【文章內(nèi)容簡介】 審計事件查閱 ? 訪問控制權(quán)限? 易于理解日志審計分析 ? 日志的分析可以分為手工和自動的方式，通常，對日志的自動分析任務可以由入侵檢測系統(tǒng)完成。但是，手工分析往往是日志分析不可缺少的部分自動響應 ? 對日志的自動分析和自動響應通常由入侵檢測系統(tǒng)實現(xiàn)? 自動相應可以是報警、自動采取某些安全措施，等等SolarisBSM（ BasicSecurityModel）BSM用戶級審計記錄包括：? 進程名? 手冊頁參考? 審計事件號? 審計事件名? 審計記錄結(jié)構(gòu)BSM核心級審計記錄包括：? 系統(tǒng)調(diào)用名? 手冊頁參考? 審計事件號? 審計事件名? 審計事件類? 事件屏蔽? 審計記錄結(jié)構(gòu)WIN2023日志結(jié)構(gòu)數(shù)據(jù) 時間 用戶名 計算機名事件 ID 源 類型 種類可變內(nèi)容，依賴于事件，可以時問題的文本解釋和糾正措施的建議附加域。如果采用的話，包含可以字節(jié)或字顯示的二進數(shù)據(jù)及事件記錄的源應用產(chǎn)生的信息記錄頭事件描述附加數(shù)據(jù)WIN2023日志舉例 (1)? 事件類型 : 成功審核? 事件來源 : Security? 事件種類 : 登錄 /注銷 ? 事件 ID: 538? 日期 : 202399? 時間 : 20:47:04WIN2023日志舉例 (2)? 用戶 : QU\hiiri? 計算機 :QU? 描述 :? 用戶注銷 :– 用戶名 : hiiri– 域 : QU– 登錄 ID: (0x0,0x504001)– 登錄類型 : 7防火墻日志舉例 (CheckPointFirewall1)? 19May0017:31:59[時間戳 ]? drop[動作 ]? inbound[方向 ]? udp[傳輸層協(xié)議 ]? [源地址 ]? [目標地址 ]? biosns[目標端口 ]? biosns[源端口 ]? 78[包長度 ]IDS日志舉例 (Snort)課程內(nèi)容? 防火墻? VPN? 內(nèi)外網(wǎng)隔離? 日志審計? 入侵檢測? 隱患掃描? PKI(CA)? PGP? 安全加固? 防病毒入侵檢測（ IntrusionDetection） ? 入侵檢測定義? 入侵檢測方法 ? 入侵檢測系統(tǒng)結(jié)構(gòu)入侵檢測（ IntrusionDetection） ? 入侵檢測定義– 入侵檢測與入侵檢測系統(tǒng)（ IDS)– 入侵檢測系統(tǒng)基本框架 ? 入侵檢測方法 ? 入侵檢測系統(tǒng)結(jié)構(gòu)什么是入侵檢測? 入侵檢測（ IntrusionDetection） 是檢測計算機網(wǎng)絡和系統(tǒng)以發(fā)現(xiàn)違反安全策略事件的過程? IDS? 入侵檢測系統(tǒng)包括三個功能組件– 提供事件記錄流的信息源– 發(fā)現(xiàn)入侵跡象的分析引擎– 基于分析引擎的結(jié)果產(chǎn)生反應的響應部件入侵檢測系統(tǒng)基本框架 入侵檢測（ IntrusionDetection） ? 入侵檢測定義? 入侵檢測方法 – 異常入侵檢測技術(shù) – 異常檢測典型系統(tǒng)－ TripWare– 誤用入侵檢測技術(shù) – 誤用檢測典型系統(tǒng)－ Snort? 入侵檢測系統(tǒng)結(jié)構(gòu)異常入侵檢測技術(shù) (1)? 異常檢測主要根據(jù)合法行為（狀態(tài)）定義來分析系統(tǒng)是否受到攻擊或者運行異常? 是目前入侵檢測技術(shù)的主要研究發(fā)展方向? 典型應用： CPU使用率，內(nèi)存使用率，網(wǎng)絡流量，用戶行為，系統(tǒng)調(diào)用等等 異常入侵檢測技術(shù) (2)? 優(yōu)點：– 可以檢測到未知攻擊– 知識庫相對穩(wěn)定 ? 缺點：– 準確性差– 誤報率高 異常檢測典型系統(tǒng)－TripWare(1)? TripWare主要利用關(guān)鍵性文件的摘要作為自己知識庫，合法用戶修改文件后要更新該文件摘要，由于非法用戶無權(quán)更改其摘要，所以當發(fā)現(xiàn)文件摘要和保存的記錄不符時，判定系統(tǒng)受到攻擊。 異常檢測典型系統(tǒng)－TripWare(2)? 優(yōu)點：– 實現(xiàn)簡單– 管理方便? 缺點：– 檢測能力差 誤用入侵檢測技術(shù) (1)? 誤用檢測根據(jù)非法行為（狀態(tài)）定義，分析目標系統(tǒng)狀態(tài)，以確定是否受到攻擊 ? 技術(shù)較為成熟，為絕大多數(shù)市場產(chǎn)品采用? 