intrusion detection techniques and approaches

10
Intrusion detection techniques and approaches Theuns Verwoerd, Ray Hunt * Department of Computer Science, University of Canterbury, Private Bag 4800, Christchurch, New Zealand Received 13 November 2001; accepted 11 December 2001 Abstract Recent security incidents and analysis have demonstrated that manual response to such attacks is no longer feasible. Intrusion detection systems IDS) offer techniques for modelling and recognising normal and abusive system behaviour. Such methodologies include statistical models, immune system approaches, protocol veri®cation, ®le and taint checking, neural networks, whitelisting, expression matching, state transition analysis, dedicated languages, genetic algorithms and burglar alarms. This paper describes these techniques including an IDS architectural outline and an analysis of IDS probe techniques ®nishing with a summary of associated technologies. q 2002 Elsevier Science B.V. All rights reserved. Keywords: Intrusion detection; Probe technique; scanning; honeynet; Worm/virus attack 1. Introduction Recent events have highlighted the need for fast reactionary capabilities in network security. According to an analysis from Ref. [7], the code red worm infected over 359,000 hosts within less than 14 h, as illustrated by Fig. 1. Later theoretical analysis place the time for a complete spread of a network worm as low as 15 min [35], or 30 s [14]. Current conventional security techniques seem incapable of dealing with these threats leaving the task to security personnel). In many respects, this mirrors the epidemic spread of diseases and electronic viruses. Intrusion detection systems IDS) have the potential to mitigate or prevent such attacks, if updated signatures or novel attack recognition and response capabilities are in place. In this paper, we attempt to give a brief overview of the techniques behind current IDS, how they are structured, model acceptable and abusive behaviour, observe and respond to protected systems. 2. Intrusion detection systems 2.1. Conceptual outline IDS have evolved from monolithic batch-oriented systems to distributed real-time networks of components Fig. 2). In current systems, a number of common building functional blocks can be distinguished. ² Sensor, probe: These modules form the most primitive data-gathering components of an IDS. Implemented in a highly system-speci®c fashion, they track network traf®c, log ®les or system behaviour, translating raw data into events useable by the IDS monitors. ² Monitor: Monitor components, the main processing segment of an IDS, receive events from sensors. These events are then correlated against the IDS behaviour models, potentially producing model updates and alerts. Alerts, events in themselves, indicate occurrences signi®- cant to the security of a system, and may be forwarded to higher-level monitors, or to resolver units. ² Resolver: Resolver components receive suspicion reports from monitors in the form of one or more alerts), and determine the appropriate response: logging, changing the behaviour of lower-level components, recon®guring other security mechanisms e.g. adding ®rewall rules), and notifying operators. ² Controller: Facilitating component con®guration and coordination, controller components are most signi®cant in distributed IDS, where manually upgrading, con®gur- ing and starting a network-wide series of components would be infeasible. In addition, controller units offer a single point of administration and interrogation for an IDS, and may act in a supervisory capacity, restarting failed components [10]. Computer Communications 25 2002) 1356±1365 www.elsevier.com/locate/comcom 0140-3664/02/$ - see front matter q 2002 Elsevier Science B.V. All rights reserved. PII: S0140-366402)00037-3 * Corresponding author. Tel.: 164-3-3642347; fax: 164-3-3642569. E-mail address: [email protected] R. Hunt).

Upload: theuns-verwoerd

Post on 02-Jul-2016

215 views

Category:

Documents


0 download

TRANSCRIPT

Page 1: Intrusion detection techniques and approaches

��������� ������ ����� �� �� ���������

����� ������ ��� �����

���������� ������� ������� ���������� ����������� ������� ��� ����� ������������� ��� ��� ��!

���� �� ������ ���� ����� �� !���� ����

��������

���� ������� ������� �� ���"���� ��� �������� ���� �����" ������ �� ���� �����#� �� �� "��$� %����"& ��������� ������

������ '�!() �%%� ����� �� %�� ��""��$ �� ���$�����$ �����" �� ������ ����� ��������& (��� �����"�$�� ���"� ����������"

��"�� ����� ����� ���������� �������" ���*������� *" �� ����� ���#��$� ����" �����#�� ����"�����$� +������� �������$� ����

���������� ���"����� ���� "��$��$�� $���� �"$������� �� ���$"�� �"����& ���� ���� ������ ��� ����� �� ���"���$ �� �!(

�����������" ���"�� �� �� ���"���� �% �!( ���� ����� �� *������$ ���� � ������� �% �������� �����"�$��& � ���� ,"���� (����

-&�& ."" ��$��� ����&

"����!�/ ��������� ������ 0��� ����� � �������$ ������ 1���2����� �����#

� ���� ������

���� ���� ��� ��$�"�$�� �� � %�� %���

���������� ������"���� �� �����# �������& .������$ ��

�� ���"���� %��� �%& 345� �� �� � ���� ��%�� ���

�67���� ����� ������ "�� ���� �8 �� �� �""������ �� 9�$& �&

:��� ��������" ���"���� �"�� �� ��� %�� � ����"�

���� �% � �����# ���� �� "�� �� �6 ��� 3�65� �� �� �

3�85&

;����� ����������" ������� ����� �� �� �������"

