[发明专利]一种基于Linux主机的入侵检测方法及装置

说明书

一种基于Linux主机的入侵检测方法时在Linux内核层启动三个HOOK监视器，分别是网络HOOK监视器、进程HOOK监视器、文件HOOK监视器；并分别发现来自网络层的入侵、发现基于进程执行的入侵、分析匹配文件恶意行为。同时当特征匹配模块在网络、进程、文件的任意一种匹配上行为特征库，即视为入侵行为，上报给入侵检测管理中心。有益效果在于：该方法及装置的应用解决了基于主机检测存在的及时性不够且敏感度不高的技术缺陷，有效提高了基于主机检测的及时性和敏感性。

技术领域

本发明涉及入侵检测技术领域，尤其涉及一种基于Linux主机的入侵检测方法及装置。

背景技术

随着网络技术的发展，黑客攻击方法越来越全面，单纯依赖防火墙等访问控制设备并不能完全抵御网攻击，防火墙技术暴露出明显的不足和弱点，它无法发现安全后门，也不能发现网络内部攻击。入侵检测系统可以弥补防火墙的不足，为网络安全提供实时的入侵检测，如记录证据、跟踪入侵等。入侵检测是对入侵行为的发觉，它通过从计算机网络或计算机系统的关键点收集信息并进行分析，从中发现网络或系统中有违反安全策略的行为和被攻击的迹象。根据信息来源可分为基于主机入侵检测和基于网络的入侵检测。基于主机的入侵检测，一般只能检测该主机上发生的入侵，其输入数据主要来源于系统的审计日志、网络连接、进程信息等。目前基于主机的入侵检测对于发生入侵后的检测比较准确但及时性不够，对于入侵中的检测敏感度不高 。

发明内容

本发明针对现有技术的不足，提出了一种基于Linux主机的入侵检测方法及装置，该方法及装置的应用解决了基于主机检测存在的及时性不够且敏感度不高的技术缺陷。

基于本发明所述目的，本发明提出了一种基于Linux主机的入侵检测装置，所述入侵检测装置包括入侵检测管理中心、网络HOOK监视器、进程HOOK监视器、文件HOOK监视器、特征匹配模块、网络攻击行为特征库、进程恶意行为特征库、文件恶意行为特征库；

所述入侵检测管理中心主要负责网络攻击行为特征库、进程恶意行为特征库、文件恶意行为特征库的管理和维护，接收特征匹配模块发现的入侵行为；

所述网络HOOK监视器是监测网络连接到Linux主机的网络活动，并将监视数据传送至特征匹配模块；

所述进程HOOK监视器主要是监测系统进程的创建，并将监视数据传送至特征匹配模块；

所述文件HOOK监视器主要是监测系统日志文件、应用日志文件、登录日志等特定文件和目录读写操作，并将监视数据传送至特征匹配模块；

所述特征匹配模块主要是处理来自网络HOOK监视器、进程HOOK监视器、文件HOOK监视器的数据，通过匹配相应的行为特征库，发现入侵行为，上报给入侵检测管理中心；

所述网络攻击行为特征库用于存储基于主机的网络攻击行为特征，由入侵检测管理中心管理维护；所述进程恶意行为特征库用于存储进程恶意行为，由入侵检测管理中心管理维护；所述文件恶意行为特征库用于存储基于系统和应用的恶意行为特征，由入侵检测管理中心管理维护。

进一步的，所述网络HOOK监视器在NF_IP_LOCAL_IN和NF_INET_LOCAL_IN注册HOOK点。

进一步的，所述进程HOOK监视器对do_fork()函数注册HOOK点。

进一步的，所述文件HOOK监视器对read()、write()函数进行注册HOOK点。

基于本发明的技术目的，本发明还提出了一种基于Linux主机的入侵检测方法，具体如下：

步骤一：Linux主机启动时，随内核模块启动入侵检测管理中心、网络HOOK监视器、进程HOOK监视器、文件HOOK监视器和特征匹配模块；