bit8-2信息系統(tǒng)安全防御-ids(編輯修改稿)
2025-01-30 23:44 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 層傳遞過(guò)程中，只傳遞指針，不傳實(shí)際的數(shù)據(jù)n 支持鏈路層：以太網(wǎng)、令牌網(wǎng)、 FDDISnort規(guī)則鏈處理過(guò)程n 二維鏈表結(jié)構(gòu)n 匹配過(guò)程n 首先匹配到適當(dāng)?shù)?Chain Headern 然后，匹配到適當(dāng)?shù)?Chain Optionn 最后，滿足條件的第一個(gè)規(guī)則指示相應(yīng)的動(dòng)作Snort: 日志和報(bào)警子系統(tǒng)n 當(dāng)匹配到特定的規(guī)則之后，檢測(cè)引擎會(huì)觸發(fā)相應(yīng)的動(dòng)作n 日志記錄動(dòng)作，三種格式：n 解碼之后的二進(jìn)制數(shù)據(jù)包n 文本形式的 IP結(jié)構(gòu)n Tcpdump格式n 如果考慮性能的話，應(yīng)選擇 tcpdump格式，或者關(guān)閉logging功能n 報(bào)警動(dòng)作，包括n Syslogn 記錄到 alert文本文件中n 發(fā)送 WinPopup消息關(guān)于 snort的規(guī)則n Snort的規(guī)則比較簡(jiǎn)單n 規(guī)則結(jié)構(gòu)：n 規(guī)則頭： alert tcp ! n 規(guī)則選項(xiàng)： (flags: SF。 msg: “SYNFIN Scan”。)n 針對(duì)已經(jīng)發(fā)現(xiàn)的攻擊類型，都可以編寫(xiě)出適當(dāng)?shù)囊?guī)則來(lái)n 規(guī)則與性能的關(guān)系n 先后的順序n Content option的講究n 許多 cgi攻擊和緩沖區(qū)溢出攻擊都需要 content optionn 現(xiàn)有大量的規(guī)則可供利用Snort規(guī)則示例n 規(guī)則示例 Option類型關(guān)于 snortn 開(kāi)放性n 源碼開(kāi)放，最新規(guī)則庫(kù)的開(kāi)放n 作為商業(yè) IDS的有機(jī)補(bǔ)充n 特別是對(duì)于最新攻擊模式的知識(shí)共享n Snort的部署n 作為分布式 IDS的節(jié)點(diǎn)n 為高級(jí)的 IDS提供基本的事件報(bào)告n 發(fā)展n 數(shù)據(jù)庫(kù)的支持n 互操作性，規(guī)則庫(kù)的標(biāo)準(zhǔn)化n 二進(jìn)制插件的支持n 預(yù)處理器模塊： TCP流重組、統(tǒng)計(jì)分析，等n ……異常檢測(cè)的網(wǎng)絡(luò) IDSn 基于規(guī)則和特征匹配的 NIDS的缺點(diǎn)n 對(duì)于新的攻擊不能正確識(shí)別n 人工提取特征，把攻擊轉(zhuǎn)換成規(guī)則，加入到規(guī)則庫(kù)中n 異常檢測(cè)的 NIDS可以有一定的自適應(yīng)能力n 利用網(wǎng)絡(luò)系統(tǒng)的已知流量模式進(jìn)行學(xué)習(xí)，把正常流量模式的知識(shí)學(xué)習(xí)到 IDS中n 當(dāng)出現(xiàn)新的攻擊時(shí)，根據(jù)異常行為來(lái)識(shí)別n 并且，對(duì)于新的攻擊以及異常的模式可以反饋到 IDS系統(tǒng)中異常檢測(cè)的網(wǎng)絡(luò) IDSn 目前出現(xiàn)了專門流量異常檢測(cè)設(shè)備n CiscoXT5600流量異常檢測(cè)器n 專用于防 DDOS攻擊基于主機(jī)的 IDS系統(tǒng)n 信息收集n 系統(tǒng)日志n 系統(tǒng)狀態(tài)信息n 特點(diǎn)： OS相關(guān)n 常用的分析技術(shù)n 統(tǒng)計(jì)分析n 狀態(tài)轉(zhuǎn)移分析n 關(guān)聯(lián)分析n ……基于主機(jī)的 IDS系統(tǒng)n 在分布式入侵檢測(cè)體系中，作為日志收集代理n 主機(jī)防火墻逐步擔(dān)當(dāng) IDS的職責(zé)n 瑞星n 卡巴斯基內(nèi)容概要n P2DR安全體系n 入侵檢測(cè)系統(tǒng)介紹
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1