信息安全知識(shí)競(jìng)賽培訓(xùn)-入侵檢測(cè)(存儲(chǔ)版)
【正文】 352e 3029 Windows NT ) 130 0d0a 486f 7374 3a20 7777 772e 616d 6572 ..Host: 140 6974 6563 682e 636f 6d0d 0a43 6f6e 6e65 ..Conne 150 6374 696f 6e3a 204b 6565 702d 416c 6976 ction: KeepAliv 160 650d 0a0d 0a e.... 基于誤用的檢測(cè)方法 模式匹配檢測(cè)示例 ?優(yōu)點(diǎn) ? 可檢測(cè)出所有對(duì)系統(tǒng)來(lái)說(shuō)是已知的入侵行為 ? 系統(tǒng)安全管理員能夠很容易地知道系統(tǒng)遭受到的是那種入侵攻擊并采取相應(yīng)的行動(dòng) ?局限： ? 它只是根據(jù)已知的入侵序列和系統(tǒng)缺陷的模式來(lái)檢測(cè)系統(tǒng)中的可疑行為，而不能處理對(duì)新的入侵攻擊行為以及未知的、潛在的系統(tǒng)缺陷的檢測(cè)。 ? 也被稱為違規(guī)檢測(cè) (Misuse Detection)。 ?HIDS的數(shù)據(jù)源受到審計(jì)系統(tǒng)限制。 ?入侵檢測(cè)信息交換格式（ ID Message Exchange Format, IDMEF）對(duì)組件之間的通信進(jìn)行了標(biāo)準(zhǔn)化。 ? 防火墻無(wú)法防范數(shù)據(jù)驅(qū)動(dòng)型的攻擊。 ? 檢測(cè)系統(tǒng)在檢測(cè)過(guò)程中出現(xiàn)誤報(bào)的概率稱為系統(tǒng)的誤報(bào)率。 ?入侵檢測(cè)概述 ?入侵檢測(cè)系統(tǒng)的分類及特點(diǎn) ?入侵檢測(cè)系統(tǒng)結(jié)構(gòu) ?入侵檢測(cè)系統(tǒng)的關(guān)鍵技術(shù) ?入侵檢測(cè)系統(tǒng)的外圍支撐技術(shù) ?入侵檢測(cè)系統(tǒng)應(yīng)用指南 ?入侵檢測(cè)系統(tǒng)的發(fā)展趨勢(shì) 入侵檢測(cè)系統(tǒng) 入侵檢測(cè)系統(tǒng)的分類 ?按數(shù)據(jù)檢測(cè)方法分類 ?按系統(tǒng)結(jié)構(gòu)分類 ?按時(shí)效性分類 ?按照數(shù)據(jù)來(lái)源分類 入侵檢測(cè)的分類（一） ? 異常檢測(cè)模型（ Anomaly Detection ):首先總結(jié)正常操作應(yīng)該具有的特征（用戶輪廓），當(dāng)用戶活動(dòng)與正常行為有重大偏離時(shí)即被認(rèn)為是入侵 ? 誤用檢測(cè)模型（ Misuse Detection)： 收集非正常操作的行為特征，建立相關(guān)的特征庫(kù)，當(dāng)監(jiān)測(cè)的用戶或系統(tǒng)行為與庫(kù)中的記錄相匹配時(shí)，系統(tǒng)就認(rèn)為這種行為是入侵 ?按照分析方法（檢測(cè)方法） 入侵檢測(cè)的分類（二） ? 集中式：系統(tǒng)的各個(gè)模塊包括數(shù)據(jù)的收集分析集中在一臺(tái)主機(jī)上運(yùn)行 ? 分布式：系統(tǒng)的各個(gè)模塊分布在不同的計(jì)算機(jī)和設(shè)備上 ?按系統(tǒng)結(jié)構(gòu)分類 ?離線入侵檢測(cè)系統(tǒng)（ offline IDS） ?在線入侵檢測(cè)系統(tǒng)（ Online IDS） 入侵檢測(cè)的分類（三） ?根據(jù)時(shí)效性分類 入侵檢測(cè)系統(tǒng)分類 (四 ) ?基于主機(jī)的入侵檢測(cè)系統(tǒng)（ HIDS） ?基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)（ NIDS） ?混合型入侵檢測(cè)系統(tǒng)（ Hybrid IDS） ?網(wǎng)絡(luò)節(jié)點(diǎn)入侵檢測(cè)系統(tǒng)（ NNIDS） ?按數(shù)據(jù)來(lái)源分類 主機(jī) IDS ? 定義 ? 運(yùn)行于被檢測(cè)的主機(jī)之上，通過(guò)查詢、監(jiān)聽(tīng)當(dāng)前系統(tǒng)的各種資源的使用運(yùn)行狀態(tài)，發(fā)現(xiàn)系統(tǒng)資源被非法使用和修改的事件，進(jìn)行上報(bào)和處理 ? 特點(diǎn) ? 安裝于被保護(hù)的主機(jī)中 ? 系統(tǒng)日志 ? 系統(tǒng)調(diào)用 ? 文件完整性檢查 ? 主要分析主機(jī)內(nèi)部活動(dòng) ? 占用一定的系統(tǒng)資源 主機(jī) IDS實(shí)現(xiàn) 收集 過(guò)程 ID:2092 用戶名 : Administrator 登錄 ID: (0x0,0x141FA) 分析處理 文 進(jìn) 日 注冊(cè) …… . 件 程 志 表 …… .. 結(jié)果 主機(jī) IDS優(yōu)勢(shì) ?精確地判斷攻擊行為是否成功。 網(wǎng)絡(luò) IDS ?定義 ? 通過(guò)在共享網(wǎng)段上對(duì)通信數(shù)據(jù)的偵聽(tīng)采集數(shù)據(jù)，分析可疑現(xiàn)象。 ?指示入侵的具體條件放在規(guī)則的左邊（ if側(cè)），當(dāng)滿足這些規(guī)則時(shí)，規(guī)則執(zhí)行右邊（ then側(cè)）的動(dòng)作。 基于誤用的檢測(cè)方法 ?基于誤用的檢測(cè)方法 ?基于異常的檢測(cè)方法 數(shù)據(jù)檢測(cè)技術(shù) 基本原理 1. 前提：入侵是異?；顒?dòng)的子集 2. 用戶輪廓 (Profile): 通常定義為各種行為參數(shù)及其閥值的集合，用于描述正常行為范圍 3. 過(guò)程 監(jiān)控 ? 量化 ? 比較 ? 判定
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1