1、h t t p:/ww w.j s j k x.c o mD O I:1 0.1 1 8 9 6/j s j k x.2 2 0 3 0 0 2 6 4到稿日期:2 0 2 2-0 3-2 9 返修日期:2 0 2 2-0 9-1 4基金项目:科技委基础加强项目(2 0 1 9-J C J Q-Z D-1 1 3)T h i sw o r kw a ss u p p o r t e db yt h eF o u n d a t i o nS t r e n g t h e n i n gK e yP r o j e c to fS c i e n c e&T e c h n o l o g y
2、C o mm i s s i o n(2 0 1 9-J C J Q-Z D-1 1 3).通信作者:刘胜利(d r_l i u s h e n g l i 1 6 3.c o m)一种基于容器的C i s c oI O S-X E系统入侵检测方法杨鹏飞蔡瑞杰郭世臣刘胜利数学工程与先进计算国家重点实验室 郑州4 5 0 0 0 1战略支援部队信息工程大学 郑州4 5 0 0 0 1(g r a d u a t e d_l e a r n i n g o u t l o o k.c o m)摘 要 I O S-X E网络操作系统被广泛地应用于C i s c o核心路由交换节点中,其安全性非常重要
3、。然而由于其设计时专注于数据的快速转发功能,缺少对自身的安全的防护,因而面临重大的风险。此外,现有的针对传统I O S系统的入侵检测方法移植到I O S-X E系统后存在实时性差、检测结果不准确、检测覆盖面不全等问题。为了加强I O S-X E系统自身的安全,提出了一种基于容器的C i s c o I O S-X E系统入侵检测方法,通过在路由器上部署检测容器,实时监控路由器状态变化和用户访问请求,解决了配置隐藏攻击检测、路由器h t t p s管控流量解密以及路由器状态实时监控等问题,实现了对I O S-X E系统入侵行为的实时检测。实验结果表明,所提方法可有效检测针对I O S-X E路由
4、器的常见攻击行为,包括口令猜解、W e b注入、C L I注入、配置隐藏和后门植入等,与已有的检测方法相比具有较高的实时性和准确性,有效提升了I O S-X E路由设备的防护能力。关键词:C i s c oI O S-X E;容器;配置隐藏攻击;命令注入;入侵检测中图法分类号 T P 3 9 3 C o n t a i n e r-b a s e dI n t r u s i o nD e t e c t i o nM e t h o df o rC i s c oI O S-X EYAN GP e n g f e i,C A IR u i j i e,GUOS h i c h e na n
5、dL I US h e n g l iS t a t eK e yL a b o r a t o r yo fM a t h e m a t i c a lE n g i n e e r i n ga n dA d v a n c e dC o m p u t i n g,Z h e n g z h o u4 5 0 0 0 1,C h i n aI n f o r m a t i o nE n g i n e e r i n gU n i v e r s i t y,Z h e n g z h o u4 5 0 0 0 1,C h i n a A b s t r a c t I O S-X
6、En e t w o r ko p e r a t i n gs y s t e mi sw i d e l yu s e d i nC i s c oc o r e r o u t i n ga n ds w i t c h i n gn o d e s,a n d i t s s e c u r i t y i sv e r y i m-p o r t a n t.H o w e v e r,i t sd e s i g nf o c u s e so nt h et r a f f i cf a s t-f o r w a r d i n gf u n c t i o na n di g
7、 n o r e sp r o t e c t i o nf o ri t so w ns e c u r i t yw h i c hm a k e s i t f a c e sg r e a t r i s k s.I na d d i t i o n,t h ee x i s t i n g i n t r u s i o nd e t e c t i o nm e t h o d s f o r t r a d i t i o n a l I O Ss y s t e mh a v ep r o b l e m ss u c ha sp o o r r e a l-t i m ep
8、e r f o r m a n c e,i n a c c u r a t ed e t e c t i o nr e s u l t sa n d i n c o m p l e t ed e t e c t i o nc o v e r a g ew h e nt r a n s p l a n t e dt ot h e I O S-X Es y s-t e m.I no r d e r t os t r e n g t h e nt h es e c u r i t yo f t h e I O S-X Es y s t e m,t h i sp a p e rp r o p o s
