security_06_網(wǎng)絡(luò)安全技術(shù)-資料下載頁
2024-10-16 16:41本頁面
【正文】 ? 首先對已知的攻擊方法進行攻擊簽名表示，然后根據(jù)已經(jīng)定義好的攻擊簽名，通過判斷這些攻擊簽名是否出現(xiàn)來判斷入侵行為，是一種直接的方法。 誤用入侵檢測模型 模式庫 攻擊者 報警 匹配 異常檢測與誤用檢測比較 ? 異常檢測是試圖發(fā)現(xiàn)一些 未知 的入侵行為，誤用檢測是標(biāo)識一些 已知 的入侵行為。 ? 異常檢測是根據(jù)使用者的行為或資源使用情況來判斷是否入侵，不依賴于具體行為是否出現(xiàn)來檢測，而誤用檢測系統(tǒng)則通過對具體行為的判斷和推理檢測入侵。 ? 異常檢測的主要缺陷在于誤檢率很高，而誤用檢測系統(tǒng)由于依據(jù)具體特征庫進行判斷，準(zhǔn)確率較高。 ? 異常檢測系統(tǒng)的具體系統(tǒng)的依賴性相對較小，而誤用檢測對具體系統(tǒng)的依賴性很強，移植性不好 入侵檢測分析方法 ? 介紹兩種入侵檢測的分析方法，并比較其優(yōu)缺點，一類是異常檢測技術(shù)，另一類是誤用檢測技術(shù)。 異常檢測技術(shù) ? 異常檢測的主要前提是入侵活動是異常活動的子集，理想情況是異?；顒蛹c入侵活動集相等。但實際上，入侵性活動集并不是總與異常活動集相符合，這樣就存在 4種可能性： ? （ 1）入侵性而非異常； ? （ 2）非入侵性而正常； ? （ 3）非入侵性而非異常； ? （ 4）入侵性而異常。 因此異常入侵檢測要解決的問題是在這些活動集中發(fā)現(xiàn)入侵活動集。 異常檢測技術(shù)的分類 ? 統(tǒng)計分析檢測方法 ? 神經(jīng)網(wǎng)絡(luò)檢測方法 ? 機器學(xué)習(xí)檢測方法 ? 特征選擇檢測方法 異常檢測技術(shù) — 統(tǒng)計分析方法 ? 統(tǒng)計分析方法首先給系統(tǒng)對象（如用戶文件、目錄和設(shè)備等）創(chuàng)建一個統(tǒng)計描述，統(tǒng)計正常使用時的一些測量屬性（如訪問次數(shù)、操作失敗次數(shù)和延時等），測量屬性的平均值將被用來與網(wǎng)絡(luò)系統(tǒng)的行為進行比較。任何觀察值在正常值范圍之外時，就認(rèn)為有入侵發(fā)生。例如，統(tǒng)計分析發(fā)現(xiàn)一個在早八點至晚六點不登錄的帳戶，卻在凌晨兩點試圖登錄，然后可能會標(biāo)識成一個入侵行為。 ? 統(tǒng)計分析的優(yōu)點是它可以 “ 學(xué)習(xí) ” 用戶的使用習(xí)慣，從而具有較高的檢測率和可用性。 統(tǒng)計分析方法 — 貝葉斯（ Bayes）分類算法 ? 貝葉斯分類算法是一種基于統(tǒng)計分析的典型算法，具有最小錯誤率的概率分類算法，它根據(jù)所觀察到的數(shù)據(jù)及概率進行推算，從而做出最優(yōu)的抉擇。 貝葉斯算法的基本思路 ? 在入侵檢測中，我們通過對隨機事件的數(shù)據(jù)進行預(yù)處理，提取其相應(yīng)特征，得到一隨機矢量 ，其中 表示系統(tǒng)不同方面的特征，（如磁盤 I/O的互動數(shù)量，系統(tǒng)中的頁面出錯率等）。 ? 貝葉斯分類算法就是把檢測對象的行為進行分類，即對隨機矢量 分類，比如分為正常行為，異常行為和入侵行為等。此時要求知道該變量對每一類行為的概率分布，然后根據(jù)貝葉斯定理得到每個類別的概率，最后將其歸入概率最高的類別。 12( , , ... )nX a a aia12( , , ... )nX a a a貝葉斯算法的具體方法 （ 1）假設(shè)已知先驗概率 其中 ， 為類別的總數(shù)，和該變量對每一類行為的條件概率分布 ， （ 2）根據(jù)每一類別定義一個判別函數(shù) ， 并且以后驗概率作為判別函數(shù)，即 （ 3）判別規(guī)則：如果， ，則 （ 4）該決策使得在在觀測值下 的錯誤率最小 ? ?ip ? 1 , 2 , ...ic? c? ?igX? ?ixP ? 1 , 2 , ...ic?? ? ? ?xpxg ii ??1 , 2 , ...ic?? ? ? ?? ?xgm a xxg iii ? ix ??x 后驗概率的計算 甴上述公式可以看出，只需比較 即可。 公式可簡化為： 但是對于條件概率的選取，要求模型合理化和計算可行性，在實際中，可選取正態(tài)分布的概率密度模型。 ? ? ? ?? ? ? ? ? ?? ? ? ?jjjiiii xPPxPpxPxPxP????????? ，? ? ? ?ii xPP ??? ? ? ? ? ?iiiij xPPm a xa r gxPm a xa r g ??? ?貝葉斯算法的優(yōu)點 ? 在入侵檢測中采用貝葉斯分類算法，是在現(xiàn)有網(wǎng)絡(luò)入侵的算法存在誤報率基礎(chǔ)上，通過學(xué)習(xí)減少誤報率的一種有效算法 異常檢測算法 — 神經(jīng)網(wǎng)絡(luò)檢測法 ? 神經(jīng)網(wǎng)絡(luò)檢測是將神經(jīng)網(wǎng)絡(luò)算法用于對系統(tǒng)和用戶的學(xué)習(xí)。通過訓(xùn)練神經(jīng)網(wǎng)絡(luò)連續(xù)的信息單元來進行入侵檢測，網(wǎng)絡(luò)的輸入層由用戶當(dāng)前輸入的命令和已執(zhí)行的 W個命令組成；用戶執(zhí)行過的命令被用來預(yù)測用戶輸入的下一個命令。當(dāng)神經(jīng)網(wǎng)絡(luò)預(yù)測不出某用戶正確的后續(xù)指令，表明有異常事件發(fā)生，以此進行入侵檢測。 異常檢測算法 — 機器學(xué)習(xí)檢測法 ? 通過機器學(xué)習(xí)實現(xiàn)入侵檢測，主要方法有死記硬背式、監(jiān)督學(xué)習(xí)、歸納學(xué)習(xí)、類比學(xué)習(xí)等。 ? 根據(jù)離散數(shù)據(jù)臨時序列學(xué)習(xí)獲得個體、系統(tǒng)和網(wǎng)絡(luò)的行為特征，并提出基于相似度實例的學(xué)習(xí)方法。 ? 該方法通過新的序列相似度計算將原始數(shù)據(jù)轉(zhuǎn)化為可度量的空間，從而進行入侵檢測。 異常檢測技術(shù) — 特征選擇檢測方法 ? 在一組度量中挑選能檢測出入侵的度量構(gòu)成子集，來準(zhǔn)確地預(yù)測或分類以檢測到的入侵。但判斷符合實際的度量是復(fù)雜的，因為合適地選擇度量子集依賴于檢測到的入侵類型 異常檢測技術(shù)的優(yōu)缺點 ? 優(yōu)點 ? 能夠檢測出新的網(wǎng)絡(luò)入侵方法的攻擊 ? 較少依賴于特定的主機操作系統(tǒng) ? 對于內(nèi)部合法用戶的越權(quán)違法行為的檢測能力較強 ? 缺點 ? 誤報率高 ? 行為模型難以建立 ? 難以對入侵行為分類和命名 誤用入侵檢測技術(shù)的分類 ? 基于知識的專家系統(tǒng)檢測 ? 模式匹配系統(tǒng) ? 條件概率檢測方法 ? 模型推理檢測方法 ? 狀態(tài)轉(zhuǎn)換分析方法 誤用檢測技術(shù)的優(yōu)缺點 ? 優(yōu)點 ? 檢測準(zhǔn)確度高 ? 技術(shù)相對成熟 ? 便于進行系統(tǒng)防護 ? 缺點 ? 不能檢測出新的入侵行為 ? 維護特征庫的工作量大 ? 難以檢測來自內(nèi)部用戶的攻擊 入侵檢測系統(tǒng)的優(yōu)點和局限性 ? 入侵檢測系統(tǒng)的優(yōu)點 ? 可以檢測和分析系統(tǒng)事件以及用戶行為 ? 可以測試系統(tǒng)設(shè)置的安全狀態(tài) ? 以系統(tǒng)的安全狀態(tài)為基礎(chǔ)，跟蹤任何對系統(tǒng)安全的修改操作 ? 通過模式識別等技術(shù)從通信行為中檢測出已知的攻擊行為 ? 可以對網(wǎng)絡(luò)通信行為進行統(tǒng)計，并進行檢測分析 入侵檢測系統(tǒng)的優(yōu)點和局限性 ? 局限性 ? 無法彌補安全防御系統(tǒng)中的安全缺陷和漏洞。 ? 對于高負載的網(wǎng)絡(luò)和主機，很難實現(xiàn)對網(wǎng)絡(luò)入侵的實時檢測、報警和迅速地進行攻擊、響應(yīng)。 ? 基于知識的入侵檢測系統(tǒng)很難檢測到未知的攻擊行為。 ? 入侵檢測系統(tǒng)的主動防御功能和聯(lián)動防御功能會對網(wǎng)絡(luò)的行為產(chǎn)生影響。 ? 入侵檢測系統(tǒng)無法單獨防止攻擊行為的滲透。 ? 網(wǎng)絡(luò)入侵檢測系統(tǒng)在純交換環(huán)境中無法正常工作。 ? 入侵檢測系統(tǒng)主要是對網(wǎng)絡(luò)行為進行分析，不能修正信息資源中存在的安全問題。
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1