入侵檢測(cè)技術(shù)第3章(參考版)
2025-05-15 20:43本頁(yè)面
【正文】 Cisco公司的 Cisco Secure IDS 。 Cisco的產(chǎn)品能方便有效地嵌入現(xiàn)有的路由器或者交換機(jī)平臺(tái)中。其中，最后的 IDSM組件主要是指嵌入到各種Cisco網(wǎng)絡(luò)硬件中的檢測(cè)模塊。 Cisco公司的 Secure IDS是傳統(tǒng)的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，通常與硬件平臺(tái)捆綁銷售。同時(shí)， CyberCop Monitor的網(wǎng)絡(luò)檢測(cè)代理還聲稱具備檢測(cè)長(zhǎng)時(shí)間跨度端口掃描過(guò)程的能力。控制臺(tái)采取遠(yuǎn)程的安全集中管理的模式，支持對(duì)多主機(jī)代理的安裝和配置，并負(fù)責(zé)產(chǎn)生用戶報(bào)告。值得注意的是， CyberCop Monitor的設(shè)計(jì)從一開(kāi)始就是定位于混合型的結(jié)點(diǎn)檢測(cè)架構(gòu)，即它由兩個(gè)主要組件組成： 控制臺(tái)和代理，其中，代理在目標(biāo)結(jié)點(diǎn)主機(jī)上執(zhí)行基于網(wǎng)絡(luò)或主機(jī)的檢測(cè)任務(wù)。 （ 1） 控制臺(tái) （ 2） 企業(yè)數(shù)據(jù)庫(kù) （ 3） 事件收集器 ISS公司的 RealSecure 2. 傳感器 傳感器是具體負(fù)責(zé)執(zhí)行入侵檢測(cè)任務(wù)的部件，RealSecure傳感器包括 3種類型： （ 1） RealSecure Network Sensor 網(wǎng)絡(luò)傳感器 （ 2） RealSecure OS Sensor 操作系統(tǒng)傳感器 （ 3） RealSecure Server Sensor 服務(wù)器傳感器 RealSecure系統(tǒng)可以運(yùn)行在 Windows NT/2021或者 Solaris系統(tǒng)平臺(tái)之上，近來(lái)又?jǐn)U展到 Linux、 IBM AIX和 HPUX等系統(tǒng)平臺(tái)。對(duì) Sensor的管理是通過(guò)安全加密通道進(jìn)行的。 具體的入侵檢測(cè)系統(tǒng) NFR公司的 NID系統(tǒng) RealSecure入侵檢測(cè)系統(tǒng)采用了分布式體系結(jié)構(gòu)，系統(tǒng)包含以下組件。 NFR公司聯(lián)合其他公司創(chuàng)建大量的 NCode語(yǔ)言編寫(xiě)的檢測(cè)組件程序。 另外的分類標(biāo)準(zhǔn) NFR公司的 NID系統(tǒng)，基本上是一種基于規(guī)則檢測(cè)的網(wǎng)絡(luò)入侵檢測(cè)系統(tǒng)，同時(shí)具備一些異常入侵檢測(cè)功能。 實(shí)時(shí)處理系統(tǒng)實(shí)時(shí)監(jiān)控，并在出現(xiàn)異?；顒?dòng)時(shí)及時(shí)做出反應(yīng)。 入侵檢測(cè)的分類標(biāo)準(zhǔn)還可以列舉其他，例如實(shí)時(shí)和非實(shí)時(shí)處理系統(tǒng)。不過(guò)，在若干種優(yōu)秀的入侵檢測(cè)系統(tǒng)中，也采用了不同形式的異常入侵檢測(cè)技術(shù)和對(duì)應(yīng)的檢測(cè)模塊。而異常檢測(cè)的優(yōu)點(diǎn)是可以檢測(cè)到未知的入侵行為。另一方面，濫用入侵檢測(cè)具備較高的檢測(cè)率和較低的虛警率，開(kāi)發(fā)規(guī)則庫(kù)和特征集合相對(duì)于建立系統(tǒng)正常模型而言，也要更方便、更容易。 異常入侵檢測(cè)的假設(shè)條件是對(duì)攻擊行為的檢測(cè)可以通過(guò)觀察當(dāng)前活動(dòng)與系統(tǒng)歷史正?；顒?dòng)情況之間的差異來(lái)實(shí)現(xiàn)。 濫用入侵檢測(cè)的技術(shù)基礎(chǔ)是分析各種類型的攻擊手段，并找出可能的“攻擊特征”集合。 進(jìn)入 20世紀(jì) 90年代后，出現(xiàn)了把基于主機(jī)和基于網(wǎng)絡(luò)的入侵檢測(cè)結(jié)合起來(lái)的早期嘗試。另外，它的分析對(duì)象是網(wǎng)絡(luò)協(xié)議，一般沒(méi)有移植性的問(wèn)題。