入侵檢測技術(shù)第9章(編輯修改稿)
2025-06-16 20:43 本頁面
【文章內(nèi)容簡介】 通常用戶會從運行平臺范圍的角度提出自己的需求，例如入侵檢測系統(tǒng)所能處理的網(wǎng)絡(luò)協(xié)議類型、所能運行的操作系統(tǒng)平臺類型以及能夠監(jiān)控的計算機(jī)和應(yīng)用程序范圍等。平臺范圍需求通常描述了用戶需要監(jiān)控的目標(biāo)網(wǎng)絡(luò)組件類型。 例如，用戶提出系統(tǒng)應(yīng)該具備在 Solaris和 Windows 2021上的網(wǎng)絡(luò)結(jié)點檢測性能；或者是要求系統(tǒng)能夠檢測針對特定應(yīng)用程序的攻擊行為，包括 Web站點和電子郵件服務(wù)器等。 5. 數(shù)據(jù)來源需求 用戶還會提出數(shù)據(jù)來源的需求，即系統(tǒng)能夠監(jiān)控哪些輸入的審計數(shù)據(jù)源。不同行業(yè)內(nèi)的信息系統(tǒng)通常由不同類型的主機(jī)、操作系統(tǒng)和應(yīng)用程序組成，因此擁有不同類型、種類繁多的審計數(shù)據(jù)源，并且各種審計數(shù)據(jù)源都具備不同的安全性能。對于網(wǎng)絡(luò)數(shù)據(jù)來源而言，現(xiàn)在大多數(shù)的網(wǎng)絡(luò)系統(tǒng)都建筑在 TCP/IP協(xié)議之上；但是，對于某些遺留網(wǎng)絡(luò)而言，可能存在著其他的網(wǎng)絡(luò)協(xié)議，例如 。 其他的數(shù)據(jù)來源需求，還可能包括能夠分析防火墻日志信息、路由器日志，以及 SNMP網(wǎng)管日志等的能力。 6. 檢測性能需求 入侵檢測系統(tǒng)具有通用的性能需求，同時不同類型的入侵檢測技術(shù)各自具備自己的性能需求指標(biāo)。 ⑴ 傳統(tǒng)的基于網(wǎng)絡(luò)入侵檢測，性能指標(biāo)通常包括所能監(jiān)控的網(wǎng)絡(luò)帶寬情況，例如 100MHz或者1000MHz的以太網(wǎng)上的檢測工作是否能夠順利展開。具體的參數(shù)包括在負(fù)載為百分之多少時網(wǎng)絡(luò)分組的丟失率應(yīng)該小于某個閾值。此外，還要考慮在交換式網(wǎng)絡(luò)環(huán)境下和加密情況下的性能需求。 ⑵ 網(wǎng)絡(luò)結(jié)點入侵檢測，關(guān)注的性能需求指標(biāo)主要是網(wǎng)絡(luò)環(huán)境中各結(jié)點數(shù)據(jù)的關(guān)聯(lián)分析性能，即能夠?qū)Χ嗌賯€獨立網(wǎng)絡(luò)結(jié)點的檢測結(jié)果進(jìn)行關(guān)聯(lián)分析，從而獲得對整個網(wǎng)絡(luò)安全狀態(tài)的評估結(jié)果。 ⑶ 基于主機(jī)的入侵檢測，性能需求主要來自于目標(biāo)監(jiān)控系統(tǒng)日志產(chǎn)生的速度以及系統(tǒng)處理審計記錄的速度要求。例如，假定目標(biāo)系統(tǒng)中包含 10臺主機(jī)系統(tǒng)，而每臺主機(jī)每小時獨立生成 10MB的日志記錄，則要求入侵檢測系統(tǒng)能夠達(dá)到每小時處理 100MB日志數(shù)據(jù)的性能指標(biāo)。 ⑷ 應(yīng)用程序入侵檢測是基于主機(jī)入侵檢測的一個特例，其性能需求包括主機(jī)入侵檢測的參數(shù)指標(biāo)。特別之處在于 ,需要注意從各種特定應(yīng)用程序處收集數(shù)據(jù)的性能需求，尤其是在需要進(jìn)行實時的應(yīng)用程序安全分析時，此種性能需求更為重要。 ⑸ 對于分布式的入侵檢測系統(tǒng)，要注意特有的性能需求情況。首先，分布式入侵檢測系統(tǒng)在控制臺和檢測組件通常會發(fā)生大量的雙向通信流量，因此它們之間通信接口性能的好壞將會極大影響整個入侵檢測系統(tǒng)的總體性能。其次，不同的網(wǎng)絡(luò)規(guī)模和監(jiān)控要求會提出系統(tǒng)所能監(jiān)控結(jié)點數(shù)目的性能需求，更加細(xì)化的指標(biāo)是每個分析控制點能夠同時管理多少個檢測組件的數(shù)目需求。 7. 可伸縮性需求 前面所述的分布式入侵檢測系統(tǒng)的性能要求反映了可伸縮性需求的一個方面，另一個方面是系統(tǒng)部署和操作方面的可伸縮性要求。 8. 取證
高考資料相關(guān)推薦
鄂ICP備17016276號-1