【文章內(nèi)容簡介】 應(yīng)通常由入侵檢測系統(tǒng)實(shí)現(xiàn) ? 自動(dòng)相應(yīng)可以是報(bào)警、自動(dòng)采取某些安全措施，等等 Solaris BSM（ Basic Security Model） BSM用戶級(jí)審計(jì)記錄包括： ? 進(jìn)程名 ? 手冊(cè)頁參考 ? 審計(jì)事件號(hào) ? 審計(jì)事件名 ? 審計(jì)記錄結(jié)構(gòu) BSM核心級(jí)審計(jì)記錄包括： ? 系統(tǒng)調(diào)用名 ? 手冊(cè)頁參考 ? 審計(jì)事件號(hào) ? 審計(jì)事件名 ? 審計(jì)事件類 ? 事件屏蔽 ? 審計(jì)記錄結(jié)構(gòu) WIN 2022日志結(jié)構(gòu) 數(shù)據(jù) 時(shí)間 用戶名 計(jì)算機(jī)名 事件 ID 源 類型 種類 可變內(nèi)容，依賴于事件，可以時(shí)問題的文本解釋和糾正措施的建議 附加域。如果采用的話，包含可以字節(jié)或字顯示的二進(jìn)數(shù)據(jù)及事件記錄的源應(yīng)用產(chǎn)生的信息 記錄頭 事件描述 附加數(shù)據(jù) WIN 2022 日志舉例 (1) ? 事件類型 : 成功審核 ? 事件來源 : Security ? 事件種類 : 登錄 /注銷 ? 事件 ID: 538 ? 日期 : 202299 ? 時(shí)間 : 20:47:04 WIN 2022 日志舉例 (2) ? 用戶 : QU\hiiri ? 計(jì)算機(jī) : QU ? 描述 : ? 用戶注銷 : – 用戶名 : hiiri – 域 : QU – 登錄 ID: (0x0,0x504001) – 登錄類型 : 7 防火墻日志舉例 ( Check Point Firewall1 ) ? 19May00 17:31:59 [時(shí)間戳 ] ? drop [動(dòng)作 ] ? inbound [方向 ] ? udp [傳輸層協(xié)議 ] ? [源地址 ] ? [目標(biāo)地址 ] ? biosns [目標(biāo)端口 ] ? biosns [源端口 ] ? 78 [包長度 ] IDS日志舉例 ( Snort ) ? [**] rshell CGI access attempt [**] ? 06/1007:55: [時(shí)間戳 ] ? :1526 [源地址及端口 ] ? :80 [目標(biāo)地址及端口 ] ? TCP [傳輸層協(xié)議 ] ? TTL:52 [生存期 ] ? TOS:0x0 [服務(wù)種類 ] ? ID:4816 [會(huì)話 ID] ? DF [不可分段 ] ? Len:358 [包長度 ] 課程內(nèi)容 ? 防火墻 ? VPN ? 內(nèi)外網(wǎng)隔離 ? 日志審計(jì) ? 入侵檢測 ? 隱患掃描 ? PKI(CA) ? PGP ? 安全加固 ? 防病毒 入侵檢測（ Intrusion Detection） ? 入侵檢測定義 ? 入侵檢測方法 ? 入侵檢測系統(tǒng)結(jié)構(gòu) 入侵檢測（ Intrusion Detection） ? 入侵檢測定義 – 入侵檢測與入侵檢測系統(tǒng)（ IDS) – 入侵檢測系統(tǒng)基本框架 ? 入侵檢測方法 ? 入侵檢測系統(tǒng)結(jié)構(gòu) 什么是入侵檢測 ? 入侵檢測（ Intrusion Detection） 是檢測計(jì)算機(jī)網(wǎng)絡(luò)和系統(tǒng)以發(fā)現(xiàn)違反安全策略事件的過程 ? IDS ? 入侵檢測系統(tǒng)包括三個(gè)功能組件 – 提供事件記錄流的信息源 – 發(fā)現(xiàn)入侵跡象的分析引擎 – 基于分析引擎的結(jié)果產(chǎn)生反應(yīng)的響應(yīng)部件 入侵檢測系統(tǒng)基本框架 入侵檢測（ Intrusion Detection） ? 入侵檢測定義 ? 入侵檢測方法 – 異常入侵檢測技術(shù) – 異常檢測典型系統(tǒng)－ TripWare – 誤用入侵檢測技術(shù) – 誤用檢測典型系統(tǒng)－ Snort ? 