第5章安全防護(hù)與入侵檢測(cè)(參考版)
2025-02-28 08:45本頁(yè)面
【正文】 初期的蜜罐系統(tǒng)采用偽造服務(wù)技術(shù)，模仿正常服務(wù)器軟件的一些基本行為吸引黑客攻擊，這種方式雖然成本較底，但卻很容易被黑客識(shí)破，采集不到太多的黑客信息。 ? 只有蜜罐表現(xiàn)得像一個(gè)正常的工作系統(tǒng)，黑客才會(huì)對(duì)其進(jìn)行攻擊 。要完善一個(gè)入侵檢測(cè)系統(tǒng)，需要不斷了解黑客，了解黑客的動(dòng)向、新的攻擊方式和手段。通過(guò)檢查的數(shù)據(jù)包可以繼 續(xù)前進(jìn)，包含惡意內(nèi)容的數(shù)據(jù)包就會(huì)被丟棄 ， 被懷疑的數(shù)據(jù)包需要接受進(jìn)一步的檢查。所有流經(jīng) IPS的數(shù)據(jù)包將依據(jù)數(shù)據(jù)包中的包頭信息 ， 如源 IP 地址和目的 IP 地址、端口號(hào)等進(jìn)行分類(lèi)。 IPS 數(shù)據(jù)包處理引擎可以深層檢查數(shù)據(jù)包的內(nèi)容。 ? IPS 能夠?qū)崟r(shí)檢測(cè)入侵、阻止入侵的原理在于 IPS擁有大量的過(guò)濾器，針對(duì)不同的攻擊行為， IPS 需要不同的過(guò)濾器，每種過(guò)濾器都設(shè)有相應(yīng)的過(guò)濾規(guī)則。 ? 將入侵防御技術(shù)應(yīng)用到具體的網(wǎng)絡(luò)環(huán)境后，就形成了入侵防御系統(tǒng)： IPS。 ? 最近市場(chǎng)上出現(xiàn)了一種將防火墻和 IDS兩者合二為一的新產(chǎn)品 入侵防御系統(tǒng) (IntruSion bevention System 簡(jiǎn)稱(chēng) IPS)。防火墻可以有效地阻止有害數(shù)據(jù)的通過(guò)，而 IDS 則主要用于有害數(shù)據(jù)的分析和發(fā)現(xiàn)，它是防火墻功能的延續(xù)。 IPS使得 BS 和防火墻走向統(tǒng)一。入侵防御系統(tǒng)(InmSion Prevention System 或 IntmSion Detection Prevention，即 IPS或 IDP)就應(yīng)運(yùn)而生了。 河南化工職業(yè)學(xué)院 ? 其他入侵檢測(cè)模型 ? 1） 基于生物免疫的入侵檢測(cè)方法 ? 2）基于偽裝的入侵檢測(cè)方法 ? 3）基于統(tǒng)計(jì)學(xué)方法的入侵檢測(cè)系統(tǒng) ? 4）基于專(zhuān)家系統(tǒng)的入侵檢測(cè)方法 河南化工職業(yè)學(xué)院 入侵防護(hù)技術(shù) IPS ? IPS只能被動(dòng)地檢測(cè)攻擊，而不能主動(dòng)地把變化莫測(cè)的威脅阻止在網(wǎng)絡(luò)之外。 ? 異常檢測(cè)對(duì)具體系統(tǒng)的依賴(lài)性相對(duì)較小 。 ? 異常檢測(cè)的主要缺陷在于誤檢率很高，尤其在用戶數(shù)目眾多或工作行為經(jīng)常改變的環(huán)境中 。 ? 異常檢測(cè)指根據(jù)使用者的行為或資源使用狀況來(lái)判斷是否入侵行為的發(fā)生 ， 而不依 賴(lài)于具體行為是否出現(xiàn)來(lái)檢測(cè) 。 河南化工職業(yè)學(xué)院 誤用入侵檢測(cè)模型的基本方法 ? 