�% �"��$ ���� ��� ������ '"����$ �� ���# �� �������

������")& �� ���� ������� ���� ������� �� �����

���� �% ����� �� "������� ������& ��������� ������

������ '�!() ��� �� �������" �� ����$�� �� ����� ����

�����#�� �% ���� ��$������ �� ���" �����# ���$������

�� ������ ������"���� �� �� �"��&

�� ���� ����� � ������ �� $�� � ���% ������ �% ��

����� �� ���� ������ �!(� ��� ��� �� ���������

��" �������" �� ������ ��������� ����� ��

����� �� ������ ������&

� �������� �������� �������

#$%$ �������� �� ���

�!( ��� ��"� %��� ����"����� �����<�����

������ �� �������� ��"<��� �����#� �% ���������

'9�$& �)& �� ������ ������� � ����� �% ������ ���"��$

%��������" �"��#� ��� � �����$����&

� (����� ����/ ��� ���"� %��� �� ���� ��������

���<$������$ ��������� �% �� �!(& ���"��� �� �

��$�"� �����<����*� %������� ��� ����# �����# ���%*��

"�$ *"� �� ����� ��������� �����"����$ ��� ��� ����

���� ����" �� �� �!( ��������&

� =������/ =������ ���������� �� ���� ��������$

�$��� �% �� �!(� ���� ���� %��� ������& ���

���� �� ��� ����"�� �$����� �� �!( ��������

��"�� �������""� �������$ ��" ����� �� �"���&

."���� ���� �� ����"��� ������ ��������� ��$��*<

���� �� �� ������� �% � ������ �� ��� � %����� ��

��$��<"�" ��������� �� �� ���"�� �����&

� ���"��/ ���"�� ��������� ���� ��������� ������

%��� �������� '�� �� %��� �% �� �� ��� �"���)� ��

����� �� ���������� ������/ "�$$��$� ����$��$

�� �������� �% "���<"�" ���������� ����*$����$

���� ������� ��������� '&$& ���$ *���"" ��"�)�

�� ����%���$ ��������&

� ;�����""�/ 9���"������$ �������� ���*$������� ��

������������ ������""� ��������� �� ���� ��$��*����

�� �������� �!(� ��� �����""� ��$����$� ���*$��<

��$ �� �������$ � �����#<�� ���� �% ���������

���" � ��%����"& �� ������� ������""� ����� �%%� �

���$" ����� �% ������������� �� ������$����� %�� ��

�!(� �� ��� ��� �� � ���������� ��������� ��������$

%��" ��������� 3��5&

;������ ;������������� �6 '����) ��6>?��>6

���&"����&���2"����2������

��8�<�>>82��2@ < � %���� ����� � ���� ,"���� (���� -&�& ."" ��$��� ����&

0��/ (��8�<�>>8'��)����4<�

� ;���������$ ������& �"&/ �>8<�<�>8��84 %�+/ �>8<�<�>8�6>7&

&'��� �!!����( ���A����&���������&��&�B '�& ����)&

Page 2: Intrusion detection techniques and approaches

�� ���� �!( ����������� ��� �������� �� �%��

���������& �� ����"����� �!(� %�� +���"� �"" �% ���

��������� ��� %��� � ���$" ����� �� ��� � ���

������ ��"���" ������� �� ���"�&

#$#$ )��� � �� ������ !�������

.� �� ���� �% ��������� ������ "�� �� ���"��� �� �����<

$���� �������"� �����" ����� �������� %��� ���� �����

�� �������" '������"� ��������$ ���������� ���������) ��

�����"� ����%�"& ��� ��������� �� ���� ����"� ��� �

�����$����� ���� �!( ���"��������� ����$ ���

����������� �% ���/

� )��� � !������� ������� �� ��" �����" ��������&

.�� ���� ����� ���"�� ���� ��" �� ������ �� �

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/ ��64

9�$& �& ;� � ���� ���� 345&

9�$& �& ��������� ������ �����# ��������&

Page 3: Intrusion detection techniques and approaches

����������& 9�� +���"� � �����""� ������ ���"�� ��

���� ��������$ �� ��� ���������� �� � "��$ �����

�% ����� ��� � �������� �% � ���� ��%�����&

� 5����� !������� ������� �� ��" �������" ���������

��� �������� �% ����� �"��"� ������� ����� ����&

9�� +���"� �� ���0 � ��� �%����$ �� �� ��!$�6�

*" ��� ������ �� �����#&

.����"� ������ ��%%�� %��� �������� ����"��� ��

���"��$ �� ������� ��" '������$ %�"� �$�����) ���

��� %�""� �C�� �� ����"+ ������ ����� �% �������

������ '"���$ �� %�"� ��������)& ���� ����� � ��� ��

��� ������ �� �����$ �������"� ��#���� �����# ���<

�� �� 3��5� � ��D�� ����������$ �� ����� ������&

=���� ������� �� ����� �% �� ����"� ���� �% ��

��D��� ���$ ��""� ��� ������ ��$� "�"� �% ��������&

�� ��D�� �%*��"�� ���� ���� ��������� ������ "�� ��

������$ ������� ��"� �% �����#�E��"� ���� ����

�"" ������" �������� �% �� �����#� ���" ������$ ���$�

�������& �� ������� ���� �������� �� ��"����" �� ���"

�����#� '�����#� ������"�� �� �"" �������"� #����

+���"�)� ��$���"� �� ���� ��$���� #��&

!� �� �� ����"������ ����� �% ��� ���

���������� ���� ������ ������ �� ������ ���� �%

��� ����� ��& �� ����"� �% %�"� �������� ����

���� ��������" �!( �%%���$� �� %���� �� �����

������� "����$ �����"� ������ �� ������ ������&

#$2$ )��� � �!� ��� ������7���

#$2$%$ ��������� �!� �

�� !����$F� $���� "����$ ���� �� �!( 3��5� ��

����� � ����� �% ����������" ���������������� �% ����

�� ��� �������& ���� �� ��� �*� ����� ���

��� �� ���"��� �� �����"� ������ ������ 3�85/

� ������" ������/ �%�� �� �� �� ���������"

