维普资讯 http://www.cqvip.com
√。 。 鬈一∥ 曩一 ———— 。。一－— 学术．技术 ＩＰｖ６下入侵检测系统的设计 陈树广 （１．西安财经学院信息学院，陕西西安７１００６１； ２．西北工业大学软件与微电子学院，陕西西安７１００６１） 摘要：ＩＰ Ｖ６由实验阶段走向实际应用，给入侵检测领域的研究带来了新的课题。该文在分析ｆＰ ｖ４和ＩＰ ｖ６技术的区别以及对 Ｓ ｎ ０ ｒｔ网络入侵检测系统的了解的基础上，通过对入侵检测系统功能模块扩展实现ＩＰ Ｖ６下的入侵检测支持，提出了基于ｌＰｖ６的 入侵检测系统的设计与实现方案。 关键词：网络安全；ＩＰｖ６；Ｓｎｏｒｔ；入侵检测 Ｄｅｓｉｇｎ ｏｆ Ｔｈｅ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ Ｏｎ ＩＰｖ６ ＣＨＥＮ Ｓｈｕ－ｇｕ＆ｎｇ ・ ｆ ｘ十一Ａ～ＵＮＩＶＥＲＳＩＴＹ ＯＦ ＦＩＮＡＮＣＥ ＡＮＯ ＥＣＯＮＯＭＩＣＳ ＳＣＨＯＯＬ ＯＦ ＩＮＦＯＲＭＡＴ／ＯＮ，２＂１。ＡＮ ＴＩＯ０６１￣毪 Ｃｈｉｎｅ ２ Ｃｏｌｌｅｄｅ ｏｆ￣ｏｆｔｗｅｒｅ ａｎｄ Ｍ／ｃｒｏｅｌｅｃｔｒｏｎｌｃ￣，Ｎｏｒｔｈｗｅｓｔｅｒｎ Ｐｏｌｙｔｅｃｈｎｉｃ Ｕｎｉｖｅｒｓ／￣ｙ；２＂／ ＡＮ ７１００６１Ｐ． ．Ｃｈｉｎｅ） Ａｂｓｔｒａｃｔ：Ｗｉｔｈ ｔｈｅ ＩＰｖ６ ｄｅｖｅｌｏｐｍｅｎｔ，ｅｓｐｅｃｉａｌｌｙ ｄｕｒｉｎｇ ｔｈｅ ＣＯＵｒＳｅ ｏｆ ｔｒａｎｓｉｔｉｏｎ ｆｒｏｍ ＩＰｖ４ ｔｏ ＩＰｖ６，ｔｈｅｒｅ ａｒｅ ｍａｎｙ ｎｅｗ ｐｒｏｂｌｅｍｓ ｔｏ ｂｅ ｆａｃｅｄ ａｎｄ ｎｅｅｄ ｔｏ ｂｅ ｓｏｌｖｅｄ ｗｈｅｎ ｄｏｉｎｇ ｒｅｓｅａｒｃｈ ｏｎ ＩＰｖ６ ｉｎｔｒｕｓｉｏｎ ｄｅｔｅｃｔｉｏｎ．Ｔｈｉｓ ａｒｔｉｃｌｅ ａｎａｌｙｚｅｓ ｔｈｅ ｄｉｆｆｅｒｅｎｃｅ ｂｅｔｗｅｅｎ ＩＰｖ４ ａｎｄ ＩＰｖ６ ｔｅｃｈｎｏｌｏｇｙ ａｓ ｗｅｌｌ ａｓ ｌｅａｒｎｓ ｔｈｅ Ｓｎｏｒｔ ｎｅｔｗｏｒｋ ＩＤＳ，ｔｈｒｏｕｇｈ ｔｏ ｅｘｐａｎｄ ＩＤＳ ｆｕｎｃｔｉｏｎ ｍｏｄｕｌｅ ｔｏ ｍｅｅｔ ｔｈｅ ＩＰｖ６ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ’Ｓ ｓｕｐｐｏｒｔ，ｆｉｎａｌｌｙ ｐｒｏｐｏｓｅｄ ｔｈｅ Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ Ｓｙｓｔｅｍ ｄｅｓｉｇｎ ａｎｄ ｔｈｅ ｒｅａｌｉｚａｔｉｏｎ ｐｌａｎ ｂａｓｅｄ ｏｎ ｔｈｅ ＩＰｖ６． Ｋｅｙ ｗｏｒｄｓ：Ｎｅｔｗｏｒｋ Ｓｅｃｕｒｉｔｙ；ＩＰｖ６；Ｓｎｏｒｔ；Ｉｎｔｒｕｓｉｏｎ Ｄｅｔｅｃｔｉｏｎ 本文基于对Ｓｎｏｒｔ入侵检测系统 的了解和认识，以及对Ｓｎｏｒｔ入侵 检测结构和工作流程的分析，通过 对ＩＰｖ４下Ｓｎｏｒｔ入侵检测系统４大 功能模块实现的研究，根据ＩＰｖ４与 ＩＰｖ６协议的比较，对Ｓｎｏｒｔ入侵检 测４大功能予以扩展，实现ＩＰｖ６下 ＭＡＣ地址（６个字节），源ＭＡＣ地 址（６个字节），协议类型（２个字 节）以及数据。 