入侵檢測與安全審計(編輯修改稿)
2025-02-07 11:00 本頁面
【文章內(nèi)容簡介】 2)1( ?? ?? ?nM 預測模式生成法 利用 動態(tài)的規(guī)則集 來檢測入侵，這些規(guī)則是由系統(tǒng)的歸納引擎，根據(jù)已發(fā)生的事件的情況來預測將來發(fā)生的事件的概率來產(chǎn)生的，歸納引擎為每一種事件設置可能發(fā)生的概率。 歸納出來的規(guī)律一般為： E1,…,E k: (Ek+1,P(Ek+1)),…,(E n,P(En)) 例如： 規(guī)則 A,B: (C,50%),(D, 30%),(E,15%),(F,5%)，如果 AB已經(jīng)發(fā)生，而 F多次發(fā)生，遠遠大于 5%，或者發(fā)生了事件 G，都認為是異常行為。 ? 優(yōu)點 ? 能檢測出傳統(tǒng)方法難以檢測的異?；顒?； ? 具有很強的適應變化的能力； ? 容易檢測到企圖在學習階段訓練系統(tǒng)中的入侵者； ? 實時性高。 ? 缺點 ? 對于不在規(guī)則庫中的入侵將會漏判。 神經(jīng)網(wǎng)絡方法 ? 神經(jīng)網(wǎng)絡 是一種 算法 ，通過 學習 已有的輸入 /輸出信息對， 抽象 出其內(nèi)在的關系，然后通過 歸納 得到新的輸入 /輸出對。 ? 在 IDS中的應用 在 IDS中，系統(tǒng)把用戶當前輸入的命令和用戶已經(jīng)執(zhí)行的 W個命令傳遞給神經(jīng)網(wǎng)絡，如果神經(jīng)網(wǎng)絡通過預測得到的命令與該用戶隨后輸入的命令不一致，則在某種程度上表明用戶的行為與其輪廓框架產(chǎn)生了偏離，即說明用戶行為異常。 ? 優(yōu)點 ?能更好的處理原始數(shù)據(jù)的隨即特性，不需要對原是數(shù)據(jù)做任何統(tǒng)計假設； ?有較好的抗干擾能力。 ? 缺點 ?網(wǎng)絡拓撲結構以及各元素的權重很難確定； ?命令窗口 W的大小也難以選擇 基于誤用的入侵檢測 也稱為 基于知識 的檢測技術或者 模式匹配 檢測技術，通過某種方式預先定義入侵行為，然后監(jiān)視系統(tǒng)的運行，并從中找出符合預先定義規(guī)則的入侵行為。 分類： ? 專家系統(tǒng) ? 模式匹配 ? 模型推理 ? 按鍵監(jiān)視 專家系統(tǒng)誤用檢測 將安全專家的關于網(wǎng)絡入侵行為的知識表示成一些類似 IfThen的規(guī)則，并以這些規(guī)則為基礎建立 專家知識庫 。規(guī)則中 If部分說明形成網(wǎng)絡入侵的必需條件， Then部分說明發(fā)現(xiàn)入侵后要實施的操作。 缺點： ? 全面性問題 ? 效率問題 模式匹配誤用檢測 也叫特征分析誤用檢測，指將入侵行為表示成一個事件序列或者轉換成某種可以直接在網(wǎng)絡數(shù)據(jù)包審計記錄中找到的數(shù)據(jù)樣板，而 不進行規(guī)則轉換 ，這樣可以直接在審計記錄中尋找相匹配的已知入侵模式。 缺點： ? 必須及時更新知識庫 ? 兼容性較差 ? 建立和維護知識庫的工作量都相當大 模型推理誤用檢測 根據(jù)網(wǎng)絡入侵行為的特征建立起 誤用證據(jù)模型 ，以此推理判斷當前的用戶行為是否是誤用行為。 這種檢測方法需要建立： ? 攻擊劇本數(shù)據(jù)庫 ：每個攻擊劇本是一個攻擊行為序 列， IDS根據(jù)攻擊劇本的子集來判斷系統(tǒng)當前是否收 到入侵。 ? 預警器 ：根據(jù)當前的活動模型，產(chǎn)生下一步行為。 ? 規(guī)劃者 ：負
試題試卷相關推薦
鄂ICP備17016276號-1