二年级下册期中试卷-消防演习

第１９卷．第８期　
计算机技术与发展　
２００９年８月　
Ｖｏ１．１ ９　ＮＯ．８　
ＣＯＭＰＵＴＥＲ　ＴＥＣＨＮＯＩＡ￣Ｙ　ＡＮｒＤ　ＤＥｖＥＬＯＰＭＥＮＴ　Ａｕｇ．　２００９　
网络异常的主动检测与特征分析　
赵辉，张鹏　
（中南大学 信息与通信工程系，湖南长沙４１００８３）　
摘要：目前入侵检测系统主要使用的技术还是特征检测， 它只能检测已知的入侵，而异常检测尽管能检测未知人侵，却　
无法保证准确性和可靠性。特征检测是建 立在对特征的准确定位基础之上的，而异常检测是基于不可靠行为的，只能描　
述某种行为的趋势。文中 对基于异常和特征的入侵检测系统模型做了一定研究，把网络异常特征与异常检测技术结合，　
提高了入 侵检测系统的检测效果。　
关键词：异常检测；特征提取；主动检测　
中图分类号：Ｉ３￣３９ ３．０８　文献标识码：Ａ　文章编号：１６７３—６２９Ｘ（２００９）０８—０１５９—０３　
Ａｃ ｔｉｖｅ　Ｄｅｔｅｃｔｉｏｎ　ａｎｄ　Ｆｅａｔｕｒｅ　Ａｎａｌｙｓｉｓ　Ａｂｏｕｔ　Ｎｅｔｗｏｒｋ　 Ａｎｏｍａｌｙ　
ＺＨＡＯ　Ｈｕｉ，ＺＨＡＮＧ　Ｐｅｎｇ　
（Ｄｅｐａｒｔｍｅｎｔ　ｏｆ 　Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｃｏｍｍｕｎｉｃａｔｉｏｎ　Ｅｎｇｉｎｅｅｒｉｎｇ，Ｃｅｎｔｒａｌ 　Ｓｏｕｔｈ　Ｕｎｉｖｅｒｓｉｔｙ，Ｃｈａｎｇｓｈａ　４１００８３，Ｃｈｉｎａ）　
Ａｂｓｔｒ ａｃｔ：Ｃｕｒｒｅｎｔｌｙ　ｔｈｅ　ｍａｉｎ　ｔｃｅｈｎｏ￣ｇｙ　ｏｆ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅ ｃｔｉｏｎ　ｓ￣ｔｅｍ　ｉｓ　ｆｅａｔｕｒｅ　ｄｅｔｅｃｔｉｏｎ，ｗｈｉｃｈ　ｃａｎ　ｏｎｌｙ　ｄｅ ｔｃｅｔ　ｔｈｅ　ｋｎｏｗｎ　ｉｎｔｒｕｓｉｏｎ，　
ａｎｄ　ａｎｏｍａｌｙ　ｄｅｔｅｃｔｉｏ ｎ　ｃａｌｌ　ｂｅ　Ｉｌｓｅｄ　ｔｏ　ｄｅｔｅｃｔ　ｔｈｅ　Ｌｌｎｋｎｏｖ￣／１　ｉｎｔｒｕｓｉｏｎ ．ｉｔ　ｉｓ　ｕｎａｂｌｅ　ｔｏ　ｅｎｓｕｒｅ　ｉｔｓ　ａｃｃｕｒａｃｙ　ａｎｄ　ｒｅｌｉａｂｉｌｉ ｔｙ．ＷｈｉＩｅ　ｎａｏｍ￣ｙ　ｄｅ－　
ｔｅｃｔｉｏｎ　ｉｓ　ｂａｓｅｄ　ｏｎ　ｕｎｃｅｒｔ ａｉｎ　ｂｅｈａｖｉｏｒ，ｗｈｉｃｈ　ｃａｎ　ｏｎｌｙ　ｄｅｓｅｒｉｂｅ　ｔｈｅ　ｔｒｅｎｄ　ｏｆ　 ｅｂｈａｖｉｏｒ，ｆ￣ｔｕｒｅ　ｄｅｔｅｃｔｉｏｎ　ｉｓ　ｂａｓｅｄ　ｏｎ　ａｃｃｕｒａｔｅ　ｆ￣ｔ ｕｒｅ　ｌｏｃａｔ—　
ｉｎｇ．　Ｉｎ　ｔｈｉｓ　ｐａｐｅｒ　ｐｒ０ｐ　ｌｆ　ｍｅｔｈｏｄ　ｗ ｈｉｃｈ　ｉｎｃｏｒｐｏｒａｔｅ　ａｎｏｍ￣ｙ　ｄｅｔｃｅｔｉｏｎ　ａｎｄ　ｆｅａｔｕｒｅ　ｄｅｔｅ ｃｔｉｏｎ　ｔｏ　ｇａｉｎ　ｂｅｔｔｅｒ　ｐｅｒｆｏｒｍａｎｃｅ．ａｎｄ　ａｌｓｏ　ｄｉｓ—　