装安全有效载荷报头、信宿选项报头、 上层协议报头。 （３）ＴＣＰ数据封装在ＩＰｖ６数据 （２）ＩＰｖ６的报头格式可分为基本 报头和扩展报头两部分基本报头是每 个ＩＰｖ６报文所必需的。而扩展报头 则根据具体情祝设置为可选项ＩＰｖ６ 的通用模式为：一个固定长度的基本 报头加上一组可选、数量变化的扩展 报中。包括ＩＰｖ６首部（４０字节）、 ＴＣＰ首部（２０字节）和ＴＣＰ数据３ 个部分。 （４）ＩＣＭＰＶ６是ＩＰｖ６体系结构总 体的一个组成部分。由所有ＩＰｖ６实 现完全支持ＩＣＭＰＶ６具备ＩＰｖ４中的 ＩＣＭＰ的所有基本功能，并且抛弃了 一的入侵检测支持。 １ ＩＰｖ６协议分析 在Ｔ ｃＰ／ＩＰ体系中，所有 ＴＣＰ、ＵＤＰ、ＩＣＭ Ｐ协议包都以ＩＰ 报头，数据报基本报头的格式。 具有普遍性的ＩＰｖ６报头是由一 个固定的、必需的基本报头和一系列 些不再使用的过时消息类型，提供 了一些简化功能。ＩＣＭＰＶ６合并了 数据报格式传输，如果网络上传输的 是ＩＰｖ６协议数据包。以以太网为例， 可选、不必需、数量不定的扩展报 ＩＰｖ４中ＩＣＭＰ、ＩＧＭＰ、ＲＰ协议的 头组成，一个正常发送的ＩＰｖ６报文。 可以没有扩展头，但必须要一个基本 功能，目前，ＩｃＭＰＶ６实现并提供 的网络功能主要有：错误报告、网络 诊断、邻居发现、多播实现等。 那么其基本结构如图１所示。 ：太网 ｖ６基』ＴＣＰ酋。数据 以太网Ｉ 报头。目前，针对ＩＰｖ６定义的扩展 报头共有以下几种，这些报头排列的 首部 ｆ本报头 『都 ｌ４个字节４０个字节 ２０个字节Ｉ尾部 Ｊ４々、字节 图１ ＩＰｖ６数据包的基本结构 前后顺序为：ＩＰｖ６基本报头、Ｈｏｐ— ｂｙ－Ｈ ｏｐ选项报头、信宿选项报头、 路由报头、分段报头、认证报头、封 ２检测思路 协议分析技术需要对每一种协议 数据进入协议栈时封装情况如下： （１）以太网帧封装格式包括目的 编写一段协议解码检测的代码，如 维普资讯 http://www.cqvip.com ＨＴＴＰ分析模块主要是对ＨＴＴＰ进 行解码，并检测对Ｗｅｂ服务器的攻 击。虽然不同的协议都有不同的协议 代码，但是所有协议分析都有类似的 结构框架，其检测思路是一致的。即 都遵照协议分析的检测思路：首先将 报文解码，然后进行检查并与预期值 进行比较，若有异常则报警。 ３ ＩＰｖ６下入侵检测系统的设计 ３。１ ＩＰｖ６数据报文解析模块 ＩＰｖ６报文解析模块的作用是通 过ｌｉｂｐｃｐａ从网卡上捕获数据包，实 现ＩＰｖ６数据包从数据链路层到网络 层的解码，并将解码的结果放入到 已定义的数据结构中。下面来描述 ＩＰｖ６数据报文解析的设计实现过程。 