計(jì)算機(jī)網(wǎng)絡(luò)安全第八章(ids)-全文預(yù)覽
【正文】 1 3/5/2023 33 工作過(guò)程示意圖 目錄 IDS的分類 按照數(shù)據(jù)來(lái)源分 Inter NIDS 網(wǎng)絡(luò)服務(wù)器 1 客戶端 網(wǎng)絡(luò)服務(wù)器 2 X 檢測(cè)內(nèi)容： 包頭信息 +有效數(shù)據(jù)部分 4 之 2 3/5/2023 34 優(yōu) 點(diǎn) 目錄 IDS的分類 按照數(shù)據(jù)來(lái)源分 ? 可以提供實(shí)時(shí)的網(wǎng)絡(luò)行為檢測(cè)； ? 可以同時(shí)保護(hù)多臺(tái)網(wǎng)絡(luò)主機(jī)； ? 具有良好的隱蔽性； ? 有效保護(hù)入侵證據(jù)； ? 不影響被保護(hù)主機(jī)的性能； ? 操作系統(tǒng)無(wú)關(guān)性。 ? 基于網(wǎng)絡(luò)的 IDS（ NIDS） 系統(tǒng)獲取的數(shù)據(jù)是網(wǎng)絡(luò)傳輸?shù)臄?shù)據(jù)包，保護(hù)的是網(wǎng)絡(luò)的運(yùn)行。 3/5/2023 23 異常檢測(cè)模型 目錄 IDS的分類 按照分析方法分 2 之 1 網(wǎng)絡(luò) 數(shù)據(jù) 日志 數(shù)據(jù) 異常檢測(cè) 入侵行為 正常行為描述庫(kù) 規(guī)則不匹配 動(dòng)態(tài)產(chǎn)生新描述 動(dòng)態(tài)更新描述 3/5/2023 24 特 點(diǎn) 目錄 IDS的分類 按照分析方法分 ? 異常檢測(cè)系統(tǒng)的效率取決于用戶輪廓的完備性和監(jiān)控的頻率； ? 因?yàn)椴恍枰獙?duì)每種入侵行為進(jìn)行定義，因此能有效檢測(cè)未知的入侵； ? 系統(tǒng)能針對(duì)用戶行為的改變進(jìn)行自我調(diào)整和優(yōu)化，但隨著檢測(cè)模型的逐步精確，異常檢測(cè)會(huì)消耗更多的系統(tǒng)資源； ? 漏報(bào)率低，誤報(bào)率高。 3/5/2023 19 完整性分析 目錄 IDS的基本結(jié)構(gòu) 信息分析 完整性分析主要關(guān)注某個(gè)文件或?qū)ο笫欠癖桓?，這經(jīng)常包括文件和目錄的內(nèi)容及屬性。 4 之 4 3/5/2023 16 信息分析 目錄 IDS的基本結(jié)構(gòu) ? 模式匹配 ? 統(tǒng)計(jì)分析 ? 完整性分析 3/5/2023 17 模式匹配 目錄 IDS的基本結(jié)構(gòu) 信息分析 模式匹配就是將收集到的信息與已知的網(wǎng)絡(luò)入侵和系統(tǒng)誤用模式數(shù)據(jù)庫(kù)進(jìn)行比較，從而發(fā)現(xiàn)違背安全策略的行為 一般來(lái)講，一種攻擊模式可以用一個(gè)過(guò)程（如執(zhí)行一條指令）或一個(gè)輸出（如獲得權(quán)限）來(lái)表示。顯然，對(duì)用戶活動(dòng)來(lái)講，不正常的或不期望的行為就是重復(fù)登錄失敗、登錄到不期望的位置以及非授權(quán)的企圖訪問(wèn)重要文件等等 。 入侵檢測(cè)很大程度上依賴于收集信息的可靠性和正確性。 目錄 10 之 8 從預(yù)警到保障 3/5/2023 9 IDS發(fā)展過(guò)程 — 概念的誕生 目錄 10 之 9 1980年 4月， James P. Anderson為美國(guó)空軍做了一份題為《 Computer Security Threat Monitoring and Surveillance》（計(jì)算機(jī)安全威脅監(jiān)控與監(jiān)視）： ? 指出必須改變現(xiàn)有的系統(tǒng)審計(jì)機(jī)制，以便為專職系統(tǒng)安全人員提供安全信息 — 預(yù)警 ； ? 提出了對(duì)計(jì)算機(jī)系統(tǒng)風(fēng)險(xiǎn)和威脅的分類方法，分為 外部滲透 、 內(nèi)部滲透 和 不法行為 三種； ? 提出利用審計(jì)跟蹤數(shù)據(jù) 監(jiān)視入侵活動(dòng) 的思想。 