安全防護(hù)與入侵檢測(cè)(參考版)
2025-02-21 12:08本頁(yè)面
【正文】 2023年 3月 9日星期四 6時(shí) 26分 14秒 18:26:149 March 2023 ? 1一個(gè)人即使已登上頂峰，也仍要自強(qiáng)不息。 2023年 3月 9日星期四 下午 6時(shí) 26分 14秒 18:26: ? 1最具挑戰(zhàn)性的挑戰(zhàn)莫過(guò)于提升自我。勝人者有力，自勝者強(qiáng)。 :26:1418:26Mar239Mar23 ? 1越是無(wú)能的人，越喜歡挑剔別人的錯(cuò)兒。 , March 9, 2023 ? 閱讀一切好書(shū)如同和過(guò)去最杰出的人談話。 2023年 3月 9日星期四 6時(shí) 26分 14秒 18:26:149 March 2023 ? 1空山新雨后，天氣晚來(lái)秋。 。 :26:1418:26:14March 9, 2023 ? 1意志堅(jiān)強(qiáng)的人能把世界放在手中像泥塊一樣任意揉捏。 :26:1418:26Mar239Mar23 ? 1世間成事，不求其絕對(duì)圓滿(mǎn)，留一份不足，可得無(wú)限完美。 , March 9, 2023 ? 很多事情努力了未必有結(jié)果，但是不努力卻什么改變也沒(méi)有。 2023年 3月 9日星期四 6時(shí) 26分 14秒 18:26:149 March 2023 ? 1做前，能夠環(huán)視四周；做時(shí)，你只能或者最好沿著以腳為起點(diǎn)的射線向前。 。 :26:1418:26:14March 9, 2023 ? 1他鄉(xiāng)生白發(fā)，舊國(guó)見(jiàn)青山。 :26:1418:26Mar239Mar23 ? 1故人江海別，幾度隔山川。 , March 9, 2023 ? 雨中黃葉樹(shù)，燈下白頭人。初期的蜜罐系統(tǒng)采用偽造服務(wù)技術(shù)，模仿正常服務(wù)器軟件的一些基本行為吸引黑客攻擊，這種方式雖然成本較底，但卻很容易被黑客識(shí)破，采集不到太多的黑客信息。 ? 只有蜜罐表現(xiàn)得像一個(gè)正常的工作系統(tǒng)，黑客才會(huì)對(duì)其進(jìn)行攻擊 。要完善一個(gè)入侵檢測(cè)系統(tǒng)，需要不斷了解黑客，了解黑客的動(dòng)向、新的攻擊方式和手段。通過(guò)檢查的數(shù)據(jù)包可以繼 續(xù)前進(jìn)，包含惡意內(nèi)容的數(shù)據(jù)包就會(huì)被丟棄 ， 被懷疑的數(shù)據(jù)包需要接受進(jìn)一步的檢查。所有流經(jīng) IPS的數(shù)據(jù)包將依據(jù)數(shù)據(jù)包中的包頭信息 ， 如源 IP 地址和目的 IP 地址、端口號(hào)等進(jìn)行分類(lèi)。 IPS 數(shù)據(jù)包處理引擎可以深層檢查數(shù)據(jù)包的內(nèi)容。 ? IPS 能夠?qū)崟r(shí)檢測(cè)入侵、阻止入侵的原理在于 IPS擁有大量的過(guò)濾器，針對(duì)不同的攻擊行為， IPS 需要不同的過(guò)濾器，每種過(guò)濾器都設(shè)有相應(yīng)的過(guò)濾規(guī)則。 ? 將入侵防御技術(shù)應(yīng)用到具體的網(wǎng)絡(luò)環(huán)境后，就形成了入侵防御系統(tǒng)： IPS。 ? 最近市場(chǎng)上出現(xiàn)了一種將防火墻和 IDS兩者合二為一的新產(chǎn)品 入侵防御系統(tǒng) (IntruSion bevention System 簡(jiǎn)稱(chēng) IPS)。防火墻可以有效地阻止有害數(shù)據(jù)的通過(guò)，而 IDS 則主要用于有害數(shù)據(jù)的分析和發(fā)現(xiàn)，它是防火墻功能的延續(xù)。 IPS使得 BS 和防火墻走向統(tǒng)一。入侵防御系統(tǒng)(InmSion Prevention System 或 IntmSion Detection Prevention，即 IPS或 IDP)就應(yīng)運(yùn)而生了。 河南化工職業(yè)學(xué)院 ? 其他入侵檢測(cè)模型 ? 1） 基于生物免疫的入侵檢測(cè)方法 ? 2）基于偽裝的入侵檢測(cè)方法 ? 3）基于統(tǒng)計(jì)學(xué)方法的入侵檢測(cè)系統(tǒng) ? 