��" �� �%& 3��5� ���� ���� ���"�� �� �� ��������

"����� �� ��� ��������� �� ��� ������ ��� �� ����<

��"& . ������ +���" �� "�$$��$ �� ����"��$ ���

�������� �%�� � �� ����� �% %��" "�$�� �������&

� =�� �� ������ �������/ -� ��������$ ���

������ �� � ���*" ��� �� ������ �������� �

���*�� ������" %�� �������"��� ��� � ����"���&

�� ���*" ��"�� �� *+ �� ��� �� ��$��

���������" ���&

� =�"������� ��"/ ;�"��"����$ �� ����"����� ����

��"���" ��� ������� �"���� �� �� ���*" +����<

�����&

� =��#�� ������ ��"/ ���� ��" �$��� ��� ����

�� � ���� ������"� �� � ���� ���������� �����+� ��� ��

��� �� ������ �����"��� �% ��� �������"���� $��� ��

������� ���� �� �������� ��"� �� �� ���� ����������

�����+� �� ��� "��&

� ;"������$ ���"����/ ���� ���<��������� ���� �"��

�� ��������$ ��� ������ �� � ����� ������������

+���"� �% ����� �� ��� $���� ���� �"���� �%

��������� ����$ ��� �"������$ �"$������ '&$&

8<�����<��$�����)& ;"����� ������ ����"�� ���������

�� ��� �������� ��� �����" �� �����"��� ��������

��� � �����$���� 3�5&

#$2$#$ 9����� ������ �������

.��"������� ���"��������� ������"� ����� � ��"

�% �����" ��������� �� �� %��� �% ���"������� �� �����&

�� �� ����� ����� ��������� ���"�������� �� ��""

�� ���� �% � ���� �% ����� ��""� %�� � ������ �%

�%%��� ���������/ �����" ��������� ���� ���������

�� ������ +�"����& ;�������$ ���� ��" �� �����

��� ����� �""��� �"����*������ �% �����" �� ����������

��������& 9�� +���"� �� �����"��� �6�� ����� ��"" ��

� �� ���� ������ ��� � �������� �% � ��%%� ���C��

�����#&

���� �������� ��� �������� �� ���"��� �� ��� �

����� �% ������" �����# ����� ��� ��� ������ ���

�����#� ��� �� ��� ����������� ��"��� ���"������ ��

��� �����$ 3�5&

#$2$2$ ���� ����:�����

=��� �����# ����� �� �"� �� �� �� �% ������" ��

��"%��� �������" *"�� ����� �� ��������"� ���"

�� ���"������� ������& 0������" ���*������ ����� ��

��$�����"� ���# �������" *"� �� �������� �$�����

����"��� ������� �� �������� +���������& !��� ����

���"��� �� �"���� �������� �� ��$$ �� ����������&

���� ��������� �� �� � ����� �% ��������" �������

��� ��� ���� ������"� �� �����#�� ��� ��%%�� %���

�� ���� �������<����"���� �% ���� �������" ���"��<

������� 3��5& �� ������� ����$ ���� ����� � �� ����������

�� ���<����* �������"� ��� � �%*��"� �� "� �� %�"�

��������&

#$2$�$ ;� � ����8���

-�� #���� �����$� ��� ���"�������� �� �� �������

������� ���� ����� � ��� ������$������ ���#���� �%

������� ����� ��� �� ��� ����$�� ���"���$

���������� ��%���� �����""������� ���#<���� "%� ��

������%�" ���������� �� ����� ����������&

��� ����� �� �� +���"� ��%�" �� ����� ������

�� %������ +���������& !������ �� ������"� �%�� ��

%���� ������ �� ��� � ������ �% �� ������$������

���#���� �� ���* �� �� +��������� ������ ��

��������� � 3�85&

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/��6G

� . ��� �������� �����# �������� �� ���<�������" ���������� ����

�%%��� ������� �� ������&� ���� ����� � �� �"�� �� �� ��������� ���"�������� �� ��� ���*��<

����� �� +�����" *"�&� �� ���� ����#��� %�� +���"� ������ ������� ������� �% ������<

��� ����� *"� �� �� *" ���#��$ ������ ���" +�����$ ���*

�������&

Page 4: Intrusion detection techniques and approaches

#$2$/$ *���� ����8���

.� ���"�������<������ �������� �� �����"� ������

"�� �� ������$ ���#<���� ���"��������& H� +���" �%

���� �� �� �� ��" ���$������$ "��$��$� ������"� ��

�� ���"��� ���0 ;I�8 ���"��������& �� ���� ������ �""

���<����� ����� �� ������ J�����F ��� ������ ��

�� ���� ����� ��� �� � ������� ����+� '���� �� �� +�

����� ��"") %��"�& K��������$ � ������" ���� � ��

+�"����"�� �� +�������$ +��� ������ ���� � �$�"��

+������� ������$ �� ���# �% �� ��"" ��������

�� ������� ��+��� ������� %��� ���$ �� 3�>5&

#$2$3$ ����� ����

. ����" �� �� ������""� � �����# �% ������������"

����� ���� D����"� ���"��� ����"+ ������$ %��������&

������""�� �� �����# �� ����� ���� �����" �����

�������� �����& H���� ��� ������ �� ��� % ����

�� �����#� ����� �"����*� ��� ������ �� �����"

'����������� ����� �������$ ���)� �� �����"���& ��

����� ��� �"�� ���$� ���������� �������$ ����$ ����

����� ���� �""����$ �� �����# �� "��� ����$� ��

����� ��������&

(��� ���� �������� �� ��� �"� �� ������������ �����

�� �������� �% �� ������� ������ �� ����� �� � ��

���"�� ������" %����� �� ������"�& (���"��"�� ��

"�����$ ���"��� �% �� �����# �""��� ����������� %��

�������� ��%�� ����$� ���� ��� �""�� ����� ���"������

������� �� � ���"� �� �� ��"& . $���� �%*��"�� ����

���� ����� � "�� �� �� %��� ���� ��"� �� ������ ��� �

����� �� ����� %�� � �������� ���� �� ��" ��

����� �������� �� ��� ���� 3��5&

#$2$<$ =���� ������

1���"�����$� � ����" ����� � ����� �� �%& 3�G5�

����"�� ������$ � ��� ��� ����� '%�� +���"� � �����

"�$) �����$� � ����� �% *"���� ��� ����������$ ��

#���� ���$� �������& .�� ������ �%�� �"" #����

���� ��� �� *"�� ��� �� ���" �� ����������&

0������"� � ��� ������� ����� �� ���� ��#� �����"

