基于環(huán)境模擬的入侵檢測系統測試方法

0 引 言
在保障網(wǎng)絡(luò )的安全性時(shí)，入侵檢測系統已經(jīng)成為必選的技術(shù)和手段，因為它比起其他的安全技術(shù)存在著(zhù)很多優(yōu)勢。用戶(hù)在選用IDS時(shí)，總是從各自不同的需要來(lái)考慮。要衡量IDS的優(yōu)劣，就需要明確IDS應該具備的性能指標，設計有效的方法來(lái)測試。實(shí)際上入侵檢測系統的測試是一個(gè)難度較大的問(wèn)題，也是一件費時(shí)耗力的工作。對于這一工作，許多研究機構都進(jìn)行了相應的研究，給出了自己的測試方法和測試結果。例如MIT的林肯實(shí)驗室分別在1998年和1999年進(jìn)行了IDS的兩次測試，這兩次測試的結果曾受到廣泛的關(guān)注。IBM的蘇黎世研究院和其他一些研究機構也做過(guò)相似的工作。他們的工作都專(zhuān)注于IDS評估和測試的本身，沒(méi)有過(guò)多考慮到開(kāi)發(fā)者的需要，而且他們的方法實(shí)現起來(lái)代價(jià)都很大。本文既考慮到測試的目的，又考慮了開(kāi)發(fā)者的需要，盡量能夠保證測試環(huán)境和開(kāi)發(fā)環(huán)境的融合，提出模擬現實(shí)的網(wǎng)絡(luò )環(huán)境，然后搭建軟件平臺進(jìn)行IDS測試的方法。該方法比較容易實(shí)現，可控制性強，能夠滿(mǎn)足IDS測試的多種需要，隨后的仿真測試說(shuō)明該方法是有效的。

1 IDS測試目的及指標
入侵檢測系統是一個(gè)軟硬件結合體系，可以借鑒軟件測試方法來(lái)測試和評價(jià)入侵檢測系統，但是純粹的軟件測試方法并不能很好地滿(mǎn)足IDS測試的需要。首先要確定應該以什么樣的標準來(lái)測試IDS，也就是選擇測試指標。根據IDS的特點(diǎn)采取定量的測試方法，這些測試指標側重于那些定量的測量，以及與檢測準確度相關(guān)的項目。
IDS的主要目的就是有效地檢測出入侵行為，并進(jìn)行及時(shí)處理。檢測率用來(lái)確定在一個(gè)時(shí)間段內及在給定的環(huán)境中IDS可以正確檢測到攻擊的比率。當系統將正常的行為確認為人侵行為時(shí)就是發(fā)生誤報(False Positive)。誤報率用來(lái)確定在一個(gè)特定的時(shí)間段內及在給定環(huán)境中IDS所產(chǎn)生的誤報比率，大多數產(chǎn)生誤報的原因是正常的非惡意的后臺流量引起的。當系統將入侵行為確認為正常行為時(shí)，則發(fā)生漏報(False Negatire)。漏報率用來(lái)衡量一個(gè)特定的時(shí)間段及在給定環(huán)境中IDS所產(chǎn)生的漏報比率。
檢測率和誤報率是緊密相關(guān)的，受試者行為特性曲線(xiàn)(Receiver Operating Characteristic，ROC)反映了這兩者之間的關(guān)系。ROC曲線(xiàn)的橫軸是IDS的誤報次數，縱軸為檢測率，該曲線(xiàn)準確地刻畫(huà)了IDS的檢測率與誤報率情況。利用ROC曲線(xiàn)還可以找出IDS的檢測和誤報之間的平衡點(diǎn)，但是為了獲得這個(gè)點(diǎn)需要預先做很多工作。
除了上面的幾項指標外，還有幾項重要的指標需要加以考慮。它們包括：自身安全性(抵抗對于入侵檢測系統本身的攻擊)、處理高數據流量的能力、事件關(guān)聯(lián)能力、檢測未知攻擊的能力、確認攻擊是否成功的能力等。

2 IDS測試環(huán)境
測試環(huán)境是對IDS進(jìn)行評估和測試的基礎，因為它直接關(guān)系到測試的結果，也直接影響測試的真實(shí)性和客觀(guān)性。無(wú)論何種類(lèi)型的IDS，其運行的真實(shí)環(huán)境總是一個(gè)具體的網(wǎng)絡(luò )。但是測試中環(huán)境卻不拘泥于是否是在某種特定的網(wǎng)絡(luò )里，IDS的部署和配置總是根據它所在的網(wǎng)絡(luò )環(huán)境而千差萬(wàn)別，建立的測試環(huán)境應該能夠滿(mǎn)足IDS測試中多樣性的需要，使它不僅能對測試環(huán)境進(jìn)行靈活的調整，又能在現實(shí)網(wǎng)絡(luò )中使其流量要求與技術(shù)指標相符合。測試環(huán)境分為三種：現實(shí)網(wǎng)絡(luò )環(huán)境、純軟件模擬環(huán)境和模擬網(wǎng)絡(luò )環(huán)境。
2．1 現實(shí)網(wǎng)絡(luò )環(huán)境和模擬環(huán)境
現實(shí)網(wǎng)絡(luò )環(huán)境就是本地現有的正在實(shí)際使用的網(wǎng)絡(luò )環(huán)境。整個(gè)因特網(wǎng)就是一個(gè)最大的現實(shí)的網(wǎng)絡(luò )測試環(huán)境，如圖1所示。

在內網(wǎng)中布置了IDS，該IDS可以是基于主機(Host-based IDS)的，也可以是基于網(wǎng)絡(luò )(Network-based IDS)的。發(fā)起攻擊的主機(產(chǎn)生攻擊行為的主機，這樣的主機可以是一臺也可以是多臺)可以在網(wǎng)內，也可以在網(wǎng)外。網(wǎng)內和網(wǎng)外是一個(gè)相對而言的概念，把與IDS同在一個(gè)局域網(wǎng)中的設備和節點(diǎn)看作網(wǎng)內，其他情況稱(chēng)為網(wǎng)外。發(fā)起攻擊測試的主機如果是在網(wǎng)內，那么它們應該與所要測試的IDS在同一個(gè)局域網(wǎng)內，如果這臺主機是在網(wǎng)外，那么它的位置跨度可以很大，它們可以是因特網(wǎng)上的任何機器。