入侵檢測ppt課件(已修改)
2025-05-18 04:39 本頁面
【正文】 第 11章 入侵檢測 入侵檢測概述 入侵檢測系統(tǒng)分類 入侵檢測系統(tǒng)的分析方式 入侵檢測系統(tǒng)的設(shè)置 入侵檢測系統(tǒng)的部署 入侵檢測系統(tǒng)的優(yōu)點與局限性 習(xí)題 入侵檢測是從計算機網(wǎng)絡(luò)或計算機系統(tǒng)中的若干關(guān)鍵點搜集信息并對其進行分析，從中發(fā)現(xiàn)網(wǎng)絡(luò)或系統(tǒng)中是否有違反安全策略的行為和遭到襲擊的跡象的一種機制。 入侵檢測系統(tǒng)的英文縮寫是 IDS（ Intrusion Detection System），它使用入侵檢測技術(shù)對網(wǎng)絡(luò)與系統(tǒng)進行監(jiān)視，并根據(jù)監(jiān)視結(jié)果進行不同的安全動作，最大限度地降低可能的入侵危害。 入侵檢測系統(tǒng)概述 入侵檢測的概念 入侵檢測系統(tǒng)工作過程：若有一個與網(wǎng)絡(luò)連接著計算機系統(tǒng)，根據(jù)制訂的一些安全策略，允許網(wǎng)絡(luò)上的授權(quán)用戶訪問該計算機。 一般情況下，可以采用一個防火墻或者一些類型的認證系統(tǒng)阻止未授權(quán)訪問。然而，有時簡單的防火墻措施或者認證系統(tǒng)可能被攻破。入侵檢測是一系列在適當?shù)奈恢蒙蠈τ嬎銠C未授權(quán)訪問進行警告的機制。對于假冒身份的入侵者，入侵檢測系統(tǒng)也能采取一些措施來拒絕其訪問。 入侵檢測系統(tǒng)基本上不具有訪問控制的能力，它通過對數(shù)據(jù)包流的分析，可以從數(shù)據(jù)流中過濾出可疑數(shù)據(jù)包，通過與已知的入侵方式進行比較，確定入侵是否發(fā)生以及入侵的類型并進行報警。網(wǎng)絡(luò)管理員可以根據(jù)這些報警確切地知道所受到的攻擊并采取相應(yīng)的措施。可以說，入侵檢測系統(tǒng)是網(wǎng)絡(luò)管理員經(jīng)驗積累的一種體現(xiàn)，它極大地減輕了網(wǎng)絡(luò)管理員的負擔(dān)，降低了對網(wǎng)絡(luò)管理員的技術(shù)要求，提高了網(wǎng)絡(luò)安全管理的效率和準確性。 目前，大部分網(wǎng)絡(luò)攻擊在初期就可以表現(xiàn)出較為明顯的特征。對于這類攻擊，入侵檢測系統(tǒng)可以在攻擊的前期準備時期或是在攻擊剛剛開始的時候進行確認并發(fā)出警報。同時入侵檢測系統(tǒng)可以對報警的信息進行記錄，為以后的一系列實際行動提供證據(jù)支持。這就是入侵檢測系統(tǒng)的預(yù)警功能。 入侵檢測一般采用旁路偵聽的機制，不會產(chǎn)生對網(wǎng)絡(luò)帶寬的大量占用，系統(tǒng)的使用對網(wǎng)內(nèi)外的用戶來說是透明的，不會有任何的影響。入侵檢測系統(tǒng)的單獨使用不能起到保護網(wǎng)絡(luò)的作用，也不能獨立地防止任何一種攻擊。但它是整個網(wǎng)絡(luò)安全系統(tǒng)的一個重要的組成部分，它所扮演的是網(wǎng)絡(luò)安全系統(tǒng)中偵察與預(yù)警的角色，協(xié)助網(wǎng)絡(luò)管理員發(fā)現(xiàn)并處理任何已知的入侵。它彌補了防火墻在高層上的不足。