基于主机的入侵防御系统的研究与实现

论文摘要

传统的信息安全保护技术一般是基于PDR防护模型：PDR防护模型构造了Pt>Dt+Rt的安全不等式,采用的技术主要是加密技术、检测技术和应急处理（补漏加固）技术。然而木马技术的出现,突破了PDR理论模型,使得在极端的情况下Pt=0,即只有靠检测和响应机制来保证信息的安全。针对这种形势,本文通过分析当前主机安全所面临的挑战,阐述了基于主机的入侵防御系统的设计思想,研究了入侵防御系统开发的关键技术,实现了主机安全从防护到防御的提升,达到了安全预警、纵深防御和提高主机自身免疫力的目标。基于主机的入侵防御系统以对关键的系统调用进行监视、截获为基本出发点,通过挂钩系统服务描述符表,截获内核级的系统调用,并根据用户制定的访问控制规则,对操作系统进行实时、全面的监控,对进程活动和用户行为进行细粒度的访问控制。防御系统实现了文件保护、注册表保护、进程保护、驱动保护、系统钩子保护、网络访问控制、SSDT表保护和防御系统的自身保护等功能。对于敏感文件的访问和操作,在确认进程访问权限的同时,还采用强制硬件确认控制技术检查硬件端口信号,判断鼠标、键盘等硬件操作是否从本地主机发出,彻底杜绝了木马的远程访问并实现了操作的不可抵赖性。本论文对主机防御开展了深入的研究,具有一定的理论价值,其入侵防御系统的实现也具有良好的实践价值。

论文目录

• 摘要
• Abstract
• 第1章 绪论
• 1.1 课题研究背景及意义
• 1.2 国内外研究现状
• 1.2.1 国外研究现状
• 1.2.2 国内研究现状
• 1.3 课题研究内容
• 1.4 论文组织结构
• 第2章 基于主机的入侵防御系统开发关键技术
• 2.1 访问控制策略
• 2.1.1 常用的访问控制策略
• 2.1.2 基于主机的入侵防御系统采用的访问控制策略
• 2.2 系统调用原理及系统调用截获技术
• 2.2.1 系统调用的层次化结构
• 2.2.2 系统调用的实现过程
• 2.2.3 系统调用截获技术
• 2.2.4 基于主机的入侵防御系统采用的系统调用截获技术
• 2.3 强制硬件确认控制技术
• 2.3.1 强制硬件确认控制技术的提出
• 2.3.2 强制硬件确认控制技术的模型
• 2.3.3 强制硬件控制确认技术在基于主机的入侵防御系统中的应用
• 2.4 应用程序与驱动程序之间的通信机制
• 2.4.1 通信的基本机制
• 2.4.2 应用程序向驱动程序的通信
• 2.4.3 驱动程序向应用程序的通信
• 2.5 本章小结
• 第3章 基于主机的入侵防御系统总体设计
• 3.1 基于主机的入侵防御系统模块设计
• 3.2 基于主机的入侵防御系统功能设计
• 3.3 基于主机的入侵防御系统流程设计
• 3.4 本章小结
• 第4章 基于主机的入侵防御系统详细设计与实现
• 4.1 访问控制规则的实现
• 4.1.1 访问控制规则数据库结构设计
• 4.1.2 访问规则的加载与操作
• 4.1.3 关键访问要素的提取
• 4.2 文件保护功能的实现
• 4.2.1 文件保护设计
• 4.2.2 硬件信号检测
• 4.2.3 文件保护流程
• 4.3 注册表保护功能的实现
• 4.4 进程保护功能的实现
• 4.5 驱动保护功能的实现
• 4.6 系统钩子保护功能的实现
• 4.7 网络访问控制功能的实现
• 4.8 SSDT保护功能的实现
• 4.9 系统自身保护功能的实现
• 4.10 功能测试
• 4.11 本章小结
• 第5章 结论与展望
• 5.1 结论
• 5.2 展望
• 参考文献
• 攻读硕士学位期间发表的论文及其它成果
• 致谢