入侵檢測系統(tǒng)結(jié)構(gòu) 異常入侵檢測技術(shù) (1) ? 異常檢測主要根據(jù)合法行為（狀態(tài)）定義來分析系統(tǒng)是否受到攻擊或者運(yùn)行異常 ? 是目前入侵檢測技術(shù)的主要研究發(fā)展方向 ? 典型應(yīng)用： CPU使用率，內(nèi)存使用率，網(wǎng)絡(luò)流量，用戶行為，系統(tǒng)調(diào)用等等 異常入侵檢測技術(shù) (2) ? 優(yōu)點(diǎn)： – 可以檢測到未知攻擊 – 知識(shí)庫相對(duì)穩(wěn)定 ? 缺點(diǎn)： – 準(zhǔn)確性差 – 誤報(bào)率高 異常檢測典型系統(tǒng)－TripWare(1) ? TripWare主要利用關(guān)鍵性文件的摘要作為自己知識(shí)庫，合法用戶修改文件后要更新該文件摘要，由于非法用戶無權(quán)更改其摘要，所以當(dāng)發(fā)現(xiàn)文件摘要和保存的記錄不符時(shí)，判定系統(tǒng)受到攻擊。 異常檢測典型系統(tǒng)－TripWare(2) ? 優(yōu)點(diǎn)： – 實(shí)現(xiàn)簡單 – 管理方便 ? 缺點(diǎn)： – 檢測能力差 誤用入侵檢測技術(shù) (1) ? 誤用檢測根據(jù)非法行為（狀態(tài)）定義，分析目標(biāo)系統(tǒng)狀態(tài)，以確定是否受到攻擊 ? 技術(shù)較為成熟，為絕大多數(shù)市場產(chǎn)品采用 ? 典型應(yīng)用： – 網(wǎng)絡(luò)數(shù)據(jù)包 – 用戶指令序列 – 應(yīng)用程序編碼特征，等等 誤用入侵檢測技術(shù) (2) ? 優(yōu)點(diǎn) – 準(zhǔn)確 – 高效 （ 相對(duì) ） – 易實(shí)現(xiàn) ? 缺點(diǎn) – 不能檢測未知攻擊 – 知識(shí)庫會(huì)無限增長 – 描述所有攻擊行為困難 誤用檢測典型系統(tǒng)－ Snort (1) ? Snort是一個(gè)典型的輕量級(jí)誤用網(wǎng)絡(luò)入侵檢測系統(tǒng) 。 該系統(tǒng)自己定義了一套規(guī)則語言來定義入侵行為 ， 規(guī)則語言所描述的主要是網(wǎng)絡(luò)數(shù)據(jù)包的特性 ， 比如地址 、端口 、 包頭屬性 、 包含的特殊數(shù)據(jù)等等 。 誤用檢測典型系統(tǒng)－ Snort (2) ? Snort規(guī)則語言 （ 示例 ） – log tcp any any – alert tcp any any (content: /cgibin/phf。msg PHF probe!) – alert tcp ! 6000:6010 ( msg: X traffic。) – alert tcp any any (content:|E8C0 FFF FF|/bin/sh。 msg:New IMAP Buffer Overflow detected!。) 誤用檢測典型系統(tǒng)－ Snort (3) ? 優(yōu)點(diǎn) : – 檢測的準(zhǔn)確度比較高 ? 缺點(diǎn) : – 檢測的效率低 – 對(duì)復(fù)雜攻擊檢測能力差 – 容易被欺騙 入侵檢測（ Intrusion Detection） ? 入侵檢測定義 ? 入侵檢測方法 ? 入侵檢測系統(tǒng)結(jié)構(gòu) – 基于主機(jī)系統(tǒng)的結(jié)構(gòu) – 基于網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu) 基于主機(jī)系統(tǒng)的結(jié)構(gòu) ? 其檢測目標(biāo)主要是主機(jī)系統(tǒng)和系統(tǒng)本地用戶 ? 根據(jù)主機(jī)的審計(jì)數(shù)據(jù)和系統(tǒng)的日志發(fā)現(xiàn)可疑事件 ? 依賴于審計(jì)數(shù)據(jù)和系統(tǒng)日志的準(zhǔn)確性和完整性 基于網(wǎng)絡(luò)系統(tǒng)的結(jié)構(gòu) ? 