云計算與入侵檢測-文庫吧
2025-09-08 12:37 本頁面
【正文】 和網(wǎng)絡(luò)日志文件信息是檢測入侵的必要條件 ? 日志文件中記錄了各種行為類型，每種類型又包含不同的信息，例如記錄 “ 用戶活動 ” 類型的日志，就包含登錄、用戶 ID改變、用戶對文件的訪問、授權(quán)和認(rèn)證信息等內(nèi)容 ? 顯然，對用戶活動來講，不正常的或不期望的行為就是 :重復(fù)登錄失敗、登錄到不期望的位置以及非授權(quán)的企圖訪問重要文件等等 系統(tǒng)目錄和文件的異常變化 ? 網(wǎng)絡(luò)環(huán)境中的文件系統(tǒng)包含很多軟件和數(shù)據(jù)文件，包含重要信息的文件和私有數(shù)據(jù)文件經(jīng)常是黑客修改或破壞的目標(biāo) ? 目錄和文件中的不期望的改變（包括修改、創(chuàng)建和刪除），特別是那些正常情況下限制訪問的，很可能就是一種入侵產(chǎn)生的指示和信號 ? 入侵者經(jīng)常替換、修改和破壞他們獲得訪問權(quán)的系統(tǒng)上的文件，同時為了隱藏系統(tǒng)中他們的表現(xiàn)及活動痕跡，都會盡力去替換系統(tǒng)程序或修改系統(tǒng)日志文件 分析引擎 分析引擎 ? 模式匹配 ? 統(tǒng)計分析 ? 完整性分析，往往用于事后分析 模式匹配 ? 模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用 模式數(shù)據(jù)庫 進(jìn)行比較，從而發(fā)現(xiàn)違背安全策略的行為 ? 一般來講，一種攻擊模式可以用一個過程（如執(zhí)行一條指令）或一個輸出（如獲得權(quán)限）來表示。該過程可以很簡單（如通過字符串匹配以尋找一個簡單的條目或指令），也可以很復(fù)雜（如利用正規(guī)的數(shù)學(xué)表達(dá)式來表示安全狀態(tài)的變化） 統(tǒng)計分析 ? 統(tǒng)計分析方法首先給系統(tǒng)對象（如用戶、文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等） ? 測量屬性的平均值和偏差被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，任何觀察值在正常值范圍之外時，就認(rèn)為有入侵發(fā)生 完整性分析 ? 完整性分析主要 關(guān)注某個文件或?qū)ο笫欠癖桓? ? 包括文件和目錄的內(nèi)容及屬性 ? 在發(fā)現(xiàn)被更改的、被安裝木馬的應(yīng)用程序方面特別有效 響應(yīng)部件 響應(yīng)動作 ? 簡單報警 ? 切斷連接 ? 封鎖用戶 ? 改變文件屬性 ? 最強(qiáng)烈反應(yīng)：回?fù)艄粽? 入侵檢測系統(tǒng)性能關(guān)鍵參數(shù) ? 誤報 (false positive)： 如果系統(tǒng)錯誤地將異?；顒佣x為入侵 ? 漏報 (false negative)： 如果系統(tǒng)未能檢測出真正的入侵行為 入侵檢測系統(tǒng)的分類（ 1） ? 按照分析方法（檢測方法） ? 異常檢測模型 （ Anomaly Detection ):首先總結(jié)正常操作應(yīng)該具有的特征（用戶輪廓）， 當(dāng)用戶活動與正常行為有重大偏離時即被認(rèn)為是入侵 ? 誤用檢測模型 （ Misuse Detection)： 收集非正常操作的行為特征 ，建立相關(guān)的特征庫， 當(dāng)監(jiān)測的用戶或系統(tǒng)行為與庫中的記錄相匹配時，系統(tǒng)就認(rèn)為這種行為是入侵 入侵檢測系統(tǒng)的分類 ? 網(wǎng)絡(luò) IDS: ? 網(wǎng)絡(luò) IDS（ NIDS）通常以非破壞方式使用。這種設(shè)備能夠捕獲 LAN區(qū)域中的信息流并試著將實時信息流與已知的攻擊簽名進(jìn)行對照。 ? 主機(jī) IDS： ? 主機(jī)入侵檢測系統(tǒng) （ HIDS） 是一種用于監(jiān)控單個主機(jī)上的活動的軟件應(yīng)用 。 監(jiān)控方法包括驗證操作系統(tǒng)與應(yīng)用調(diào)用及檢查日志文件 、 文件系統(tǒng)信息與網(wǎng)絡(luò)連接 。 ? 混合型的 兩類 IDS監(jiān)測軟件 ? 網(wǎng)絡(luò) IDS ? 偵測速度快 ? 隱蔽性好 ? 視野更寬 ? 較少的監(jiān)測器 ? 占資源少 ? 主機(jī) IDS ? 視野集中 ? 易于用戶自定義 ? 保護(hù)更加周密 ? 對網(wǎng)絡(luò)流量不敏感 1. 概述 2. 入侵檢測方法 ? 入侵檢測
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1