計(jì)算機(jī)網(wǎng)絡(luò)安全第八章(ids)(編輯修改稿)
2025-03-05 16:19 本頁面
【文章內(nèi)容簡介】 絡(luò)的 IDS都有著自身獨(dú)到的優(yōu)勢，而且在某些方面是很好的互補(bǔ)?；旌闲?IDS就是采用這兩者結(jié)合的入侵檢測系統(tǒng)，那將是汲取了各自的長處，又彌補(bǔ)了各自的不足的一種優(yōu)化設(shè)計(jì)方案。 通常這樣的系統(tǒng)一般為分布式結(jié)構(gòu)，由多個部件組成，它能同時分析來自主機(jī)系統(tǒng)的審計(jì)數(shù)據(jù)及來自網(wǎng)絡(luò)的數(shù)據(jù)通信流量信息。 3/5/2023 37 按系統(tǒng)各模塊的運(yùn)行方式分 目錄 IDS的分類 ? 集中式 IDS 在被保護(hù)網(wǎng)絡(luò)的各個網(wǎng)段中分別放置檢測器進(jìn)行數(shù)據(jù)包的搜集和分析，各個檢測器將檢測信息傳送到中央控制臺進(jìn)行統(tǒng)一處理，中央控制臺還會向各個檢測器發(fā)送命令。 ? 分布式 IDS 通常采用分布式智能代理的結(jié)構(gòu)，由一個或多個中央智能代理和大量分布在網(wǎng)絡(luò)各處的本地代理組成。其中本地代理負(fù)責(zé)處理本地事件，中央代理負(fù)責(zé)調(diào)控各個本地代理的工作以及從整體上完成對網(wǎng)絡(luò)事件進(jìn)行綜合分析的工作。檢測工作通過全部代理互相協(xié)作共同完成。 3/5/2023 38 根據(jù)時效性分 目錄 IDS的分類 ? 脫機(jī)分析 IDS 行為發(fā)生后，對產(chǎn)生的數(shù)據(jù)進(jìn)行分析。 ? 聯(lián)機(jī)分析 IDS 在數(shù)據(jù)產(chǎn)生的同時或者發(fā)生改變時進(jìn)行分析。 3/5/2023 39 IDS的檢測技術(shù) 目錄 ? 異常檢測技術(shù) ? 誤用檢測技術(shù) ? 其它檢測技術(shù) 3/5/2023 40 異常檢測技術(shù) — 基于行為的檢測 目錄 IDS的檢測技術(shù) ? 統(tǒng)計(jì)分析異常檢測 ? 貝葉斯推理異常檢測 ? 神經(jīng)網(wǎng)絡(luò)異常檢測 ? 模式預(yù)測異常檢測 ? 數(shù)據(jù)挖掘異常檢測 ? 機(jī)器學(xué)習(xí)異常檢測 3/5/2023 41 統(tǒng)計(jì)分析異常檢測 目錄 IDS的檢測技術(shù) 異常檢測技術(shù) 首先對系統(tǒng)或用戶的行為按照一定的時間間隔進(jìn)行采樣，樣本的內(nèi)容包括每個會話的登錄、退出情況， CPU和內(nèi)存的占用情況，硬盤等存儲介質(zhì)的使用情況等。對每次采集到的樣本進(jìn)行計(jì)算，得出一系列的參數(shù)變量來對這些行為進(jìn)行描述，從而產(chǎn)生行為輪廓，將每次采樣后得到的行為輪廓與已有輪廓進(jìn)行合并，最終得到系統(tǒng)和用戶的正常行為輪廓。 IDS通過將當(dāng)前采集到的行為輪廓與正常行為輪廓相比較，從而來檢測網(wǎng)絡(luò)是否被入侵。 2 之 1 3/5/2023 42 特 點(diǎn) 目錄 IDS的檢測技術(shù) 異常檢測技術(shù) ? 優(yōu)點(diǎn) ? 所應(yīng)用的技術(shù)方法在統(tǒng)計(jì)學(xué)中已經(jīng)比較成熟。 ? 缺點(diǎn) ? 異常閥值難以確定：閥值設(shè)置得偏低會產(chǎn)生過多的誤檢，偏高會產(chǎn)生過多的漏檢。 ? 對事件發(fā)生的次序不敏感：可能會漏檢由先后發(fā)生的幾個關(guān)聯(lián)事件組成的入侵行為。 ? 對行為的檢測結(jié)果要么是異常，要么是正常，攻擊者可以利用這個弱點(diǎn)躲避 IDS的檢測。 2 之 2 3/5/2023 43 神經(jīng)網(wǎng)絡(luò)異常檢測 目錄 IDS的檢測技術(shù) 異常檢測技術(shù) 3 之 1 基本思想：用一系列的信息單元（命令）訓(xùn)練神經(jīng)單元，這樣在給定一組輸入后，就可以預(yù)測輸出。 用于檢測的神經(jīng)網(wǎng)絡(luò)模塊結(jié)構(gòu)為：當(dāng)前命令和剛過去的 w個命令組成了網(wǎng)絡(luò)的輸入，其中 w是神經(jīng)網(wǎng)絡(luò)預(yù)測下一個命令時所包含的過去命令集的大小。