出現攻擊難以防備。且對已生病毒而言，防火墻的殺毒能力不強，防火墻的技術原理其實接近與很多殺毒軟件，只有當病毒先行產生并危害計算機與網絡后，殺毒軟件才能得到病毒的有效數據特征，并開展對應殺毒代碼研究，同時更新病毒庫。面對不斷衍生的文件類型與數據量，防火墻將很難做到完全掃面不同文件來預防查殺病毒，先受攻擊后啟動處理的模式使得防火墻的安全技術具有被動性，需要配合其他技術防止安全威脅。

2 入侵檢測系統

入侵檢測系統的開發目的就是對計算機以及網絡資源中出現的惡意行為開展高強度識別與處理。該技術能對外來入侵、內部非法授權等行為全面監測甄別。入侵檢測系統可以在系統接受攻擊產生相應危害前就檢測到異常，并激活相應警報與防護程序驅逐入侵。對于正在進行的攻擊，該系統可直接收集有理信息，錄入數據庫后，提高后期的識別防范能力。

通常，入侵檢測系統的組成分四大部分，分別是事件發生器、事件分析器、響應機構和事件數據庫。

對事件發生器而言，主要指用于采集系統原始數據的組件，可及時追蹤各種日志文件與數據信息流，包括具體的系統用戶活動狀態及各種網絡行為等內容。通過轉換功能將原始數據變為各種事件，并將事件輸出到其他部位。

對事件分析器而言，主要用于對接收到的事件信息進行合理分析，對是否異常進行判斷。通常入侵檢測系統中往往含有一個安全策略集合庫，可以及時對比接收事件與安全信息庫中的安全策略，對入侵行為進行分析挖掘。對于這一知識庫的定義方式，通常采取對技術報文中的攻擊字段進行檢測來發現各種攻擊特征。事件在分析的過程中，對所有有悖于安全策略的行為進行標注和區分從而實現入侵檢測。一般上，若采用模式匹配為主的檢測技術，入侵檢測系統的運行就類似于殺毒軟件，首先定義異常事件特征，并科學判定事件的數據熱證是否出現在知識庫的入侵模式記錄中；若采用異常探測為主的檢測技術，則系統需要對很多正常運行的狀態采用編碼標識后，直接將后期系統的不同運行狀態與此正常編碼相比，掌握是否受異常攻擊的可能性。

對響應機構而言，就是對于已經明確的網絡入侵行為進行積極的響應，對應采取更有針對性的措施進行處理。這樣的響應即可能是積極合理的，也可能是消極被動的。常用的主動反擊響應，就是直接采用諸如 DoS攻擊在內的各種攻擊行為回應網絡不法攻擊者；當然也可以采用更為溫和的保護性策略，如中斷入侵TCP連接，重新設定路由器訪問等。

對事件數據庫而言，就是入侵檢測系統為了存儲更多的檢測與響應行為所產生的數據所準備的存儲空間。

對入侵檢測系統而言，也具有一定的技術短板，隨著整個系統中數量增大，對于風險的檢測效率將不斷降低，同時可能出現較多的漏報與誤報現象。由于整個系統運行開銷龐大，對系統所配服務器的硬件要求增高。還有一個問題不同忽視，該系統對 IPv6等加密數據包或其他未知的攻擊檢測能力近乎為零，所以只有將入侵檢測系統與防火墻相互結合聯動，網絡安全防護效果才更加明顯。

3 防火墻融合入侵檢測系統的網絡安全應用

將防火墻與入侵檢測系統之間融合運用，兩者的互補效果將更加突出，形成特定互動模型：由入侵檢測系統檢測到入侵行為后立即向防火墻發送阻斷請求，防火墻將及時響應相應請求，并調整策略認真完善包括入侵檢測系統在內的運行策略。技術聯用中應注意幾點：

3.1 入侵檢測裝置的安放位置要適宜

通常要確保入侵檢測裝置安裝在防火墻附近，能夠使整個系統進行最佳工作狀態。若入侵檢測裝置放在防火墻外，并置于ISP與防火墻外界邊緣之間的非軍事區，裝置將可檢測到所有來自互聯網絡的攻擊。當然，入侵檢測裝置對于如TCP攻擊之類的攻擊，并不能直接檢測到，只有通過防火墻或某些含有過濾功能的路由器的封鎖阻隔才能實現防護。這與檢測原理有關：很多檢測都是將攻擊類型與數據庫中的字符串類型進行比對后特征一致才完成的，對于TCP攻擊，字符串只在TCP握手時機中傳送，不利于檢測。當然，最為合理的檢測裝置安防位置仍要選在防火墻外，這樣可將自由站點與外部攻擊全部暴露在檢測視野中。當檢測裝置在防火墻內部時，由于內部的網絡攻擊不斷降低，使得檢測裝置可以在無干擾的情況下提高準確報警概率，避免漏報誤報出現。

3.2 防火墻與入侵檢測系統的接口

人們常常面臨的防火墻與入侵檢測系統之間的互動有兩類：其一是基于開放接口的互動，就是將防火墻或入侵檢測裝置上任一可用接口開放，供雙方使用，按既定協議通信，確保網絡事件傳輸的高效安全。對于開放接口而言，防火墻與入侵檢測系統都不會受其影響。其二是兩者被集成到同一系統中，入侵檢測系統只接受經防護墻過濾阻隔的數據流。本文的設計將重點將入侵檢測系統內嵌于防火墻內，加強不同功能模塊之間的聯系。將防火墻作為第一屏障，將入侵檢測模塊作為第二屏障，經過防火墻的檢測驗證后，網絡封包數據將到達入侵檢測模塊，詳細檢測共計性，同時完成異常阻隔。

4 結束語

由于防火墻與入侵檢測之間存在互補關聯，于主機防火墻內加裝入侵檢測模塊，將及時檢測攻擊性并有效提升整個融合系統的過濾能力，從而提高了動檢檢測防御能力，增強網絡安全性。

[1]譚偉.防火墻與入侵檢測系統聯動架構的研究[D].武漢理工大學，2010.

[2]劉露.融合防火墻與入侵檢測技術的網絡安全防護系統[J].現代計算機:專業版，2012.