【文章內(nèi)容簡(jiǎn)介】 在反動(dòng)系統(tǒng)中， IDS能夠以不同方式對(duì)各種可疑的活動(dòng)作出響應(yīng)。這些對(duì)可疑活動(dòng)的反應(yīng)方式包括：對(duì)離線的用戶進(jìn)行記錄，關(guān)掉某個(gè)連接，或甚至重新對(duì)防火墻進(jìn)行編程以阻斷來(lái)自可疑源地址的惡意網(wǎng)絡(luò)數(shù)據(jù)流。 IDS的發(fā)展趨勢(shì) 具有預(yù)測(cè)功能 安全廠商們正在開(kāi)發(fā)下一代具有預(yù)測(cè)功能的 IDS，即 IDS能夠識(shí)別并記錄攻擊，并且不會(huì)受到自身日志數(shù)據(jù)的影響，而且能夠進(jìn)行無(wú)憂的最小差錯(cuò)告警。 能夠辨別攻擊發(fā)生的時(shí)態(tài) 下一代 IDS將能夠辨別攻擊已經(jīng)發(fā)生、正在發(fā)生或可能發(fā)生。它利用指示器和告警、網(wǎng)絡(luò)監(jiān)控和管理數(shù)據(jù)、已知漏洞和威脅等信息，構(gòu)造一個(gè)攻擊復(fù)原程序。 采用蜜罐技術(shù) 密罐在設(shè)計(jì)時(shí)就是能夠使攻擊者進(jìn)入，一旦黑客進(jìn)入，我們就可以實(shí)現(xiàn)我們的許多目的。我們可以預(yù)警、建立入侵檢測(cè)機(jī)制，或阻斷入侵。 分布式跨平臺(tái)運(yùn)行 IDS系統(tǒng)是否能在不同的操作系統(tǒng)平臺(tái)（如 Windows， UNIX， Linux等）上運(yùn)行，也會(huì)限制這些技術(shù)的使用。 多系統(tǒng)聯(lián)動(dòng) 未來(lái)的 IDS將不是作為一個(gè)獨(dú)立的系統(tǒng)來(lái)運(yùn)行，它必須能夠與網(wǎng)絡(luò)中的其他設(shè)備實(shí)現(xiàn)互動(dòng)。它能夠從其它系統(tǒng)中獲得更多的有關(guān)攻擊的信息，降低誤報(bào)率，并采取主動(dòng)防御措施，以阻斷攻擊。 保留高質(zhì)量的日志作為起訴證據(jù) 日志必須保持特定的質(zhì)量，并且必須對(duì)網(wǎng)絡(luò)上所有計(jì)算機(jī)的操作、登錄和退出類(lèi)型進(jìn)行記錄。同時(shí)，對(duì)所收集的信息進(jìn)行保護(hù)以保持法律上的價(jià)值，是即時(shí)響應(yīng)計(jì)劃的一部分。如果 IDS沒(méi)有即時(shí)響應(yīng)計(jì)劃，實(shí)際上降低了 IDS自身的價(jià)值， IDS的日志就變成毫無(wú)價(jià)值的數(shù)據(jù)。 IDS的發(fā)展趨勢(shì) IDS應(yīng)用中的幾個(gè)問(wèn)題 IDS的選型要合理 在系統(tǒng)中 IDS的布臵也特別重要，究竟是選用基于主機(jī)的 IDS還是基于網(wǎng)絡(luò)的 IDS，或者兩種都要，這些需要根據(jù)組織機(jī)構(gòu)的安全策略而定。 要根據(jù)安全策略進(jìn)行評(píng)估 在選擇入侵檢測(cè)系統(tǒng)策略和產(chǎn)品之前，用戶必須對(duì)網(wǎng)絡(luò)的安全需求作徹底的分析。投資回報(bào)（ ROI— return on investment）雖然難以計(jì)算，但是在任何情況下，成本和收益需要加以權(quán)衡。在 IDS的成本得到正確判定之前，我們需要關(guān)注整個(gè)信息安全架構(gòu)中的許多問(wèn)題。評(píng)估的最后結(jié)果也許會(huì)認(rèn)為，選擇和實(shí)施 IDS是一種浪費(fèi)。用戶網(wǎng)絡(luò)中也許已經(jīng)擁有了某些技術(shù)，只不過(guò)沒(méi)有得到充分利用或沒(méi)有得到合理配臵。 