入侵检测基于虚拟化终端部署的方案

1.引言

随着网络的飞速发展，网络已经成为计算机应用中不可或缺的一部分。但是，网络遭受攻击的风险和机会也相应的快速增多。如何建立合理的网络安全体系已经成为网络领域的热点问题。目前，要让开发人员保证开发软件不存在任何的漏洞是不可能的，同时要求网络安全人员实时检测网络海量信息流并发现攻击信息并作出有效地措施也有一定难度。本文为了解决以上问题，针对性的提出了使用虚拟化技术进行软件的隔离，论述了使用隔离技术的利弊，并针对网络安全提出了入侵检测的解决方案，论述了几种入侵检测体系的利弊，阐述了一种针对大流量网络入侵检测的方案。最后结合虚拟化技术，阐述了入侵检测基于虚拟化终端部署的方案。

2.虚拟化技术

2.1虚拟化技术论述

一个程序存在漏洞就会影响其他程序乃至整个服务器的运行，因此在不能保证程序本身安全性的时候，我们就需要减弱或者切断程序和其他程序乃至服务器的直接联系，将程序作为独立的个体。这样即使程序崩溃也不会影响其余程序的运行。而MiU给出的一份关于如今的操作系统和应用软件的研究报告显示：软件之中不可能没有漏洞。

因此我们将应用很广的虚拟机技术引入到服务器的安全维护中。虚拟机为应用程序提供了一个与操作系统相同但是又独立的运行环境。

虚拟化保护的优点如下：

1.通过为每个程序虚拟出其运行环境。直接消除了程序间的相互影响。所有的操作都仅仅局限于每个虚拟化环境中，因此即使某个程序崩溃最多也只是导致这个虚拟环境崩溃，而不会对其他的程序产生影响。

2.由于程序的运行环境是虚拟出来的，因此可以针对某个程序虚拟出其适应的运行环境，并且分配足够其运行的系统资源，从而避免了程序间的不兼容性。

3.由于程序所能使用的最大资源是由其虚拟环境所决定的，因此避免了某个程序抢占资源而导致其他程序无法运行的情况，很好的保证了程序的稳定性和并行性。

4.由于程序都是运行在虚拟环境中，因此具备了很好的可移植性。只要其余平台有其相同的虚拟环境都可以稳定的移植。

5.虚拟化的环境可以记录下每个时刻这个环境的运行信息，通过这些运行信息可以很方便的回退虚拟环境到某一个曾经的时刻，由于虚拟环境的独立性，这个回退不会对其他的程序造成影响。

但是虚拟化技术由于要为每个程序配置虚拟环境。因此从客观上增加了系统资源的开销。

2.2应用部署

在具体应用中我们可以使用VMware，Sandboxie和Returnil Virtual System搭建一个多层虚拟环境。

VMware可以使你在一台机器上同时运行二个或更多Windows、DOS、LINUX系统。

Returnil Virtual System来自欧洲著名的安全公司Retumil SIA，它是一个基于虚拟机原理的影子系统软件，可以瞬间把您的计算机用隔离罩保护起来。同时用一个内存中的虚假替身“影子”系统来接管真实的操作系统，任何操作都被限制在虚拟系统中使用。无法感染你真实的操作系统。

Sandboxie可以为运行程序构建沙盘环境，所以程序的操作都被局限于Sandboxie为这个程序所构建的虚拟环境中。不会对其他的软件造成影响。

于是我们对于单个的服务器，首先使用VMware构建使用不同操作系统的虚拟计算机。然后对于每个VM环境使用Returnil Virtual System构建一个影子系统。之后在这个影子系统上使用Sandboxie运行我们所需要启动的服务或者程序。

程序运行在沙箱中。相互间不会互相影响，如果需要和操作系统进行交互或者需要执行操作系统级别的命令，则也只能访问影子系统。而虚拟计算机则提供了不同程序所需要的不同操作系统环境。这样无论如何。

真实的操作系统都不会受到影响。