第7章入侵檢測(cè)技術(shù)(編輯修改稿)
2024-11-17 08:03 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 3)基于網(wǎng)絡(luò)的 IDS可以研究數(shù)據(jù)包的內(nèi)容，查找特定攻擊中使用的命令或語(yǔ)法，這類攻擊可以被實(shí)時(shí)檢查包序列的 IDS迅速識(shí)別；而基于主機(jī)的系統(tǒng)無(wú)法看到負(fù)載，因此也無(wú)法識(shí)別嵌入式的數(shù)據(jù)包攻擊。 19 入侵檢測(cè)的原理與技術(shù) 混合型入侵檢測(cè)系統(tǒng)（ Hybrid IDS） 在新一 代 的入侵檢測(cè)系統(tǒng)中 將把 現(xiàn)在的基于網(wǎng)絡(luò)和基于主機(jī) 這 兩種檢測(cè)技術(shù) 很好地 集 成起 來(lái)，提供集 成化 的攻擊簽名檢測(cè)報(bào) 告 和事件關(guān) 聯(lián)功 能。 可 以 深 入 地 研究入侵事件入侵手段 本身 及被入侵 目標(biāo)的 漏洞 等。 20 入侵檢測(cè)的原理與技術(shù) IDS的基本結(jié)構(gòu) 無(wú)論 IDS系統(tǒng)是網(wǎng)絡(luò)型的還是主機(jī)型的，從功能上看，都可分為兩大部分：探測(cè)引擎和控制中心。前者用于讀取原始數(shù)據(jù)和產(chǎn)生事件；后者用于顯示和分析事件以及策略定制等工作。 I D S 控 制 中 心I D S 引 擎控 制 和 策 略 下 發(fā)事 件 上 報(bào)21 入侵檢測(cè)的原理與技術(shù) IDS的基本結(jié)構(gòu) 圖 73 引擎的工作流程 引擎的主要功能為：原始數(shù)據(jù)讀取、數(shù)據(jù)分析、產(chǎn)生事件、策略匹配、事件處理、通信等功能 22 入侵檢測(cè)的原理與技術(shù) IDS的基本結(jié)構(gòu) 圖 74 控制中心的工作流程 通 信事 件 讀 取事 件 顯 示策 略 定 制 日 專 分 析 系 統(tǒng) 幫 助事 件 數(shù) 據(jù) 庫(kù) 控制中心的主要功能為：通信、事件讀取、事件顯示、策略定制、日志分析、系統(tǒng)幫助等。 23 入侵檢測(cè)的原理與技術(shù) IDS采用的技術(shù) 入侵檢測(cè)主要通過專家系統(tǒng)、模式匹配、協(xié)議分析或狀態(tài)轉(zhuǎn)換等方法來(lái)確定入侵行為。入侵檢測(cè)技術(shù)有： ?靜態(tài)配置分析技術(shù) ?異常檢測(cè)技術(shù) ?誤用檢測(cè)技術(shù) 1．靜態(tài)配置分析技術(shù) 靜態(tài)配置分析是通過檢查系統(tǒng)的當(dāng)前系統(tǒng)配置，諸如系統(tǒng)文件的內(nèi)容或系統(tǒng)表，來(lái)檢查系統(tǒng)是否已經(jīng)或者可能會(huì)遭到破壞。靜態(tài)是指檢查系統(tǒng)的靜態(tài)特征 (系統(tǒng)配置信息 )，而不是系統(tǒng)中的活動(dòng)。 24 入侵檢測(cè)的原理與技術(shù) IDS采用的技術(shù) 異常檢測(cè)技術(shù) 通過對(duì)系統(tǒng)審計(jì)數(shù)據(jù)的分析建立起系統(tǒng)主體 (單個(gè)用戶、一組用戶、主機(jī)，甚至是系統(tǒng)中的某個(gè)關(guān)鍵的程序和文件等 )的正常行為特征輪廓；檢測(cè)時(shí)，如果系統(tǒng)中的審計(jì)數(shù)據(jù)與已建立的主體的正常行為特征有較大出入就認(rèn)為是一個(gè)入侵行為。這一檢測(cè)方法稱 “ 異常檢測(cè)技術(shù) ” 。 一般 采用統(tǒng)計(jì)或基于規(guī)則描述的方法建立系統(tǒng)主體的行為特征輪廓 ，即 統(tǒng)計(jì)性特征輪廓 和 基于規(guī)則描述的特征輪廓。 25 入侵檢測(cè)的原理與技術(shù) IDS采用的技術(shù) 3．誤用檢測(cè)技術(shù) 誤用檢測(cè)技術(shù) (Misuse Detection)通過檢測(cè)用戶行為中的那些與某些已知的入侵行為模式類似的行為或那些利用系統(tǒng)中缺陷或是間接地違背系統(tǒng)安全規(guī)則的行為，來(lái)檢測(cè)系統(tǒng)中的入侵活動(dòng)，是一種基于已有的知識(shí)的檢測(cè)。 這種入侵檢測(cè)技術(shù)的主要局限在于它只是根據(jù)已知的入侵序列和系統(tǒng)缺陷的模式來(lái)檢測(cè)系統(tǒng)中的可疑行為 ， 而不能處理對(duì)新的入侵攻擊行為以及未知的 、 潛在的系統(tǒng)缺陷的檢測(cè) 。 26 入侵檢測(cè)的原理與技術(shù) 入侵檢測(cè) 分析 技術(shù)的比較 1．模式匹配的缺陷 1）計(jì)算負(fù)荷大 2） 檢測(cè)準(zhǔn)確率低 2．協(xié)議分析新技術(shù)的優(yōu)勢(shì) 1）提高了性能 2） 提高了準(zhǔn)確性
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1