入侵檢測(cè)技術(shù)概論(編輯修改稿)
2025-03-11 13:38 本頁面
【文章內(nèi)容簡介】 n 預(yù)處理器模塊： TCP流重組、統(tǒng)計(jì)分析，等n ……異常檢測(cè)的網(wǎng)絡(luò) IDSn 基于規(guī)則和特征匹配的 NIDS的缺點(diǎn)n 對(duì)于新的攻擊不能正確識(shí)別n 人工提取特征，把攻擊轉(zhuǎn)換成規(guī)則，加入到規(guī)則庫中n 異常檢測(cè)的 NIDS可以有一定的自適應(yīng)能力n 利用網(wǎng)絡(luò)系統(tǒng)的已知流量模式進(jìn)行學(xué)習(xí)，把正常流量模式的知識(shí)學(xué)習(xí)到 IDS中n 當(dāng)出現(xiàn)新的攻擊時(shí)，根據(jù)異常行為來識(shí)別n 并且，對(duì)于新的攻擊以及異常的模式可以反饋到 IDS系統(tǒng)中異常檢測(cè)的網(wǎng)絡(luò) IDSn 目前出現(xiàn)了專門流量異常檢測(cè)設(shè)備n CiscoXT5600流量異常檢測(cè)器n 專用于防 DDOS攻擊基于主機(jī)的 IDS系統(tǒng)n 信息收集n 系統(tǒng)日志n 系統(tǒng)狀態(tài)信息n 特點(diǎn)： OS相關(guān)n 常用的分析技術(shù)n 統(tǒng)計(jì)分析n 狀態(tài)轉(zhuǎn)移分析n 關(guān)聯(lián)分析n ……基于主機(jī)的 IDS系統(tǒng)n 在分布式入侵檢測(cè)體系中，作為日志收集代理n 主機(jī)防火墻逐步擔(dān)當(dāng) IDS的職責(zé)n 瑞星n 卡巴斯基內(nèi)容概要n P2DR安全體系n 入侵檢測(cè)系統(tǒng)介紹n 入侵檢測(cè)系統(tǒng)分類n 入侵檢測(cè)系統(tǒng)用到的一些技術(shù)n 入侵檢測(cè)系統(tǒng)的研究和發(fā)展STATn STAT: A state transition analysis tool for intrusion detectionn 由美國加州大學(xué) Santa Barbaba分校開發(fā)n 從初始狀態(tài)到入侵狀態(tài)的轉(zhuǎn)移過程n 用有限狀態(tài)機(jī)來表示入侵過程n 初始狀態(tài)指入侵發(fā)生之前的狀態(tài)n 入侵狀態(tài)指入侵發(fā)生之后系統(tǒng)所處的狀態(tài)n 系統(tǒng)狀態(tài)通常用系統(tǒng)屬性或者用戶權(quán)限來描述n 用戶的行為和動(dòng)作導(dǎo)致系統(tǒng)狀態(tài)的轉(zhuǎn)變S1 S2 S3Assertions AssertionsAssertionsSTAT的優(yōu)缺點(diǎn)n 優(yōu)點(diǎn)：n 狀態(tài)轉(zhuǎn)移圖提供了一種針對(duì)入侵滲透模式的直觀的、高層次的、與審計(jì)記錄無關(guān)的表示方法n 用狀態(tài)轉(zhuǎn)移法，可以描述出構(gòu)成特定攻擊模式的特征行為序列n 狀態(tài)轉(zhuǎn)移圖給出了保證攻擊成功的特征行為的最小子集，從而使得檢測(cè)系統(tǒng)可以適應(yīng)相同入侵模式的不同表現(xiàn)形式n 可使攻擊行為在到達(dá)入侵狀態(tài)之前就被檢測(cè)到，從而采取措施阻止攻擊行為n 可以檢測(cè)協(xié)同攻擊和慢速攻擊n 缺點(diǎn)：n 狀態(tài) (assertions)和特征行為需要手工編碼n Assertions和特征用于表達(dá)復(fù)雜細(xì)致的入侵模式時(shí)可能無法表達(dá)n STAT只是一個(gè)框架，需要具體的實(shí)現(xiàn)或者與其他系統(tǒng)協(xié)同工作n STAT的速度相對(duì)比較慢STAT——USTATn USTAT： 用于 UNIX系統(tǒng)的 STAT實(shí)現(xiàn)n 包括四部分n 預(yù)處理器：對(duì)數(shù)據(jù)進(jìn)行過濾，并轉(zhuǎn)換為與系統(tǒng)日志文件無關(guān)的格式n 知識(shí)庫：包括狀態(tài)描述庫和規(guī)則庫。規(guī)則庫用于存放已知攻擊類型所對(duì)應(yīng)的狀態(tài)轉(zhuǎn)移規(guī)則；狀態(tài)描述庫存放系統(tǒng)在遭受不同類型攻擊下所出現(xiàn)的狀態(tài)n 推理引擎：根據(jù)預(yù)處理器給出的信息和狀態(tài)描述庫中定義的系統(tǒng)狀態(tài)，判斷狀態(tài)的變化并更新狀態(tài)信息。一旦發(fā)現(xiàn)可疑的安全威脅，通知決策引擎n 決策引擎：將安全事件通知管理員，或者采取預(yù)先定義的自動(dòng)響應(yīng)措施基于 STAT的 IDSn USTATn NSTATn 把 USTAT擴(kuò)展到多臺(tái)主機(jī)，從而可以檢測(cè)到針對(duì)多臺(tái)共享同一個(gè)網(wǎng)絡(luò)文件系統(tǒng)的主機(jī)的攻擊n NetSTATn 是一個(gè)基于網(wǎng)絡(luò)的 IDS， 分析網(wǎng)絡(luò)中的流量，找到代表惡意行為的數(shù)據(jù)包n WinSTATn 基于主機(jī)的 IDS， 分析 Windows NT的事件日志n WebSTATn 基于應(yīng)用的 IDS， 用 Apache Web Server的日志作為輸入n AlertSTATn 是一個(gè)高層的入侵關(guān)聯(lián)器，以其他檢測(cè)器的報(bào)警
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1