計(jì)算機(jī)網(wǎng)絡(luò)安全第八章(ids)(編輯修改稿)
2025-03-05 16:19 本頁(yè)面
【文章內(nèi)容簡(jiǎn)介】 絡(luò)的 IDS都有著自身獨(dú)到的優(yōu)勢(shì)，而且在某些方面是很好的互補(bǔ)?；旌闲?IDS就是采用這兩者結(jié)合的入侵檢測(cè)系統(tǒng)，那將是汲取了各自的長(zhǎng)處，又彌補(bǔ)了各自的不足的一種優(yōu)化設(shè)計(jì)方案。 通常這樣的系統(tǒng)一般為分布式結(jié)構(gòu)，由多個(gè)部件組成，它能同時(shí)分析來(lái)自主機(jī)系統(tǒng)的審計(jì)數(shù)據(jù)及來(lái)自網(wǎng)絡(luò)的數(shù)據(jù)通信流量信息。 3/5/2023 37 按系統(tǒng)各模塊的運(yùn)行方式分 目錄 IDS的分類(lèi) ? 集中式 IDS 在被保護(hù)網(wǎng)絡(luò)的各個(gè)網(wǎng)段中分別放置檢測(cè)器進(jìn)行數(shù)據(jù)包的搜集和分析，各個(gè)檢測(cè)器將檢測(cè)信息傳送到中央控制臺(tái)進(jìn)行統(tǒng)一處理，中央控制臺(tái)還會(huì)向各個(gè)檢測(cè)器發(fā)送命令。 ? 分布式 IDS 通常采用分布式智能代理的結(jié)構(gòu)，由一個(gè)或多個(gè)中央智能代理和大量分布在網(wǎng)絡(luò)各處的本地代理組成。其中本地代理負(fù)責(zé)處理本地事件，中央代理負(fù)責(zé)調(diào)控各個(gè)本地代理的工作以及從整體上完成對(duì)網(wǎng)絡(luò)事件進(jìn)行綜合分析的工作。檢測(cè)工作通過(guò)全部代理互相協(xié)作共同完成。 3/5/2023 38 根據(jù)時(shí)效性分 目錄 IDS的分類(lèi) ? 脫機(jī)分析 IDS 行為發(fā)生后，對(duì)產(chǎn)生的數(shù)據(jù)進(jìn)行分析。 ? 聯(lián)機(jī)分析 IDS 在數(shù)據(jù)產(chǎn)生的同時(shí)或者發(fā)生改變時(shí)進(jìn)行分析。 3/5/2023 39 IDS的檢測(cè)技術(shù) 目錄 ? 異常檢測(cè)技術(shù) ? 誤用檢測(cè)技術(shù) ? 其它檢測(cè)技術(shù) 3/5/2023 40 異常檢測(cè)技術(shù) — 基于行為的檢測(cè) 目錄 IDS的檢測(cè)技術(shù) ? 統(tǒng)計(jì)分析異常檢測(cè) ? 貝葉斯推理異常檢測(cè) ? 神經(jīng)網(wǎng)絡(luò)異常檢測(cè) ? 模式預(yù)測(cè)異常檢測(cè) ? 數(shù)據(jù)挖掘異常檢測(cè) ? 機(jī)器學(xué)習(xí)異常檢測(cè) 3/5/2023 41 統(tǒng)計(jì)分析異常檢測(cè) 目錄 IDS的檢測(cè)技術(shù) 異常檢測(cè)技術(shù) 首先對(duì)系統(tǒng)或用戶(hù)的行為按照一定的時(shí)間間隔進(jìn)行采樣，樣本的內(nèi)容包括每個(gè)會(huì)話(huà)的登錄、退出情況， CPU和內(nèi)存的占用情況，硬盤(pán)等存儲(chǔ)介質(zhì)的使用情況等。