網(wǎng)絡(luò)安全10-入侵檢測(編輯修改稿)
2025-02-12 12:58 本頁面
【文章內(nèi)容簡介】 述，統(tǒng)計(jì)正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等）。測量屬性的平均值和偏差將被用來與網(wǎng)絡(luò)、系統(tǒng)的行為進(jìn)行比較，任何觀察值在正常值范圍之外時，就認(rèn)為有入侵發(fā)生 ? 完整性分析 ? 事后分析 ? 主要關(guān)注某個文件或?qū)ο笫欠癖桓? ? 在發(fā)現(xiàn)被更改的、被安裝木馬的應(yīng)用程序方面特別有效 結(jié)果處理 ? 結(jié)果處理，即對分析結(jié)果作出反應(yīng)。 ? 切斷連接 ? 改變文件屬性 ? 發(fā)動對攻擊者的反擊 ? 報(bào)警 ? …… IDS的組成 ?檢測引擎 ?控制中心 HUB 檢測引擎 Monitored Servers 控制中心 檢測引擎的部署位置 ? 放在邊界防火墻之內(nèi) ? 放在邊界防火墻之外 ? 放在主要的網(wǎng)絡(luò)中樞 ? 放在一些安全級別需求高的子網(wǎng) 檢測引擎的部署位置示意圖 Inter 部署二 部署一 網(wǎng)絡(luò)入侵技術(shù) 入侵 (Intrusion) ? 入侵是指未經(jīng)授權(quán)蓄意嘗試訪問信息、篡改信息，使系統(tǒng)不可靠或不能使用的行為 ? 破壞計(jì)算機(jī)或網(wǎng)絡(luò)資源的完整性、機(jī)密性、可用性、可控性 ? 入侵者 ? 可以是一個手工發(fā)出命令的人，也可是一個基于入侵腳本或程序的自動發(fā)布命令的計(jì)算機(jī) ? 入侵者可以被分為兩類 : ? 外部的 : 網(wǎng)絡(luò)外面的侵入者 ? 內(nèi)部的 : 合法使用網(wǎng)絡(luò)的侵入者，包括濫用權(quán)力的人和模仿更改權(quán)力的人 (比如使用別人的終端 ) 。 80%的安全問題同內(nèi)部人有關(guān) 侵入系統(tǒng)的主要途徑 ? 物理侵入 ? 侵入者對主機(jī)有物理進(jìn)入權(quán)限 ? 方法如移走磁盤并在另外的機(jī)器讀 /寫 ? 系統(tǒng)侵入 ? 侵入者已經(jīng)擁有在系統(tǒng)的較低權(quán)限 ? 侵入者可能利用一個知名漏洞獲得系統(tǒng)管理員權(quán)限的機(jī)會 ? 遠(yuǎn)程侵入 ? 入侵者通過網(wǎng)絡(luò)遠(yuǎn)程進(jìn)入系統(tǒng)，侵入者從無特權(quán)開始 ? 入檢測系統(tǒng)主要關(guān)心 遠(yuǎn)程侵入 網(wǎng)絡(luò)入侵的一般步驟 ? 目標(biāo)探測和信息收集 ? 自身隱藏 ? 利用漏洞侵入主機(jī) ? 穩(wěn)固和擴(kuò)大戰(zhàn)果 ? 清除日志 目標(biāo)探測和信息收集 ? 利用掃描器軟件掃描 ? 端口掃描 ? 漏洞掃描 ? 常用掃描器軟件： SATAN，流光， Mscan ? 利用 snmp了解網(wǎng)絡(luò)結(jié)構(gòu) ? 搜集網(wǎng)絡(luò)管理信息 ? 網(wǎng)絡(luò)管理軟件也成為黑客入侵的一直輔助手段 自身隱藏 ? 典型的黑客使用如下技術(shù)來隱藏 IP地址 ? 通過 tel在以前攻克的 Unix主機(jī)上跳轉(zhuǎn) ? 通過終端管理器在 windows主機(jī)上跳轉(zhuǎn) ? 配置代理服務(wù)器 ? 更高級的黑客，精通利用電話交換侵入主機(jī) 利用漏洞侵入主機(jī) ? 已經(jīng)利用掃描器發(fā)現(xiàn)漏洞 ? 例如 CGI/IIS漏洞 ? 充分掌握系統(tǒng)信息 ? 進(jìn)一步入侵 穩(wěn)固和擴(kuò)大戰(zhàn)果 ? 安裝后門 ? BO，冰河 ? 添加系統(tǒng)賬號 ? 添加管理員賬號 ? 利用 LKM ? Loadable Kernel Modules ? 動態(tài)加載 ? 無需重新編譯內(nèi)核 ? 利用信任主機(jī) ? 控制了主機(jī)以后，可以利用該主機(jī)對其它鄰近和信任主機(jī)進(jìn)行入侵 ? 控制了代理服務(wù)器，可以利用該服務(wù)器對內(nèi)部網(wǎng)絡(luò)進(jìn)一步入侵 清除日志 ? 清除入侵日志 ? Windows ? 清除系統(tǒng)日志 ?
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1