項目8入侵檢測技術(shù)(編輯修改稿)
2025-06-20 00:47 本頁面
【文章內(nèi)容簡介】 可疑的行為跡象。基于主機的 IDS無法查看數(shù)據(jù)包的頭部，所以它無法檢測到這一類型的攻擊。例如，許多來自于 IP地址的拒絕服務(wù)型（ DoS）和碎片包型（ Teardrop）的攻擊只能在它們經(jīng)過網(wǎng)絡(luò)時，檢查包的頭部才能被發(fā)現(xiàn)。這種類型的攻擊都可以在基于網(wǎng)絡(luò)的 IDS中通過實時監(jiān)測網(wǎng)絡(luò)數(shù)據(jù)包流而被發(fā)現(xiàn)。 ? 基于網(wǎng)絡(luò)的 IDS可以檢查有效負(fù)載的內(nèi)容，查找用于特定攻擊的指令或語法。例如，通過檢查數(shù)據(jù)包有效負(fù)載可以查到黑客軟件，而使正在尋找系統(tǒng)漏洞的攻擊者毫無察覺。由于基于主機的 IDS不檢查有效負(fù)載，所以不能辨認(rèn)有效負(fù)載中所包含的攻擊信息。 （ 3）攻擊者不易轉(zhuǎn)移證據(jù)。 ?基于網(wǎng)絡(luò)的 IDS使用正在發(fā)生的網(wǎng)絡(luò)通信進(jìn)行實時攻擊的檢測。所以攻擊者無法轉(zhuǎn)移證據(jù)。 ?被捕獲的數(shù)據(jù)不僅包括攻擊的方法，而且還包括可識別的黑客身份及對其進(jìn)行起訴的信息。 ?許多黑客都熟知審計記錄，他們知道如何操縱這些文件掩蓋他們的入侵痕跡，如何阻止需要這些信息的基于主機的 IDS去檢測入侵。 （ 4）實時檢測和響應(yīng)。 ?基于網(wǎng)絡(luò)的 IDS可以在惡意及可疑的攻擊發(fā)生的同時將其檢測出來，并做出更快的通知和響應(yīng)。 ?例如，一個基于 TCP的對網(wǎng)絡(luò)進(jìn)行的拒絕服務(wù)攻擊可以通過將基于網(wǎng)絡(luò)的 IDS發(fā)出 TCP復(fù)位信號，在該攻擊對目標(biāo)主機造成破壞前，將其中斷。 ?而基于主機的系統(tǒng)只有在可疑的登錄信息被記錄下來以后才能識別攻擊并做出反應(yīng)。而這時關(guān)鍵系統(tǒng)可能早已遭到了破壞，或是運行基于主機的 IDS的系統(tǒng)已被摧毀。 ?實時 IDS可根據(jù)預(yù)定義的參數(shù)做出快速反應(yīng)，這些反應(yīng)包括將攻擊設(shè)為監(jiān)視模式以收集信息，立即中止攻擊等。 （ 5）檢測未成功的攻擊和不良意圖。 ?基于網(wǎng)絡(luò)的 IDS增加了許多有價值的數(shù)據(jù)，以判別不良意圖。即便防火墻可以正在拒絕這些嘗試，位于防火墻之外的基于網(wǎng)絡(luò)的 IDS可以查出躲在防火墻后的攻擊意圖。 ?基于主機的 IDS無法查到從未攻擊到防火墻內(nèi)主機的未遂攻擊，而這些丟失的信息對于評估和優(yōu)化安全策略是至關(guān)重要的。 （ 6）操作系統(tǒng)無關(guān)性。 ?基于網(wǎng)絡(luò)的 IDS作為安全監(jiān)測資源，與主機的操作系統(tǒng)無關(guān)。 ?與之相比，基于主機的 IDS必須在特定的、沒有遭到破壞的操作系統(tǒng)中才能正常工作，生成有用的結(jié)果。 基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)也有弱點： ?