4）基于專(zhuān)家系統(tǒng)的入侵檢測(cè)方法 河南化工職業(yè)學(xué)院 入侵防護(hù)技術(shù) IPS ? IPS只能被動(dòng)地檢測(cè)攻擊，而不能主動(dòng)地把變化莫測(cè)的威脅阻止在網(wǎng)絡(luò)之外。 ? 異常檢測(cè)對(duì)具體系統(tǒng)的依賴(lài)性相對(duì)較小 。 ? 異常檢測(cè)的主要缺陷在于誤檢率很高，尤其在用戶(hù)數(shù)目眾多或工作行為經(jīng)常改變的環(huán)境中 。 ? 異常檢測(cè)指根據(jù)使用者的行為或資源使用狀況來(lái)判斷是否入侵行為的發(fā)生 ， 而不依 賴(lài)于具體行為是否出現(xiàn)來(lái)檢測(cè) 。 河南化工職業(yè)學(xué)院 誤用入侵檢測(cè)模型的基本方法 ? 誤用檢測(cè)模型常用的檢測(cè)方法有基于條件概率誤用入侵檢測(cè)方法、基于專(zhuān)家系統(tǒng)誤 用入侵檢測(cè)方法、基于狀態(tài)遷移分析誤用入侵檢測(cè)方法、基于鍵盤(pán)監(jiān)控誤用入侵檢測(cè)方法和基于模型誤用入侵檢測(cè)方法等。 ? 用以描述活動(dòng)的輸出結(jié)果。 ? 類(lèi)型測(cè)量。用以描述最近審計(jì)記錄中所有活動(dòng)類(lèi)型的分布狀況。 ? 活動(dòng)強(qiáng)度測(cè)量。此外，由于需要實(shí)時(shí)地建立和更新系統(tǒng)或用戶(hù)的特征輪廓，這樣所需的計(jì)算量很大，對(duì)系統(tǒng)的處理性能要求會(huì)很高。 ? 從異常檢測(cè)的原理可以看出，該方法的技術(shù)難點(diǎn)在于 正常 行為特征輪廓的確定、特征量的選取、特征輪廓的更新。闊值定的過(guò)小，則虛警率就會(huì)提高。這樣就會(huì)導(dǎo)致檢測(cè)結(jié)果的虛警 (false positives) 和漏警 (false negatives) 的產(chǎn)生。 ? 2) 參考闊值的選定 ? 因?yàn)樵趯?shí)際的網(wǎng)絡(luò)環(huán)境下，入侵行為和異常行為往往不是一對(duì)一的等價(jià)關(guān)系，經(jīng)常發(fā)生這樣的異常情況，如某一行為是異常行為，而它并不是入侵行為 。 河南化工職業(yè)學(xué)院 ? 異常檢測(cè)的關(guān)鍵技術(shù) ? l) 特征量的選擇 ? 異常檢測(cè)首先是要建立系統(tǒng)或用戶(hù)的 正常 行為特征輪廓，這就要求在建立正常模型時(shí)，選取的特征量既要能準(zhǔn)確地體現(xiàn)系統(tǒng)或用節(jié)隨行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋系統(tǒng)或用戶(hù)的行為特征。其基本原理是，首先建立系統(tǒng)或用戶(hù)的 正常行為特征輪廓，通過(guò)比較當(dāng)前的系統(tǒng)或用戶(hù)的行為是否偏離正常的行為特征輪廓來(lái)判斷是否發(fā)生了入侵。 河南化工職業(yè)學(xué)院 河南化工職業(yè)學(xué)院 入侵檢測(cè)系統(tǒng)的選型 ? 異常檢測(cè)模型的基本原理 ? 異常檢測(cè)，也被稱(chēng)為基于行為的檢測(cè)。 (3)網(wǎng)絡(luò)管理員要能夠集中監(jiān)控網(wǎng)絡(luò)的流量和異常情況。 (1)需要對(duì)關(guān)鍵子網(wǎng) LAN1的流量進(jìn)行監(jiān)控。 ? 圖 ，也節(jié)約了投資成本，適合中小規(guī)模企業(yè)的網(wǎng)絡(luò)安全應(yīng)用。 ? 在圖 ， IDS被部署在內(nèi)部網(wǎng)絡(luò)與 Inter的出口處，IDS設(shè)備的監(jiān)聽(tīng)口連接到了內(nèi)部網(wǎng)絡(luò)出口處的交換機(jī)(Switch)鏡像接口上，從而可以捕獲到交換機(jī)鏡像接口的網(wǎng)絡(luò)流量。 河南化工職業(yè)學(xué)院 部署 IDS ? 1)只檢測(cè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)邊界流
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1