解析嵌入式系统中入侵检测的设计

随着通信技术和电子技术的不断发展，嵌入式系统在电力系统中得到越来越广泛的应用，电力嵌入式系统连接Internet将成为一大发展趋势。但是Internet是一个不确定的网络，存在着许多安全隐患，这是一个突出的、急待解决的问题。嵌入式芯片的发展将使机器人在微型化，高智能方面优势更加明显，同时会大幅度降低机器人的价格，使其在工业领域和服务领域获得更广泛的应用。这些应用中，可以着重于在控制方面的应用。就远程家电控制而言，除了开发出支持TCP/IP的嵌入式系统之外，家电产品控制协议也需要制订和统一，这需要家电生产厂家来做。同样的道理，所有基于网络的远程控制器件都需要与嵌入式系统之间实现接口，然后再由嵌入式系统来控制并通过网络实现控制。所以，开发和探讨嵌入式系统有着十分重要的意义。

目前，比较流行的嵌入式操作系统有QNX、VxWorks、Widow CE、μC/OS-II等。其中，μC/OS-II内核以稳定、简短、源代码公开等特性得到了人们的青睐。但μC/OS-II只是一个微内核，并没有安全方面的设计。为了更加适合应用在电力系统中，这部分功能必须增强。μC /OS-II是一个完整的、可移植、可固化、可裁剪的占先式实时多任务内核。μC/OS-II绝大部分的代码是用ANSI的C语言编写的，包含一小部分汇编代码，使之可供不同架构的微处理器使用。至今，从8位到64位，μC/OS-II已在超过40种不同架构上的微处理器上运行。μC/OS-II已经在世界范围内得到广泛应用，包括很多领域， 如手机、路由器、集线器、不间断电源、飞行器、医疗设备及工业控制上。实际上，μC/OS-II已经通过了非常严格的测试，并且得到了美国航空管 理局（Federal AviatiON AdminiSTration）的认证，可以用在飞行器上。这说明μC/OS-II是稳定可靠的，可用于与人性命攸关的安全紧要（safety critical）系统。除此以外，μC/OS-II 的鲜明特点就是源码公开，便于移植和维护。

本文将针对电力系统的需求，基于一个改写的μC/OS-II说明该嵌入式操作系统中入侵检测模块的设计与实现。

1、针对电力系统的安全威胁分析

嵌入式系统在电力系统中主要应用于数据采集和远程监控，所以它面临的最大威胁是数据的保密性和完整性问题。通过现有的保密技术和网络安全措施可以基本上保证数据的安全，但并不能绝对保证。入侵检测模块可以认为是整个系统的最后一道防线，在系统遭受威胁或被攻击后，可以分析攻击行为，有效保护系统免受同样的攻击。入侵检测（Intrusion Detection）是对入侵行为的检测。它通过收集和分析网络行为、安全日志、审计数据、其它网络上可以获得的信息以及计算机系统中若干关键点的信息，检查网络或系统中是否存在违反安全策略的行为和被攻击的迹象。入侵检测作为一种积极主动地安全防护技术，提供了对内部攻击、外部攻击和误操作的实时保护，在网络系统受到危害之前拦截和响应入侵。

（1） 内部人员的违规行为。通常，数据保密技术和账户安全管理手段，只能防止外来人员的攻击，而对于内部人员则束手无策。若内部人员滥用权限也会使系统面临很大的威胁。小则造成设备损坏，大则危害公共安全和经济生产。

（2） 非授权用户登录操作。一个电力监控系统不仅可以远程采集电力终端设备的数据，同时也可以进行设备故障诊断、实时控制等操作。

（3） 对系统资源的非法访问。这里所谓的系统资源主要包括存储器中的数据、系统的运行参数以及用于控制电力设备的硬件。当攻击者绕过正常的操作顺序获取数据或是硬件的控制权时，系统的所有安全措施形同虚设。

通过上述分析可知，为了进一步加强系统的安全性，必须使系统具有个人行为监控、事件重建、抵御网络攻击和故障分析能力。

2、基于主机的入侵检测模块设计

2.1 检测技术

检测技术与自动化装置是将自动化、电子、计算机、控制工程、信息处理、机械等多种学科、多种技术融合为一体并综合运用的符合技术，广泛应用于交通、电力、冶金、化工、建材等各领域自动化装备及生产自动化过程。检测技术与自动化装置的研究与应用，不仅具有重要的理论意义，符合当前及今后相当长时期内我国科技发展的战略，而且紧密结合国民经济的实际情况，对促进企业技术进步、传统工业技术改造和铁路技术装备的现代化有着重要的意义。

考虑到嵌入式系统资源的有限性，入侵检测模块将采用滥用检测技术。所谓滥用检测是直接对入侵行为进行特征化描述，建立某种或某类入侵的特征行为模式库。如果发现当前行为与某个入侵模式一致，则表示发生了这种入侵。

2.2 框架设计

入