第5章安全防護(hù)與入侵檢測-資料下載頁
2025-02-26 08:45本頁面
【正文】 根據(jù)使用者的行為或資源使用狀況來判斷是否入侵行為的發(fā)生 ， 而不依 賴于具體行為是否出現(xiàn)來檢測 。而誤用檢測系統(tǒng)則大多是通過對一些具體的行為的判斷和推理，從而檢測出入侵行為。 ? 異常檢測的主要缺陷在于誤檢率很高，尤其在用戶數(shù)目眾多或工作行為經(jīng)常改變的環(huán)境中 。而誤用檢測系統(tǒng)由于依據(jù)具體特征庫進(jìn)行判斷，準(zhǔn)確度要高很多。 ? 異常檢測對具體系統(tǒng)的依賴性相對較小 。 而誤用檢測系統(tǒng)對具體的系統(tǒng)依賴性很強，移植性不好。 河南化工職業(yè)學(xué)院 ? 其他入侵檢測模型 ? 1） 基于生物免疫的入侵檢測方法 ? 2）基于偽裝的入侵檢測方法 ? 3）基于統(tǒng)計學(xué)方法的入侵檢測系統(tǒng) ? 4）基于專家系統(tǒng)的入侵檢測方法 河南化工職業(yè)學(xué)院 入侵防護(hù)技術(shù) IPS ? IPS只能被動地檢測攻擊，而不能主動地把變化莫測的威脅阻止在網(wǎng)絡(luò)之外。因此，人們迫切地需要找到一種主動入侵防護(hù)解決方案，以確保企業(yè)網(wǎng)絡(luò)在威脅四起的環(huán)境下正常運行。入侵防御系統(tǒng)(InmSion Prevention System 或 IntmSion Detection Prevention，即 IPS或 IDP)就應(yīng)運而生了。 ES是一種智能化的入侵檢測和防御產(chǎn)品，它不但能檢測入侵的發(fā)生，而且能通過一定的響應(yīng)方式，實時地中止入侵行為的發(fā)生和發(fā)展，實時地保護(hù)信息系統(tǒng) 不受實質(zhì)性的攻擊。 IPS使得 BS 和防火墻走向統(tǒng)一。 河南化工職業(yè)學(xué)院 ? 目前比較流行的網(wǎng)絡(luò)級安全防范措施是使用專業(yè)防火墻 +入侵檢測系統(tǒng) (IDS) 為企業(yè) 內(nèi)部網(wǎng)絡(luò)構(gòu)筑一道安全屏障。防火墻可以有效地阻止有害數(shù)據(jù)的通過，而 IDS 則主要用于有害數(shù)據(jù)的分析和發(fā)現(xiàn)，它是防火墻功能的延續(xù)。兩者聯(lián)動，可及時發(fā)現(xiàn)并減緩 DoS、 DDoS 攻擊，減輕攻擊所造成的損失。 ? 最近市場上出現(xiàn)了一種將防火墻和 IDS兩者合二為一的新產(chǎn)品 入侵防御系統(tǒng) (IntruSion bevention System 簡稱 IPS)。它不但能檢測 λ侵的發(fā)生，而且能通過一定的響應(yīng)方式，實時地中止入侵行為的發(fā)生和發(fā)展，二者的整合大幅度地提高了檢測和阻止網(wǎng)絡(luò)攻擊的效率，是今后網(wǎng)絡(luò)安全架構(gòu)的一種發(fā)展趨勢。 ? 將入侵防御技術(shù)應(yīng)用到具體的網(wǎng)絡(luò)環(huán)境后，就形成了入侵防御系統(tǒng)： IPS。 河南化工職業(yè)學(xué)院 IPS的原理 ? 入侵防御技術(shù)是在入侵檢測技術(shù)的基礎(chǔ)上增加了主動響應(yīng)的功能，一旦發(fā)現(xiàn)有攻擊行為， 則立即響應(yīng)，并且主動切斷連接。 ? IPS 能夠?qū)崟r檢測入侵、阻止入侵的原理在于 IPS擁有大量的過濾器，針對不同的攻擊行為， IPS 需要不同的過濾器，每種過濾器都設(shè)有相應(yīng)的過濾規(guī)則。