信息安全知識競賽培訓(xùn)-入侵檢測(存儲版)
【正文】 352e 3029 Windows NT ) 130 0d0a 486f 7374 3a20 7777 772e 616d 6572 ..Host: 140 6974 6563 682e 636f 6d0d 0a43 6f6e 6e65 ..Conne 150 6374 696f 6e3a 204b 6565 702d 416c 6976 ction: KeepAliv 160 650d 0a0d 0a e.... 基于誤用的檢測方法 模式匹配檢測示例 ?優(yōu)點 ? 可檢測出所有對系統(tǒng)來說是已知的入侵行為 ? 系統(tǒng)安全管理員能夠很容易地知道系統(tǒng)遭受到的是那種入侵攻擊并采取相應(yīng)的行動 ?局限： ? 它只是根據(jù)已知的入侵序列和系統(tǒng)缺陷的模式來檢測系統(tǒng)中的可疑行為，而不能處理對新的入侵攻擊行為以及未知的、潛在的系統(tǒng)缺陷的檢測。 ? 也被稱為違規(guī)檢測 (Misuse Detection)。 ?HIDS的數(shù)據(jù)源受到審計系統(tǒng)限制。 ?入侵檢測信息交換格式（ ID Message Exchange Format, IDMEF）對組件之間的通信進(jìn)行了標(biāo)準(zhǔn)化。 ? 防火墻無法防范數(shù)據(jù)驅(qū)動型的攻擊。 ? 檢測系統(tǒng)在檢測過程中出現(xiàn)誤報的概率稱為系統(tǒng)的誤報率。 ?入侵檢測概述 ?入侵檢測系統(tǒng)的分類及特點 ?入侵檢測系統(tǒng)結(jié)構(gòu) ?入侵檢測系統(tǒng)的關(guān)鍵技術(shù) ?入侵檢測系統(tǒng)的外圍支撐技術(shù) ?入侵檢測系統(tǒng)應(yīng)用指南 ?入侵檢測系統(tǒng)的發(fā)展趨勢 入侵檢測系統(tǒng) 入侵檢測系統(tǒng)的分類 ?按數(shù)據(jù)檢測方法分類 ?按系統(tǒng)結(jié)構(gòu)分類 ?按時效性分類 ?按照數(shù)據(jù)來源分類 入侵檢測的分類（一） ? 異常檢測模型（ Anomaly Detection ):首先總結(jié)正常操作應(yīng)該具有的特征（用戶輪廓），當(dāng)用戶活動與正常行為有重大偏離時即被認(rèn)為是入侵 ? 誤用檢測模型（ Misuse Detection)： 收集非正常操作的行為特征，建立相關(guān)的特征庫，當(dāng)監(jiān)測的用戶或系統(tǒng)行為與庫中的記錄相匹配時，系統(tǒng)就認(rèn)為這種行為是入侵 ?按照分析方法（檢測方法） 入侵檢測的分類（二） ? 集中式：系統(tǒng)的各個模塊包括數(shù)據(jù)的收集分析集中在一臺主機上運行 ? 分布式：系統(tǒng)的各個模塊分布在不同的計算機和設(shè)備上 ?按系統(tǒng)結(jié)構(gòu)分類 ?離線入侵檢測系統(tǒng)（ offline IDS） ?在線入侵檢測系統(tǒng)（ Online IDS） 入侵檢測的分類（三） ?根據(jù)時效性分類 入侵檢測系統(tǒng)分類 (四 ) ?基于主機的入侵檢測系統(tǒng)（ HIDS） ?基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)（ NIDS） ?混合型入侵檢測系統(tǒng)（ Hybrid IDS） ?網(wǎng)絡(luò)節(jié)點入侵檢測系統(tǒng)（ NNIDS） ?按數(shù)據(jù)來源分類 主機 IDS ? 定義 ? 運行于被檢測的主機之上，通過查詢、監(jiān)聽當(dāng)前系統(tǒng)的各種資源的使用運行狀態(tài)，發(fā)現(xiàn)系統(tǒng)資源被非法使用和修改的事件，進(jìn)行上報和處理 ? 特點 ? 安裝于被保護(hù)的主機中 ? 系統(tǒng)日志 ? 系統(tǒng)調(diào)用 ? 文件完整性檢查 ? 主要分析主機內(nèi)部活動 ? 占用一定的系統(tǒng)資源 主機 IDS實現(xiàn) 收集 過程 ID:2092 用戶名 : Administrator 登錄 ID: (0x0,0x141FA) 分析處理 文 進(jìn) 日 注冊 …… . 件 程 志 表 …… .. 結(jié)果 主機 IDS優(yōu)勢 ?精確地判斷攻擊行為是否成功。 網(wǎng)絡(luò) IDS ?定義 ? 通過在共享網(wǎng)段上對通信數(shù)據(jù)的偵聽采集數(shù)據(jù)，分析可疑現(xiàn)象。 ?指示入侵的具體條件放在規(guī)則的左邊（ if側(cè)），當(dāng)滿足這些規(guī)則時，規(guī)則執(zhí)行右邊（ then側(cè)）的動作。 基于誤用的檢測方法 ?基于誤用的檢測方法 ?基于異常的檢測方法 數(shù)據(jù)檢測技術(shù) 基本原理 1. 前提：入侵是異?；顒拥淖蛹? 2. 用戶輪廓 (Profile): 通常定義為各種行為參數(shù)及其閥值的集合，用于描述正常行為范圍 3. 過程 監(jiān)控 ? 量化 ? 比較 ? 判定
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1