通過對入侵檢測系統(tǒng)所發(fā)出警報的處理，網(wǎng)絡(luò)管理員可以有效地配置其他的安全產(chǎn)品，以使整個網(wǎng)絡(luò)安全系統(tǒng)達到最佳的工作狀態(tài)，盡可能降低因攻擊而帶來的損失。 CIDF(Common Intrusion Detection Framework，網(wǎng)址 ： //）闡述了一個入侵檢測系統(tǒng)的通用模型。 CIDF將入侵檢測系統(tǒng)需要分析的數(shù)據(jù)統(tǒng)稱為事件（ event），事件可以是網(wǎng)絡(luò)中的數(shù)據(jù)包，也可以是從系統(tǒng)日志等其他途徑得到的信息。它將入侵檢測系統(tǒng)分為以下組件。 入侵檢測系統(tǒng)的基本結(jié)構(gòu) （ 1） 事件產(chǎn)生器 事件產(chǎn)生器采集和監(jiān)視被保護系統(tǒng)的數(shù)據(jù)，這些數(shù)據(jù)可以是網(wǎng)絡(luò)的數(shù)據(jù)包，也可以是從系統(tǒng)日志等其他途徑搜集到的信息。并且將數(shù)據(jù)進行保存到數(shù)據(jù)庫。 （ 2） 事件分析器 事件分析器的功能主要分為兩個方面：一是用于分析事件產(chǎn)生器搜集到的數(shù)據(jù)，區(qū)分數(shù)據(jù)的正確性，發(fā)現(xiàn)非法的或者具有潛在危險的、異常的數(shù)據(jù)現(xiàn)象，通知響應(yīng)單元做出入侵防范；二是對數(shù)據(jù)庫保存的數(shù)據(jù)做定期的統(tǒng)計分析，發(fā)現(xiàn)某段時期內(nèi)的異常表現(xiàn)，進而對該時期內(nèi)的異常數(shù)據(jù)進行詳細分析。 （ 3） 響應(yīng)單元 響應(yīng)單元是協(xié)同事件分析器工作的重要組成部分，一旦事件分析器發(fā)現(xiàn)具有入侵企圖的異常數(shù)據(jù)，響應(yīng)單元就要發(fā)揮作用，對具有入侵企圖的攻擊施以攔截、阻斷、反追蹤等手段，保護被保護系統(tǒng)免受攻擊和破壞。 （ 4） 事件數(shù)據(jù)庫 事件數(shù)據(jù)庫記錄事件分析單元提供的分析結(jié)果，同時記錄下所有來自于事件產(chǎn)生器的事件，用來進行以后的分析與檢查。 根據(jù)入侵檢測系統(tǒng)的檢測對象和工作方式的不同，入侵檢測系統(tǒng)主要分為兩大類：基于主機的入侵檢測系統(tǒng)和基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)。 入侵檢測系統(tǒng)概分類 基于主機的入侵檢測系統(tǒng)用于保護單臺主機不受網(wǎng)絡(luò)攻擊行為的侵害，安裝在被保護的主機上。這一類入侵檢測系統(tǒng)直接與操作系統(tǒng)相關(guān)，它控制文件系統(tǒng)以及重要的系統(tǒng)文件，確保操作系統(tǒng)不會被隨意地刪改。該類入侵檢測系統(tǒng)保存一定的校驗信息和所有系統(tǒng)文件的變更記錄，所以在一定程度上還可以實現(xiàn)安全恢復(fù)機制。 按照檢測對象的不同，基于主機的入侵檢測系統(tǒng)可以分為兩類：網(wǎng)絡(luò)連接檢測和主機文件檢測。 基于主機的入侵檢測系統(tǒng) 網(wǎng)絡(luò)連接檢測是對試圖進入該主機的數(shù)據(jù)流進行檢測
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1