ｃｕ￣ｓｅｄ　ｔｈｅ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ｓｙｓｔｅｍ　ｍｏｄｅｌ　ｂａｓｅｄ 　ｏｎ　ｆ￣ｔｒｕｅ　ｄｅｔｃｅｔｉｏｎ　ａｎｄ　ａｎｏｎ】ａｌｙ　ｄｅｔｅｃｔｉｏｎ．　
Ｋ ｅｙ　ｗｏｒｄｓ：ａｎｏｍａｌｙ　ｄｅｔｅｃｔｉｏｎ；ｆｅａｔｕｒｅ　ｅｘｔｒａｃｔｉｏｎ；ａｃｔｉ ｖｅ　ｉｎｔｒｕｓｉｏｎ　
Ｏ　引　言　
建立一个特征库，然后将网络采集的数据与特征库中 　
网络安全问题愈来愈受到人们的关注，在此方面　
特征进行一一匹配，若存在匹配的特征，则 表明其是一　
首先要做的工作是当网络出现异常时，能够快速发现　
个人侵行为。　
问 题并找出其根源。对网络故障或其它原因引起的网　
异常检测也称为基于行为的入侵检测，一般方法　< br>络异常的研究，将有助于发现网络中更细微的变化，提　
是建立一个对应“正常活动”的系统或用 户的正常轮　
高发现问题的能力，提高警报信息的准确性，进一步提　廓。检测入侵活动时，异常检测程 序产生当前的活动　
高网络服务质量。而目前所应用的各种检测方法中，　轮廓并与正常轮廓比较，当活 动轮廓与正常轮廓发生　
都需要对网络中各种攻击行为进行分析，同时进行必　
显著偏离时即认 为是入侵，从而触发相应机制。　
要的侦查、取证，而这其中最为关键的就是要从大量数　
特征 检测的优势在于能够对已知入侵作出准确判　
据包文中提取有效的攻击特征，对攻击特征进行准确　断，异常检测的优势在于对网络异常状况监测的主动　
的定位　』。根据网络异常时的特征进行检测 和诊断，　
性，因此，可以考虑将特征检测中的特征匹配方法与异　
可以保证具有更低虚警率， 同时还有更高的检测率。　
常检测中对异常数据流行为的监视方法相结合。在以　
往各种异常检 测的方法中，都需要抽取具有正常（或者　
１网络异常的主动检测　
非正常）行为的样本，每个 样本都有其特征定义，即从　
１．１特征检测与异常检测　
ＩＰ地址、端口号、协议类型等信息 得到特征描述，然后　
特征检测又称误用检测，是根据已知的攻击特征　
归类为各种样本或者搭 配成各种组合特征集或者描述　
收稿日期：２００８—１２—０３；修回日期：２００９—０２—２７　
为特征向量。异常检测能发现未知入侵，而基于特征　
基金项目：教育部全国教育科学计划（２ ００６ＪＫＳ２００７）　
的检测能发现已知入侵，因此异常检测与特征检测相　
作者简介：赵 辉（１９５７～），男，副教授，研究方向为网络信息系统、　
结合－２　Ｊ，才能更好地适应复杂多变 的网络环境，同时，　
分布式多媒体、现代教育技术等。　
作为异常检测核心之一的模型建立方 式，也离不开对　

・
１６０・　计算机技术与发展　第ｌ９卷　
特征的 分析。　
１．２网络异常的常用主动检测方法　
常，则根据级别发出不同警报，同时抓取该时段 的数据　
包，如图ｌ所示。　
在网络监测或管理系统中，网络中的异常通常是　
通过网 络流量异常或者其他设备异常特征来判断。基　
于流量异常的检测方法有很多，较常用的有基于域值　< br>的检测方法、基于统计的检测方法、基于小波的检测方　
法、基于马尔可夫等随机过程模型的方法 和一些基于　