根據(jù)網(wǎng)絡(luò)流量和單臺(tái)或多臺(tái)主機(jī)的審計(jì)數(shù)據(jù)對(duì)入侵行為進(jìn)行檢測 。 ? 由探測器和分析器以及網(wǎng)絡(luò)安全知識(shí)庫組成 ? 具有配置簡單，服務(wù)器平臺(tái)獨(dú)立性等優(yōu)點(diǎn) 課程內(nèi)容 ? 防火墻 ? VPN ? 內(nèi)外網(wǎng)隔離 ? 日志審計(jì) ? 入侵檢測 ? 隱患掃描 ? PKI(CA) ? PGP ? 安全加固 ? 防病毒 隱患掃描 （ vulnerabilities scanning） ? 網(wǎng)絡(luò)弱點(diǎn)掃描 ? 主機(jī)弱點(diǎn)掃描 ? 特定應(yīng)用弱點(diǎn)掃描 隱患掃描 （ vulnerabilities scanning） ? 網(wǎng)絡(luò)弱點(diǎn)掃描 – 功能分類 – 常用掃描工具 ? 主機(jī)弱點(diǎn)掃描 ? 特定應(yīng)用弱點(diǎn)掃描 什么是網(wǎng)絡(luò)弱點(diǎn)掃描 ? 定期或按需尋找網(wǎng)絡(luò)設(shè)備或網(wǎng)絡(luò)主機(jī)上的漏洞，從而可以對(duì)這些漏洞進(jìn)行及時(shí)彌補(bǔ)，以改善網(wǎng)絡(luò)的安全性 網(wǎng)絡(luò)掃描器功能分類 ? 簡單漏洞識(shí)別與分析 ? 全面漏洞識(shí)別與分析 簡單漏洞識(shí)別與分析 ? 許多工具能實(shí)現(xiàn)相對(duì)有限的安全檢測。這些工具可以自動(dòng)進(jìn)行目標(biāo)主機(jī)的TCP/IP端口掃描，嘗試連接存在已知漏洞的服務(wù)端口，并且記錄下目標(biāo)主機(jī)的反應(yīng) ? 它們可以為特定的系統(tǒng)特性實(shí)現(xiàn)安全配置檢查 全面漏洞識(shí)別與分析 ? 掃描漏洞范圍更廣 ? 對(duì)漏洞進(jìn)行分析 ? 提出的建議，減輕潛在的安全風(fēng)險(xiǎn) 常用掃描工具 ? SATAN ? Nessus ? ISS Inter Scanner SATAN (1) ? SATAN： Security Analysis Tool for Auditing Networks ? 其基本功能是通過 finger， NFS， ftp，NIS， Web等服務(wù)盡可能的搜集目標(biāo)主機(jī)和網(wǎng)絡(luò)的相關(guān)信息 ? 并具有簡單的推理功能 SATAN (2) ? 具有良好的可擴(kuò)展性 ? 最核心部分對(duì)操作系統(tǒng)類型、網(wǎng)絡(luò)服務(wù)名稱、漏洞信息和其他細(xì)節(jié)信息依賴性很小 ? 提供了較為靈活的方式供用戶添加自己的探測模塊 ,用戶可以自己編寫一個(gè)可執(zhí)行文件，以 .satan結(jié)尾 NESSUS ? 一個(gè)公開代碼的安全評(píng)估工具 ? 有靈活 Plugin結(jié)構(gòu)，強(qiáng)大的掃描功能，并且具有很好的擴(kuò)展性 ? 自己提供了一個(gè)語言 NASL用于用戶自己開發(fā)測試模塊 ISS Inter Scanner (1) ? 針對(duì)網(wǎng)絡(luò)上主機(jī)網(wǎng)絡(luò)連接相關(guān)信息，分析主機(jī)系統(tǒng)平臺(tái)，提供的服務(wù)，并分析是否存弱點(diǎn) ? 其可以診斷出的弱點(diǎn)包括： – 對(duì) PC、 服務(wù)器、 Web服務(wù)器、防火墻、路由器等網(wǎng)絡(luò)設(shè)備的錯(cuò)誤配置 – 設(shè)備所啟動(dòng)的服務(wù) – 弱的或者無密碼防護(hù) – 沒有打補(bǔ)丁或者過時(shí)的系統(tǒng)平臺(tái)。 ISS Inter Scanner (2) ? 特點(diǎn)： – 掃描模塊與管理控制模塊分開，管理方便 – 采用 XML方式定