對(duì)每次采集到的樣本進(jìn)行計(jì)算，得出一系列的參數(shù)變量來(lái)對(duì)這些行為進(jìn)行描述，從而產(chǎn)生行為輪廓，將每次采樣后得到的行為輪廓與已有輪廓進(jìn)行合并，最終得到系統(tǒng)和用戶(hù)的正常行為輪廓。 IDS通過(guò)將當(dāng)前采集到的行為輪廓與正常行為輪廓相比較，從而來(lái)檢測(cè)網(wǎng)絡(luò)是否被入侵。 2 之 1 3/5/2023 42 特 點(diǎn) 目錄 IDS的檢測(cè)技術(shù) 異常檢測(cè)技術(shù) ? 優(yōu)點(diǎn) ? 所應(yīng)用的技術(shù)方法在統(tǒng)計(jì)學(xué)中已經(jīng)比較成熟。 ? 缺點(diǎn) ? 異常閥值難以確定：閥值設(shè)置得偏低會(huì)產(chǎn)生過(guò)多的誤檢，偏高會(huì)產(chǎn)生過(guò)多的漏檢。 ? 對(duì)事件發(fā)生的次序不敏感：可能會(huì)漏檢由先后發(fā)生的幾個(gè)關(guān)聯(lián)事件組成的入侵行為。 ? 對(duì)行為的檢測(cè)結(jié)果要么是異常，要么是正常，攻擊者可以利用這個(gè)弱點(diǎn)躲避 IDS的檢測(cè)。 2 之 2 3/5/2023 43 神經(jīng)網(wǎng)絡(luò)異常檢測(cè) 目錄 IDS的檢測(cè)技術(shù) 異常檢測(cè)技術(shù) 3 之 1 基本思想：用一系列的信息單元（命令）訓(xùn)練神經(jīng)單元，這樣在給定一組輸入后，就可以預(yù)測(cè)輸出。 用于檢測(cè)的神經(jīng)網(wǎng)絡(luò)模塊結(jié)構(gòu)為：當(dāng)前命令和剛過(guò)去的 w個(gè)命令組成了網(wǎng)絡(luò)的輸入，其中 w是神經(jīng)網(wǎng)絡(luò)預(yù)測(cè)下一個(gè)命令時(shí)所包含的過(guò)去命令集的大小。根據(jù)用戶(hù)的代表性命令序列訓(xùn)練網(wǎng)絡(luò)后，該網(wǎng)絡(luò)就形成了相應(yīng)用戶(hù)的特征表，于是網(wǎng)絡(luò)對(duì)下一事件的預(yù)測(cè)錯(cuò)誤率在一定程度上反映了用戶(hù)行為的異常程度。 3/5/2023 44 圖 示 目錄 IDS的檢測(cè)技術(shù) 異常檢測(cè)技術(shù) 3 之 2 3/5/2023 45 特 點(diǎn) 目錄 IDS的檢測(cè)技術(shù) 異常檢測(cè)技術(shù) ? 優(yōu)點(diǎn) ? 不需要對(duì)數(shù)據(jù)進(jìn)行統(tǒng)計(jì)假設(shè)，能夠較好地處理原始數(shù)據(jù)的隨機(jī)性，并且能夠較好地處理干擾數(shù)據(jù)。 ? 缺點(diǎn) ? 網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)和各元素的權(quán)重難以確定，必須經(jīng)過(guò)多次嘗試。 ? W的大小難以確定：設(shè)置的小，則會(huì)影響輸出效果；設(shè)置的大，則由于神經(jīng)網(wǎng)絡(luò)要處理過(guò)多的無(wú)關(guān)數(shù)據(jù)而使效率下降。 3 之 3 3/5/2023 46 誤用檢測(cè)技術(shù) — 基于知識(shí)的檢測(cè) 目錄 IDS的檢測(cè)技術(shù) ? 專(zhuān)家系統(tǒng)誤用檢測(cè) ? 特征分析誤用檢測(cè) ? 模型推理誤用檢測(cè) ? 