首先，对ＩＰｖ６头中的几个字段 值进行检查，如果发现异常就发出 警报并退出函数。ＩＰｖ６头包括总长 为４０Ｂ的８个字段（其中两个字段是 源地址和目的地址）；ＩＰｖ４头中包含 至少１２个不同字段，其长度在没有 选项时为２０Ｂ，包含选项时可达６０Ｂ， 简化ＩＰｖ６头使得对ＩＰｖ６头的检查比 对ＩＰｖ４头的检查简单，减少了需要 检查和处理的字段的数量。 其次，对ＩＰｖ６扩展头的解析。 ＩＰｖ６对扩展和选项支持进行了改进， 把选项加在单独的扩展头中。因此， 在解析ＩＰｖ６协议时还要根据ＩＰｖ６头 的“下一个首部”字段的值调用不同 的函数来解析ＩＰｖ６扩展头。ＩＰｖ６已 指定的扩展头包括：逐跳选项头、选 路头（ＲＨ）、分段头（ＦＨ），身份验 证头（ＡＨ）、封装安全性净荷（ＥＳＰ） 头、目的地选项头。在解析ＩＰｖ６扩 展头时，先解析扩展头字段值，如果 出现了不应该的值就丢弃该数据包并 记录日志，而后解析扩展头的下一个 ＿ １ ｌ学术。技术 首部字段，并根据该值来调用不同的 处理器模块时，包重组预处理器根 解析函数。若ＩＰｖ６头或ＩＰｖ６扩展头 据ＩＰｖ６“下一个首部”的扩展头字 的下一个首部字段为ＩＣＭＰＶ６（字 段判断收到的数据包是否为分片的分 段值为５８），就调用解析ＩＣＭＰＶ６ 组。若为分片分组，根据分组的源地 协议的函数来解析。 址、目的地址和标识在需重组的ＩＰ ３．２ ＩＰｖ６预处理模块 数据报树中进行查找。 ＩＰｖ６预处理模块的作用是包括 （３）如果未找到，表明是一个新 对ＩＰｖ６数据报进行处理以便规则引 的需要重组的ＩＰ数据报的第一个数 擎正确工作。ＩＰｖ６预处理模块包含 据片，创建一个ＩＰ数据报结点，并 以下预处理器插件：ＩＰｖ６数据分段 插入重组ＩＰ数据报树。插入位置的 包重组预处理器、流重组预处理器、 查找根据ＩＰ数据报的源ＩＰ地址、目 端口扫描检测预处理器。由于ＩＰｖ４ 的ＩＰ地址和标识。 和ＩＰｖ６分段包存储格式不同，为保 （４）如果找到该类型的需重组的 证已有入侵检测系统的正常运行以实 ＩＰ数据报结点，表明该分组为该ＩＰ 现ＩＰｖ６／ｖ４双协议栈入侵检测，在 数据报的一个分片，将该分片分组插 此主要扩展ＩＰｖ６数据分段包重组预 入该ＩＰ数据报的分片分组树。插入 处理器。在ＩＰｖ４报头中，通过数 位置查找根据分片分组中的“分段偏 据报ＩＤ、分段标志和分段偏移值指 移值”。 明ＩＰｖ４数据包的分段，ＩＰｖ６用“下 （５）根据Ｍ字段、分段偏移值及 一个首部”字段指向类型为分段头 数据字段大小，判断是否还有分片分 （ＦＨ）的扩展头表示分段包，通过 组，若没有分片分组就开始进行组包， 分段偏移值，Ｍ标志和标识符指明 否则继续等待其他分段包。组包完成 ＩＰｖ６数据包的分段。ＩＰｖ６分段包重 后就可以将该ＩＰ包转交给其他模块 组中采用二叉树的数据结构。其中规 进行下一步的处理。 定了如下术语：ＩＰ数据报是指ＩＰ层 重复（２），（３），（４），（５）直至系统退出。 