入侵檢測技術(shù)第3章-資料下載頁
2025-05-11 20:43本頁面
【正文】 合起來的早期嘗試。 從數(shù)據(jù)分析手段看，入侵檢測通?？梢苑譃闉E用（ misuse） 入侵檢測和異常（ anomaly） 入侵檢測。 濫用入侵檢測的技術(shù)基礎(chǔ)是分析各種類型的攻擊手段，并找出可能的“攻擊特征”集合。濫用入侵檢測利用這些特征集合或者是對應(yīng)的規(guī)則集合，對當前的數(shù)據(jù)來源進行各種處理后，再進行特征匹配或者規(guī)則匹配工作，如果發(fā)現(xiàn)滿足條件的匹配，則指示發(fā)生了一次攻擊行為。 異常入侵檢測的假設(shè)條件是對攻擊行為的檢測可以通過觀察當前活動與系統(tǒng)歷史正常活動情況之間的差異來實現(xiàn)。 按照檢測方法的分類 比較而言，濫用入侵檢測比異常入侵檢測具備更好的確定解釋能力，即明確指示當前發(fā)生的攻擊手段類型，因而在諸多商用系統(tǒng)中得到廣泛應(yīng)用。另一方面，濫用入侵檢測具備較高的檢測率和較低的虛警率，開發(fā)規(guī)則庫和特征集合相對于建立系統(tǒng)正常模型而言，也要更方便、更容易。濫用檢測的主要缺點在于一般只能檢測到已知的攻擊模式。而異常檢測的優(yōu)點是可以檢測到未知的入侵行為。 從現(xiàn)有的實際商用系統(tǒng)來看，大多數(shù)都是基于濫用入侵檢測技術(shù)。不過，在若干種優(yōu)秀的入侵檢測系統(tǒng)中，也采用了不同形式的異常入侵檢測技術(shù)和對應(yīng)的檢測模塊。 聯(lián)合使用這兩種檢測技術(shù)勢在必行。 入侵檢測的分類標準還可以列舉其他，例如實時和非實時處理系統(tǒng)。 非實時的檢測系統(tǒng)通常在事后收集的審計日志文件基礎(chǔ)上，進行離線分析處理，并找出可能的攻擊行為蹤跡，目的是進行系統(tǒng)配置的修補工作，防范以后的攻擊。 實時處理系統(tǒng)實時監(jiān)控，并在出現(xiàn)異常活動時及時做出反應(yīng)。實時的概念是一個根據(jù)用戶需求而定的變量，當系統(tǒng)分析和處理的速度處于用戶需求范圍內(nèi)時，就可以稱為實時入侵檢測系統(tǒng)。 另外的分類標準 NFR公司的 NID系統(tǒng)，基本上是一種基于規(guī)則檢測的網(wǎng)絡(luò)入侵檢測系統(tǒng)，同時具備一些異常入侵檢測功能。 NFR公司的入侵檢測產(chǎn)品，其最大特點體現(xiàn)在獨一無二的設(shè)計架構(gòu)上，它設(shè)計了一套用于網(wǎng)絡(luò)管理和安全檢測的腳本語言 NCode， 可以用來創(chuàng)建入侵檢測的檢測特征庫。 NFR公司聯(lián)合其他公司創(chuàng)建大量的 NCode語言編寫的檢測組件程序。大部分 NCode組件是公開的。 具體的入侵檢測系統(tǒng) NFR公司的 NID系統(tǒng) RealSecure入侵檢測系統(tǒng)采用了分布式體系結(jié)構(gòu)，系統(tǒng)包含以下組件。 1. 工作組管理器 工作組管理器是入侵檢測系統(tǒng)的中央控制點，負責配置、管理 Sensor以及 Sensor所產(chǎn)生的事件數(shù)據(jù)的處理等工作。對 Sensor的管理是通過安全加密通道進行的。工作組管理器又包含以下幾個模塊。 （ 1） 控制臺 （ 2） 企業(yè)數(shù)據(jù)庫 （ 3） 事件收集器 ISS公司的 RealSecure 2. 傳感器 傳感器是具體負責執(zhí)行入侵檢測任務(wù)的部件，RealSecure傳感器包括 3種類型： （ 1） RealSecure Network Sensor 網(wǎng)絡(luò)傳感器 （ 2） RealSecure OS Sensor 操作系統(tǒng)傳感器 （ 3） RealSecure Server Sensor 服務(wù)器傳感器 RealSecure系統(tǒng)可以運行在 Windows NT/2021或者 Solaris系統(tǒng)平臺之上，近來又擴展到 Linux、 IBM AIX和 HPUX等系統(tǒng)平臺。 CyberCop Monitor是混合型的入侵檢測系統(tǒng)，通過單一控制臺提供基于網(wǎng)絡(luò)和主機的入侵檢測功能。值得注意的是， CyberCop Monitor的設(shè)計從一開始就是定位于混合型的結(jié)點檢測架構(gòu)，即它由兩個主要組件組成： 控制臺和代理，其中，代理在目標結(jié)點主機上執(zhí)行基于網(wǎng)絡(luò)或主機的檢測任務(wù)。檢測引擎的網(wǎng)絡(luò)檢測部分基于網(wǎng)絡(luò)結(jié)點的檢測技術(shù)，即僅僅分析該結(jié)點發(fā)送和接收的網(wǎng)絡(luò)分組，而不關(guān)心其他不發(fā)往所在結(jié)點的網(wǎng)絡(luò)分組。控制臺采取遠程的安全集中管理的模式，支持對多主機代理的安裝和配置，并負責產(chǎn)生用戶報告。 NAI公司的 CyberCop Monitor CyberCop Monitor的檢測代理中還包含了異常檢測組件，用來識別當前用戶行為與歷史活動的偏差情況。同時， CyberCop Monitor的網(wǎng)絡(luò)檢測代理還聲稱具備檢測長時間跨度端口掃描過程的能力。 除此之外， CyberCop Monitor的控制臺部分支持對警報事件加以過濾分析，以減少告警數(shù)量和簡化報告的特性。 Cisco公司的 Secure IDS是傳統(tǒng)的網(wǎng)絡(luò)入侵檢測系統(tǒng)，通常與硬件平臺捆綁銷售。 Secure IDS系統(tǒng)分為 3個基本組件： 傳感器、控制臺和入侵檢測系統(tǒng)模塊。其中，最后的 IDSM組件主要是指嵌入到各種Cisco網(wǎng)絡(luò)硬件中的檢測模塊。一般的 IDS組件是控制臺和傳感器，其中傳感器又可分為主機和網(wǎng)絡(luò)兩種類型，控制臺負責匯集各個傳感器的報告，并對各個傳感器進行配置和管理工作等。 Cisco的產(chǎn)品能方便有效地嵌入現(xiàn)有的路由器或者交換機平臺中。另外， Cisco的 IDS產(chǎn)品還能夠很好地與 HP公司的 OpenView安全管理產(chǎn)品很好地結(jié)合，從而提供與 SNMP協(xié)議兼容的管理特性和規(guī)范接口。 Cisco公司的 Cisco Secure IDS
畢業(yè)設(shè)計相關(guān)推薦
鄂ICP備17016276號-1