入侵檢測(cè)技術(shù)第9章(編輯修改稿)
2025-06-16 20:43 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 通常用戶(hù)會(huì)從運(yùn)行平臺(tái)范圍的角度提出自己的需求，例如入侵檢測(cè)系統(tǒng)所能處理的網(wǎng)絡(luò)協(xié)議類(lèi)型、所能運(yùn)行的操作系統(tǒng)平臺(tái)類(lèi)型以及能夠監(jiān)控的計(jì)算機(jī)和應(yīng)用程序范圍等。平臺(tái)范圍需求通常描述了用戶(hù)需要監(jiān)控的目標(biāo)網(wǎng)絡(luò)組件類(lèi)型。 例如，用戶(hù)提出系統(tǒng)應(yīng)該具備在 Solaris和 Windows 2021上的網(wǎng)絡(luò)結(jié)點(diǎn)檢測(cè)性能；或者是要求系統(tǒng)能夠檢測(cè)針對(duì)特定應(yīng)用程序的攻擊行為，包括 Web站點(diǎn)和電子郵件服務(wù)器等。 5. 數(shù)據(jù)來(lái)源需求 用戶(hù)還會(huì)提出數(shù)據(jù)來(lái)源的需求，即系統(tǒng)能夠監(jiān)控哪些輸入的審計(jì)數(shù)據(jù)源。不同行業(yè)內(nèi)的信息系統(tǒng)通常由不同類(lèi)型的主機(jī)、操作系統(tǒng)和應(yīng)用程序組成，因此擁有不同類(lèi)型、種類(lèi)繁多的審計(jì)數(shù)據(jù)源，并且各種審計(jì)數(shù)據(jù)源都具備不同的安全性能。對(duì)于網(wǎng)絡(luò)數(shù)據(jù)來(lái)源而言，現(xiàn)在大多數(shù)的網(wǎng)絡(luò)系統(tǒng)都建筑在 TCP/IP協(xié)議之上；但是，對(duì)于某些遺留網(wǎng)絡(luò)而言，可能存在著其他的網(wǎng)絡(luò)協(xié)議，例如 。 其他的數(shù)據(jù)來(lái)源需求，還可能包括能夠分析防火墻日志信息、路由器日志，以及 SNMP網(wǎng)管日志等的能力。 6. 檢測(cè)性能需求 入侵檢測(cè)系統(tǒng)具有通用的性能需求，同時(shí)不同類(lèi)型的入侵檢測(cè)技術(shù)各自具備自己的性能需求指標(biāo)。 ⑴ 傳統(tǒng)的基于網(wǎng)絡(luò)入侵檢測(cè)，性能指標(biāo)通常包括所能監(jiān)控的網(wǎng)絡(luò)帶寬情況，例如 100MHz或者1000MHz的以太網(wǎng)上的檢測(cè)工作是否能夠順利展開(kāi)。具體的參數(shù)包括在負(fù)載為百分之多少時(shí)網(wǎng)絡(luò)分組的丟失率應(yīng)該小于某個(gè)閾值。此外，還要考慮在交換式網(wǎng)絡(luò)環(huán)境下和加密情況下的性能需求。 ⑵ 網(wǎng)絡(luò)結(jié)點(diǎn)入侵檢測(cè)，關(guān)注的性能需求指標(biāo)主要是網(wǎng)絡(luò)環(huán)境中各結(jié)點(diǎn)數(shù)據(jù)的關(guān)聯(lián)分析性能，即能夠?qū)Χ嗌賯€(gè)獨(dú)立網(wǎng)絡(luò)結(jié)點(diǎn)的檢測(cè)結(jié)果進(jìn)行關(guān)聯(lián)分析，從而獲得對(duì)整個(gè)網(wǎng)絡(luò)安全狀態(tài)的評(píng)估結(jié)果。 ⑶ 基于主機(jī)的入侵檢測(cè)，性能需求主要來(lái)自于目標(biāo)監(jiān)控系統(tǒng)日志產(chǎn)生的速度以及系統(tǒng)處理審計(jì)記錄的速度要求。例如，假定目標(biāo)系統(tǒng)中包含 10臺(tái)主機(jī)系統(tǒng)，而每臺(tái)主機(jī)每小時(shí)獨(dú)立生成 10MB的日志記錄，則要求入侵檢測(cè)系統(tǒng)能夠達(dá)到每小時(shí)處理 100MB日志數(shù)據(jù)的性能指標(biāo)。 ⑷ 應(yīng)用程序入侵檢測(cè)是基于主機(jī)入侵檢測(cè)的一個(gè)特例，其性能需求包括主機(jī)入侵檢測(cè)的參數(shù)指標(biāo)。特別之處在于 ,需要注意從各種特定應(yīng)用程序處收集數(shù)據(jù)的性能需求，尤其是在需要進(jìn)行實(shí)時(shí)的應(yīng)用程序安全分析時(shí)，此種性能需求更為重要。 ⑸ 對(duì)于分布式的入侵檢測(cè)系統(tǒng)，要注意特有的性能需求情況。首先，分布式入侵檢測(cè)系統(tǒng)在控制臺(tái)和檢測(cè)組件通常會(huì)發(fā)生大量的雙向通信流量，因此它們之間通信接口性能的好壞將會(huì)極大影響整個(gè)入侵檢測(cè)系統(tǒng)的總體性能。其次，不同的網(wǎng)絡(luò)規(guī)模和監(jiān)控要求會(huì)提出系統(tǒng)所能監(jiān)控結(jié)點(diǎn)數(shù)目的性能需求，更加細(xì)化的指標(biāo)是每個(gè)分析控制點(diǎn)能夠同時(shí)管理多少個(gè)檢測(cè)組件的數(shù)目需求。 7. 可伸縮性需求 前面所述的分布式入侵檢測(cè)系統(tǒng)的性能要求反映了可伸縮性需求的一個(gè)方面，另一個(gè)方面是系統(tǒng)部署和操作方面的可伸縮性要求。 8. 取證
高考資料相關(guān)推薦
鄂ICP備17016276號(hào)-1