王 畅

（杭州国际服务工程学院，浙江 杭州 310000）

1 安全策略形式定义

基于规范的入侵检测技术在描述和实施安全策略方面起着指导性作用，本文把安全策略看做是监控一个程序的执行使其行为不会破坏系统安全的准则。从执行的角度看，Java程序的行为可以粗略的看成是方法调用序列，有些方法可能是本地方法，会调用C语言函数库，某些C库函数又可能调用系统调用，这些都构成系统的潜在威胁。为了消除一些不正当的调用序列可能给系统带来的威胁，一个基于模式的检测方法被应用到系统安全领域当中，这一方法的核心是如何定义和实施安全策略。以系统调用为例，如果将系统调用抽象为事件，那么系统调用的参数就成了事件参数，在系统调用序列中，一些系统调用的规律性出现将被理解成一种模式。反过来，这样的模式就能够匹配许许多多这样的系统调用序列，以检查这些系统调用序列是否安全。这便是基于模式的检测方法的核心思想。安全策略可以定义在系统调用上，也可以定义在 JNC上，然而无论是定义在哪一级，都和安全策略的组织形式无关，下面从事件开始讨论安全策略的组织形式。事件：是安全策略中最基本概念，是模式的组成部分，也是最简单的模式，是某一事件集中的元素，包括事件名和参数，可以将 JNC调用或系统调用以及它们的返回看成事件。当被监控程序的执行匹配了为其定制的某一模式，监控程序将采取包括终止其执行在内的手段来保护系统安全，这便是规则。……