9、e sac o n t a i n e r-b a s e di n t r u s i o nd e t e c t i o nm e t h o df o rC i s c oI O S-X Es y s t e mw h i c hc a nm o n i t o r t h e r o u t e r s t a t e sa n dr e q u e s t s i nr e a l t i m eb yd e p l o y i n gad e t e c t i o nc o n t a i n e ro nt h er o u t e r.I t s o l v e s t h
10、 ep r o b l e m s o f c o n f i g u r a t i o nh i d d e na t t a c kd e t e c t i o n,r o u t e rh t t p s c o n t r o l t r a f f i cd e c r y p t i o na n dr o u t e r s t a t e r e a l-t i m em o n i t o r,w h i c hh e l p s t od e t e c t t h e i n t r u s i o nb e h a v i o r o f I O S-X Ei n
11、r e a l t i m e.E x p e r i m e n t a l r e s u l t s s h o wt h a t t h i sm e t h o dc a ne f f e c t i v e l yd e t e c t c o mm o na t t a c k sa g a i n s t I O S-X Er o u t e r s,i n c l u d i n gp a s s w o r dg u e s s i n g,W e bi n j e c t i o n,C L I i n j e c t i o n,c o n f i g u r a-t
12、i o nh i d d e na n db a c k d o o r i m p l a n t a t i o n.C o m p a r e dw i t he x i s t i n gd e t e c t i o nm e t h o d s,t h ep r o p o s e dm e t h o dh a sh i g h e r r e a l-t i m ep e r-f o r m a n c ea n da c c u r a c y,a n de f f e c t i v e l y i m p r o v e s t h ed e f e n s ec a p
13、 a b i l i t yo f I O S-X Er o u t i n gd e v i c e s.K e y w o r d s C i s c oI O S-X E,C o n t a i n e r,C o n f i g u r a t i o nh i d d e na t t a c k,C o mm a n d i n j e c t i o n,I n t r u s i o nd e t e c t i o n 1 引言C i s c o公司是路由器交换机市场最主要的设备提供商,位居市场首位1。随着主机端的网络攻击难度增大,攻击人员逐渐将攻击视角转向路由器,试图通过控
14、制路由器实现数据获取、欺骗诱导等。德国电信公司T-M o b i l e事件2的起因就是边界路由器被黑客攻陷,导致大量用户信息被泄露。当前针对C i s c o路由器的入侵检测成果集中于I O S操作系统,主要基于路由器信息提取进行离线检测,不能检测I O S-X E(I n-t e r n e t w o r kO p e r a t i n gS y s t e m-e X t e n d e dE d i t i o n)系统广泛存在的W e b注入和命令行接口(C o mm a n dL i n eI n t e r f a c e,C L I)注入等漏洞利用行为,检测实时性较差。I
15、O S-X E是I O S的增强版,被广泛应用于聚合服务路由器、云服务路由器和集成服务路由器等设备,针对I O S-X E和I O S的攻击和检测方法部分是通用的。L i n d n e r3开发了一个针对C i s c o I O S系统的取证系统C i s c o信息检索(C i s c oI n-f o r m a t i o nR e t r i e v a l,C I R),其利用I O S核心转储文件和调试功能进行入侵行为的离线提取;L i u等4提出了一种轻量级的针对路由设备的恶意行为检测系统,该系统利用加载于路由设备的轻量级程序监控路由器流量和配置方面的变化来识别恶意攻击行为并
16、告警;C i s c o公司在I O S-X E系统上推出了统一威胁防御(U n i f i e dT h r e a tD e f e n s e,UT D)服务配合S n o r t入侵检测系统(S n o r t I n t r u s i o nP r e v e n t i o nS y s t e m,S n o r t I P S)容器5实现对过境数据的检测;D a m i r i s6介绍了针对C i s c o-I O S-X E路由器的攻击取证方法,从运行配置、启动配置等方面获取路由器运行信息,并利用路由器提供的核心转储功能获取核心转储文件并进行离线解析,提取入侵行为。通过对当前C i s c o设备入侵检测研究成果进行分析和总结,发现了以下问题:1)当前研究成果主要集中在I O S操作系统,虽然大部分方法能够移植到I O S-X E系统,但是移植后的实时检测能力不足;2)当前研究成果不能有效检测I O S-X E系统广泛存在的W e b注入漏洞和C L I命令注入漏洞利用过程。针对上述问题,本文学习并借鉴C i s c oS n o r t I P S入侵检测解决