机器学习、数据挖掘和神经网络等检测方法，这些方法　
是建立在对特定网络对象 的实时监控基础上的　３　Ｊ。从　
检测对象来讲，能反映网络异常的方面有很多，比如　
Ｎｅ ｔＦｌｏｗ、日志数据、端口状态以及基本设备状态等，这　
统计项　
表１端口信息统计表　< br>说明　
端口索引　标记每个端口　
端口状态　显示端口是否开启或关闭　
每秒流 入／　对每个端口的进出数据包进行统计，通过其数据　
出包数　量可以了解某个端口的负载情况　每秒流人／　包的变化浮动能够说明网络的实时状态，特别是　
出包变化率　在遭受攻击时，变化宰 会更加明显　
每秒丢包率　如果丢包率出现较大偏差，则从一个方面说明网　
络设备的负载存在 问题或者被入侵　
些都能为我们提供最为直接的信息，只有查堑幽避
对这些信息做到较好的统计 ，才可以利用　
测。　
出　
检索条件：　ＡＬＬ　ｖ　
趔　—Ｉ—一
一
ｓ．ｙ￣ｌ生　
堕枣　ｌ　
修改　
捧序方式：　１分譬　据ｖ　
各 种数学的、生物的模型来进行分析与检　
共娩８ｓ２ｌ条信息１００８／页页码：ｉ１　
根据校 园网的实际情况，在流量统计　
方面主要应用以下几个手段来做到主动、　
实时地对校园网络进 行检测，分别为：　
（１）ＮｅｔＦｌＯＸａ＂，的网络异常流量检测　
它的主要优势在于首先 ＮｅｔＦｌｏｗ直接在路　
。　４　尊丽帚ｌ贝　
序　
设备名　设备ｎ　
口　
每页显示的条数：　１００６　
首页上一页下一页尾页　
基　＿近ｊ呈『努　蛋　分　
攫块号　．ｉＱ￣－　钟内捌ｌ钟内刺　钟内利　取售时闷　
甩事ｆ用率　甩事　
１　
ｐｒｏｔ　
—
ｓｌ　２０２　Ｉ９７　４８　Ｔ０　ｌ００　５５—６５　
２ —８　
９５　
７８％　
５３＇‘　
ＴＴ薯　
２００７一ｌ０一Ｉ　ｌ 　
ｌ５　４６
：０ｌ　
２　Ｓ６ＳＯ６
：ＳＴＵ　Ｚ０２　ｌ冒７　４８　０ ０　ｌ　
２００８—０Ｓ—Ｉｌ　
０３
：２５‘０ｌ　
３　１ｓ６５ｏ６：Ｓ ＴＩｒ　２０２　ｌ９７　４８　０Ｏ　
４　Ｓ６５嘴
ｌ　２
一
’８　
１６　７Ｂ篙　
∞薯　
订＊　
２００８—１０－ｌ８　
２０
０５： ０１　
ｓＴＶ　Ｚ０２　１ｇ７　４８　３０　２　
９．１１—　
１４　
９。 １１—　
１《　ｉ８　
９．１１一　
２００８一∞一２９　
０Ｉ　４５　０２ 　
２００８—Ｏ９－２９　
０ｌ　Ｓ５　０１　
２００８—０ｇ－２９　
由器 上采集流的信息。只要是通过这个　
路由器的ＩＰ流，它都可以进行检测；其次，　
，
＿
５　Ｓ６５０６　ｓＴＶ　蛳眨１Ｓ７　４８
．
３０　２　７８％　７８臀　
Ｒ　Ｒ　ＩＲ　１　ｒ　２幢ｌ９７　４８　３０　
４ｅｔｒｔｏｗ的流记录信息不涉及到高层信　< br>图ｌ　ＣＰＵ状态显示　
息；第三，异常检测不需要庞大且不断增　
长的特征库，对于数 据记录只需对照正常的数据行为　
基准，就可以进行检测各行为是否偏离这个基准即可。　
（２ ）Ｓｙｓｌｏｇ日志检测。通过设置Ｓｙｓｌｏｇ日志服务　
２特征的描述和提取　
特征是对已 知的异常行为的描述。特征必须能准　
