入侵檢測技術(shù)ppt課件(2)-資料下載頁
2025-05-12 06:26本頁面
【正文】 3000的端口； ? 利用美元符號 “ $”或者嘆號 “ ！ ” 通過變量標(biāo)識端口或者否定某個端口。 2022/6/3 54 檢測引擎 ? 規(guī)則頭 ? 方向 ? 單向： ? 雙向 ： Log ! 記錄所有非本網(wǎng)的 tel 包 Log udp any any :1024 2022/6/3 55 檢測引擎 ? 規(guī)則選項 ? 選項之間用 。 分隔 ? msg 在告警信息中顯示的消息 ? ttl : IP 的 TTL 選項 ? id ： IP 分片的 ? dsize： 數(shù)據(jù)包的大小 ? content ：數(shù)據(jù)包中的內(nèi)容 ? offset： 從何處開始檢索 content ? depth ：在 content 中檢索的深度 2022/6/3 56 檢測引擎 ? 規(guī)則選項 ? nocase ? flags ? seq ? ack ? itype ? icode ? ipoption ? resp 2022/6/3 57 規(guī)則舉例 ? alert tcp any any any any (msg:tcp。) ? alert tcp $EXTERNAL_NET any $HTTP_SERVERS $HTTP_PORTS (msg:WEBIIS access。 flow:to_server,established。 \uricontent:。 nocase。 classtype:webapplicationattack。 \sid:1002。 rev:8。) ? 收集源地址為外部網(wǎng)絡(luò)任意端口（ $EXTERNAL_NET any），目的地址為 HTTP服務(wù)器的特定服務(wù)端口（ $HTTP_SERVERS $HTTP_PORTS）的數(shù)據(jù)包，如果地址信息中包含“ ”信息，便認為這個請求是一個網(wǎng)頁應(yīng)用攻擊。對入侵行為將產(chǎn)生報警，并將數(shù)據(jù)包記入日志。 flow選項標(biāo)識數(shù)據(jù)流的方向，在本例中為客戶端向服務(wù)器端的方向。uricontent標(biāo)識請求的地址中包含的內(nèi)容。 nocase標(biāo)識其中的字符串判斷不區(qū)分大小寫。 classtype標(biāo)識攻擊的類型， sid為規(guī)則的編號。 rev是規(guī)則的修訂版本號。 2022/6/3 58 檢測引擎 ? 各種檢測功能通過各種插件（ Plugin）模塊來完成。 ? 用戶可以編寫自己的模塊來擴展新的功能 2022/6/3 59 提綱 ? 入侵檢測概述 ? 入侵檢測系統(tǒng)結(jié)構(gòu) ? 入侵檢測方法 ? snort入侵檢測系統(tǒng) ? 入侵檢測技術(shù)發(fā)展趨勢 2022/6/3 60 IPS ? 入侵防護系統(tǒng) (IPS) 則傾向于提供主動防護，其設(shè)計宗旨是預(yù)先對入侵活動和攻擊性網(wǎng)絡(luò)流量進行攔截，避免其造成損失，而不是簡單地在惡意流量傳送時或傳送后才發(fā)出警報。 ? IPS 是通過直接嵌入到網(wǎng)絡(luò)流量中實現(xiàn)這一功能的； ? 通過一個網(wǎng)絡(luò)端口接收來自外部系統(tǒng)的流量，經(jīng)過檢查確認其中不包含異常活動或可疑內(nèi)容后，再通過另外一個端口將它傳送到內(nèi)部系統(tǒng)中。 2022/6/3 61 ? IPS實現(xiàn)實時檢查和阻止入侵的原理在于 IPS擁有數(shù)目眾多的過濾器，能夠防止各種攻擊。 ? 當(dāng)新的攻擊手段被發(fā)現(xiàn)之后， IPS就會創(chuàng)建一個新的過濾器。 ? 所有流經(jīng) IPS的數(shù)據(jù)包都被分類，分類的依據(jù)是數(shù)據(jù)包中的報頭信息，如源 IP地址和目的 IP地址、端口號和應(yīng)用域。每種過濾器負責(zé)分析相對應(yīng)的數(shù)據(jù)包。通過檢查的數(shù)據(jù)包可以繼續(xù)前進，包含惡意內(nèi)容的數(shù)據(jù)包就會被丟棄，被懷疑的數(shù)據(jù)包需要接受進一步的檢查。 ? 過濾器引擎集合了流水和大規(guī)模并行處理硬件，能夠同時執(zhí)行數(shù)千次的數(shù)據(jù)包過濾檢查。并行過濾處理可以確保數(shù)據(jù)包能夠不間斷地快速通過系統(tǒng)，不會對速度造成影響。 2022/6/3 62 IPS技術(shù)特征 ? 嵌入式運行：只有以嵌入模式運行的 IPS 設(shè)備才能夠?qū)崿F(xiàn)實時的安全防護，實時阻攔所有可疑的數(shù)據(jù)包，并對該數(shù)據(jù)流的剩余部分進行攔截。 ? 深入分析和控制： IPS必須具有深入分析能力，以確定哪些惡意流量已經(jīng)被攔截，根據(jù)攻擊類型、策略等來確定哪些流量應(yīng)該被攔截。 ? 入侵特征庫：高質(zhì)量的入侵特征庫是 IPS高效運行的必要條件， IPS還應(yīng)該定期升級入侵特征庫，并快速應(yīng)用到所有傳感器。 ? 高效處理能力： IPS必須具有高效處理數(shù)據(jù)包的能力，對整個網(wǎng)絡(luò)性能的影響保持在最低水平。 2022/6/3 63 小結(jié) ? 本章內(nèi)容： ? 入侵檢測的基本概念 ? 入侵檢測技術(shù) ? Snort的安裝、使用和管理 ? 以 WinPcap函數(shù)庫為基礎(chǔ)，使用 C語言編寫了一個具備初步入侵檢測功能的示例
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1