入侵檢測技術(shù)ppt課件(2)(編輯修改稿)
2025-06-08 06:26 本頁面
【文章內(nèi)容簡介】 ? 是在對一系列相關(guān)歷史數(shù)據(jù)的統(tǒng)計分析的基礎(chǔ)上，對新的數(shù)據(jù)進(jìn)行判斷； ? 歷史數(shù)據(jù)的某種統(tǒng)計特征是衡量新行為的標(biāo)準(zhǔn)，新行為和統(tǒng)計特征相差大于某個閾值，則說明新行為是入侵行為。 ? 通過歷史數(shù)據(jù)計算出的統(tǒng)計特征很多有直觀的含義； ? 有的沒有直觀含義。這些特征是對歷史數(shù)據(jù)按照某種模型進(jìn)行處理的結(jié)果，能夠穩(wěn)定、準(zhǔn)確的區(qū)分開正常和異常行為。 2022/6/3 35 人工神經(jīng)網(wǎng)絡(luò) ? 人工神經(jīng)網(wǎng)絡(luò)通過對大量神經(jīng)元和神經(jīng)元所組成的網(wǎng)絡(luò)的模擬，實現(xiàn)了對人腦收集、加工、存儲以至運(yùn)用信息能力的模擬。 ? 外界信號是人工神經(jīng)網(wǎng)絡(luò)的輸入，人腦對信號的反應(yīng)對應(yīng)人工神經(jīng)網(wǎng)絡(luò)的輸出，神經(jīng)元是大量的簡單的處理單元，神經(jīng)元對外界信號的傳遞效果對應(yīng)處理單元對輸入信號和輸出信號的互聯(lián)權(quán)值或傳遞函數(shù)。 2022/6/3 36 W ’4 W ’1 W ’2 wx x1 fn fn 1 f3 f2 f1 。 。 。 x2 x3 xn 1 xn w1 w3 wn 1 wn W ’1 2022/6/3 37 人工神經(jīng)網(wǎng)絡(luò)法 ? 學(xué)習(xí)和能力。學(xué)習(xí)就是調(diào)整所模擬的處理單元的互聯(lián)權(quán)值和傳遞函數(shù)。 ? 學(xué)習(xí)的過程是反復(fù)的輸入信息樣本，其中包括正常的信息和存在入侵行為的信息，并說明信息是否正常。 ? 學(xué)習(xí)成功的標(biāo)準(zhǔn)就是人工神經(jīng)網(wǎng)絡(luò)可以對樣本穩(wěn)定的做出正確的判斷。 ? 學(xué)習(xí)完備就可以使用人工神經(jīng)網(wǎng)絡(luò)對實際系統(tǒng)中的信息進(jìn)行檢測 。 2022/6/3 38 異常檢測原理與方法分析 ? 異常檢測的優(yōu)點(diǎn) ? 可以檢測到未知的入侵 ? 可以檢測冒用他人帳號的行為 ? 具有自適應(yīng)，自學(xué)習(xí)功能 ? 不需要系統(tǒng)先驗知識 2022/6/3 39 異常檢測的缺點(diǎn) ? 漏報、誤報率高 ? 入侵者可以逐漸改變自己的行為模式來逃避檢測 ? 合法用戶正常行為的突然改變也會造成誤警 ? 統(tǒng)計算法的計算量龐大，效率很低 ? 統(tǒng)計點(diǎn)的選取和參考庫的建立比較困難，歷史數(shù)據(jù)選擇不當(dāng)、統(tǒng)計特征抽取不當(dāng)、判斷閾值設(shè)計不當(dāng)?shù)榷紩斐蓪θ肭中袨榈恼`判， 2022/6/3 40 提綱 ? 入侵檢測概述 ? 入侵檢測系統(tǒng)結(jié)構(gòu) ? 入侵檢測方法 ? snort入侵檢測系統(tǒng) ? 入侵檢測技術(shù)發(fā)展趨勢 2022/6/3 41 Snort 入侵檢測系統(tǒng) ? Snort 系統(tǒng)概述 ? Martin Roesch , 開放源代碼 ? NIDS ? 支持多種平臺： Linux , Solaris, Windows ? 不僅是一個功能強(qiáng)大的入侵檢測系統(tǒng)，還可以作為網(wǎng)絡(luò)信息包的分析器、記錄器 ? 提供了一種簡單、靈活的描述語言，用以增加系統(tǒng)中的規(guī)則。 ? 可以使用插件進(jìn)行功能擴(kuò)充 ? Snort遵守 GPL要求 ? 2022/6/3 42 Snort 系統(tǒng)結(jié)構(gòu) 規(guī)則文件 數(shù)據(jù)包捕捉模塊 解碼器 預(yù)處理器 分析引擎 輸出插件 分析插件 各種輸出形式 網(wǎng)絡(luò) 2022/6/3 43 Snort的 3種工作模式 ? 嗅探器模式（ Sniffer mode）：相當(dāng)于一個嗅探器，在網(wǎng)絡(luò)中偵聽傳輸?shù)臄?shù)據(jù)包。在這種模式下，Snort可以按照用戶的配置，有選擇的針對特定協(xié)議收集信息。嗅探的結(jié)果可以在控制臺屏幕上分組顯示出來。 ? 報文記錄模式（ Package Logger mode）：在嗅探的基礎(chǔ)上，將收集到的網(wǎng)絡(luò)數(shù)據(jù)包信息，記錄到磁盤上。日志的格式可以是便于閱讀的 ASCII文本格式，也可以是便于處理的二進(jìn)制格式。 ? 基于網(wǎng)絡(luò)的入侵檢測模式（ NIDS mode）： Snort不僅要嗅探網(wǎng)絡(luò)數(shù)據(jù)包，記錄數(shù)據(jù)包，還要對數(shù)據(jù)包進(jìn)行分析，發(fā)現(xiàn)其中的入侵行為、產(chǎn)生響應(yīng)動作，完成入侵檢測的任務(wù)。 2022/6/3 44 安裝 ? Snort提供了多個系統(tǒng)平臺的安裝版本，其中Windows平臺的版本安裝方式最為簡便。 ? 安裝 WinPcap軟件庫 ? 安裝 Snort ? 缺省的安裝路徑 C:\Snort ? Snort是一個在控制臺下運(yùn)行的程序，要切換到命令行的狀態(tài)下運(yùn)行 Snort。缺省命令在 C:\Snort\bin目錄下。 ? 執(zhí)行 snort –W命令可以查看計算機(jī)中工作的網(wǎng)絡(luò)接口，可以用序號指定接口。 2022/6/3 45 嗅探器模式 ? Snort可以偵聽網(wǎng)絡(luò)中的報文信息，并將信息在命令行的屏幕中顯示出來。 ? 涉及到的命令選項
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1