IDS應(yīng)用中的幾個(gè)問(wèn)題（續(xù)） 成立安全協(xié)作小組 在對(duì)網(wǎng)絡(luò)的安全狀態(tài)進(jìn)行分析時(shí)，要求服務(wù)器的管理人員和網(wǎng)絡(luò)設(shè)備管理人員一起進(jìn)行協(xié)作。只有這樣，我們才能知道系統(tǒng)是否已經(jīng)對(duì)漏洞打了補(bǔ)丁，訪問(wèn)控制方案是否存在弱口令，對(duì) root或管理員的訪問(wèn)是否控制得當(dāng)。 對(duì)已知的漏洞打安全補(bǔ)丁 在所有廠商中，安全補(bǔ)丁是重點(diǎn)考慮的事情，應(yīng)該得到重點(diǎn)開(kāi)發(fā)。因此，在安裝 IDS之前，首先準(zhǔn)確認(rèn)識(shí)你的網(wǎng)絡(luò)或主機(jī)的安全狀態(tài)，把它們提高到一個(gè)基本的安全級(jí)別上，并且采用一定的維護(hù)手段使它們穩(wěn)定在所期望的安全等級(jí)上，也許更加有效。一旦完成了以上工作， IDS會(huì)對(duì)整個(gè)網(wǎng)絡(luò)的安全性發(fā)揮更大的作用。 一個(gè)好的 IDS應(yīng)具備哪些特性 用最少的人力干預(yù)連續(xù)運(yùn)行 它應(yīng)該在后臺(tái)運(yùn)行。內(nèi)部的工作應(yīng)該能夠從外部檢查到，所以它不是黑盒子。 容錯(cuò)是必須的 容錯(cuò)使它能夠從系統(tǒng)災(zāi)難中幸存下來(lái)，并且不需要重新啟動(dòng)，就可以重建知識(shí)數(shù)據(jù)庫(kù)。 它必須難以破壞 它應(yīng)該能夠監(jiān)視其本身存在的可疑活動(dòng)，這些活動(dòng)試圖削弱 IDS的檢測(cè)系統(tǒng)或試圖關(guān)機(jī)，從這個(gè)意義上講系統(tǒng)必須是自動(dòng)修復(fù)的（ selfhealing）。 性能是非常關(guān)鍵的 如果產(chǎn)生了性能問(wèn)題， IDS就不能用。 能夠發(fā)現(xiàn)異常行為 它必須能夠發(fā)現(xiàn)與正常網(wǎng)絡(luò)行為的偏離； 易于配置 對(duì)于它所監(jiān)控的系統(tǒng)來(lái)說(shuō)， IDS必須易于配臵。每一系統(tǒng)都有一個(gè)不同的使用模式， IDS的防護(hù)機(jī)制應(yīng)該易于適應(yīng)這些模式。 對(duì)環(huán)境有很強(qiáng)的適應(yīng)性 它應(yīng)該象一個(gè)變色龍，能夠適應(yīng)于它所處的環(huán)境，當(dāng)系統(tǒng)變化時(shí)，如當(dāng)系統(tǒng)增加新的應(yīng)用、升級(jí)和任何其它改變時(shí)，應(yīng)該能與系統(tǒng)保持同步改變。 必須考慮對(duì)其自身的防護(hù) 為了更有效， IDS必須具有嵌入式防護(hù)機(jī)制，并且它周?chē)沫h(huán)境應(yīng)該得到加固，使它難于被欺騙。 一個(gè)好的 IDS應(yīng)具備哪些特性 建立 IDS保護(hù)系統(tǒng)的步驟 行動(dòng) 1： 用戶必須愿意提供資源 （ 資金 、 人力和時(shí)間 ） 對(duì)當(dāng)前系統(tǒng)和網(wǎng)絡(luò)中存在的缺陷打安全補(bǔ)丁 ， 并且把網(wǎng)絡(luò)和主機(jī)的安全放在工作首位 。 行動(dòng) 2： 所有的系統(tǒng)和網(wǎng)絡(luò)管理員必須通過(guò)培訓(xùn) ， 掌握基本的安全技能 ， 并專(zhuān)注于消除基本的安全缺陷 。 培訓(xùn)主要應(yīng)集中在以下幾個(gè)方面：系統(tǒng)安全性泄露 、 漏洞測(cè)試 、 通常的攻擊及解決方案 、 防火墻設(shè)計(jì)和配臵 ， 以及一些其它的安全技巧 。 