端到端的传输单元（在分片之前和重 上述ＩＰ数据报的重组流程，如 新组装之后）；分组是指在ＩＰ层和链 图２所示。 路层之间传送的数据单元，一个分组 可以是一个完整的ＩＰ数据报，也可 以是ＩＰ数据报的一个分片。其流程 的步骤如下： ——上蔓 不存在匹配分片分组树 （１）首先初始化一棵二叉树（称 之为重组ＩＰ数据报树）。该树中的每 存在匹配分片分组树 Ｉ：：＝：： 。。：：： 个节点表示一个需要重组的ＩＰ数据 Ｉ 位置插入分片分组 １ 报，结点中存放了该ＩＰ数据报的第 一个分片。该结点又作为ＩＰ数据报 ＼～—／ 中所有分片组成的二叉树（称之为分 三 片分组树）的根结点。 １ 竺竺 兰ｌ （２）当包捕获引擎捕获到一个数 图２ ＩＰｖ６分段包重组流程 据包后，经过解码器解码发送给预 ３．３分析检测模块 （下转２９页） 维普资讯 http://www.cqvip.com 。。 氯 毳 溢羞 学术．技术ｌ 的信息安全风险评估方法。该方法根 据组织业务数据流程图分析、识别组 Ｉ ７７９９：２００５：ｉ ｎｆ０ ｒｍａｔｉ０ｎ ｔｅ ｃ ｈ ｎｏ１０ｇＹ． ｓｅｃｕｒｉ；１ｙ １；ｅｃｈｎｉｑｕｅｓ，ｆｎｆｏｒｍａｌ；ｉｏｎ ｓｅｃｕｒｉ；１ｙ 织业务依赖的资产，并给出资产的安 全级别和对组织业务的重要级别；同 时结合具体的业务流程过程分析面临 ｍａｎａｇｅｍｅｎ１；ｓｙｓｔｅｍｓ，ｒｅｑｕｉｒｅｍｅｎ１；ｓ：２００５． ［６］Ｔｈｅ ｌｎｔ ｅ ｒｎａｔｊ Ｏｎａｌ ０ ｒｇａｎｉ Ｚａｔｉ０ｎ ｆｏｒ Ｓｔａｎｄａｒｄｉｚａ１；ｉｏｎ．Ｔｈｅ Ｉｎ１；ｅｒｎａｔｉｏｎａＩ ＥＩｅｃ１；ｒｏ；１ｅｃｈｎｉｃａｌ Ｃｏｍｍｉｓｓｉｏｎ（ＩＳＯ）．ｍｏ／￣Ｅｃ １ ５５５５～１：ｉｎｆｏｒｍａ１；ｉｏｎ １；ｅｃｈｎｏｌｏｇｙ－ｓｅｃｕｒｉ；１ｙ ；１ｅｃｈｎｉｑｕｅｓ－ｇｕｉｄｅｌｉｎｅ ｆｏｒ １；ｈｅ ｍａｎａｇｅｍｅｎ１；ｏｆ 的威胁，并给出威胁的影响权重和发 生概率，以及威胁利用脆弱性造成影 响的组合值，使资产、威胁、脆弱性 ＩＴ ｓｅｃ ｔｙ（ＧＭｌＴｓ）～ｐａｒ；１：１ｃｏｎｃｅｐ；１ｓ ａｎｄ ｍｏｄｅｌｓ ｆｏｒ ｌＴ ｓｅｃｕｒｉ；１ｙ：２０００． 和组织业务过程紧紧联系，更加具体 清晰提示出组织信息安全风险，易于 被组织高层认可。固 作者简介：程建华（１ ９６８－），现在吉林 大学管理学院攻读博士学位；靖继鹏， 吉林大学管理学院博士生导师，吉林 参考文献： 【１］冯登国，张阳，张玉清．信息安全 风险评估综述，通信学报，２００４，２５（７）： Ｉ Ｏ－Ｉ ８， （上接２５页） 帅一一～～一．ｕ 一 一～一 一．～～一 一～一一～一～ 一一～一ｍｎ一～Ⅲ 一∞， ． 大学信息资源开发中心主任，吉林大 学情报科学研究所所长，吉林大学《情 报科学》杂志社社长兼主编。 收稿日期：２００８－０１－０４ ＩＰｖ６分析检测模块主要完成基 于ＩＰｖ６入侵攻击事件的检测。