确描述某一种网络异常的特点，对于每种网络异常现　
象 ，都应该对其相应的恶意数据包进行分析，提取攻击　
器，对日志数据接收之后，然后对Ｓｙｓｉｏｇ包 进行解析及　
预处理如果检测到可疑的异常行为，发出告警信息。　
（３）端Ｅｌ定时扫描。通 过ＭＩＢ（Ｍａｎａｇｅｍｅｎｔ　Ｉｎｆｏｒ—　
特征。一个特征应该是一个数据包或数据包序列的独 　
有特性。理想情况下，通过特征应该总是能够发现网　
络异常的源头，同时应该不会对正常的 网络流量造成　
影响，而异常检测的预处理则是根据一定的要求通过　
数据包的包头获取所需的 网络连接信息。在假设绝对　
安全、完全正常的环境中收集网络连接信息，并按照一　
定的采样 间隔，在一定时间内形成正常网络连接库，假　
定基于特征的检测能够立即以某种方式对攻击进行特　< br>ｍａｒｉｏｎ　Ｂａｓｅ，管理信息库）对网络设备端口状态进行读　
取，并且对不同主机的同一 端口以及特定主机的不同　
端口进行统计，对转发包数量，以及丢包率等特征进行　
抽取。这种 方法主要是基于端口的统计特征　４ｊ．当发　
现有较大浮动时，发出警告，并抓取相应数据包进行分　
析。主要统计的数据有如下几方面（见表１）。　
另外，在对网络设备的检测中，由于很多的网 络攻　
击行为必然导致对于网络设备的异常，而对于校园网　
中，最明显的影响表现在ＣＰＵ的 利用率上，根据实际　
的经验，在网络受到攻击时，通常不会仅仅存在少量的　
数据包，而是在 短时间内数据包的数量剧增，特别是　
征描述，那么通过匹配已知的入侵来识别模式，包括协　
议分析和特征分析，最终可以完成对网络异常的正确　
判断。　
可以把异常检测所建立的用户异 常行为特征建立　
数据库，把相同或者相似的用户行为归结为一类，把按　
时段划分的各范围内 网络业务量统计并建立特征，在　
对网络数据流进行一系列的数据预处理，经过原始报　
文的捕 获，将会话还原形成数据流，也就是把网络业务　
ＡＲＰ攻击和其他不符合标准ＩＰ格式的数据包，会直 　
接使ＣＰＵ的利用率在几秒钟内由平时的１０％左右上　
升至３５％以上。由此，通过实时的 检测，分别获取每５　
秒、１分钟、１０分钟内，ＣＰＵ利用率情况，如果发现异　

第８期　赵辉等：网络异常的主动检测与特征分析　・１６１・　
ＵＯ　３
ＵＯｆ
０Ｏ　Ｃ
６　２０
量数据流转化成为特征向量的形式。此外，需要进一　
步对数据流进 行特征提取，即用数据流特征代替数据　
流进行异常分析。并根据当前行为对异常行为特征库　
的匹配程度判断用户行为异常的根源。　
主要的特征分析及提取方法可以有以下几种：　
（１） 基本网络协议方面的特征描述。　
由于ＴＣＰ／ＩＰ协议是目前使用最广泛的网络互联　
以表现 出来的，而是通过频繁发送大量数据包才会引　
异常的特征。实时从网络流量中提取一些网络流量的　< br>ｅ８ｄ　７Ｏ　Ｃ
Ｕ　ａ９　７　Ｏ　ｅ
起的，因此需分析一段时间内的网络流量来描述 这些　
４　Ｏ　２Ｏ　Ｏｄ
Ｃ０　３　３　０　Ｃ
Ｏ己００　７
１　０８ｆＯ 　２