只檢查直接連接網(wǎng)段的通信，不能檢測在不同網(wǎng)段的網(wǎng)絡(luò)包，在交換以太網(wǎng)環(huán)境中會出現(xiàn)監(jiān)測范圍的局限； ?很難實現(xiàn)一些復(fù)雜的需要大量計算與分析時間的攻擊檢測； ?處理加密的會話過程較困難。 2. 基于主機的入侵檢測系統(tǒng) ? 基于主機的入侵檢測系統(tǒng)（ HIDS）通常是安裝在被重點檢測的主機之上，主要是對該主機的網(wǎng)絡(luò)實時連接以及系統(tǒng)審計日志進(jìn)行智能分析和判斷。如果其中主體活動十分可疑（特征或違反統(tǒng)計規(guī)律），入侵檢測系統(tǒng)就會采取相應(yīng)措施。 ? 基于主機的 IDS使用驗證記錄，自動化程度大大提高，并發(fā)展了精密的可迅速做出響應(yīng)的檢測技術(shù)。 ? 通常，基于主機的 IDS可檢測系統(tǒng)、事件和 Window下的安全記錄以及 UNIX環(huán)境下的系統(tǒng)記錄。當(dāng)有文件發(fā)生變化時， IDS將新的記錄條目與攻擊標(biāo)記相比較，看它們是否匹配。如果匹配，系統(tǒng)就會向管理員報警并向別的目標(biāo)報告，以采取措施。 ?基于主機的 IDS在發(fā)展過程中融入了其它技術(shù)。對關(guān)鍵系統(tǒng)文件和可執(zhí)行文件的入侵檢測的一個常用方法，是通過定期檢查校驗和來進(jìn)行的，以便發(fā)現(xiàn)意外的變化。反應(yīng)的快慢與輪詢間隔的頻率有直接的關(guān)系。許多 IDS產(chǎn)品都是監(jiān)聽端口的活動，并在特定端口被訪問時向管理員報警。這類檢測方法將基于網(wǎng)絡(luò)的入侵檢測的基本方法融入到基于主機的檢測環(huán)境中。 ?盡管基于主機的入侵檢查系統(tǒng)不如基于網(wǎng)絡(luò)的入侵檢測系統(tǒng)快捷，但它確實具有基于網(wǎng)絡(luò)的 IDS無法比擬的優(yōu)點。這些優(yōu)點包括：更好的辨識分析、對特殊主機事件的緊密關(guān)注及低廉的成本。 基于主機的入侵檢測系統(tǒng)有如下優(yōu)點。 （ 1）確定攻擊是否成功。 ?由于基于主機的 IDS使用含有已發(fā)生事件信息，它們可以比基于網(wǎng)絡(luò)的 IDS更加準(zhǔn)確地判斷攻擊是否成功。 ?在這方面，基于主機的 IDS是基于網(wǎng)絡(luò)的 IDS的完美補充，網(wǎng)絡(luò)部分可以盡早提供警告，主機部分可以確定攻擊成功與否。 （ 2）監(jiān)視特定的系統(tǒng)活動。 ?基于主機的 IDS監(jiān)視用戶和訪問文件的活動，包括文件訪問、改變文件權(quán)限，試圖建立新的可執(zhí)行文件，或者試圖訪問特殊的設(shè)備。 ?例如，基于主機的 IDS可以監(jiān)視所有用戶的登錄及下網(wǎng)情況，以及每位用戶在連接到網(wǎng)絡(luò)以后的行為。 ?對于基于網(wǎng)絡(luò)的系統(tǒng)要做到這個程度是非常困難的。 （ 3）能夠檢查到基于網(wǎng)絡(luò)的系統(tǒng)檢查不出的攻擊。 ?基于主機的系統(tǒng)可以檢測到那些基于網(wǎng)絡(luò)的系統(tǒng)察覺不到的攻擊。 ?例如，來自主要服
環(huán)評公示相關(guān)推薦
鄂ICP備17016276號-1