���� �% ��� ������ %����"& 9�"��� �� �����""� ����<

����""� �*�� �����$ �� ����� �% %�"� ���������

����$� ��%*����"� ����*� *"��� ��� � ��� �� $����&

�� ������� ���$������ �% �����#� ����* �� "��$ ������

�% ������� �����" ���� '&$& "�$�� %��"��) �� �%*��"�&

#$�$ 5����� !������� �!� ��� ������7���

#$�$%$ &6������� ��������

�� ����"�� %��� �% ����� ������� +������� �����<

��$� ������ �� ��� ����� '"�$ ������ �����# ���%*�� ��

�� "�#) %�� ��������� �% ����*� �������&6 . ����"

+���" ���" � JLI,� 3L@5�2��2�����@F ���� ���#�

%�� �������$ ���� "��#� "�# �� ���0 � ��� %�� �� K��+

������� *"&

.� ��� � �� %��� ���� +���"� �� ���"���$ +���<

����� ��� ���#"� ���� ��� �� ��� �� ��������$

����+� �� �%*��"�& (�$������ ��� � ��� ����" ��

���������� ������ �����""� ��� ������ ����

�������"<���� *" ����������� 3��5&

#$�$#$ ���� ��������� ��� ����

(��� ���������� ���"���� ��"� �����#� �� � �����# �%

����� �� ����������� '�������$ ����)& ,��� �����

��� �� ���"� �� *��� ���� ������ �������� '���

��������$ �� �����# �������)� ������"� ������$ ������<

�����& .�� ������ ���� ����� ��� *��" '��������) ����

������� �� �����#& '9�$& �)

���� �������� �""��� ����"+ ��������� �������� �� �

��"" �� � ����" ���� �� �� �����" �% �����$ �"��

�� �������� �����#�� ��� ��� ��� �%*��"�� �� +������$

"������ �������� 3��5& H��� ���� ������ �������<

����� '&$& ��"��� ���� ���) �%%� ����"�� ������$� 3�75&

#$�$2$ ��!�����! ��������

. ����� �% �!( ���"��������� ������ ���������

��$������ ����$ �����"�� "��$��$�� ���"���$ ���� ��

�%�& 36���������5& 1��" �� $���"��� �% ���� "��$��$�

���� '���$��$ %��� �����" *"����$ +�������� �� �%&

3��5 �� ����"� ���$������$ "��$��$� 3��5)� �"" �%%�

$��� C+���"��� �� �������$ �����# ��������& . ��$�����

��#� �� %��� �% � �����"�� ���$���� ���� ��� ���� ��

�����& .�� ����� ���$$���$ � *"����$ ���$���� �� �����

���� ������ ������" �"�� ���������� �� ���$��� �� ��

�����#&

�� �""������� ������ �� +���"� '��#� %��� �%&

3�75) �� 9�$�& 8 �� 6& -��� ������ *"��� ���� �����

���0 ����� %�� ������ ;I� �������& �� �� *��� ���� ����

�� �� �� �������$ ��� ��������� ���� �;0 ���������

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/ ��67

9�$& �& (������� �������� �% � ���� ������&

8 �����+� �����%� �������" ������ $����� ����%��&

6 ���� �� ����"�� �� �� ��$����� �������$ �� �� ��� ��������� ���"���<

�����&

Page 5: Intrusion detection techniques and approaches

���� G�� �� � ����*� �����$ �� �� ���0 �$��� ���& ��

�� ���� ���� �� *"�� ���#� ���� �� ���������

��������� �� �� �% �� ������� ��������� ������

����� �� ���0 ��� �$��� �� �����������$ �� ������

�� ������� �;0 �$����� �� ������ ��� "�� %��

��������� %��� �� ��$����� ��& �% ��� ������ ��

%���� � "�$ ���� �� ���� ���� �� ������ ���� �����<

���� �� � ��� ���"�&

.� ��� � ��� ������$ ��$������ ��� � ��� ��$��*<

���� ���������$ �% �� �������"� �� �����#� ����"��

�� ��� ���$������$ ���"���& �� ������� �����#� ����

�� ���������� �� �� ��$����� �����$� ��� ������ ����

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/��>�

9�$& 6& �9� �<;� ;I� ���� *"��&

9�$& 8& (���� ;I� ���� *"��&

Page 6: Intrusion detection techniques and approaches

��� �% *"��& . ��%*����"� +������ *"����$ "��$��$�

������ ��� ��"���� �� %%�� �% ��� ���� �������<

����&

#$�$�$ >������ � �������

�� $���� �"$������ �� �� �"������� ���" %�� �������

���� ����" ���"���� 'I.((.�.) ����� 3�65 ��� � $����

�"$������ �� ����� %�� �� ����������� �% #���� �����#�

'+���� �� � ������ ������ ��� "��� ��������$ ��

����� �% � �������"�� �����#) ���� ��� ������ ��

����� ��� �����& . ��������� ����� �� ��"���

��� �� �� ���# �������� ���� �� �����#� ����"�� ��

� ������� ���"�� %������� %�� �������� ���"�& �� ���

���"� �� ������ �� �% ��� �������� �� ����� ��

����� �� ���� �� �������"��� �% %�"� �������� ��

�$����� �������� B��&

���� ����� �� "�# �� ����" �� ��������� �%%�� $��

��%������ ��� �� ��� ����%� �� ����� %�� �� �����#

�����& �� ������� +������$ ��� %���� �% ��������� ��

+������$ ����"������ �� ������ �����#� �� ��� ������"

�� ���� �����&

#$�$/$ ���� �� � ����

. ����� � ������ �� =��#�� ����� 3>5 �� ��� ��

���# �% %�"� �������� �� �""�� ����*������ �% ���"