典型應用：– 網(wǎng)絡數(shù)據(jù)包– 用戶指令序列– 應用程序編碼特征，等等 誤用入侵檢測技術(shù) (2)? 優(yōu)點– 準確– 高效（相對）– 易實現(xiàn)? 缺點– 不能檢測未知攻擊– 知識庫會無限增長– 描述所有攻擊行為困難誤用檢測典型系統(tǒng)－ Snort (1)? Snort是一個典型的輕量級誤用網(wǎng)絡入侵檢測系統(tǒng)。該系統(tǒng)自己定義了一套規(guī)則語言來定義入侵行為，規(guī)則語言所描述的主要是網(wǎng)絡數(shù)據(jù)包的特性，比如地址、端口、包頭屬性、包含的特殊數(shù)據(jù)等等。 誤用檢測典型系統(tǒng)－ Snort (2)? Snort規(guī)則語言（示例）– log tcp any any – alert tcp any any (content: /cgibin/phf。msg PHF probe!) – alert tcp ! 6000:6010 ( msg: X traffic。) – alert tcp any any (content:|E8C0 FFF FF|/bin/sh。 msg:New IMAP Buffer Overflow detected!。) 誤用檢測典型系統(tǒng)－ Snort (3) ? 優(yōu)點 :– 檢測的準確度比較高? 缺點 :– 檢測的效率低– 對復雜攻擊檢測能力差– 容易被欺騙 入侵檢測（ IntrusionDetection） ? 入侵檢測定義? 入侵檢測方法? 入侵檢測系統(tǒng)結(jié)構(gòu)– 基于主機系統(tǒng)的結(jié)構(gòu) – 基于網(wǎng)絡系統(tǒng)的結(jié)構(gòu)基于主機系統(tǒng)的結(jié)構(gòu)? 其檢測目標主要是主機系統(tǒng)和系統(tǒng)本地用戶? 根據(jù)主機的審計數(shù)據(jù)和系統(tǒng)的日志發(fā)現(xiàn)可疑事件? 依賴于審計數(shù)據(jù)和系統(tǒng)日志的準確性和完整性基于網(wǎng)絡系統(tǒng)的結(jié)構(gòu)? 根據(jù)網(wǎng)絡流量和單臺或多臺主機的審計數(shù)據(jù)對入侵行為進行檢測。? 由探測器和分析器以及網(wǎng)絡安全知識庫組成? 具有配置簡單，服務器平臺獨立性等優(yōu)點課程內(nèi)容? 防火墻? VPN? 內(nèi)外網(wǎng)隔離? 日志審計? 入侵檢測? 隱患掃描? PKI(CA)? PGP? 安全加固? 防病毒隱患掃描（ vulnerabilitiesscanning） ? 網(wǎng)絡弱點掃描 ? 主機弱點掃描 ? 特定應用弱點掃描隱患掃描（ vulnerabilitiesscanning） ? 網(wǎng)絡弱點掃描 –功能分類–常用掃描工具? 主機弱點掃描 ? 特定應用弱點掃描什么是網(wǎng)絡弱點掃描 ? 定期或按需尋找網(wǎng)絡設備或網(wǎng)絡主機上的漏洞，從而可以對這些漏洞進行及時彌補，以改善網(wǎng)絡的安全性網(wǎng)絡掃描器功能分類 ? 簡單漏洞識別與分析 ? 全面漏洞識別與分析 簡單漏洞識別與分析? 許多工具能實現(xiàn)相對有限的安全檢測。這些工具可以自動進行目標主機的TCP/IP端口掃描，嘗試連接存在已知漏洞的服務端口，并且記錄下目標主機的反應? 它們可以為特定的系統(tǒng)特性實現(xiàn)安全配置檢查 全面漏洞識別與分析 ? 掃描漏洞范圍更廣? 對漏洞進行分析? 提出的建議，減輕潛在的安全風險 常用掃描工具? SATAN? Nessus? ISSInterScannerSATAN(1)? SATAN： SecurityAnalysisToolforAuditingNetworks? 其基本功能是通過 finger， NFS， ftp，NIS， Web等服務盡可能的搜集目標主機和網(wǎng)絡的相關(guān)信息 ? 并具有簡單的推理功能 SATAN(2)? 具有良好的可擴展性? 最核心部分對操作系統(tǒng)類型、網(wǎng)絡服務名稱、漏洞信息和其他細節(jié)信息依賴性很小 ? 提供了較為靈活的方式供用戶添加自己的探測模塊 ,用戶可以自己編寫一個可執(zhí)行文件，以 .satan結(jié)尾 NESSUS? 一個公開代碼的安全評估工具 ? 有靈活 Plugin結(jié)構(gòu)，強大的掃描功能，并且具有很好的擴展性 ? 自己提供了一個語言 NASL用于用戶自己開發(fā)測試模塊 ISSInterScanner(1)? 針對網(wǎng)絡上主機網(wǎng)絡連接相關(guān)信息，分析主機系統(tǒng)平臺，提供的服務，并分析是否存弱點 ? 其可以診斷出的弱點包括：– 對 PC、