網(wǎng)絡(luò)安全基礎(chǔ)知識-資料下載頁
2025-08-05 16:01本頁面
【正文】 不常見的或是異常的，區(qū)別在于所有的正常行為。如果能夠?yàn)橛脩艉拖到y(tǒng)的所有正常行為總結(jié)活動(dòng)規(guī)律并建立行為模型，那么入侵檢測系統(tǒng)可以將當(dāng)前捕獲到的網(wǎng)絡(luò)行為與行為模型相對比，若入侵行為偏離了正常的行為軌跡，就可以被檢測出來。誤用檢測技術(shù)入侵檢測系統(tǒng)的基本原理：誤用檢測技術(shù)也稱為基于知識的檢測技術(shù)或者模式匹配檢測技術(shù)。它的前提是假設(shè)所有的網(wǎng)絡(luò)攻擊行為和方法都具有一定的模式或特征，如果把以往發(fā)現(xiàn)的所有網(wǎng)絡(luò)攻擊的特征總結(jié)出來并建立一個(gè)入侵信息庫，那么入侵檢測系統(tǒng)就可以將當(dāng)前捕獲的網(wǎng)絡(luò)行為特征與入侵信息庫中的特征信息相比較，如果匹配，則當(dāng)前行為就被認(rèn)定為入侵行為。異常檢測技術(shù)和誤用檢測技術(shù)的比較：無論哪種入侵檢測技術(shù)都需要搜集總結(jié)有關(guān)網(wǎng)絡(luò)入侵行為的各種知識，或者系統(tǒng)及其用戶的各種行為的知識。基于異常檢測技術(shù)的入侵檢測系統(tǒng)如果向檢測到所有網(wǎng)絡(luò)入侵行為，必須掌握被保護(hù)系統(tǒng)已知行為和預(yù)期行為的所有信息，這一點(diǎn)實(shí)際上無法做到，因此入侵檢測系統(tǒng)必須不斷學(xué)習(xí)并更新已有的行為輪廓。對于基于誤用檢測技術(shù)的入侵檢測系統(tǒng)而言，只有擁有所有可能的入侵行為的先驗(yàn)知識，而且必須能識別各種入侵行為的過程細(xì)節(jié)或者每種入侵行為的特征模式，才能檢測到所有的入侵行為，而這種情況也不存在，該類入侵檢測系統(tǒng)只能檢測出已有的入侵模式，必須不斷地對新出現(xiàn)的入侵行為進(jìn)行總結(jié)和歸納。在入侵系統(tǒng)配置方面，基于異常檢測技術(shù)的入侵檢測系統(tǒng)通常比基于誤用檢測技術(shù)的入侵系統(tǒng)所做的工作要少很多，因?yàn)楫惓z測需要對系統(tǒng)和用于的行為輪廓進(jìn)行不斷地學(xué)習(xí)更新，需要大量的數(shù)據(jù)分析處理工作，要求管理員能夠總結(jié)出被保護(hù)系統(tǒng)的所有正常行為狀態(tài)，對系統(tǒng)的已知和期望行為進(jìn)行全面的分析，因此配置難度相對比較大。但是，有些基于誤用檢測技術(shù)的入侵系統(tǒng)允許管理人員對入侵特征數(shù)據(jù)庫進(jìn)行修改，甚至允許管理人員自己根據(jù)所發(fā)現(xiàn)的攻擊行為創(chuàng)建新的網(wǎng)絡(luò)入侵特征規(guī)則記錄，這種入侵檢測系統(tǒng)在系統(tǒng)配置方面的工作會顯著增加?；诋惓z測技術(shù)的入侵檢測系統(tǒng)所輸出的檢測結(jié)果，通常是在對實(shí)際行為輪廓進(jìn)行異常分析等相關(guān)處理后得出的，這類入侵檢測系統(tǒng)的檢測報(bào)告通常會比基于誤用檢測技術(shù)的入侵檢測系統(tǒng)具有更多的數(shù)據(jù)量，因?yàn)槿魏纬^行為輪廓范圍的時(shí)間都將被檢測出來并寫入報(bào)告。而大多數(shù)基于誤用檢測技術(shù)的入侵檢測系統(tǒng)，是將當(dāng)前行為模式與已有行為模式進(jìn)行匹配后產(chǎn)生檢測結(jié)論，其輸出內(nèi)容是列舉出入侵行為的類型和名稱，以及提供相應(yīng)的處理建議。入侵檢測系統(tǒng)的優(yōu)點(diǎn)：1）可以檢測和分析系統(tǒng)事件以及用戶的行為。2）可以檢測系統(tǒng)設(shè)置的安全狀態(tài)。3）以系統(tǒng)的安全狀態(tài)為基礎(chǔ)，跟蹤任何對系統(tǒng)安全的修改操作。4）通過模式識別等技術(shù)從通信行為中檢測出已知的攻擊行為。