�����#�� %������$ �� ����%���$ ���� ���� ����" ���

�����& .��"���$ ���� �������� �� ����� %�� ��������

�% ���� ��"��� ���"������ %%����"� �"��� ����� %�� ���"<

� �����#��& .� +���" ���" � ���������$ %�� ���

������ �� ������ ������ %��� �� ���0 ���� '���

���� �� �������� �� �� ��� ��"���)� ��������$ � ��� ����� ��

�� �����#� ��������$ �� �� �� ���� �� � �"�� �����&

9�� �� ���������� �"����� �% ���$$� ����� %�"�

�������� �� �$"�$��"& (���"��"�� ���� ����� �� �� ��

������� ����*� ��"��� ���"������� ���� �������� �� ���"��<

��" �� #����� ����� �� ���" �����#� ��""�& ("��<

��$ �� ���������� �� �% ���$$��� ������ � ���� ��<���

����� �� ��� #���"$&

� ����� ����������

2$%$ -�� � ��������

�� ��"��� %���� �% �!( �� �����<����� �������

�������""� �������$ ������"�� ������ ���� �� ���"�<

������ "�$� %�� ��$�� �% ���������� �������� 3�5& =���

���� ������ ������� �� �� ���� "�$� �� � ����� �%

��� ����&

���� "�$�� ������� �% �� ����������� �% ����� �����

�� ���"������� "�$�� �%%� �� ���"�<�������" �� ���<

�������� ����� �% ��%�������� �� �� �������� �% �

�����& �� ������� "�$� $���� �� ��$�<"�" ������

��� �%�� �������� ���� "���<"�" ���� '���� �� �

���$" ���0 ���"������� "�$ ���� ������$ ���� �����

��""�) �� � ����+�<���� %������&

. ����� �% ���"� ����"���� �� �� �% ���� "�$��

�����& 9������ ����$ ��� �� �� ��������" ��"����

�% "�$ ����� �� � ������ ����� �����""� ���� $����

�%�� �� ����� �% ���������& (���� �������$ ��

����+� �% ����"�� ��� ������ ��� � �%*��"��

�����""� ��� ��"���" �������� ������� �������&

9���""�� �� ��"��� �% ��%�������� �" �� "�$� �� %� ���"�

"�� ����� ���� �������" ��%��������� ���" ���"���$ "��$

�������� �% �����$"�� ���"&

2$#$ ��������� �����8 ��������

�� ������� ����� �% ���� �� ���� ������ �� � ��

�� �����# ����������� �% ���� �����& =��� �!(� ���<

%��� %���� �� ���� �� � ����� �% ����� ���������$ �""

���%*� ���� �����& ���� ����� ���� �� �!( ��� �����

�"" ������������� ���� � �����# �����#� �� ��

������ ������ ���"���$ ���� �% �� ����"�� ��������

���� "�$ ���������$&

� �� ��������$ ������ �� ������� �����&

� �� ���"��� �� ����� �����#<"�" ����&

� =��������$ �� ���� �$��� �� ���&

� ���"����$ �� ���������$ ������� %��� �� ��C��� �%

���� ���������&

.� ����� �� �%& 3�45� ������ ���� �������� ��� "�����<

�����& �� �������"��� ������$ ���� ��� ������ �� ����<

������ ������""� �� ������� ����� �� ���� ��

������� �� �%*��"� �%%��� ��%���� �"��%���� �����

�����""� +�"���� ���"�� ��� %�� ���� ��"%���

��� ������& (���"��"�� �� �� �% ������$������ �������"�

�$�� �� ���"��� �% ��� �!( ����� �� �����

���"������� ���� %%����"� ��������$ �����#� 3�>5& 9���""��

�� �� ����"+��� �� �������� �% �����#� ������� ��

��%������ � ������� �� ����� ��� ����

����������&

2$2$ -�� �����8 ��������

.� �������� �� �� ������" *���""� �� ��� �!(

���� ��$�� "�� �� ��������$ �����# ���������$ ����

����<��� �����& -� �������$ ��� �� �"" "�"� �% ��

����F� �����# �������" ����#� �� ����$����� �% �"��%���<

����*� ���%*� ���"��$ �� �� ����"�� �������� ����

������$������ �������"� ��� � ���"�& �� ��� �� ���

������ ����� �� �� ���� �� ���� ����� �� ��

����� ���"%&

���� �������� �%%�� ������$� �� ��������$�

����"�� �� ���� �� �"�������� "��� ��"��& �� ���"��

���� �% �� ����"�� �������� ���� ����������� �����#

���������$� ���" ����������$ �� ���"��� �� ����� ��

���� ������������� ���� ������ �� �����#�& :�#

�"" ����<��� ���������� ������ ���� �������� ���"��

� ��%������ ������ �� ��� ������� ������ � ����

�������" ������� �� ����"�� ���� �� ��"���" ������ ��

�� ���D�� �� ��������� ��� �� ���� �� ��������� 385&

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/ ��>�

Page 7: Intrusion detection techniques and approaches

2$�$ *�����'����! 9�

.����� ������ �� ���"� �� ����$����� ������ ��

��������$ ��"���" �"��%���� "�� �� ��������$ � �����#

#���"$ ���� ���%*� �������������& ��� ���$�<���

�!( ������""� �� �������$ ����� �� �� %��� �� ���$

�% ���� ������ +��� �� �� ������ �����#� ���"���$

���� ���"� �� ���� �������$ ������ ����� ������� ��

������" ��"�����"����& K���$ ���� #���"$� � ���� ���

���������� �����# ���%*� �� �� ��� %������ �� ���" �

�� ��� �� �� ����� ������ �������$ �����#�� %���

��D����$ �� ��������$ �����#�&

�� ������� ���� �������� �""��� �� �!( �� ����������""�

�%%������ �����#� ���� �� � ����� �� �� ���$� ������

%��� ���� ���� ���$� ��"�����"���� ��� ������ ����

�*���$ $���� �"��� '%�� +���"� ��(<��� �����#�

�� .���� ���0 ����� ��$�� � �$���)& 1����

�����#� ���� ������ ���� ����" � ����� ��

�������$ �% � ���������� ����� �%%���$ � ���<�%%

���� "��� '�� ��� ���"����") ������� �"��� ���$

$����� �� �� �������"��� �% ���$�����$ ���" �����#�

��� ������ ���� #���� � ����& �� ������� ��

� �� �������� �� ������� ��� �% �� ������

�����#� ���"���$ ��"� ������ �% ��"�����"��� ��� ���

�� ���"��� �% ���� �"��� �% ����� �� ���$��� ���" �����#�

3��5&

� ������������

�$%$ 5� ����� �������

�� ����"�� ��" �% �� �!( �� � ���$" ���"��������

���������$ ����� �������� ���"�� �� ������""� �"" ��

��& =�� ����� ����"����� ������ �� � ����� �%

������ ����� ������� �� ���"�� ���������� ���

���"�����$ ����*� ����� ��& �� ������ ���� �""

