網(wǎng)絡(luò)安全技術(shù)基礎(chǔ)(下)(編輯修改稿)
2025-02-26 11:12 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 60。入侵檢測(cè)系統(tǒng) (Intrusion Detection System) 入侵檢測(cè)技術(shù)是為了保證計(jì)算機(jī)系統(tǒng)安全面而設(shè)置和配置的一種能夠及時(shí)發(fā)現(xiàn)并報(bào)告系統(tǒng)中未授權(quán)或異常行為的技術(shù)，是一種檢測(cè)計(jì)算機(jī)網(wǎng)絡(luò)中違反安全策略行為的技術(shù)。 入侵檢測(cè)被視為防火墻之后的第二道安全闡門(mén)，主要用來(lái)監(jiān)視和分析用戶和系統(tǒng)的活動(dòng)，能夠反映已知的攻擊模式并報(bào)警，同時(shí)監(jiān)控系統(tǒng)的異常模式，對(duì)于異常行為模式， IDS采用報(bào)表的方式進(jìn)行統(tǒng)計(jì)分析假如說(shuō)防火墻是一幢大樓的門(mén)鎖，那入侵監(jiān)測(cè)系統(tǒng)就是這假如說(shuō)防火墻是一幢大樓的門(mén)鎖，那入侵監(jiān)測(cè)系統(tǒng)就是這幢大樓里的監(jiān)視系統(tǒng)。幢大樓里的監(jiān)視系統(tǒng)。34IDS的主要類(lèi)型q 應(yīng)用軟件入侵監(jiān)測(cè)系統(tǒng)ApplicationIntrusionDetectionq 主機(jī)入侵監(jiān)測(cè)系統(tǒng)HostIntrusionDetectionq 網(wǎng)絡(luò)入侵監(jiān)測(cè)系統(tǒng)NetworkIntrusionDetectionq 集成入侵監(jiān)測(cè)系統(tǒng)IntegratedIntrusionDetection根據(jù) IDS工作位置和數(shù)據(jù)來(lái)源，可以分為：35網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)（ NIDS）? 網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng) (NIDS)在網(wǎng)絡(luò)中的某個(gè)節(jié)點(diǎn)上裝有探測(cè)器來(lái)監(jiān)測(cè)整個(gè)網(wǎng)絡(luò) (工作對(duì)象基于網(wǎng)絡(luò) )q 特點(diǎn)： 在幾個(gè)很少的監(jiān)測(cè)點(diǎn)上進(jìn)行配置就可以監(jiān)控一個(gè)網(wǎng)絡(luò)中所發(fā)生的入侵行為 。 IDS所不能監(jiān)測(cè)到的某些攻擊 (如 DOS、 Teardrop)— 通過(guò)分析 IP包的頭可以捕捉這些須通過(guò)分析包頭才能發(fā)現(xiàn)的攻擊 。 基于網(wǎng)絡(luò)的 IDS與所監(jiān)測(cè)的主機(jī)所運(yùn)行的操作系統(tǒng)無(wú)關(guān)，而主機(jī) IDS則必須在特定的操作系統(tǒng)下才能運(yùn)行 。 與之相比，主機(jī) IDS只能檢測(cè)到成功的攻擊，而很多未成功的攻擊對(duì)系統(tǒng)的風(fēng)險(xiǎn)評(píng)估成到關(guān)鍵的作用 。 網(wǎng)絡(luò) IDS可以在攻擊發(fā)生的同時(shí)將其檢測(cè)出來(lái)，并進(jìn)行實(shí)時(shí)的報(bào)警和響應(yīng)。36NIDSCIDF模型CIDF模型（ CommonIntrusionDetectionFrame）組件：– 事件產(chǎn)生器（ Eventgenerators）– 事件分析器（ Eventanalyzers）– 響應(yīng)單元（ Responseunits）– 事件數(shù)據(jù)庫(kù)（ Eventdatabases）37NIDS部署方式HUBMonitoredServersConsoleIDSSensorsL4或 L7交換設(shè)備38主機(jī)入侵檢測(cè)系統(tǒng)（ HIDS）q 主機(jī)入侵檢測(cè)系統(tǒng) (HIDS) 在網(wǎng)絡(luò)中所監(jiān)測(cè)的每臺(tái)主機(jī)上都裝有探測(cè)器 (工作對(duì)象基于主機(jī) )q HIDS特點(diǎn) : 比網(wǎng)絡(luò) IDS更準(zhǔn)確的判定攻擊是否成功 。 對(duì)于每一個(gè)用戶 (尤其是系統(tǒng)管理員 )上網(wǎng)下網(wǎng)的信息、連入網(wǎng)絡(luò)后的行為和所受到的入侵行為監(jiān)測(cè)的更為詳細(xì)，記錄的更準(zhǔn)確 。 IDS檢測(cè)不到的特殊攻擊 如某服務(wù)器上有人 直接對(duì)該機(jī)進(jìn)行非法操作 。 在某些特殊的加密網(wǎng)絡(luò)環(huán)境中，由于網(wǎng)絡(luò) IDS所需要的網(wǎng)絡(luò)環(huán)境不能滿足，所以在這種地方應(yīng)用主機(jī) IDS就可以完成這一地方的監(jiān)測(cè)任務(wù) 與網(wǎng)絡(luò) IDS相比，不需要專(zhuān)用的硬件檢測(cè)系統(tǒng)，降低的硬件成本39IDS部署示意InterIDS1IDS2IDS3 IDS4子網(wǎng) A 子網(wǎng) B交換機(jī)帶主機(jī) IDS感應(yīng)器的服務(wù)器服務(wù)器含 HIDS的網(wǎng)絡(luò)體系結(jié)構(gòu)40IDS檢測(cè)技術(shù)q 簽名分析法SignatureAnalysisq 統(tǒng)計(jì)分析法StatisticsAnalysisq 數(shù)據(jù)完整性分析法DataIntegrationAnalysis入侵檢測(cè)系統(tǒng)按照其檢測(cè)原理可以分為以下類(lèi)型：41IDS工作原理－ NIDS抓包– 從鏈路層抓包– 分析數(shù)據(jù)包模式匹配EtherIPTCPEtherIPTCP協(xié)議分析HTTPUnicodeXML42IDS工作原理－模式匹配模式匹配 (Pattern Matching)252。 效率低 對(duì)每一條事件都要與事件庫(kù)中的 特征事件進(jìn)行對(duì)比，工作量大。 252。 誤報(bào)多 如果兩個(gè)攻擊事件具有極其相近的特征，在對(duì)比的過(guò)程中容易產(chǎn)生誤報(bào)，而錯(cuò)過(guò)真實(shí)的問(wèn)題。模式匹配舉例 較早版本的 Sendmail
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1