第7章入侵檢測技術(編輯修改稿)
2024-11-17 08:03 本頁面
【文章內(nèi)容簡介】 3)基于網(wǎng)絡的 IDS可以研究數(shù)據(jù)包的內(nèi)容，查找特定攻擊中使用的命令或語法，這類攻擊可以被實時檢查包序列的 IDS迅速識別；而基于主機的系統(tǒng)無法看到負載，因此也無法識別嵌入式的數(shù)據(jù)包攻擊。 19 入侵檢測的原理與技術 混合型入侵檢測系統(tǒng)（ Hybrid IDS） 在新一 代 的入侵檢測系統(tǒng)中 將把 現(xiàn)在的基于網(wǎng)絡和基于主機 這 兩種檢測技術 很好地 集 成起 來，提供集 成化 的攻擊簽名檢測報 告 和事件關 聯(lián)功 能。 可 以 深 入 地 研究入侵事件入侵手段 本身 及被入侵 目標的 漏洞 等。 20 入侵檢測的原理與技術 IDS的基本結構 無論 IDS系統(tǒng)是網(wǎng)絡型的還是主機型的，從功能上看，都可分為兩大部分：探測引擎和控制中心。前者用于讀取原始數(shù)據(jù)和產(chǎn)生事件；后者用于顯示和分析事件以及策略定制等工作。 I D S 控 制 中 心I D S 引 擎控 制 和 策 略 下 發(fā)事 件 上 報21 入侵檢測的原理與技術 IDS的基本結構 圖 73 引擎的工作流程 引擎的主要功能為：原始數(shù)據(jù)讀取、數(shù)據(jù)分析、產(chǎn)生事件、策略匹配、事件處理、通信等功能 22 入侵檢測的原理與技術 IDS的基本結構 圖 74 控制中心的工作流程 通 信事 件 讀 取事 件 顯 示策 略 定 制 日 專 分 析 系 統(tǒng) 幫 助事 件 數(shù) 據(jù) 庫 控制中心的主要功能為：通信、事件讀取、事件顯示、策略定制、日志分析、系統(tǒng)幫助等。 23 入侵檢測的原理與技術 IDS采用的技術 入侵檢測主要通過專家系統(tǒng)、模式匹配、協(xié)議分析或狀態(tài)轉換等方法來確定入侵行為。入侵檢測技術有： ?靜態(tài)配置分析技術 ?異常檢測技術 ?誤用檢測技術 1．靜態(tài)配置分析技術 靜態(tài)配置分析是通過檢查系統(tǒng)的當前系統(tǒng)配置，諸如系統(tǒng)文件的內(nèi)容或系統(tǒng)表，來檢查系統(tǒng)是否已經(jīng)或者可能會遭到破壞。靜態(tài)是指檢查系統(tǒng)的靜態(tài)特征 (系統(tǒng)配置信息 )，而不是系統(tǒng)中的活動。 24 入侵檢測的原理與技術 IDS采用的技術 異常檢測技術 通過對系統(tǒng)審計數(shù)據(jù)的分析建立起系統(tǒng)主體 (單個用戶、一組用戶、主機，甚至是系統(tǒng)中的某個關鍵的程序和文件等 )的正常行為特征輪廓；檢測時，如果系統(tǒng)中的審計數(shù)據(jù)與已建立的主體的正常行為特征有較大出入就認為是一個入侵行為。這一檢測方法稱 “ 異常檢測技術 ” 。 一般 采用統(tǒng)計或基于規(guī)則描述的方法建立系統(tǒng)主體的行為特征輪廓 ，即 統(tǒng)計性特征輪廓 和 基于規(guī)則描述的特征輪廓。 25 入侵檢測的原理與技術 IDS采用的技術 3．誤用檢測技術 誤用檢測技術 (Misuse Detection)通過檢測用戶行為中的那些與某些已知的入侵行為模式類似的行為或那些利用系統(tǒng)中缺陷或是間接地違背系統(tǒng)安全規(guī)則的行為，來檢測系統(tǒng)中的入侵活動，是一種基于已有的知識的檢測。 這種入侵檢測技術的主要局限在于它只是根據(jù)已知的入侵序列和系統(tǒng)缺陷的模式來檢測系統(tǒng)中的可疑行為 ， 而不能處理對新的入侵攻擊行為以及未知的 、 潛在的系統(tǒng)缺陷的檢測 。 26 入侵檢測的原理與技術 入侵檢測 分析 技術的比較 1．模式匹配的缺陷 1）計算負荷大 2） 檢測準確率低 2．協(xié)議分析新技術的優(yōu)勢 1）提高了性能 2） 提高了準確性
教學課件相關推薦
鄂ICP備17016276號-1