已４Ｏ０６　５
口Ｏ７０１７
基本特征数据，比如流量的大小、包长的信息、协议 的　
，０４上Ｏ１　３　５ｂＯＯ　２
信息、端口流量的信息、Ｔ　Ｃ　Ｐ标志位的信息等，根 据　
ＵｆＯＵ　２０　４　ａ　ＣＯＯ１
实际需要选取不同方面组合，从而得到各类异常特征　
的模型，而这种模型是根据需要实时设置和改变的［　。　
ｒ　ａ　５
以简单归结为３ 种：（１）拒绝服务攻击；（２）冒充网关；　
ｎ　
０ｂ　４
Ｃ６　４　Ｃ８７
协议，也是最经常被攻击破坏的一个大目标，因此，在　
研究网络特征描述和提取的问题时，根据ＴＣ Ｐ／，ＩＰ协　
比如现在比较常见的ＡＲＰ欺骗，其常用的方式可　
１　ｅ　ｅ　ｅｄ
ｂ　４６　ａｄ　４
８
７Ｏ０１ｆ
Ｄ（２０９　ｅ
议体系，主要考虑的数据包 是ＴＣＰ数据包、ＵＤＰ数据　
包和ＡＲＰ数据包等。如何在大量的数据中提取出具　
有代表性 的特征模式，用于对程序或用户行为做出描　
述，是实现检测的关键。在对由Ｗｉｎｐｃａｐ截获的ＴＣ Ｐ—　
Ｄｕｍｐ格式数据进行分析和待征提取，从包含大量冗　
余信息的数据中提取出尽可能多 的安全信息，抽象出　
有利于进行判断和比较的特征集合，这种特征可以用　
于基于特征检测的 特征向量模型　］，也可以用于基于　
异常检测的行为描述模型。　
针对网络攻击，可以对ＩＰ 、ＴＣＰ、ＵＤＰ、ＡＲＰ几种　
常用的网络协议进行分析，以其数据包的包头中得到　
能够表 征攻击特征的不同字段的特殊取值作为攻击特　
征的基本网络协议特征　６　Ｊ。例如从ＩＰ包头中提取 有　
用的几个特征：源ＩＰ地址、目的ＩＰ地址、协议类型、时　
间戳等。通过对攻击进行网络 协议分析，用协议包头　
的特殊字段值来标示网络攻击特征，例如，在中南大学　
网络中心出现 的一种异常现象，每次出现该异常的主　
要表现就是ＣＰＵ会告警，由此抓取该时段的数据包，　
通过分析找到其中多条记录的协议类型有问题，如图　
２所示。　
ｃａ　ｃ　５　
０ ９　０７　
５２　０７　
３ｆ　ａ４　
ｆ　５　２８　
００　Ｏ０　
Ｏ０　Ｏ０　
００　００　
图２有问题的数据包　
将该数据包以十六进制显示后，从图 中可以看出，　
该记录外层为ＩＰ包头（０８００），然后是Ｌ兀］Ｐ（１１），但是　
再往下 层分析，其协议类型为“ｅ７”，无法判断该类型为　
何种协议，通过对多次数据的分析，该记录源端口 总是　
为“２３２８”，源ＩＰ地址为“Ｏ０　１８　ｄｌ　７７”，而这正是路由　
器的一个 端口，可以把这类特征作为一种判断的标准，　
在以后发现与此匹配的异常特征，则可以直接对该端　< br>口作处理，而不必从大量数据包中查找根源。　
（２）从网络流量特征描述异常特征。　
很多网络异常并不是通过发送一两个数据包就可　
（３）　溢出攻击。这几种攻击行为都需要发送大量　
５Ｏ１　３ｆ
ｊ　９　４８　ｅ
的数据包才能够实现，因此，可以通过设置时间窗口来 　
Ｕ１０ｄ
ｅＯ１　３
构造流量特征，然后实时抓取数据包，提取出一组数据　
包的特征，从而描述网络异常特征并找出是哪些设备　