5）可以對網(wǎng)絡(luò)通信行為進(jìn)行統(tǒng)計(jì)，并檢測分析。6）管理操作系統(tǒng)認(rèn)證和日志機(jī)制并對產(chǎn)生的數(shù)據(jù)進(jìn)行分析處理。7）在檢測到攻擊的時(shí)候，通過適當(dāng)?shù)姆绞竭M(jìn)行適當(dāng)?shù)膱?bào)警處理。8）通過對分析引擎的配置對網(wǎng)絡(luò)的安全進(jìn)行評估和監(jiān)督。9）允許非安全領(lǐng)域的管理人員對重要的安全時(shí)間進(jìn)行有效的處理。入侵檢測系統(tǒng)的局限性：1）入侵檢測系統(tǒng)無法彌補(bǔ)安全防御系統(tǒng)中的安全缺陷和漏洞。2）對于高負(fù)載的網(wǎng)絡(luò)或主機(jī)，很難實(shí)現(xiàn)對網(wǎng)絡(luò)入侵的實(shí)時(shí)檢測、警報(bào)迅速地進(jìn)行攻擊響應(yīng)。3）基于知識的入侵檢測系統(tǒng)很難檢測到未知的攻擊行為，也就是說檢測具有一定的滯后性，而對于已知的報(bào)警，一些沒有明顯特征的攻擊行為也很難檢測到，或需要付出提高誤報(bào)警率的代價(jià)才能夠正確檢測。4）入侵檢測系統(tǒng)的主動(dòng)防御功能和聯(lián)動(dòng)防御功能會對網(wǎng)絡(luò)的行為產(chǎn)生影響，同樣也會成為攻擊者的目標(biāo)，實(shí)現(xiàn)以入侵檢測系統(tǒng)過敏自主防御為基礎(chǔ)的攻擊。5）入侵檢測系統(tǒng)無法單獨(dú)防止攻擊行為的滲透，只能調(diào)整相關(guān)網(wǎng)絡(luò)設(shè)備的參數(shù)或人為地進(jìn)行處理。6）網(wǎng)絡(luò)入侵系統(tǒng)在純交互環(huán)境下無法正常工作，只有對交互環(huán)境進(jìn)行一定的處理，利用鏡像等技術(shù)，網(wǎng)絡(luò)入侵檢測系統(tǒng)才能對鏡像的數(shù)據(jù)進(jìn)行分析處理。入侵檢測系統(tǒng)主要是對網(wǎng)絡(luò)行為進(jìn)行分析檢測，不能修正信息資源中存在的安全問題。十四、惡意代碼與計(jì)算機(jī)病毒的防治特洛伊木馬：特洛伊木馬是一段能實(shí)現(xiàn)有用的或必需的功能的程序，但是同時(shí)還完成一些不為人知的功能，這些額外的功能往往是有害的。 解釋：1）：“有用的或必需的功能的程序”只是誘餌，就像典故里的特洛伊木馬，表面看上去很美但實(shí)際上卻暗藏殺機(jī)。2）“不為人知的功能”定義了其欺騙性，是危機(jī)所在之處，為幾乎所有的特洛伊木馬所必備的特點(diǎn)。3）“往往是有害的”定義了其惡意性，惡意企圖包括：試圖訪問未授權(quán)資源（如盜取口令、個(gè)人隱私或企業(yè)機(jī)密）；試圖組織正常訪問（如拒絕服務(wù)攻擊）；試圖更改或破壞數(shù)據(jù)和系統(tǒng)（如刪除文件、創(chuàng)建后門）。蠕蟲：計(jì)算機(jī)蠕蟲是一種通過計(jì)算機(jī)網(wǎng)絡(luò)能夠自我復(fù)制和擴(kuò)散的程序。蠕蟲與病毒的區(qū)別在于“附著”。蠕蟲不需要宿主，不會與其他特定程序混合。因此，與病毒感染特定目標(biāo)程序不同，蠕蟲干擾的是系統(tǒng)環(huán)境（如操作系統(tǒng)或郵件系統(tǒng)）。 蠕蟲利用一些網(wǎng)絡(luò)工具復(fù)制和傳播自身，包括：1）電子郵件。2）遠(yuǎn)程執(zhí)行。3）遠(yuǎn)程登錄。*計(jì)算機(jī)病毒的特征：1）傳染性。2）隱蔽性。3）潛伏性。4）多態(tài)性。5）破壞性。*病毒檢測技術(shù)：1）特征判定技術(shù)，主要有比較法、掃描法、校驗(yàn)和法和分析法。2）行為判定技術(shù)。病毒防治軟件產(chǎn)品（殺軟）：1）國外，VirusScan、NAV、Pandaguard 。2）國內(nèi)，KILL、KV、RAV、VRV。
研究報(bào)告相關(guān)推薦
鄂ICP備17016276號-1