計算機數據庫入侵檢測技術探討

余曉慶 池州市貴池職業教育中心

1 關于入侵檢測的相關知識

計算機安全越來越受到人們的重視，尤其是數據庫安全，數據庫本身儲存著大量數據信息，隱私以及機密文件，使它成為黑客攻擊的重點。入侵檢測是一種對入侵行為的識別過程，它通過對防火墻、路由器等用戶使用狀態分析包括企圖發生、正在發生以及已經發生的入侵行為。入侵檢測技術的設計目的是保障計算機數據庫系統的安全性，通過實時檢測并報告系統中的未授權使用以及異常特征的技術，是計算機系統中的一種安全策略。入侵檢測主要分為主機入侵檢測以及網絡入侵檢測。入侵檢測系統由采集模塊、分析模塊、以及管理模塊組成，其中采集模塊負責數據的收集，并導入分析模塊，分析模塊對數據進行處理分析，比對已知庫給出判斷以及懷疑數值，管理模塊依據分析結果對可疑事件進行處理。

2 數據庫入侵檢測方式

2.1 反常入侵檢測方式

反常入侵檢測主要是通過對用戶使用數據庫的行為特征和已知的特征庫進行對比，如果發生使用習慣特征偏差，就會判斷為出現了反常入侵情況。這種檢測方法需要建立用戶使用習慣的特征集，其優點在于不依賴于經驗擴充，而是采集使用用戶的使用習慣信息，經過數據分析系統，以及學習系統讓反常入侵掌握規則和對比庫。

2.2 誤用入侵檢測方式

誤用入侵檢測要首先建立已知攻擊特征模型，并存儲在誤用特征庫內，對比用戶的使用行為和誤用特征庫，如發現一致特征則判斷為誤用入侵行為。這里所說的誤用特征庫需要專業的數據庫維護人員進行定義、刪改及更新，在比較審計數據時，具有檢測準確度高的特點。但所有的規則都是人為定義的，當侵入的攻擊類型不在特征庫內則無法對攻擊進行偵測，也就無法檢出入侵行為，具有一定的局限性。反常入侵檢測聯合使用可以彌補誤用入侵檢測的不足。

3 入侵檢測的模型

3.1 通用入侵檢測模型

通用入侵檢測主要分析CIDF模型，該系統由響應單元，事件數據庫，事件分析器，以及事件產生器組成，檢測對象GIDO與通用入侵檢測系統各組件進行數據信息交換。IDS分析數據定義為事件，這些事件可以是日志或網絡數據包等。事件數據庫是處理中間數據以及最終數據的關鍵部件。響應單元是功能單元，可以進行報警，同時還可以進行文件更改以及切斷鏈接等操作。事件發生器是入侵分析的基礎，能夠指出事件的起源信息，并在系統交換中提供完整事件信息。事件分析器以事件信息為基礎進行比對分析。CIDF模型廣泛用于數據庫入侵檢測系統，且在不斷更新完善中。

3.2 層次入侵檢測模型

層次入侵檢測模型將檢測系統劃分為多個不同層次，包括安全狀態層，上下文層、數據層等。該模型對入侵過程涉及的檢測環境以及入侵層次都進行全面的安全假設。將原始收集數據進行抽象處理，數據關聯等處理，并模擬主機網路運行狀態，簡化了單機入侵行為的識別方法。通過分別獲取網絡監聽結果，主機操作系統的審計記錄以及第三方軟件提供的審計數據，并依據進程以及基帶會話的事件變化特征數據，識別網絡主機的使用用戶情況。

3.3 管理入侵檢測模型

SNMP-IDSM與IDS系統通信采用統一的語言SNMP作為開發基礎并聯合進行檢測，找到入侵管理信息庫時抽象事件與原始事件的關聯。通過監控主機以及IDS事件，一旦檢測到被檢測主機的攻擊企圖，將立即與被攻擊主機建立聯系，并發出相關驗證信息追蹤攻擊源。同時可以利用已有的腳本對被攻擊主機的用戶活動及網絡活動進行記錄，確定被攻擊主機后提交入侵事件報告。

4 數據庫入侵檢測的技術的不足

數據庫入侵檢測的技術的不足主要表現在：其一誤報率和漏報率較高，檢測過程中設置很多檢測關卡，導致一些病毒代碼以及非外部攻擊信息被誤報為侵入威脅，降低了入侵檢測系統識別率。其二入侵檢測效率較低，主要表現在計算機網絡傳輸數據都是二進制代碼，在計算檢測入侵和反入侵時代碼運算復雜，比對數據才能對其進行判斷，對于大規模的異常檢測耗費的成本較大，導致整體的入侵檢測效率較低。其三自身存在缺陷性，對于誤用入侵檢測方式，特征庫的建立受設計人員能力、統計數據以及更新時效的限制，其自身存在不可控的因素，導致系統存在被入侵的可能。

5 結束語

數據庫入侵檢測技術在入侵和反入侵的過程中不斷發展，新的檢測技術將不斷被開發出來，向著可學習的智能化、模糊化、多層化以及免疫化方向發展。

[1]李廣潤.計算機數據庫入侵檢測技術應用初探[J].山西大同大學學報（自然科學版），2013(03)

[2]楊競華.計算機數據庫入侵檢測技術的應用研究[J].電子技術與軟件工程，2016(07)