���� ������� ������ �� �� %��� ���� ��� %���� �� �

����*� ���� �� ����� ���� �� ����"����� �% ������� ����

����� ����� �������� '9�$& >)&

(��� ������ �� ��������""� ����"� �� �"����"� ���

�� ���"���& ���� ��D�� ��#��� "�� �� �� ���"��� %�� ��

�����# �� � ���"��� ����$ � � ��� �% �������""�

��������� ����& �� �"��� $���� �� ���� ������ ���

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/��>�

9�$& >& =���"���"�� �!( ����������&

9�$& 4& ��������" �!( ����������&

Page 8: Intrusion detection techniques and approaches

�� %��� � �$$�$�� �����""� ��� ���� ���������� �%%�� ��

����$� ���� �!( ��������&

�$#$ -��������� �������

�% �� ������� �� �"��� $���� �� �� �!( ������� ��

� ���� �� ����"��� ������" %�� %��$ ���� � ��$��<

"�" �!( ��������� �� ��������� ������ �������� ���"��&

.� �� ���� �% �� �������� "�� � ���"�� ���� �� ������"<

"�& -"�� ���� "�� �� �� ��� ������� ���������� ����

��������� ����� �������� ������ �� ������ ������&

,%%����"�� �� ���" �������� %���� � �����<���" �!(

'9�$& 4)&

�� �� �% � �����"�� ������""� ���� �""��� ��%��������

%��� �%%��� ��������� �� � ����"��� �������""�

����%���$ ��������� �� �������� �����#�& 9�� +���"� �

����" ���� ���$ ����� ���" �%*��"� �� ��� ����$ �

�����# �% ����"����� ���� �!( ��������� ��� � ������" ��

����� ��� ����"����$ ���������� ����$ � ���������

�������� 3��5&

�$2$ )����'����!

. ��� ���� ��" �% �!( ���������� ���� ��

����� ���� ������� %��������" �����/ ������ ���������

���"�� �� ������""� �����& ��� ��� � ��������

������ ��"���" ������� ���� ��� �������� ������$

����� %��� � ���� �% ����������� �� �������$ �� �� ��

��� ��$��<"�" ���������& 0���� ����� �� ���������

����� ��� ����� �� ���"�� ����� �� ��$��<"�" ���������

�� �� %���� '9�$& G)&

���� ����������� ���"��� �� ������ ���� �� ��

�%�& 3����5� �""��� $��� C+���"��� �� �� �"����� ��

���"������� �% �������" ���������& �� ������� ����

���������� �%%�� $���� ���������"��� �� �� %�� �% ���<

"�� �� �����#� ��$� +������"���� �� ��"���" "�"� �%

�������$ �����$���� �� ��������&

�$�$ ����������! 0>�9� 1

."" �� �!( �����������" ��"� ����� ��"��

������ �����#� �� ���� �% ���� �� �������" ������&

. ���� �"������ ����* �� �%& 3�45 ������ "�� ��

�$����$ �� ���" ����� �� � ����& .����#� �� ��""