當(dāng)新的攻擊手段被發(fā)現(xiàn)之后， IPS 就會創(chuàng)建一個新的過濾器。 IPS 數(shù)據(jù)包處理引擎可以深層檢查數(shù)據(jù)包的內(nèi)容。如果有攻擊者利用從數(shù)據(jù)鏈路層到應(yīng)用層的漏洞發(fā)起攻擊 ， IPS能夠從數(shù)據(jù)流中檢查出這些攻擊并加以阻止。所有流經(jīng) IPS的數(shù)據(jù)包將依據(jù)數(shù)據(jù)包中的包頭信息 ， 如源 IP 地址和目的 IP 地址、端口號等進(jìn)行分類。每種過濾器負(fù)責(zé)分析相對應(yīng)的數(shù)據(jù)包。通過檢查的數(shù)據(jù)包可以繼 續(xù)前進(jìn)，包含惡意內(nèi)容的數(shù)據(jù)包就會被丟棄 ， 被懷疑的數(shù)據(jù)包需要接受進(jìn)一步的檢查。 河南化工職業(yè)學(xué)院 IPS 的種類 ? (1) 基于主機的 IPS (HIPS) ? (2) 基于網(wǎng)絡(luò)的 IPS (NIPS) 河南化工職業(yè)學(xué)院 NIPS技術(shù)特征 特征 描述 嵌入式運行 只有以嵌入模式運行的 IPS設(shè)備才能夠?qū)崿F(xiàn)實時的安全防護(hù)，實時阻攔所有可疑的數(shù)據(jù)包，并對該數(shù)據(jù)流的剩余部分進(jìn)行攔截 深入分析和控制 IPS必須具有深入分析能力，以確定哪些惡意流量己經(jīng)被攔截，根據(jù)攻擊類型、策略等來確定哪些流量應(yīng)該被攔截 入侵特征庫 高質(zhì)量的入侵特征庫是 ES 高效運行的必要條件 ， ES 還應(yīng)該定期升級入侵特征庫 ， 并快速應(yīng)用到所有傳感器 高效處理能力 IPS 必須具有高效處理數(shù)據(jù)包的能力，對整個網(wǎng)絡(luò)性能的影響保持在最低水平 河南化工職業(yè)學(xué)院 集中式入侵防御技術(shù) ? 1) 集中式 IPS網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) ① 數(shù)據(jù)控制 ② 數(shù)據(jù)捕獲③ 報警機制 ? 2）集中式內(nèi)的缺陷 ? ①單點故障②性能瓶頸③誤報和漏報 河南化工職業(yè)學(xué)院 蜜罐系統(tǒng) ? 蜜罐與入侵檢測系統(tǒng)有著緊密的聯(lián)系。要完善一個入侵檢測系統(tǒng)，需要不斷了解黑客，了解黑客的動向、新的攻擊方式和手段。蜜罐提供了一個豐富的認(rèn)識黑客攻擊手段的信息源。 ? 只有蜜罐表現(xiàn)得像一個正常的工作系統(tǒng)，黑客才會對其進(jìn)行攻擊 。只有蜜罐表現(xiàn)得逼真，黑客才會在蜜罐上停留較長的時間，才會暴露出更多的信息。初期的蜜罐系統(tǒng)采用偽造服務(wù)技術(shù)，模仿正常服務(wù)器軟件的一些基本行為吸引黑客攻擊，這種方式雖然成本較底，但卻很容易被黑客識破，采集不到太多的黑客信息。 河南化工職業(yè)學(xué)院 蜜罐的分類 ? 實系統(tǒng)蜜罐 ? 偽系統(tǒng)蜜罐 河南化工職業(yè)學(xué)院 蜜罐的應(yīng)用 ? l. 迷惑入侵者，保護(hù)服務(wù)器 ? 2. 抵御入侵者，加固服務(wù)器 ? 3. 誘捕網(wǎng)絡(luò)罪犯
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號-1