嵌入式系統(tǒng)中入侵檢測的設(shè)計及實現(xiàn)

圖2 事件分析器程序流程圖

從圖2可以看出，系統(tǒng)目前只檢測三種安全威脅，這是針對電力系統(tǒng)的威脅而確定。檢測的結(jié)果保存到威脅日志中并生成相應錯誤號，輔助響應單元完成后續(xù)操作。可以根據(jù)需求，通過修改檢測策略庫增加檢測的攻擊類型，但是為了不影響嵌入式系統(tǒng)的實時性，原則上只檢測必要的攻擊行為。

3.2 主要數(shù)據(jù)結(jié)構(gòu)和方法

　　大型入侵檢測系統(tǒng)采用標準的日志數(shù)據(jù)結(jié)構(gòu)，以方便系統(tǒng)之間的數(shù)據(jù)交流。但作為一個嵌入式的應用，目前并沒有做分布式架構(gòu)的設(shè)計。若采用標準數(shù)據(jù)結(jié)構(gòu)，則會使日志記錄的數(shù)據(jù)量大大增加，占用大量有限的存儲器空間。因此系統(tǒng)自定義了一個日志記錄的數(shù)據(jù)結(jié)構(gòu)，而事件數(shù)據(jù)庫以一個結(jié)構(gòu)體數(shù)組形式存在，并通過一個結(jié)構(gòu)體控制數(shù)組使其成為一個循環(huán)區(qū)域。日志記錄和控制循環(huán)區(qū)域的結(jié)構(gòu)體數(shù)據(jù)格式如下：

struct log {
unsigned char tp； //說明日志文件類型
unsigned char action； //說明操作類型
unsigned long time； //說明操作時間
unsigned long ip； //說明操作地點
long backup； //供擴展用
}

日志記錄是整個模塊中最占用存儲器的部分，為了盡量減少占用存儲區(qū)域，各個字段都做了優(yōu)化處理。在時間上并不采用傳統(tǒng)標準的年/月/日/時/分/秒表示，而是以一個無符號的長整型表示時間差來計算時間。這樣不僅節(jié)省了存儲空間，還簡化了檢測過程中時間差計算的復雜度。具體操作類型通過char tp與char action確定，用每一個bit位表示一個操作，這樣可以表示64個具體操作類型。

struct logchain {
struct log* start； //緩存區(qū)開始的地址
struct log* end； //緩存區(qū)結(jié)束的地址
unsigned short lpoint//上次入侵檢測提取的最后一條記錄
unsigned short ttsize//整個緩存區(qū)的大小
unsigned short entries//目前被占用的記錄數(shù)目
unsigned short curpoint//指向當前可以寫入的緩存區(qū)點
}

上述數(shù)據(jù)結(jié)構(gòu)將控制整個事件數(shù)據(jù)庫日志的存儲管理。事件數(shù)據(jù)庫以一個循環(huán)的結(jié)構(gòu)體數(shù)組表示，可以避免數(shù)據(jù)緩沖區(qū)的溢出。

整個入侵檢測模塊主要有以下幾個功能函數(shù)。為了保證通用性，所有函數(shù)都是以標準C語言編寫。

(1)入侵檢測模塊的啟動：unsigned char audit_init(void)。該功能函數(shù)將完成事件數(shù)據(jù)庫存儲區(qū)域的初始化、消息隊列的初始化和常駐任務的建立。

(2)常駐任務：void audittrail_thread(void*arg)。當系統(tǒng)啟動入侵檢測服務后，該任務將作為常駐任務運行在系統(tǒng)中。常駐任務是接收事件產(chǎn)生器發(fā)送的消息，經(jīng)格式化處理保存在事件數(shù)據(jù)庫中，并根據(jù)事件數(shù)據(jù)庫的情況觸發(fā)事件分析器。

(3)檢測函數(shù)

密碼猜測攻擊：void check_countguess(void)
異常操作行為：void check_abnormalaction(void)
資源訪問情況：void check_resoucestatus(void)
這三個功能函數(shù)用來分析用戶登錄日志記錄，檢測是否存在惡意攻擊。

(4)響應單元主函數(shù)：void response_main(unsigned char alarm)。該函數(shù)根據(jù)分析器得出的警告，調(diào)用響應策略庫中的相關(guān)策略，實施保護或者反擊措施。

本文提出的基于改進的μC/OS-II入侵檢測模塊的設(shè)計已基本實現(xiàn)。并且，作者修改了本實驗室已實現(xiàn)的智能脫扣器項目的軟件，并把它加載到修改后的嵌入式操作系統(tǒng)上進行初步測試。測試結(jié)果表明：系統(tǒng)的實時性和安全性均能滿足要求。在本論文的基礎(chǔ)上，作者將對入侵檢測的策略進行進一步改進和擴充，增強其穩(wěn)定性和實時性，以使其能更適應實際的電力應用領(lǐng)域。