入侵檢測(cè)技術(shù)ppt課件(2)-資料下載頁(yè)
2025-05-12 06:26本頁(yè)面
【正文】 3000的端口； ? 利用美元符號(hào) “ $”或者嘆號(hào) “ ！ ” 通過(guò)變量標(biāo)識(shí)端口或者否定某個(gè)端口。 2022/6/3 54 檢測(cè)引擎 ? 規(guī)則頭 ? 方向 ? 單向： ? 雙向 ： Log ! 記錄所有非本網(wǎng)的 tel 包 Log udp any any :1024 2022/6/3 55 檢測(cè)引擎 ? 規(guī)則選項(xiàng) ? 選項(xiàng)之間用 。 分隔 ? msg 在告警信息中顯示的消息 ? ttl : IP 的 TTL 選項(xiàng) ? id ： IP 分片的 ? dsize： 數(shù)據(jù)包的大小 ? content ：數(shù)據(jù)包中的內(nèi)容 ? offset： 從何處開(kāi)始檢索 content ? depth ：在 content 中檢索的深度 2022/6/3 56 檢測(cè)引擎 ? 規(guī)則選項(xiàng) ? nocase ? flags ? seq ? ack ? itype ? icode ? ipoption ? resp 2022/6/3 57 規(guī)則舉例 ? alert tcp any any any any (msg:tcp。) ? alert tcp $EXTERNAL_NET any $HTTP_SERVERS $HTTP_PORTS (msg:WEBIIS access。 flow:to_server,established。 \uricontent:。 nocase。 classtype:webapplicationattack。 \sid:1002。 rev:8。) ? 收集源地址為外部網(wǎng)絡(luò)任意端口（ $EXTERNAL_NET any），目的地址為 HTTP服務(wù)器的特定服務(wù)端口（ $HTTP_SERVERS $HTTP_PORTS）的數(shù)據(jù)包，如果地址信息中包含“ ”信息，便認(rèn)為這個(gè)請(qǐng)求是一個(gè)網(wǎng)頁(yè)應(yīng)用攻擊。對(duì)入侵行為將產(chǎn)生報(bào)警，并將數(shù)據(jù)包記入日志。 flow選項(xiàng)標(biāo)識(shí)數(shù)據(jù)流的方向，在本例中為客戶端向服務(wù)器端的方向。uricontent標(biāo)識(shí)請(qǐng)求的地址中包含的內(nèi)容。 nocase標(biāo)識(shí)其中的字符串判斷不區(qū)分大小寫(xiě)。 classtype標(biāo)識(shí)攻擊的類型， sid為規(guī)則的編號(hào)。 rev是規(guī)則的修訂版本號(hào)。 2022/6/3 58 檢測(cè)引擎 ? 各種檢測(cè)功能通過(guò)各種插件（ Plugin）模塊來(lái)完成。 ? 用戶可以編寫(xiě)自己的模塊來(lái)擴(kuò)展新的功能 2022/6/3 59 提綱 ? 入侵檢測(cè)概述 ? 入侵檢測(cè)系統(tǒng)結(jié)構(gòu) ? 入侵檢測(cè)方法 ? snort入侵檢測(cè)系統(tǒng) ? 入侵檢測(cè)技術(shù)發(fā)展趨勢(shì) 2022/6/3 60 IPS ? 入侵防護(hù)系統(tǒng) (IPS) 則傾向于提供主動(dòng)防護(hù)，其設(shè)計(jì)宗旨是預(yù)先對(duì)入侵活動(dòng)和攻擊性網(wǎng)絡(luò)流量進(jìn)行攔截，避免其造成損失，而不是簡(jiǎn)單地在惡意流量傳送時(shí)或傳送后才發(fā)出警報(bào)。 ? IPS 是通過(guò)直接嵌入到網(wǎng)絡(luò)流量中實(shí)現(xiàn)這一功能的； ? 通過(guò)一個(gè)網(wǎng)絡(luò)端口接收來(lái)自外部系統(tǒng)的流量，經(jīng)過(guò)檢查確認(rèn)其中不包含異?；顒?dòng)或可疑內(nèi)容后，再通過(guò)另外一個(gè)端口將它傳送到內(nèi)部系統(tǒng)中。 2022/6/3 61 ? IPS實(shí)現(xiàn)實(shí)時(shí)檢查和阻止入侵的原理在于 IPS擁有數(shù)目眾多的過(guò)濾器，能夠防止各種攻擊。 ? 當(dāng)新的攻擊手段被發(fā)現(xiàn)之后， IPS就會(huì)創(chuàng)建一個(gè)新的過(guò)濾器。 ? 所有流經(jīng) IPS的數(shù)據(jù)包都被分類，分類的依據(jù)是數(shù)據(jù)包中的報(bào)頭信息，如源 IP地址和目的 IP地址、端口號(hào)和應(yīng)用域。每種過(guò)濾器負(fù)責(zé)分析相對(duì)應(yīng)的數(shù)據(jù)包。通過(guò)檢查的數(shù)據(jù)包可以繼續(xù)前進(jìn)，包含惡意內(nèi)容的數(shù)據(jù)包就會(huì)被丟棄，被懷疑的數(shù)據(jù)包需要接受進(jìn)一步的檢查。 ? 過(guò)濾器引擎集合了流水和大規(guī)模并行處理硬件，能夠同時(shí)執(zhí)行數(shù)千次的數(shù)據(jù)包過(guò)濾檢查。并行過(guò)濾處理可以確保數(shù)據(jù)包能夠不間斷地快速通過(guò)系統(tǒng)，不會(huì)對(duì)速度造成影響。 2022/6/3 62 IPS技術(shù)特征 ? 嵌入式運(yùn)行：只有以嵌入模式運(yùn)行的 IPS 設(shè)備才能夠?qū)崿F(xiàn)實(shí)時(shí)的安全防護(hù)，實(shí)時(shí)阻攔所有可疑的數(shù)據(jù)包，并對(duì)該數(shù)據(jù)流的剩余部分進(jìn)行攔截。 ? 深入分析和控制： IPS必須具有深入分析能力，以確定哪些惡意流量已經(jīng)被攔截，根據(jù)攻擊類型、策略等來(lái)確定哪些流量應(yīng)該被攔截。 ? 入侵特征庫(kù)：高質(zhì)量的入侵特征庫(kù)是 IPS高效運(yùn)行的必要條件， IPS還應(yīng)該定期升級(jí)入侵特征庫(kù)，并快速應(yīng)用到所有傳感器。 ? 高效處理能力： IPS必須具有高效處理數(shù)據(jù)包的能力，對(duì)整個(gè)網(wǎng)絡(luò)性能的影響保持在最低水平。 2022/6/3 63 小結(jié) ? 本章內(nèi)容： ? 入侵檢測(cè)的基本概念 ? 入侵檢測(cè)技術(shù) ? Snort的安裝、使用和管理 ? 以 WinPcap函數(shù)庫(kù)為基礎(chǔ)，使用 C語(yǔ)言編寫(xiě)了一個(gè)具備初步入侵檢測(cè)功能的示例
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1