根 据规则来检查数据包的各个方 一一 一 ～一～ ～一～ 一一 据已有的ＩＰｖ４下的攻击方法开发基 于ＩＰｖ６环境下的攻击工具，对已构 ＩＰｖ６协议包的信息。ＩＰｖ６下数据报 输出部分主要包括数据链路层的数据 报头输出，ＩＰｖ６和ＩＣＭＰＶ６等协议 建的ＩＰｖ６入侵检测系统进行攻击模 拟，追踪ＩＰｖ６攻击事件，验证ＩＰｖ６ 环境下检测引擎对攻击事件的处理 面，包括数据包的大小、协议类型、 ＩＰ／ＩＣＭＰ／ＴＣＰ选项等，以发现入 侵行为。ＩＰｖ６分析检测模块是基于 的数据报头输出，以及ＩＰｖ６扩展头 信息的输出等，使之具有处理ＩＰｖ６ 能力。通过反复多样的攻击，完善 信息的输出能力。固 规则的，根据用户规则文件中的设定， ＩＰｖ６环境下攻击事件特征行为的提 对数据包调用不同的处理检测模块进 行分析检测。 取，逐步提高ＩＰｖ６分析检测模块对 攻击事件的检测能力。 参考资料： 【１］（美）ｈａｇｅｎ．ｓ．ＩＰｖ６精髓．清华大学 出版社，２００４年５月． 实现ＩＰｖ６下入侵事件的检测， 首先要对ＩＰｖ６环境下的攻击事件特 征行为进行提取。ｎｍａｐ可用于查看 一３．４ ＩＰｖ６输出模块 ＩＰｖ６输出模块的作用是把检 测ＩＰｖ６数据包产生的报警和日志以 各种丰富的格式进行记录，以方便 查询和分析。ＩＰｖ６输出模块主要扩 【２］（美）Ｂｒｉａｎ Ｃａｓｗｅｌ、Ｊａｙ Ｂｅａｌｅ、Ｊａｍｅｓ Ｃ．Ｆｏｓ１；ｅｒ、Ｊｅｆｆｒｅｙ Ｐｏｓｌｕｎｓ．Ｓｎｏｒ１；２．０入侵 检测．国防工业出版社，２００４年１月． 个网络系统有哪些主机以及其上运 高平利，任金昌．基于Ｓｎｏｒｔ入侵检 测系统的分析与实现．计算机应用与 软件，２００６年Ｏ８期． 行何种服务，ｎｍａｐ是目前已知的支 持ＩＰｖ６地址的端口扫描工具，因此 展了系统日志记录插件、ｔｃｐｄｕｍｐ 格式输出插件和数据库记录插件。 ＩＰｖ６下的数据报文解析模块、预处 理模块及分析检测模块均可根据实 际需要调用输出模块的相应插件来 完成报警和日志的记录。 为ＩＰｖ６入侵检测系统的入侵检测提 供入侵包支持。但是，当今网络基 于ＩＰｖ６的攻击事件相对较少，仅有 的ｎｍａｐ工具不能提供详尽的ＩＰｖ６ 环境下的攻击特征，需要结合已有的 基于ＩＰｖ４的攻击特征，通过网络探 【４】唐正军，李建华．入侵检测技术．清 华大学出版社，２００４． ［５蒋建春，冯登国．网络入侵检测原 ５］理与技术．国防工业出版社，２００１． 作者简介：陈树广（１ ９７２－－），讲师， 在读软件工程硕士，主要研究方向： 统计网格技术与科学计算可视化。 这些日志和报警插件在记录时 需要用到相应协议的数据包格式的 测收集和自身研究相结合的方法，构 建ＩＰｖ６下漏洞攻击事件特征库，实 现ＩＰｖ６的规则检测引擎。同时，根 信息，因此需要对这些插件中的相 应部分进行修改，以便能够记录 收稿日期：２００７—１ ０—１ ３ ≥
