第5章安全防護(hù)與入侵檢測(cè)-資料下載頁(yè)
2025-02-26 08:45本頁(yè)面
【正文】 根據(jù)使用者的行為或資源使用狀況來(lái)判斷是否入侵行為的發(fā)生 ， 而不依 賴于具體行為是否出現(xiàn)來(lái)檢測(cè) 。而誤用檢測(cè)系統(tǒng)則大多是通過(guò)對(duì)一些具體的行為的判斷和推理，從而檢測(cè)出入侵行為。 ? 異常檢測(cè)的主要缺陷在于誤檢率很高，尤其在用戶數(shù)目眾多或工作行為經(jīng)常改變的環(huán)境中 。而誤用檢測(cè)系統(tǒng)由于依據(jù)具體特征庫(kù)進(jìn)行判斷，準(zhǔn)確度要高很多。 ? 異常檢測(cè)對(duì)具體系統(tǒng)的依賴性相對(duì)較小 。 而誤用檢測(cè)系統(tǒng)對(duì)具體的系統(tǒng)依賴性很強(qiáng)，移植性不好。 河南化工職業(yè)學(xué)院 ? 其他入侵檢測(cè)模型 ? 1） 基于生物免疫的入侵檢測(cè)方法 ? 2）基于偽裝的入侵檢測(cè)方法 ? 3）基于統(tǒng)計(jì)學(xué)方法的入侵檢測(cè)系統(tǒng) ? 4）基于專家系統(tǒng)的入侵檢測(cè)方法 河南化工職業(yè)學(xué)院 入侵防護(hù)技術(shù) IPS ? IPS只能被動(dòng)地檢測(cè)攻擊，而不能主動(dòng)地把變化莫測(cè)的威脅阻止在網(wǎng)絡(luò)之外。因此，人們迫切地需要找到一種主動(dòng)入侵防護(hù)解決方案，以確保企業(yè)網(wǎng)絡(luò)在威脅四起的環(huán)境下正常運(yùn)行。入侵防御系統(tǒng)(InmSion Prevention System 或 IntmSion Detection Prevention，即 IPS或 IDP)就應(yīng)運(yùn)而生了。 ES是一種智能化的入侵檢測(cè)和防御產(chǎn)品，它不但能檢測(cè)入侵的發(fā)生，而且能通過(guò)一定的響應(yīng)方式，實(shí)時(shí)地中止入侵行為的發(fā)生和發(fā)展，實(shí)時(shí)地保護(hù)信息系統(tǒng) 不受實(shí)質(zhì)性的攻擊。 IPS使得 BS 和防火墻走向統(tǒng)一。 河南化工職業(yè)學(xué)院 ? 目前比較流行的網(wǎng)絡(luò)級(jí)安全防范措施是使用專業(yè)防火墻 +入侵檢測(cè)系統(tǒng) (IDS) 為企業(yè) 內(nèi)部網(wǎng)絡(luò)構(gòu)筑一道安全屏障。防火墻可以有效地阻止有害數(shù)據(jù)的通過(guò)，而 IDS 則主要用于有害數(shù)據(jù)的分析和發(fā)現(xiàn)，它是防火墻功能的延續(xù)。兩者聯(lián)動(dòng)，可及時(shí)發(fā)現(xiàn)并減緩 DoS、 DDoS 攻擊，減輕攻擊所造成的損失。 ? 最近市場(chǎng)上出現(xiàn)了一種將防火墻和 IDS兩者合二為一的新產(chǎn)品 入侵防御系統(tǒng) (IntruSion bevention System 簡(jiǎn)稱 IPS)。它不但能檢測(cè) λ侵的發(fā)生，而且能通過(guò)一定的響應(yīng)方式，實(shí)時(shí)地中止入侵行為的發(fā)生和發(fā)展，二者的整合大幅度地提高了檢測(cè)和阻止網(wǎng)絡(luò)攻擊的效率，是今后網(wǎng)絡(luò)安全架構(gòu)的一種發(fā)展趨勢(shì)。 ? 將入侵防御技術(shù)應(yīng)用到具體的網(wǎng)絡(luò)環(huán)境后，就形成了入侵防御系統(tǒng)： IPS。 河南化工職業(yè)學(xué)院 IPS的原理 ? 入侵防御技術(shù)是在入侵檢測(cè)技術(shù)的基礎(chǔ)上增加了主動(dòng)響應(yīng)的功能，一旦發(fā)現(xiàn)有攻擊行為， 則立即響應(yīng)，并且主動(dòng)切斷連接。 ? IPS 能夠?qū)崟r(shí)檢測(cè)入侵、阻止入侵的原理在于 IPS擁有大量的過(guò)濾器，針對(duì)不同的攻擊行為， IPS 需要不同的過(guò)濾器，每種過(guò)濾器都設(shè)有相應(yīng)的過(guò)濾規(guī)則。當(dāng)新的攻擊手段被發(fā)現(xiàn)之后， IPS 就會(huì)創(chuàng)建一個(gè)新的過(guò)濾器。 IPS 數(shù)據(jù)包處理引擎可以深層檢查數(shù)據(jù)包的內(nèi)容。如果有攻擊者利用從數(shù)據(jù)鏈路層到應(yīng)用層的漏洞發(fā)起攻擊 ， IPS能夠從數(shù)據(jù)流中檢查出這些攻擊并加以阻止。所有流經(jīng) IPS的數(shù)據(jù)包將依據(jù)數(shù)據(jù)包中的包頭信息 ， 如源 IP 地址和目的 IP 地址、端口號(hào)等進(jìn)行分類。每種過(guò)濾器負(fù)責(zé)分析相對(duì)應(yīng)的數(shù)據(jù)包。通過(guò)檢查的數(shù)據(jù)包可以繼 續(xù)前進(jìn)，包含惡意內(nèi)容的數(shù)據(jù)包就會(huì)被丟棄 ， 被懷疑的數(shù)據(jù)包需要接受進(jìn)一步的檢查。 河南化工職業(yè)學(xué)院 IPS 的種類 ? (1) 基于主機(jī)的 IPS (HIPS) ? (2) 基于網(wǎng)絡(luò)的 IPS (NIPS) 河南化工職業(yè)學(xué)院 NIPS技術(shù)特征 特征 描述 嵌入式運(yùn)行 只有以嵌入模式運(yùn)行的 IPS設(shè)備才能夠?qū)崿F(xiàn)實(shí)時(shí)的安全防護(hù)，實(shí)時(shí)阻攔所有可疑的數(shù)據(jù)包，并對(duì)該數(shù)據(jù)流的剩余部分進(jìn)行攔截 深入分析和控制 IPS必須具有深入分析能力，以確定哪些惡意流量己經(jīng)被攔截，根據(jù)攻擊類型、策略等來(lái)確定哪些流量應(yīng)該被攔截 入侵特征庫(kù) 高質(zhì)量的入侵特征庫(kù)是 ES 高效運(yùn)行的必要條件 ， ES 還應(yīng)該定期升級(jí)入侵特征庫(kù) ， 并快速應(yīng)用到所有傳感器 高效處理能力 IPS 必須具有高效處理數(shù)據(jù)包的能力，對(duì)整個(gè)網(wǎng)絡(luò)性能的影響保持在最低水平 河南化工職業(yè)學(xué)院 集中式入侵防御技術(shù) ? 1) 集中式 IPS網(wǎng)絡(luò)拓?fù)浣Y(jié)構(gòu) ① 數(shù)據(jù)控制 ② 數(shù)據(jù)捕獲③ 報(bào)警機(jī)制 ? 2）集中式內(nèi)的缺陷 ? ①單點(diǎn)故障②性能瓶頸③誤報(bào)和漏報(bào) 河南化工職業(yè)學(xué)院 蜜罐系統(tǒng) ? 蜜罐與入侵檢測(cè)系統(tǒng)有著緊密的聯(lián)系。要完善一個(gè)入侵檢測(cè)系統(tǒng)，需要不斷了解黑客，了解黑客的動(dòng)向、新的攻擊方式和手段。蜜罐提供了一個(gè)豐富的認(rèn)識(shí)黑客攻擊手段的信息源。 ? 只有蜜罐表現(xiàn)得像一個(gè)正常的工作系統(tǒng)，黑客才會(huì)對(duì)其進(jìn)行攻擊 。只有蜜罐表現(xiàn)得逼真，黑客才會(huì)在蜜罐上停留較長(zhǎng)的時(shí)間，才會(huì)暴露出更多的信息。初期的蜜罐系統(tǒng)采用偽造服務(wù)技術(shù)，模仿正常服務(wù)器軟件的一些基本行為吸引黑客攻擊，這種方式雖然成本較底，但卻很容易被黑客識(shí)破，采集不到太多的黑客信息。 河南化工職業(yè)學(xué)院 蜜罐的分類 ? 實(shí)系統(tǒng)蜜罐 ? 偽系統(tǒng)蜜罐 河南化工職業(yè)學(xué)院 蜜罐的應(yīng)用 ? l. 迷惑入侵者，保護(hù)服務(wù)器 ? 2. 抵御入侵者，加固服務(wù)器 ? 3. 誘捕網(wǎng)絡(luò)罪犯
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1