ids分析及其在linux下的實(shí)現(xiàn)(存儲(chǔ)版)
【正文】 stie， William Fithen， John McHugh， Jed Pickel ， Ed Stoner 等 January 2020 [4]《 IDS Buyer’s Guide》 ICSA lab [5]《 IDS FAQ》 Robert Graham () March 21, 2020 [6]《 Network Based Intrusion DetectionA review of technologies》 DENMAC SYSTEMS, INC NOVEMBER 1999 [7]《 Next Generation Intrusion Detection in HighSpeed Networks》 Network Associates [8]《 Intrusion Detection Message Exchange Requirements》 InterDraft Inter Engineering Task Force Wood, M. Inter Security Systems October, 1999 [9]《 Intrusion Alert Protocol IAP》 Inter Draft Inter Engineering Task Force Gupta HewlettPackard March 31, 2020 [10]《 Building Into The Linux Network Layer 》 kossak , lifeline Phrack Magazine Vol. 9 , Issue 55 , , 12 of 19 畢業(yè)設(shè)計(jì)（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實(shí)現(xiàn) 第 20 頁 共 2 1 頁 [11]《 Watcher》 hyperion 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 11 of 15 [12]《 Designing and Attacking Port Scan Detection Tools》 solar designer 〈 〉 Phrack Magazine Volume 8, Issue 53 July 8, 1998, article 13 of 15 [13]《 The Art of Port Scanning》 Fyodor 〈 〉 Phrack Magazine Volume 7, Issue 51 September 01, 1997, article 11 of 17 [14]《 Remote OS detection via TCP/IP Stack FingerPrinting》 Fyodor () October 18, 1998 [15]《 UNIX work programming》 Stevens ISBN 7302029423 [16]《 Developing linux application with GTK+ and GDK》 Eric Harlow ISBN 7505356801 [17] 《 The Common Intrusion Detection Framework Architecture》 Phil Porras, SRI Dan Schnackenberg, Boeing Stuart StanifordChen, UC Davis, editor Maureen Stillman, Oddysey Research Felix Wu, NCSU [18]《 A Common Intrusion Detection Framework》 Clifford Kahn, Phillip A. Porras ,Stuart StanifordChen ,Brian Tung 15 July 1998 waRcher的簡單說明 : 3個(gè)程序 :agent,listener和 console,下載 ,并分別用 make編譯 . ,一臺(tái)運(yùn)行 agent,一臺(tái)運(yùn)行 listener和 console.(其實(shí)也可以運(yùn)行于 一臺(tái) ). 畢業(yè)設(shè)計(jì)（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實(shí)現(xiàn) 第 21 頁 共 2 1 頁 在運(yùn)行 agent的主機(jī)上 ,敲入 ./agent listener所在 IP d或者 e,例如 ./agent e(d 指 sniffer模式 ,此時(shí)將所有接受到的數(shù)據(jù)包都打倒屏幕上 ,而 e則不做這一步 ,只是入侵檢測 ).注意 ,由于采用了 packet socket,需要 root權(quán)限 (同眾多 sniffer一 樣 ).