3/5/2023 4 圖 示 目錄 10 之 4 報(bào)警 日志 攻擊檢測(cè) 記錄入侵 過(guò)程 重新配置 防火墻 路由器 內(nèi)部入侵 入侵檢測(cè) 記錄 終止入侵 3/5/2023 5 IDS發(fā)揮的作用 ? 技術(shù)層面 對(duì)具體的安全技術(shù)人員，可以利用 IDS做為工具來(lái)發(fā)現(xiàn)安全問(wèn)題、解決問(wèn)題。入侵檢測(cè) ? 入侵檢測(cè)概述 ? IDS的基本結(jié)構(gòu) ? IDS的常用分類 ? IDS的檢測(cè)技術(shù) ? IDS的設(shè)置 ? IDS的部署 ? IDS的應(yīng)用 3/5/2023 1 什么是入侵檢測(cè)？ 目錄 10 之 1 入侵檢測(cè)（ Intrusion Detection） 是對(duì)入侵行為的發(fā)覺(jué)。 3/5/2023 2 為什么需要 IDS？ 目錄 10 之 2 ? 入侵很容易 ? 入侵教程隨處可見(jiàn) ? 各種工具唾手可得 ? 防火墻不能保證絕對(duì)的安全 ? 網(wǎng)絡(luò)邊界的設(shè)備 ? 自身可以被攻破 ? 對(duì)某些攻擊保護(hù)很弱 ? 不是所有的威脅來(lái)自防火墻外部 ? 防火墻是鎖， IDS是監(jiān)視器 3/5/2023 3 如何使用 IDS？ 目錄 10 之 3 IDS可以作為防火墻的一個(gè)有效的補(bǔ)充，被認(rèn)為是防火墻之后的第二道安全閘門，在不影響網(wǎng)絡(luò)性能的情況下能對(duì)網(wǎng)絡(luò)進(jìn)行監(jiān)聽(tīng)，從而提供對(duì)內(nèi)部攻擊、外部攻擊和誤操作的實(shí)時(shí)保護(hù)。 目錄 10 之 7 從事后到事前 3/5/2023 8 IDS發(fā)揮的作用 ? 意識(shí)層面 對(duì)政府或者大的行業(yè)來(lái)說(shuō)，是可以通過(guò) IDS來(lái)建立一套完善的網(wǎng)絡(luò)預(yù)警與響應(yīng)體系，減小安全風(fēng)險(xiǎn)。 3/5/2023 11 IDS的基本結(jié)構(gòu) 目錄 ? 信息收集 ? 信息分析 ? 結(jié)果處理 3/5/2023 12 信息收集 目錄 IDS的基本結(jié)構(gòu) 入侵檢測(cè)的第一步是信息收集，收集內(nèi)容包括系統(tǒng)、網(wǎng)絡(luò)、數(shù)據(jù)及用戶活動(dòng)的狀態(tài)和行為，這需要在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干不同關(guān)鍵點(diǎn)（不同網(wǎng)段和不同主機(jī)）收集信息，應(yīng)盡可能擴(kuò)大檢測(cè)范圍，因?yàn)閺囊粋€(gè)源來(lái)的信息有可能看不出疑點(diǎn)。 日志文件中記錄了各種行為類型，每種類型又包含不同的信息，例如記錄“用戶活動(dòng)”類型的日志，就包含登錄、用戶 ID改變、用戶對(duì)文件的訪問(wèn)、授權(quán)和認(rèn)證信息等內(nèi)容。 入侵者經(jīng)常替換、修改和破壞他們獲得訪問(wèn)權(quán)的系統(tǒng)上的文件，同時(shí)為了隱藏系統(tǒng)中他們的表現(xiàn)及活動(dòng)痕跡，都會(huì)盡力去替換系統(tǒng)程序或修改系統(tǒng)日志文件 。 測(cè)量屬性的平均值和偏差將被用來(lái)與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，任何觀察值在正常值范圍之外時(shí)，就認(rèn)為有入侵發(fā)生。 ? 誤用檢測(cè) IDS（ Misuse Detection) 收集非正常操作的行為特征，建立相關(guān)的特征庫(kù)，當(dāng)監(jiān)測(cè)的用戶或系統(tǒng)行為與庫(kù)中的記錄相匹配時(shí)，系統(tǒng)就認(rèn)為這種行為是入侵。 3/5/2023 27 按照數(shù)據(jù)來(lái)源分 目錄 IDS的分類 ? 基于主機(jī)的 IDS（ HIDS） 系統(tǒng)獲取數(shù)據(jù)的依據(jù)是系統(tǒng)運(yùn)行所在的主機(jī)，保護(hù)的目標(biāo)也是系統(tǒng)運(yùn)行所在的主機(jī)。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1