入侵檢測(cè)技術(shù)ppt課件(2)(編輯修改稿)
2025-06-08 06:26 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 ? 是在對(duì)一系列相關(guān)歷史數(shù)據(jù)的統(tǒng)計(jì)分析的基礎(chǔ)上，對(duì)新的數(shù)據(jù)進(jìn)行判斷； ? 歷史數(shù)據(jù)的某種統(tǒng)計(jì)特征是衡量新行為的標(biāo)準(zhǔn)，新行為和統(tǒng)計(jì)特征相差大于某個(gè)閾值，則說(shuō)明新行為是入侵行為。 ? 通過(guò)歷史數(shù)據(jù)計(jì)算出的統(tǒng)計(jì)特征很多有直觀的含義； ? 有的沒(méi)有直觀含義。這些特征是對(duì)歷史數(shù)據(jù)按照某種模型進(jìn)行處理的結(jié)果，能夠穩(wěn)定、準(zhǔn)確的區(qū)分開(kāi)正常和異常行為。 2022/6/3 35 人工神經(jīng)網(wǎng)絡(luò) ? 人工神經(jīng)網(wǎng)絡(luò)通過(guò)對(duì)大量神經(jīng)元和神經(jīng)元所組成的網(wǎng)絡(luò)的模擬，實(shí)現(xiàn)了對(duì)人腦收集、加工、存儲(chǔ)以至運(yùn)用信息能力的模擬。 ? 外界信號(hào)是人工神經(jīng)網(wǎng)絡(luò)的輸入，人腦對(duì)信號(hào)的反應(yīng)對(duì)應(yīng)人工神經(jīng)網(wǎng)絡(luò)的輸出，神經(jīng)元是大量的簡(jiǎn)單的處理單元，神經(jīng)元對(duì)外界信號(hào)的傳遞效果對(duì)應(yīng)處理單元對(duì)輸入信號(hào)和輸出信號(hào)的互聯(lián)權(quán)值或傳遞函數(shù)。 2022/6/3 36 W ’4 W ’1 W ’2 wx x1 fn fn 1 f3 f2 f1 。 。 。 x2 x3 xn 1 xn w1 w3 wn 1 wn W ’1 2022/6/3 37 人工神經(jīng)網(wǎng)絡(luò)法 ? 學(xué)習(xí)和能力。學(xué)習(xí)就是調(diào)整所模擬的處理單元的互聯(lián)權(quán)值和傳遞函數(shù)。 ? 學(xué)習(xí)的過(guò)程是反復(fù)的輸入信息樣本，其中包括正常的信息和存在入侵行為的信息，并說(shuō)明信息是否正常。 ? 學(xué)習(xí)成功的標(biāo)準(zhǔn)就是人工神經(jīng)網(wǎng)絡(luò)可以對(duì)樣本穩(wěn)定的做出正確的判斷。 ? 學(xué)習(xí)完備就可以使用人工神經(jīng)網(wǎng)絡(luò)對(duì)實(shí)際系統(tǒng)中的信息進(jìn)行檢測(cè) 。 2022/6/3 38 異常檢測(cè)原理與方法分析 ? 異常檢測(cè)的優(yōu)點(diǎn) ? 可以檢測(cè)到未知的入侵 ? 可以檢測(cè)冒用他人帳號(hào)的行為 ? 具有自適應(yīng)，自學(xué)習(xí)功能 ? 不需要系統(tǒng)先驗(yàn)知識(shí) 2022/6/3 39 異常檢測(cè)的缺點(diǎn) ? 漏報(bào)、誤報(bào)率高 ? 入侵者可以逐漸改變自己的行為模式來(lái)逃避檢測(cè) ? 合法用戶正常行為的突然改變也會(huì)造成誤警 ? 統(tǒng)計(jì)算法的計(jì)算量龐大，效率很低 ? 