嵌入式系統中入侵檢測的設計及實(shí)現

圖2 事件分析器程序流程圖

從圖2可以看出，系統目前只檢測三種安全威脅，這是針對電力系統的威脅而確定。檢測的結果保存到威脅日志中并生成相應錯誤號，輔助響應單元完成后續操作?？梢愿鶕枨?，通過(guò)修改檢測策略庫增加檢測的攻擊類(lèi)型，但是為了不影響嵌入式系統的實(shí)時(shí)性，原則上只檢測必要的攻擊行為。

3.2 主要數據結構和方法

　　大型入侵檢測系統采用標準的日志數據結構，以方便系統之間的數據交流。但作為一個(gè)嵌入式的應用，目前并沒(méi)有做分布式架構的設計。若采用標準數據結構，則會(huì )使日志記錄的數據量大大增加，占用大量有限的存儲器空間。因此系統自定義了一個(gè)日志記錄的數據結構，而事件數據庫以一個(gè)結構體數組形式存在，并通過(guò)一個(gè)結構體控制數組使其成為一個(gè)循環(huán)區域。日志記錄和控制循環(huán)區域的結構體數據格式如下：

struct log {
unsigned char tp； //說(shuō)明日志文件類(lèi)型
unsigned char action； //說(shuō)明操作類(lèi)型
unsigned long time； //說(shuō)明操作時(shí)間
unsigned long ip； //說(shuō)明操作地點(diǎn)
long backup； //供擴展用
}

日志記錄是整個(gè)模塊中最占用存儲器的部分，為了盡量減少占用存儲區域，各個(gè)字段都做了優(yōu)化處理。在時(shí)間上并不采用傳統標準的年/月/日/時(shí)/分/秒表示，而是以一個(gè)無(wú)符號的長(cháng)整型表示時(shí)間差來(lái)計算時(shí)間。這樣不僅節省了存儲空間，還簡(jiǎn)化了檢測過(guò)程中時(shí)間差計算的復雜度。具體操作類(lèi)型通過(guò)char tp與char action確定，用每一個(gè)bit位表示一個(gè)操作，這樣可以表示64個(gè)具體操作類(lèi)型。

struct logchain {
struct log* start； //緩存區開(kāi)始的地址
struct log* end； //緩存區結束的地址
unsigned short lpoint//上次入侵檢測提取的最后一條記錄
unsigned short ttsize//整個(gè)緩存區的大小
unsigned short entries//目前被占用的記錄數目
unsigned short curpoint//指向當前可以寫(xiě)入的緩存區點(diǎn)
}

上述數據結構將控制整個(gè)事件數據庫日志的存儲管理。事件數據庫以一個(gè)循環(huán)的結構體數組表示，可以避免數據緩沖區的溢出。

整個(gè)入侵檢測模塊主要有以下幾個(gè)功能函數。為了保證通用性，所有函數都是以標準C語(yǔ)言編寫(xiě)。

(1)入侵檢測模塊的啟動(dòng)：unsigned char audit_init(void)。該功能函數將完成事件數據庫存儲區域的初始化、消息隊列的初始化和常駐任務(wù)的建立。

(2)常駐任務(wù)：void audittrail_thread(void*arg)。當系統啟動(dòng)入侵檢測服務(wù)后，該任務(wù)將作為常駐任務(wù)運行在系統中。常駐任務(wù)是接收事件產(chǎn)生器發(fā)送的消息，經(jīng)格式化處理保存在事件數據庫中，并根據事件數據庫的情況觸發(fā)事件分析器。

(3)檢測函數

密碼猜測攻擊：void check_countguess(void)
異常操作行為：void check_abnormalaction(void)
資源訪(fǎng)問(wèn)情況：void check_resoucestatus(void)
這三個(gè)功能函數用來(lái)分析用戶(hù)登錄日志記錄，檢測是否存在惡意攻擊。

(4)響應單元主函數：void response_main(unsigned char alarm)。該函數根據分析器得出的警告，調用響應策略庫中的相關(guān)策略，實(shí)施保護或者反擊措施。

本文提出的基于改進(jìn)的μC/OS-II入侵檢測模塊的設計已基本實(shí)現。并且，作者修改了本實(shí)驗室已實(shí)現的智能脫扣器項目的軟件，并把它加載到修改后的嵌入式操作系統上進(jìn)行初步測試。測試結果表明：系統的實(shí)時(shí)性和安全性均能滿(mǎn)足要求。在本論文的基礎上，作者將對入侵檢測的策略進(jìn)行進(jìn)一步改進(jìn)和擴充，增強其穩定性和實(shí)時(shí)性，以使其能更適應實(shí)際的電力應用領(lǐng)域。