如果想定義了一組可以開放的端口 ,請(qǐng)?jiān)谂c agent同一目錄的 明 (連接不在此文件中出現(xiàn)的端口將報(bào)警 ). 在運(yùn)行 listener和 console的主機(jī)上將兩個(gè)文件放在同一目錄 ,敲入 ./listener. 這個(gè)程序收聽來自 agent的報(bào)警信息 ,并形成日志存儲(chǔ) (同一目錄下的 logfile文件 ).你可以用 cat等工具察看 , 也可以運(yùn)行 ./console,后者將給你一個(gè)圖形界面的觀察程序 (但現(xiàn)在還只是個(gè)空殼 ,你暫時(shí)就當(dāng)它不存在吧 ). 目前可實(shí)現(xiàn)的檢測有 : ping of death,winnuke,land,jolt2,teardrop及其變種 ,各種端口掃描 ,各種操作系統(tǒng)偵測 ,一些 cgi,asp漏洞等 .可以到去 .注意 jolt2是今年五月份公布的 ,對(duì)現(xiàn)在幾乎所有的 windows有效 ,不要玩火呦 ). 詳細(xì)情況請(qǐng)參照我的 論文 (寫的很 草率 ). 。需要維持一個(gè)額外的狀態(tài)信息表，且因?yàn)榻Y(jié)論是通過統(tǒng)計(jì)得來的，有誤判漏判的可能。 檢測：組裝時(shí)檢查 len2 的值便可，這樣可以發(fā)現(xiàn)所有的變種 （如 newtear）。 檢測：如果某一地址短時(shí)間內(nèi)發(fā)出大量的建立連接的請(qǐng)求且請(qǐng)求失敗，則證明此IP被用來做 Syn flood 攻擊。 檢測：因?yàn)槠浒l(fā)出的數(shù)據(jù)包本身便比較特 殊，通過觀察此特征可檢查此類行為。 檢測：查看 IP 選項(xiàng)（頭長度大于 20 字節(jié)時(shí)）。畢業(yè)設(shè)計(jì)（論文）：入侵檢測系統(tǒng)（ IDS）分析及其在 linux 下的實(shí)現(xiàn) 第 15 頁 共 2 1 頁 附錄 (CERT ): 描述：偽造 IP 地址，并將源、目的地址及端口設(shè)成相同值，某些路由器設(shè)備及一些操作系統(tǒng)遇到此種情況不能正常工作。而力求全面則必然違背 IDS 高效工作的原則。 和其他系統(tǒng)一樣， IDS本身也往往 存在安全漏洞。 入侵檢測系統(tǒng)的廠家基本處于各自為戰(zhàn)的情況，標(biāo)準(zhǔn)的缺乏使得其間的互通幾乎不可能。 網(wǎng)絡(luò)及其中的設(shè)備越來越多樣化，即存在關(guān)鍵資源如郵件服務(wù)器、企業(yè)數(shù)據(jù)庫，也存在眾多相對(duì)不是很重要的 PC 機(jī)。 以下便是對(duì)入侵檢測產(chǎn)品提出挑戰(zhàn)的主要因素 [3]： ，日趨成熟多樣自動(dòng)化工具，以 及越來越復(fù)雜細(xì)致的攻擊手法。對(duì)數(shù)據(jù)進(jìn)行全面復(fù)雜的檢驗(yàn)，對(duì)實(shí)時(shí)性的要求構(gòu)成了很大的挑戰(zhàn)。 （ 2）所處理的攻擊數(shù)還需有很大的提高。 WaRcher 的日志采用了 類似 UNIX 系統(tǒng)日志的格式，包括 time（事件發(fā)生時(shí)間） ,host（被攻擊的主機(jī)名或 IP） ,agent（發(fā)現(xiàn)此攻擊的 agent的名字或 IP） ,event（攻擊的具體描述）這些項(xiàng)。 控制臺(tái)部分分為兩個(gè)程序， listener 和 console。當(dāng)進(jìn)入相應(yīng)的檢測流程后，則按照線性的順序工作。 union{ struct iphdr *iph。有些商業(yè)入侵檢測系統(tǒng)（如 NFR）將數(shù)據(jù)采集部分放在專門的、經(jīng)過改進(jìn)的、高度安全的系統(tǒng)之上，以保證 IDS 這一系統(tǒng)中的重要程序正常工作。這種結(jié)構(gòu)比較靈活與安全（應(yīng)用程序崩潰不會(huì)導(dǎo)致系統(tǒng)崩潰），但頻繁的應(yīng)用態(tài)與核心態(tài)的轉(zhuǎn)換浪費(fèi)了 CPU。以上設(shè)計(jì)增加了告警的可靠性?；诋惓５臋z測技術(shù)則無法準(zhǔn)確判別出攻擊的手法，但它可以（至少在理論上可以）判別更廣范、甚至未發(fā)覺的攻擊。 對(duì)于基于標(biāo)識(shí)的檢測技術(shù)來說，首先要定義違背安全策略的事件的特征，如網(wǎng)絡(luò)數(shù)據(jù)包的某些頭信息。盡管如此，草案為IDS各部分之間甚至不同 IDS 系統(tǒng)之間的通信提供了一定的指引。 （ Tap），將其接在所有要監(jiān)測的線路上。由
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1