條件概率誤用檢測(cè) ? 鍵盤(pán)監(jiān)控誤用檢測(cè) 3/5/2023 47 專(zhuān)家系統(tǒng)誤用檢測(cè) 目錄 IDS的檢測(cè)技術(shù) 誤用檢測(cè)技術(shù) 首先將安全專(zhuān)家的關(guān)于網(wǎng)絡(luò)入侵行為的知識(shí)表示成一些類(lèi)似 ifthen的規(guī)則，并以這些規(guī)則為基礎(chǔ)建立專(zhuān)家知識(shí)庫(kù)。規(guī)則中的 if部分說(shuō)明形成網(wǎng)絡(luò)入侵的必需條件， then部分說(shuō)明發(fā)現(xiàn)入侵后要實(shí)施的操作。 IDS將網(wǎng)絡(luò)行為的審計(jì)數(shù)據(jù)事件進(jìn)行轉(zhuǎn)換，成為包含入侵警告程度的判斷事實(shí)，然后通過(guò)推理引擎進(jìn)行入侵檢測(cè)，當(dāng) if中的條件全部滿(mǎn)足或者在一定程度上滿(mǎn)足時(shí)， then中的動(dòng)作就會(huì)被執(zhí)行。 2 之 1 3/5/2023 48 特 點(diǎn) 目錄 IDS的檢測(cè)技術(shù) 誤用檢測(cè)技術(shù) ? 需要處理大量的審計(jì)數(shù)據(jù)并且依賴(lài)于審計(jì)追蹤的次序，在目前的條件下處理速度難以保證； ? 對(duì)于各種網(wǎng)絡(luò)攻擊行為知識(shí)進(jìn)行規(guī)則化描述的精度有待提高，審計(jì)數(shù)據(jù)有時(shí)不能提供足夠的檢測(cè)所需的信息； ? 專(zhuān)家系統(tǒng)只能檢測(cè)出已發(fā)現(xiàn)的入侵行為，要檢測(cè)出新的入侵，必須及時(shí)添加新的規(guī)則，維護(hù)知識(shí)庫(kù)的工作量很大。 2 之 2 3/5/2023 49 特征分析誤用檢測(cè) 目錄 IDS的檢測(cè)技術(shù) 誤用檢測(cè)技術(shù) 在商品化的 IDS中本技術(shù)運(yùn)用較多。特征分析誤用檢測(cè)與專(zhuān)家系統(tǒng)誤用檢測(cè)一樣，也需要搜集關(guān)于網(wǎng)絡(luò)入侵行為的各種知識(shí)，不同的是：特征分析更直接地使用各種入侵知識(shí)，它將入侵行為表示成一個(gè)事件序列或者轉(zhuǎn)換成某種可以直接在網(wǎng)絡(luò)數(shù)據(jù)包審計(jì)記錄中找到的數(shù)據(jù)樣板，為不進(jìn)行規(guī)則轉(zhuǎn)換，這樣就可以直接從審計(jì)數(shù)據(jù)中提取相應(yīng)的數(shù)據(jù)與之匹配，因此不需處理大量的數(shù)據(jù)，從而提高了效率。 3/5/2023 50 其它檢測(cè)技術(shù) 目錄 IDS的檢測(cè)技術(shù) ? 遺傳算法 ? 免疫技術(shù) 3/5/2023 51 遺傳算法 目錄 IDS的檢測(cè)技術(shù) 其它檢測(cè)技術(shù) 遺傳算法的基本原理是首先定義一組入侵檢測(cè)指令集，這些指令用于檢測(cè)出正?；虍惓５男袨椤Ｖ噶钪邪舾勺址?，所有的指令在定義初期的檢測(cè)能力都很有限，IDS對(duì)這些指令逐步地進(jìn)行訓(xùn)練，促使指令中的字符串片段發(fā)生重組，以生成新的字符串指令
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1