�� ������������� ������� ���� ������� ���� ��� "��#

��������$ �����# ��������& �� $����� ���� %��� ��� �

��� �� �%%��� ���"�� ���$��$ %��� ���"" ������ �� ��

������������� ���� "��$ �� ����"+ ������ '���

��������#� �� ��""��� ���� ������)&

���� ���" �������� ������� ��$� ���"���"��� �� ��

�������" �� ���$��� ��"� �������� �����# �������

'���� �� ���� ��������)&

� ��������� ������������

/$%$ ������ :���� �

1��� �� ���� �% ������� ����� �����"�$�� ���� ��

���" �� +!(:� �������� ��������� �� �� ������ %��

��� ���� ��� ���� � ��"���& 1��� ���� ��"��� ��� �

���" �� ���" �% ����� �� ���# ����� �� �"��"� ����

�� ������ ���� �� �� �����# �� $��&��� 3�>5&

H� ������ �� ���� ������ ��� �� �� ��$�� �%

������" *���""�/ ��%���� ���� %%����"� ���"���� �

���"" *���"" �� �!( �� ��� �����# ���� 3�45& . %����

%��� �� ��� �% ��� ������ �� ���������$ �������

���������� �� ��"� ���� ����*��""� �������� � ������

�� ���D�� �� ���� ��%���� ���� ��� ������� �����#

"��#� 3��5&

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/ ��>�

9�$& G& .$��<��� �!( ����������&

Page 9: Intrusion detection techniques and approaches

/$#$ -�������

�� ������ �% � �������� �� ����"/ � ���� �����<

*���" ����� �"�� �� �� ��������� �� ��� ������ ��������

�� � �����# �� ��$� �� ���� �����#� �� ����� ��

9�$& 7& �%& 3G5 �������� � $�� +���" �% ���� � ������

�����""� ���"���&

H��$���""�� ��������� ������� �% ����"� ��������

��" ������ �� ������" ������ ���"��� �� ��%����&

. ���� ���������� ��� �� �� �% � ��<��"" ������/ ��

���� �����# �% ������� �� ��� ������ �����*���"& (���<

����$ ���� �����# %��� �� ����� ���" �� � *���""�

���*$�� �� �""�� ��������� �������$ ������ ��� "����

���$���$ �����& �� ���� ������ �� �����#� �� �����

%��� ����$ �� ������� �� �� ������ �� � �"�� �����

%�� �����#��$ ���� ������&

.�� ���%*� �� �� %��� �� ������ �� %�""� "�$$&

,+����������� ���� ���� ������ ��� ����� %�������<

��$ ���"�� ���$��$ %��� �� �"����� �% ������ *�$�<

�������$ ����� ���> �� ����$��� ���� �� �����" ���������� �%

���#�� 3�G5&

/$2$ ,�������

�� ��" �!( ���" � �����" �% ���$�����$ ��

�����"����$ �����#�� ����� %����� �����#� �� ������$

�� ��"����" ����� �� ����� ���������& �� ������

�!( ���"���������� � ����� �% ������ ������"����

��� � ���$���&

� )����8 ������� ��� �� ����� ������� �� ������"� ��

������"� $���� ��%�������� �� �� �� ����%���$ ��

����� �% �����# '����$ ����� �� ���� �� !�( "��#����

������ *�$��������$� ��&)&

� ������� ��� �� �!( ����*$��� ������ �����

'���� �� � *���"" �� �����) �� �"��# ��� �� �����#��

�� ��� �;0 ��� %���� �� ��� ��� ��� ���������

�������&

� &6���!�! �������� ���������� ��������$ �� "�" �%

��%�������� ���� ����� ���� ���������$ �� �����#�

%�� %���� %������ ���"����&

�� �� �% ��� ������� �� ������"� ��� "����� �

�� �� ����"�� ������ �� %�"� ��������� �"�� �����#

���$������� �� �� ���# �% �� ������� ������ ������<

�����$ �� �����# '���� �$����� �� ������� ���� ����� �� ��

������ �����)& ;��������� ����� �"�� ���� ���

�$����$ �� "�" �% ������ �������"� �� �� ������<

������ �"��������� ���� ����$����$ �� %%��� �% ��

�����# �� $������$ ����&

� ����������

�� *" �% ��������� ������ ��� �� �� ��"" �������

�� �"�� ����"�& . ����� �% ����� �� �� ��"������

%��� �� ������ ������ �� ���"�� �� ���� ����& .�

���� �� ���� ����� ������ �����# ������� ���

��� ��� �� $� �%�� ��� �����# ��� � ������ ��%&

��������� ������ ��� �� �������" �� �""���� ���� �%

�� ����"�� %����$ ������ �����# �������& ������ �

����� �% ����� ����� �� � ���"�&

� (��"��$ �� "��$� %��� �� ����"+ ������& =��� �% ��

�!( ������"� �� �� �� ������""� ����"����� �� ���

�� ����� %%����"� �� "��$<���" �����#�� � ���

�������� ���������� �� �������&

� ���� ����������� �% �� �����# ��$������& =����

������ ������ �� ����"�"� �"���� �� �����$

��"� �% �� �����#� �� ��� �� ����$�� �����#� ����

�� �� �� � ����� ����������� �% ��� ��"� ����

������ �� �����<"�# ���� �% � ����&

� K�� ������ ��������& =��� ������ �!( �� ����"+ ��

���*$�� �� ���� ���������$ ���� ��&

� (����$ ������ ������"����& �� �� �"�� %��� �� ���"����

�%��� ��"�� ���� �"���$ �� ����� ���������� ��

���" �����#� �� ��%����"& =��� ������ �!( ���"��<

������� ��� "���� ���������� ������"���� �� �!(

�� �� � �����" �% �������$� ��� D��� �������$ ��

�����#&

��� ��� �� ��� ������� �� ���� � ������ "���

�% �����#� %�� ���������� ���� �!( ���"���������

375& H� ������" ��"����� �� �� ����"� �% ��$�����

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/��>8

9�$& 7& (������� �% � ������&

> 0����� *�$��������$ +��� �� ����� �� ����� �� �%& 3�65 ��

�""�� ����*������ �% ���� ������� ����$ ���"�������� ����������<

���� ����� �� �����# ���%*�&

Page 10: Intrusion detection techniques and approaches

����������� ��� "� �� �� ������� �% � ����<

������ �����# ����������� �� ���� ��� � ������

�� �!(<����*� ������������ �� ��" '�� ����� ��

(����� �&8) ����������""�&

(� %��� ������ ���� �!( ��� %���� �� �����������" ��

����������� �����& ;����� ������ ��� ����� �����"