或主机是攻击源头。　
以下是读取ＡＲ Ｐ数据包的包头，提取各条记录的　
信息：　
ｍｙ（￥ｓｅｅｋｓ，％ａｒｒｐ）；　
￥ｓｅｅｋｓ＝０；　
％ａｒｒｐ＝（）；＃ｒｅｓｅｔ　
￥ａｒｒｐ｛‘ａｒｐ—ｔｉｍｅ’ ｝：＆ｒｅｔｕｒｎｔｉｒｎｅ（￥一［０］，０，８）；＃ｔｉｍｅ　
￥ａ￣ｒｐｌ‘ａｒｐ—ｒｅｌ —ｌｅｎｇｔｈ’｝＝＆ｒｅｐａｅｋｌＯ（￥一［０］，０，４）；＃ｒｅｚｌ　
ｌｅｎｇｔｈ　￥ａｒｒｐｌ‘ａｒｐ—ｎｅｔ—ｌｅｎｇｔｈ’｝＝＆ｒｅｐａｃｋｌ０（￥一［０］，０，４）；＃ｎｅ ｔ　
ｌｅｎｇｔｈ　
￥ａｒｒｐ｛‘ａｌｐ—ｄｅｓ—ｍａｃ’｝＝＆ｒｅｐａｃｋ１６（￥一 ［０］，０，６）；＃ｄｅｓ　ｍａｃ　
￥ａｒｒｐ｛‘ａｒｐ—ｒｅｓ—ｍａｃ’｛＝＆ｒｅｐａｃｋ ｌ６（￥一［Ｏ］，０，６）；＃ｒｅｓ　ｍａｃ　
￥ａｒｒｐ｛‘ａｒｐ—ｔｙｐｅ’｝＝＆ｒｅｐａ ｃｋ１６（￥一［ｏ３，０，２）；＃ａｒｐ　ｔｙｐｅ　０８０６　
ｆｏｒ　ａｒｐ　ｐａｃｋ　￥ａｒ￣ｐｔ‘ａｒｐ—ｈａｒｄ—ｔｙｐｅ’ｌ＝＆ｒｅｐａｃｋｌ６（￥一［０］，０，２）；＃ｈａｒ ｄ　
ｔｙｐｅ　０００１　ｆｏｒ以太网　
￥ａｒｒｐ｛‘ａｒｐ—ｐｒｏｃ—ｔｙｐｅ’｝： ＆ｒｅｐａｅｋｌ６（￥一［０］，０．２）；＃ｐｒｏｃ　
ｔｙｐｅ　０８００　ｆｏｒｉｐ　
￥ａｒｒｐ｛‘ａｒｐ—ｈａｒｄ—ｌｅｎｇｔｈ’｛＝＆ｒｅｐａｃｔｄ６（￥一［０］，０，Ｉ）；＃ｂ． ａｒｄ　
ｌｅｎｇｔｈ　０６　ｆｏ以太网　
￥ａｒｒｐｉ‘ａｒｐ—ｐｒｏｃ—ｌｅｎｇｔｈ ’｝＝＆ｒｅｐａｃｋｌ６（￥一［０］，０．１）；＃ｐｒｏｃ　
ｌｅｎｇｔｈ　０４ｆｏｒｉｐ　< br>￥ａｒｒｐｌ‘ａｒｐ—ｒｅｐｌｙ—ｆｌａｇ’｝＝＆ｒｅｐａｃｋｌ６（￥＿［０］，０，２）；＃ｑ ｕｅｓｔ／　
ｒｅｐｌｙ￥ａｒｒｐ｛‘ａｒｐ—ｄｅｓ—ｉｐ’；＝＆ａｎｉｐ（＆ｒｅｐａｃｋｌ６ （￥一［０］．６，　
４））；＃ｄｅｓ　ｉｐ　
￥ａｒｒｐ｛‘ａｒｐ—ｒｅｓ—ｉｐ’ｆ＝ ＆ａｎｉｐ（＆ｒｅｐａｅｋｌ６（￥一［０］，６，４））；＃　
ｒｅｓ　ｉｐ　
￥ａｒｒｐ ｛‘ａｒｐ—ｐａｃｋ—ｉｄ’｝＝￥ａｒｒｐｌ‘ａｒｐ—ｔｉｍｅ’｝；　
￥ｓｅｅｋｓ＝￥ａ￣ｒ ｐ｛‘ａｒｐ—ｒｅｌ—ｌｅｎｇｔｈ’｛一４２；　
ｓｅｅｋ（￥＿［０］，￥ｓｅｅｋｓ，１）；＃ 　
（３）攻击的其他特征的描述。　
面对复杂的网络环境，仅从几个方面就能有效地　
描述网络异常的各类特征，显然是不能完全实现的，还　
（下转第１６５页）　
６
Ｏ　 ７
Ｏ

第８期　李秋敬等：基于时间约束的角色访问控制模型研究　
机技 术与发展，２００７，１７（６）：２４６—２４９．　
・　ｌ６５・　
３结束语　
描 述了引入时间约束的角色访问控制，更好地满　
足了访问控制最小权限的原则，可以有效地解决时间　< br>敏感活动的访问控制问题，增强了访问控制的力度。　
引入时间后的系统有着更全面、更具体的安 全属性描　
述能力。但是仍然存在许多值得研究的问题，关于时　
间约束在角色访问控制中的实 际应用应进一步进行研　
