入侵检测技术在数据库系统的应用

［摘要］ 入侵检测是检测和识别针对计算机系统和网络系统的非法攻击或违反安全策略事件的过程。数据库入侵检测系统的研究与设计借鉴了针对网络和针对主机的入侵检测技术，又考虑了数据库自身的特点。
［关键词］入侵检测入侵分析数据库系统
        传统的数据库安全机制以身份认证和存取控制为重点，是一种以预防为主的被动安全机制，无法满足日益增长数据库对安全的需要。近年来对数据库入侵检测机制的研究受到了广泛关注和重视。通过建立异常检测机制，有效地发现用户在使用数据库过程中可能发生的入侵和攻击，以期达到保护数字图书馆数据库安全的目的。
        1入侵检测简介
        入侵检测是检测和识别针对计算机系统和网络系统，或者更广泛意义上的信息系统的非法攻击，或者违反安全策略事件的过程。它从计算机系统或者网络环境中采集数据，分析数据，发现可疑攻击行为或者异常事件，并采取一定的响应措施拦截攻击行为，降低可能的损失。在入侵检测系统中，系统将用户的当前操作所产生的数据同用户的历史操作数据根据一定的算法进行检测，从而判断用户的当前操作是否属于入侵行为，然后系统根据检测结果采取相应的行动。入侵检测作为一种积极主动的安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。入侵检测系统能很好地弥补防火墙的不足，从某种意义上说是防火墙的补充。入侵检测技术是计算机安全技术中的重要部分，它从计算机系统中的若干关键点收集信息，并分析这些信息，检测计算机系统中是否有违反安全策略的行为和遭到袭击的迹象。入侵检测系统在几乎不影响计算机系统性能的情况下能对计算机系统进行实时监测，并对系统提供针对内部攻击、外部攻击和误操作的实时保护。入侵检测技术通过对入侵行为的过程与特征的研究，使安全系统对入侵事件和入侵过程能做出实时响应。入侵检测技术扩展了系统管理员的安全管理能力，提高了信息安全基础结构的完整性。
        2入侵检测技术分类
        （1）从数据的来源看
        入侵检测通常可以分为两类:基于主机的入侵检测和基于网络的入侵检测。基于主机的入侵检测通常从主机的审计记录和日志文件中获得所需的主要数据源，并辅之以主机上的其他信息，例如文件系统属性、进程状态等，在此基础上完成检测攻击行为的任务。基于网络的入侵检测通过监听网络中的数据包来获得必要的数据来源，并通过协议分析、特征匹配、统计分析等手段发现当前发生的攻击行为。从数据分析手段来看，入侵检测通常又可以分为两类:误用入侵检测和异常入侵检测。误用检测的技术基础是分析各种类型的攻击手段，并找出可能的“攻击特征”集合。误入侵检测的定义为:识别针对计算机或网络资源的恶意企图和行为，并对此做出反应的过程。入侵检测系统则是完成如上功能的独立系统。入侵检测系统能够检测未授权对象，针对系统的入侵企图或行为，同时监控授权对象对系统资源的非法操作。
        （2）从数据分析手段看
        入侵检测通常可以两类：滥用入侵检测和异常入侵检测。滥用入侵检测的技术基础是分析各种类型的攻击手段，并找出可能的“攻击特征”集合形成特征库或者模式库，滥用入侵检测利用形成的特征库，对当前的数据来源进行各种分析处理后，再进行特征匹配或者规则匹配工作，如果发现满足条件的匹配，则指示已经发生了一次攻击行为然后入侵检测系统的响应单元做出相应的处理。异常入侵检测是通过观察当前活动与系统历史正常活动情况之间的差异来实现。这就需要异常入侵检测建立一个关于系统正常活动的状态模型并不断更新，然后将用户当前的活动情况与这个正常模型进行对比，如果发现了超过设定值的差异程度，则指示发现了非法攻击行为。