根據(jù)用戶的代表性命令序列訓(xùn)練網(wǎng)絡(luò)后，該網(wǎng)絡(luò)就形成了相應(yīng)用戶的特征表，于是網(wǎng)絡(luò)對下一事件的預(yù)測錯誤率在一定程度上反映了用戶行為的異常程度。 3/5/2023 44 圖 示 目錄 IDS的檢測技術(shù) 異常檢測技術(shù) 3 之 2 3/5/2023 45 特 點(diǎn) 目錄 IDS的檢測技術(shù) 異常檢測技術(shù) ? 優(yōu)點(diǎn) ? 不需要對數(shù)據(jù)進(jìn)行統(tǒng)計(jì)假設(shè)，能夠較好地處理原始數(shù)據(jù)的隨機(jī)性，并且能夠較好地處理干擾數(shù)據(jù)。 ? 缺點(diǎn) ? 網(wǎng)絡(luò)的拓?fù)浣Y(jié)構(gòu)和各元素的權(quán)重難以確定，必須經(jīng)過多次嘗試。 ? W的大小難以確定：設(shè)置的小，則會影響輸出效果；設(shè)置的大，則由于神經(jīng)網(wǎng)絡(luò)要處理過多的無關(guān)數(shù)據(jù)而使效率下降。 3 之 3 3/5/2023 46 誤用檢測技術(shù) — 基于知識的檢測 目錄 IDS的檢測技術(shù) ? 專家系統(tǒng)誤用檢測 ? 特征分析誤用檢測 ? 模型推理誤用檢測 ? 條件概率誤用檢測 ? 鍵盤監(jiān)控誤用檢測 3/5/2023 47 專家系統(tǒng)誤用檢測 目錄 IDS的檢測技術(shù) 誤用檢測技術(shù) 首先將安全專家的關(guān)于網(wǎng)絡(luò)入侵行為的知識表示成一些類似 ifthen的規(guī)則，并以這些規(guī)則為基礎(chǔ)建立專家知識庫。規(guī)則中的 if部分說明形成網(wǎng)絡(luò)入侵的必需條件， then部分說明發(fā)現(xiàn)入侵后要實(shí)施的操作。 IDS將網(wǎng)絡(luò)行為的審計(jì)數(shù)據(jù)事件進(jìn)行轉(zhuǎn)換，成為包含入侵警告程度的判斷事實(shí)，然后通過推理引擎進(jìn)行入侵檢測，當(dāng) if中的條件全部滿足或者在一定程度上滿足時， then中的動作就會被執(zhí)行。 2 之 1 3/5/2023 48 特 點(diǎn) 目錄 IDS的檢測技術(shù) 誤用檢測技術(shù) ? 需要處理大量的審計(jì)數(shù)據(jù)并且依賴于審計(jì)追蹤的次序，在目前的條件下處理速度難以保證； ? 對于各種網(wǎng)絡(luò)攻擊行為知識進(jìn)行規(guī)則化描述的精度有待提高，審計(jì)數(shù)據(jù)有時不能提供足夠的檢測所需的信息； ? 專家系統(tǒng)只能檢測出已發(fā)現(xiàn)的入侵行為，要檢測出新的入侵，必須及時添加新的規(guī)則，維護(hù)知識庫的工作量很大。 2 之 2 3/5/2023 49 特征分析誤用檢測 目錄 IDS的檢測技術(shù) 誤用檢測技術(shù) 在商品化的 IDS中本技術(shù)運(yùn)用較多。特征分析誤用檢測與專家系統(tǒng)誤用檢測一樣，也需要搜集關(guān)于網(wǎng)絡(luò)入侵行為的各種知識，不同的是：特征分析更直接地使用各種入侵知識，它將入侵行為表示成一個事件序列或者轉(zhuǎn)換成某種可以直接在網(wǎng)絡(luò)數(shù)據(jù)包審計(jì)記錄中找到的數(shù)據(jù)樣板，為不進(jìn)行規(guī)則轉(zhuǎn)換，這樣就可以直接從審計(jì)數(shù)據(jù)中提取相應(yīng)的數(shù)據(jù)與之匹配，因此不需處理大量的數(shù)據(jù)，從而提高了效率。 3/5/2023 50 其它檢測技術(shù) 目錄 IDS的檢測技術(shù) ? 遺傳算法 ? 免疫技術(shù) 3/5/2023 51 遺傳算法 目錄 IDS的檢測技術(shù) 其它檢測技術(shù) 遺傳算法的基本原理是首先定義一組入侵檢測指令集，這些指令用于檢測出正常或異常的行為。指令中包含若干字符串，所有的指令在定義初期的檢測能力都很有限，IDS對這些指令逐步地進(jìn)行訓(xùn)練，促使指令中的字符串片段發(fā)生重組，以生成新的字符串指令
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1