究，文中在时间约束的角色访问控制中的整体方面还　
有待进一步完善 。　
参考文献：　
［１］ＳａｎｄｈｕＲＳ，ＣｏｙｎｅＥ　Ｊ．ＦｅｉｎｓｔｄｎＨＬ，ｅｔ 　ａ１．Ｒｏｌｅ－－ＢａｓｅｄＡｃ—　
ＣｅＳＳ　Ｃｏｎｔｒｏｌ　Ｍｏｄｅｌｓ［Ｊ］　ＩＥＥＥ 　Ｃｏｍｐｕｔｅｒ，１９９６，２９（２）：３８—　
４７．　
［３］Ｂｅｒｔｉｎｏ　Ｅ， Ｂｏｎａｔｔｉ　Ｐ，Ｆｅｒｒａｒ　Ｅ．ＴＲＢＡＣ：Ａ　ｔｅｍｐｏｒａｌ　Ｒｏｌｅ—　
ｂａｓｅ ｄＡｃｃｅｓｓＣｏｎｔｒｏｌＭｏｄｅｌ［Ｊ］．ＡＣＭＴｒａｎｓａｃｔｉｏｎｓ　ｏｎ　Ｉｎｆｏｒ—　< br>ｍａｒｉｏｎ　ａｎｄ　Ｓｙｓｔｅｍｓ　Ｓｅｃｕｒｉｔｙ，２００１，４（３）：１９１—２３３．　
［４］　Ｆｅｒｒａｉｏｌｏ　Ｄ　Ｆ，Ｓａｎｄｈｕ　Ｒ，Ｇａｖｒｉｌａ　Ｓ．Ｐｒｏｐｏｓｅｄ　 ＮＩＳＴ　ｓｔａｌｌ—　
ｄａｍ　ｆｏｒ　ｒｏｌｅ—ｂａｓｅｄ　ｌｆｃｃｅ＆￣ｃｏｎｔｒｏｌ［ Ｊ　Ｊ．ＡＣＭ　Ｔｒａｎｓａｃｔｉｏｎｓ　ｏｎ　
Ｉｎｆｏｒｍａｔｉｏｎ　ａｎｄ　Ｓｙｓｔｅｍ Ｓｅｃｕｒｉｔｙ，２００１，４（３）：２３４—２７４．　
［５］黄建，卿斯汉，温红子．带时间特 性的角色访问控制［Ｊ］．　
软件学报，２００３，１４（１１）：１９４４—１９４９　
［６ ］胡程瑜，李大兴．带时间约束和角色控制的工作流系统授　
权模型［Ｊ］．山东大学学报，２００６， ３６（３）：３９—４３．　
ｆ７］杨珍，刘连忠．时间约束的角色访问控制系统的设计与　
实 现［Ｊ］．计算机应用研究，２０ｏ８，２５（１）：１９５—１９９．　
［８］张少敏，王宝义，周利 华．一种具有时间约束的基于角色　
的授权管理模型［Ｊ］．武汉大学学报，２００６，５２（５）：５ ７８—　
５８１．　
［２］张新华，陈军冰．时间约束的ＲＢＡＣ模型及应用［Ｊ］．计算　< br>（上接第１５８页）　
参考文献：　
［１］ＳａｈａｍｉＭ，ＩＸｔｍａｉｓＳ，Ｈｅｃ ｋｅｒｍａｎＤ，ｅｔ　ａ１．ＡＢａｙｅｓｉａｎＡｐ．　
ｐｒｏａｃｈ　ｔＯ　Ｆｉｌｔｅｒｉｎｇ 　Ｊｕｎｋ　Ｅ—Ｍａｉｌ．Ｉｎ　Ｌｅａｒｎｊｆｌｇ　ｆｏｒ　Ｔｅｘｔ　Ｃａｒｅ・　
［５］成宝 国，冯宏伟．一个基于Ｎａｉｖｅ　Ｂａｙｅｓｉｎ垃圾邮件过滤　ａ
器的改进［Ｊ］．计算机技术与发 展，２００６，１６（２）：９８—９９．　
［６］戴劲松，白英彩．基于贝叶斯理论的垃圾邮件过滤技 术　
［Ｊ］．计算机应用与软件，２００６（１）：１１０—１１１．　
［７］汤伟，程家兴， 纪霞．一种基于概率推理的邮件过滤　
系统的研究与设计［Ｊ］．计算机技术与发展，２００８，１８（ ８）：　
７６—７９。　
ｇｏｒｉｚａｔｉｏｎ［Ｃ］∥１９９８　Ｗｏｒｋｓｈｏｐ．Ｍａｄ ｉｓｏｎ，Ｗｉｓｃｏｎｓｉｎ：［ｓ．　
ｎ．］，１９９８．　
［２］Ｄｕｄａ　Ｒ　Ｏ，Ｈ ａｒｔ　Ｐ　Ｅ，Ｓｔｏｒｋ　Ｄ　Ｇ．Ｐａｔｔｅｒｎ　Ｃｌａｓｓｉｆｉｃａｔｉｏｎ　２ｎｄ　
［ Ｍ］．［ｓ．１．］：Ｗｉｌｅｙ，２００２．　