行動(dòng) 3： 一旦安全目標(biāo)已定 ， 我們就必須采取適當(dāng)?shù)男袆?dòng) 。 網(wǎng)絡(luò)和系統(tǒng)管理員需要保持技術(shù)更新 ， 并在系統(tǒng)和網(wǎng)絡(luò)的適當(dāng)位臵布臵安全防護(hù)措施和設(shè)備 ， 來(lái)監(jiān)控和維護(hù)系統(tǒng)的安全性 。 （六）虛擬專(zhuān)網(wǎng) — VPN ? VPN是在公眾數(shù)據(jù)網(wǎng)上建立私有數(shù)據(jù)網(wǎng)； ? VPN技術(shù)主要是隧道技術(shù)和密碼技術(shù)； ? 按其在不同層次上實(shí)現(xiàn)，可分四種： ?鏈路層 VPN ?網(wǎng)絡(luò)層 VPN ?傳輸層 VPN ?非 IP類(lèi) VPN ? VPN應(yīng)用領(lǐng)域包括： ?遠(yuǎn)程移動(dòng)用戶遠(yuǎn)程訪問(wèn)公司總部； ?總部與分支機(jī)構(gòu)在公網(wǎng)上組建內(nèi)域網(wǎng) ； ?內(nèi)域網(wǎng)與合作伙伴網(wǎng)絡(luò)連接形成外域網(wǎng)。 VPN隧道示意圖 Inter 隧道包 虛擬隧道 隧道端點(diǎn) 數(shù)據(jù)包 隧道包報(bào)頭 數(shù)據(jù)包 VPN應(yīng)用實(shí)例 VPN VPN 服務(wù)器 服務(wù)器 服務(wù)器 數(shù)據(jù)庫(kù) 數(shù)據(jù)庫(kù) 數(shù)據(jù)庫(kù) PC機(jī) PC機(jī) PC機(jī) 電話 電話 電話 傳真 傳真 傳真 總公司 分公司 分公司 VPN Inter VPN支持移動(dòng)用戶遠(yuǎn)程上網(wǎng) 遠(yuǎn)程 LAN 公司 LAN VPN VPN Modems 移動(dòng)終端 （ VPN客戶端） Inter 物理隔離系統(tǒng) ? 內(nèi)外網(wǎng)的安全隔離。 管理保障 成立網(wǎng)絡(luò)安全領(lǐng)導(dǎo)小組 要從上到下把網(wǎng)絡(luò)安全重視起來(lái)，由行政領(lǐng)導(dǎo)牽頭，技術(shù)部門(mén)負(fù)責(zé)，系統(tǒng)和管理員參與，成立安全管理領(lǐng)導(dǎo)監(jiān)督小組。 加強(qiáng)網(wǎng)絡(luò)安全項(xiàng)目的建設(shè)和管理，負(fù)責(zé)貫徹國(guó)家有關(guān)網(wǎng)絡(luò)安全的法律、法規(guī)，落實(shí)各項(xiàng)網(wǎng)絡(luò)安全措施； 督促有關(guān)部門(mén)對(duì)用戶進(jìn)行安全教育，監(jiān)督、檢查、指導(dǎo)網(wǎng)絡(luò)安全工作。 監(jiān)督網(wǎng)絡(luò)安全管理制度的執(zhí)行和貫徹，查處違反網(wǎng)絡(luò)安全管理的違紀(jì)、違規(guī)行為。 協(xié)助、配合公安機(jī)關(guān)查處網(wǎng)絡(luò)犯罪行為。 制訂一套完整的安全方案 一套完整的安全方案是整個(gè)系統(tǒng)安全的有力保障，要結(jié)合自己實(shí)際的網(wǎng)絡(luò)狀況，從人力、物力、財(cái)力做好部署與配臵，由于安全方案涉及到了安全理論、安全產(chǎn)品、網(wǎng)絡(luò)技術(shù)、系統(tǒng)技術(shù)實(shí)現(xiàn)等多方面專(zhuān)業(yè)技能，并且要求要有較高的認(rèn)知能力，大多數(shù)企業(yè)、公司、政府等可能不具備此能力，此時(shí)可以聘請(qǐng)專(zhuān)業(yè)安全顧問(wèn)公司來(lái)完成。大多安全顧問(wèn)公司在做安全方案方面有著豐富的經(jīng)驗(yàn)，能夠制