�% ���"��$ #���� �����#� ��� �� �+� ������ ��� ��� �

�� ���$�&

����������

3�5 ;,��.( .��������� .$��� %�� ��������� !������ I����� ;H.(�

.��������� .$��� %�� ��������� !������� 0��D�� �����$�

����/22���&��&����&�2�����2���D���2����������<�$���&���"� 4

(������ �777&

3�5 M&0& .������ ;������ ������� ����� ���������$ �� �����""����

�������" ������ M��� 0& .����� ;�&� 9��� 1�����$���� 0.�

.���"� �7G�&

3�5 �&I& -��� ��������� ������� �(-� �<64G4�<�G6<>� ����&

385 .& 0"���� �����# �;, -"��#�;, !%�� K��F� I�� ������ �&��

�777� ����/22�����#��&���2�������2!���2-"��#�;,!%KI&�%&

365 �& 0�+���� -��/ . (���� %�� !�����$ �����# ������� ��

��"<��� K(,��N (������ (��������� M������ �77G� %��/22

%��&&"�"&$��2�����2���<����+7G<����&��&O&

3>5 =&M& ������ ��������� ������/ ���""�$� �� ������ �77G� ����/22

���&�%�&��2%����2���"��������2�<�����&���"&

345 !& =���� �� ���� �% �� ��<� ���� ';���)� (������ �����

����/22���&����&��$2���"����2�������2��<�2�����P���"����&

+�"&

3G5 -& ;�����#� .� ����$ ���� -�%� �� ����� � ����#� �� "���

���� �� ����� 0�����$� �% 1���� K(,��N ;��%����

M������ �77�� %��/22%��&������&�""<"���&���2���2���2��%�&��&

375 ;����� ��"�����"���� �� +������� ����/22���&��&����&��$&

3��5 �& !���� =& !����� .& 1���� ������ � ��+����� �% ���������<

������ ������� ;������ �����#� �� '�777) G�6?G�� ���� �%

��� �� ��� �&

3��5 !&,& !����$� .� ���������<������ ��"� �,,, ������������ ��

(�%���� ,�$�����$ (,<�� '�) '�7G4) ���?���&

3��5 (&�& (����� � �"&� !�!( '�������� ��������� ������ �����)E

����������� ����������� �� �� ��"� ��������� 0�����$� �% ��

�8�� �������" ;������ (������ ;��%���� 1�����$���� !;�

H������ �77�� ��& �>4?�4>� ����/22��"��&��&������&�2�����2

!�!(&����7�&�%&

3��5 0&I& ������� 0&.& 0������ ,+����� ���� ,=,�.:! �� �� *���

K(,��N ���#���� �� ��������� ������ �� �����# ���������$�

.���"� �777� ����/22���&�"&���&���2���"2�77&��&$B&

3�85 (& (����%��� I& I���� �& M��#���� 9"��� �����/ ������ ����� ��

��%�� �� ������� (�"���� !%��� .�$���� ����� ����/22���&

��"����%��&���2C���2&

3�65 :����� =� I.((.�.� � $���� �"$������ �� �� �"������� ���" %��

������� ���� ����"� ���"����� �.�! F7G� (K0,:,;� 9�����

(����� �77G� ����/22���&B�����&���&���2Q4,��2

0��$P�.�!7G29�""P0����2$������P����&�%&

3�>5 (& I������ �� �����$ ��" �% �� ���" �% ����� �����#� �$�����

I�;&;H=� I����� ������ ;����������� =�� ����� ����/22$��&���2

��2$����&���&

3�45 (& ;���$� � �"&� �� ��$� �% I��!(/ � $����<��� ���������

������ �����& K&;& !���� ;������ (���� !������� ���<

����" ����� ;(,<77<�� �777� ����/22��"��&��&������&�2����2$���2

$���&�%&

3�G5 :& (���B��� R��� ���� ���/ �������� ������ 0��D��� .���"

����� ����/22���D��&������&��$2�����2������2&

3�75 (& R����� ;"����*������ �� ������ �% ������� ����������� 0�!

������ 0��� K��������� �776� ����/22�����&��&����&�2���2

;H.(�2�����2����<#����2#����<����<�����&��&O&

3��5 9����<�!( ���"��$ "���� ����� ����/22���&�������%����&���2%����2

��2"���2%����P��%� &���"&

3��5 M& ������$� R& M��#���� ;& (��""��$�� M&9& =�;"���� !& !�-����

M& 9��� �.!��/ �� ������� ����� %�� �����$ �����# �����<

����� �� ������ ;������� �� (������ �� '�) '�77�) ��6?�8G&

3��5 �& !���� =& -�#�� !& (������ . ����" �����# �������� %�� ��

��������� ������ ������ 0�����$� �% �,,, (�������� ��

������ �� ;������ (������ �� 0������� �77�&

3��5 =&M& ������ R& :��*"� =& (��"�����#� =& (��#����B�

.& :������ ,& 1�""� ���"�����$ � $���"�B ���" %�� �����#

���������$� :�(. F74� ����/22���&�%�&��2%����2���"��������2:�(.<

74&���&

3�85 �&(& M����B� .& ��"�� �� ��!,( ����������" ��������/ ���������

�� D����*������� =���� �77�� (�� �����������"� ����/22���&�"&���&

���2���2������2���������&��&$B&

3�65 9����� ���� H( ������ ��� �;02�0 (���# 9��$�0������$� �G

H������ �77G� ����/22���&������&��$2����2����<*�$��������$<

�����"&�+�&

3�>5 ��"��E0�" �������� ����/22���&��"��&���2��"6&>2��2��"��&

���"&

3�45 �&�& 0���#� �&�& ������� ��������� ������� �� ���" �% �����/

"���$ �����# ��������� ������� (��� �����#� ���&� M������

�77G� ����/22���&�������%����&���2���2"������2��&��&

3�G5 =&M& ������ .���*���" �$������/ ���<�� $��� 9����"" 1�B���

=��"��$ :���� (����� �774� ����/22"����&������&��$2*���""<

��B���2�7742(�2��7>&���"&

3�75 =& ������ (����E"�$����$�� ��������� ������ %�� �����#��

0�����$� �% :�(. 77� �777� ����/22���&�����&��$2���2"���<

����&�+�&

3��5 (.�( ��������� -��"��$ � �����# ���������$ �� ���"���� ����<

��"���� M�"� �77G� ����/22���&����&����&��"2�((,;2;�!2���&���&

3��5 (����E�� ��� ����� �����# ��������� ������ ������ ����/22

���&�����&��$2&

3��5 (& I������ H��H��E�"" ���"��� ������ �� ���# ��� ��$�S�

I����� ������ ;����������� ����/22$��&���2������&���&

3��5 0& 0������ (�.�E� ���� ���������� ���"���� ���" %�� ��������� ��<

����� �������" ����� ��;(7�<�6� ;������ (���� !��������

K�������� �% ;�"�%����� �� (���� -������� ������� �77�&

3�85 I&�& R��� ,&�& (��%%��� ,+������ ���� �������/ ����$ ���$����

���#�� %�� ��������� ������� (����� .������������� �����#��$

�� (������ ;��%��� ���� K(,��N� �778� %��/22�����&��&����&

�2���2;H.(�2�������2�������<(.�(&��&O&

3�65 �&;& 1���� 1����" �����/ �� �������" %�� ��� %��� ������

�"�$��� .�$��� ����� ����/22���&��&��#"�&�2T�����2

�����"&���"&

3�>5 0& ;������� .����# �� ���#S� 0; 1# :���� �� H�����

�777� ����/22���&B��&���2���#2������2���2��8�6����6�48��

��&���"&

3�45 O��."��� �&>� O��:���� ����/22���&B��"���&���2�������2B�2

��+&���"&

*$ +�����!� ,$ -��� . ������� ������������ #/ 0#��#1 %2/34%23/ ��>6