另外，它通常無(wú)法對(duì)網(wǎng)絡(luò)環(huán)境下發(fā)生的大量攻擊行為作出及時(shí)的反應(yīng)。同時(shí)，基于主機(jī)的入侵檢測(cè)系統(tǒng)也有若干顯而易見(jiàn)的缺點(diǎn)： 首先，由于它嚴(yán)重 依賴于特定的操作系統(tǒng)平臺(tái)。 基于主機(jī)的入侵檢測(cè)能夠較為準(zhǔn)確地監(jiān)測(cè)到發(fā)生在主機(jī)系統(tǒng)高層的復(fù)雜攻擊行為。 網(wǎng)絡(luò)入侵檢測(cè)技術(shù)也有一種特殊的情況，即所謂基于網(wǎng)絡(luò)結(jié)點(diǎn)的入侵檢測(cè)，其輸入數(shù)據(jù)來(lái)源僅為檢測(cè)模塊所在主機(jī)的網(wǎng)絡(luò)進(jìn)出流量信息。 特別的，從主機(jī)入侵檢測(cè)技術(shù)中還可以單獨(dú)分離出基于應(yīng)用的入侵檢測(cè)類型，這是特別針對(duì)于某個(gè)特定任務(wù)的應(yīng)用程序而設(shè)計(jì)的入侵檢測(cè)技術(shù)，采用的輸入數(shù)據(jù)源是應(yīng)用程序的日志信息。 信息源的選擇問(wèn)題 從數(shù)據(jù)來(lái)源看，入侵檢測(cè)通?？梢苑譃閮深悾? 基于主機(jī)的入侵檢測(cè)和基于網(wǎng)絡(luò)的入侵檢測(cè)。如果系統(tǒng)設(shè)計(jì)要求監(jiān)控整個(gè)目標(biāo)系統(tǒng)內(nèi)的總體安全狀況等，此時(shí)就需要同時(shí)采用來(lái)自主機(jī)和網(wǎng)絡(luò)的數(shù)據(jù)源；在分布式的環(huán)境下，或許還要考慮到包括帶外數(shù)據(jù)在內(nèi)的其他類型數(shù)據(jù)源。 基本的原則是根據(jù)入侵檢測(cè)系統(tǒng)設(shè)計(jì)的檢測(cè)目標(biāo)來(lái)選擇所需的輸入數(shù)據(jù)源。 目前的入侵檢測(cè)技術(shù)對(duì)如何合理有效地利用這些“帶外”數(shù)據(jù)源方面的研究還很不充分。 （ 3） 帶外（ out of band） 數(shù)據(jù)源 所謂“帶外”數(shù)據(jù)源通常是指由人工方式提供的數(shù)據(jù)信息。 另外一個(gè)有用的網(wǎng)絡(luò)設(shè)備數(shù)據(jù)來(lái)源，是路由器或者交換機(jī)提供的數(shù)據(jù)信息。 其他的數(shù)據(jù)來(lái)源 （ 2） 來(lái)自網(wǎng)絡(luò)設(shè)備的數(shù)據(jù)源 除了直接從網(wǎng)絡(luò)截獲數(shù)據(jù)包作為輸入數(shù)據(jù)外，入侵檢測(cè)系統(tǒng)還能夠利用其他網(wǎng)絡(luò)設(shè)備所提供的關(guān)于網(wǎng)絡(luò)數(shù)據(jù)流量的各種信息數(shù)據(jù)。 入侵檢測(cè)系統(tǒng)采用其他安全產(chǎn)品的事件日志作為自己的輸入數(shù)據(jù)源，可以凸現(xiàn)入侵檢測(cè)在整個(gè)動(dòng)態(tài)計(jì)算機(jī)安全模型中的關(guān)鍵角色和重要地位，顯示出動(dòng)態(tài)安全監(jiān)控的能力在應(yīng)付當(dāng)前日益復(fù)雜的安全威脅模式中所發(fā)揮的不可或缺的作用。在目標(biāo)系統(tǒng)內(nèi)部還可能存在許多其他獨(dú)立運(yùn)行的安全產(chǎn)品。 目前，大部分的網(wǎng)絡(luò)環(huán)境都采用了標(biāo)準(zhǔn)的 TCP/IP協(xié)議作為通信協(xié)議，因此大部分的入侵檢測(cè)系統(tǒng)的數(shù)據(jù)分析的重點(diǎn)也放在了對(duì) TCP/IP協(xié)議數(shù)據(jù)包的截獲和分析工作上。 ⑷網(wǎng)絡(luò)數(shù)據(jù)包的標(biāo)準(zhǔn)化程度，相對(duì)主機(jī)數(shù)據(jù)源而言要高許多。 ⑵ 嗅探器（ sniffer） 模塊在工作時(shí)，可以采用對(duì)網(wǎng)絡(luò)用戶透明的模式，因而降低了其本身遭到入侵者攻擊的概率。 近年來(lái)流行的商用入侵檢測(cè)系統(tǒng)
畢業(yè)設(shè)計(jì)相關(guān)推薦
鄂ICP備17016276號(hào)-1