【３］杨斌，路游．基于统计学习理论的支持向量机的 分类　
方法［Ｊ］．计算机技术与发展，２００６，１６（１１）：５６—５８．　
［８］龚伟 ，李柳柏．基于ＩＤＳＳ的中文垃圾邮件过滤模型设　
计［ｊ］．计算机技术与发展，２００７，１７（ ３）：１６３—１６５．　
［９］Ｌｉｎｇｕｉｓｉｔｃ　Ｄａｔａ　Ｃｏｎｓｏｒｔｉｕｍ（ＬＤＣ） ［ＥＢ／ＯＬ］．２００７．ｈｔｔｐ：／／　
ｖｎｖｗ。ｌｄｃ．ｕｐｅｎｎ．ｅｄｕ　
［４ ］张丽，黄东．基于Ｗｉｎｎｏｗ算法的反垃圾邮件引擎的　
设计与实现［ｊ］．计算机技术与发展，２ ００６，１６（４）：１７０—　
１７５　
［１０］ＯＭｏｒｄ　Ｔｅｘｔ　Ａｒｃｈｉｖｅ（ 叽Ａ）［ＥＢ／ＯＬ］．２００７．ｈｔｔｐ：／／ｏｔａ．　
ａｈｄｓ．ａｃ．ｕｋ／．　
（ 上接第１６１页）　
参考文献：　
［１］肖海军，王小非，洪帆，等．基于特征选择和支持向量 机　
的异常检测［Ｊ］．华中科技大学学报，２００８．３６（３）：９９—１０２．　
［２］ Ｄａｖｉｄ　Ｆ，王建新，王斌．基于异常和特征的入侵检测系统　
需要综合其他多渠道的信息并抽象其 特征。另外可以　
通过对Ｓｎｏｒｔ规则库的分析，按照协议包头、协议类　
型、端口等划分、 归纳出更多的网络异常特征，然后可　
以选择适当的串匹配算法，或者特征匹配算法来快速　
达 到定位。　
模型［Ｊ］．计算技术与自动化，２００４，２３（３）：１９—２２．　
［３］Ｓ ｉｅｌｋｅｎ　Ｒ　Ｓ．Ａｐｐｌｉａｔｃｉｏｎ　Ｉｎｔｒｕｓｉｏｎ　Ｄｅｔｅｃｉｔｏｎ［Ｒ］．Ｖｉｒｇ ｉｎｉａ：Ｕ—　
ｎｉｖｅｒｓｉｔｙ　ｏｆ　Ｖｉｒｇｉｎｉａ，１９９９．　
【４］王平辉 ，郑庆华，牛国林，等．基于流量统计特征的端口扫　
３结束语　
特征检测与异常检测是不能分 割开来的，如何能　
描检测算法［Ｊ］．通信学报，２００７，２８（１２）：１４—１８．　
（５］曹苏来．典型攻击行为描述及特征向量提取［Ｊ］．科技信　
息，２００８（２）：３７—３９． 　
更加有效地通过异常检测的手段来发现问题，结合特　
征检测的方式来提取异常特征，从而更 加快速、准确地　
查找出异常网络的根源，是我们最终要实现的目标。　
文中主要是将两种检测 手段的优势提取出来，并且把　
各自的特点相结合，在面对更加复杂的网络异常问题　
时，可以 灵活地作出选择与判断，从而为应用各种模型　
来实现入侵检测作了比较充足的工作。　
［６］ 李韦韦，陈海，徐振朋．基于多层特征匹配的网络入侵检　
测系统［Ｊ］．计算机应用与软件，２００８ ．２５（２）：２７８—２８０．　
［７］Ｇｕｉｍａｒａｅｓ　Ｍ，Ｍｕｒｒａｙ　Ｍ．Ｏｖｅｒｖｉ ｅｗ　ｏｆ　ｉｎｔｒｕｓｉｏｎ　ｄｅｔｅｃｔｉｏｎ　ａｎｄ　
ｉｎｔｒｕｓｉｏｎ　ｐｒｅｖｅｎ ｔｉｏｎ［Ｃ］∥Ｐｒｏｃｅｅｄｉｎｇｓ　ｆ　ｏｔｈｅ　５ｔｈ　ａｎｎｕａｌ　ｃｏｎ—　
ｆｅｒ ｅｎｅｅ　ｏｎ　Ｉｎｆｏｒｍａｔｉｏｎ　ｓｅｃｔｕ－ｉｔｖ　ｃｕｒｆｉｃｄｔｌｌＴｌ　ｄｅｖｅｌｏｐ ｍｅｎｔ．【Ｓ．　
ｉ．］：ｓ．ｎ．］，２００８．