統(tǒng)計(jì)點(diǎn)的選取和參考庫(kù)的建立比較困難，歷史數(shù)據(jù)選擇不當(dāng)、統(tǒng)計(jì)特征抽取不當(dāng)、判斷閾值設(shè)計(jì)不當(dāng)?shù)榷紩?huì)造成對(duì)入侵行為的誤判， 2022/6/3 40 提綱 ? 入侵檢測(cè)概述 ? 入侵檢測(cè)系統(tǒng)結(jié)構(gòu) ? 入侵檢測(cè)方法 ? snort入侵檢測(cè)系統(tǒng) ? 入侵檢測(cè)技術(shù)發(fā)展趨勢(shì) 2022/6/3 41 Snort 入侵檢測(cè)系統(tǒng) ? Snort 系統(tǒng)概述 ? Martin Roesch , 開(kāi)放源代碼 ? NIDS ? 支持多種平臺(tái)： Linux , Solaris, Windows ? 不僅是一個(gè)功能強(qiáng)大的入侵檢測(cè)系統(tǒng)，還可以作為網(wǎng)絡(luò)信息包的分析器、記錄器 ? 提供了一種簡(jiǎn)單、靈活的描述語(yǔ)言，用以增加系統(tǒng)中的規(guī)則。 ? 可以使用插件進(jìn)行功能擴(kuò)充 ? Snort遵守 GPL要求 ? 2022/6/3 42 Snort 系統(tǒng)結(jié)構(gòu) 規(guī)則文件 數(shù)據(jù)包捕捉模塊 解碼器 預(yù)處理器 分析引擎 輸出插件 分析插件 各種輸出形式 網(wǎng)絡(luò) 2022/6/3 43 Snort的 3種工作模式 ? 嗅探器模式（ Sniffer mode）：相當(dāng)于一個(gè)嗅探器，在網(wǎng)絡(luò)中偵聽(tīng)傳輸?shù)臄?shù)據(jù)包。在這種模式下，Snort可以按照用戶的配置，有選擇的針對(duì)特定協(xié)議收集信息。嗅探的結(jié)果可以在控制臺(tái)屏幕上分組顯示出來(lái)。 ? 報(bào)文記錄模式（ Package Logger mode）：在嗅探的基礎(chǔ)上，將收集到的網(wǎng)絡(luò)數(shù)據(jù)包信息，記錄到磁盤上。日志的格式可以是便于閱讀的 ASCII文本格式，也可以是便于處理的二進(jìn)制格式。 ? 基于網(wǎng)絡(luò)的入侵檢測(cè)模式（ NIDS mode）： Snort不僅要嗅探網(wǎng)絡(luò)數(shù)據(jù)包，記錄數(shù)據(jù)包，還要對(duì)數(shù)據(jù)包進(jìn)行分析，發(fā)現(xiàn)其中的入侵行為、產(chǎn)生響應(yīng)動(dòng)作，完成入侵檢測(cè)的任務(wù)。 2022/6/3 44 安裝 ? Snort提供了多個(gè)系統(tǒng)平臺(tái)的安裝版本，其中Windows平臺(tái)的版本安裝方式最為簡(jiǎn)便。 ? 安裝 WinPcap軟件庫(kù) ? 安裝 Snort ? 缺省的安裝路徑 C:\Snort ? Snort是一個(gè)在控制臺(tái)下運(yùn)行的程序，要切換到命令行的狀態(tài)下運(yùn)行 Snort。缺省命令在 C:\Snort\bin目錄下。 ? 執(zhí)行 snort –W命令可以查看計(jì)算機(jī)中工作的網(wǎng)絡(luò)接口，可以用序號(hào)指定接口。 2022/6/3 45 嗅探器模式 ? Snort可以偵聽(tīng)網(wǎng)絡(luò)中的報(bào)文信息，并將信息在命令行的屏幕中顯示出來(lái)。 ? 涉及到的命令選項(xiàng)
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1