誤用檢測(cè)模型常用的檢測(cè)方法有基于條件概率誤用入侵檢測(cè)方法、基于專(zhuān)家系統(tǒng)誤 用入侵檢測(cè)方法、基于狀態(tài)遷移分析誤用入侵檢測(cè)方法、基于鍵盤(pán)監(jiān)控誤用入侵檢測(cè)方法和基于模型誤用入侵檢測(cè)方法等。 ? 用以描述活動(dòng)的輸出結(jié)果。 ? 類(lèi)型測(cè)量。用以描述最近審計(jì)記錄中所有活動(dòng)類(lèi)型的分布狀況。 ? 活動(dòng)強(qiáng)度測(cè)量。此外，由于需要實(shí)時(shí)地建立和更新系統(tǒng)或用戶的特征輪廓，這樣所需的計(jì)算量很大，對(duì)系統(tǒng)的處理性能要求會(huì)很高。 ? 從異常檢測(cè)的原理可以看出，該方法的技術(shù)難點(diǎn)在于 正常 行為特征輪廓的確定、特征量的選取、特征輪廓的更新。闊值定的過(guò)小，則虛警率就會(huì)提高。這樣就會(huì)導(dǎo)致檢測(cè)結(jié)果的虛警 (false positives) 和漏警 (false negatives) 的產(chǎn)生。 ? 2) 參考闊值的選定 ? 因?yàn)樵趯?shí)際的網(wǎng)絡(luò)環(huán)境下，入侵行為和異常行為往往不是一對(duì)一的等價(jià)關(guān)系，經(jīng)常發(fā)生這樣的異常情況，如某一行為是異常行為，而它并不是入侵行為 。 河南化工職業(yè)學(xué)院 ? 異常檢測(cè)的關(guān)鍵技術(shù) ? l) 特征量的選擇 ? 異常檢測(cè)首先是要建立系統(tǒng)或用戶的 正常 行為特征輪廓，這就要求在建立正常模型時(shí)，選取的特征量既要能準(zhǔn)確地體現(xiàn)系統(tǒng)或用節(jié)隨行為特征，又能使模型最優(yōu)化，即以最少的特征量就能涵蓋系統(tǒng)或用戶的行為特征。其基本原理是，首先建立系統(tǒng)或用戶的 正常行為特征輪廓，通過(guò)比較當(dāng)前的系統(tǒng)或用戶的行為是否偏離正常的行為特征輪廓來(lái)判斷是否發(fā)生了入侵。 河南化工職業(yè)學(xué)院 河南化工職業(yè)學(xué)院 入侵檢測(cè)系統(tǒng)的選型 ? 異常檢測(cè)模型的基本原理 ? 異常檢測(cè)，也被稱(chēng)為基于行為的檢測(cè)。 (3)網(wǎng)絡(luò)管理員要能夠集中監(jiān)控網(wǎng)絡(luò)的流量和異常情況。 (1)需要對(duì)關(guān)鍵子網(wǎng) LAN1的流量進(jìn)行監(jiān)控。 ? 圖 ，也節(jié)約了投資成本，適合中小規(guī)模企業(yè)的網(wǎng)絡(luò)安全應(yīng)用。 ? 在圖 ， IDS被部署在內(nèi)部網(wǎng)絡(luò)與 Inter的出口處，IDS設(shè)備的監(jiān)聽(tīng)口連接到了內(nèi)部網(wǎng)絡(luò)出口處的交換機(jī)(Switch)鏡像接口上，從而可以捕獲到交換機(jī)鏡像接口的網(wǎng)絡(luò)流量。 河南化工職業(yè)學(xué)院 部署 IDS ? 1)只檢測(cè)內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)邊界流量的 IDS系統(tǒng)的部署 ? 在小型網(wǎng)絡(luò)結(jié)構(gòu)中，如果內(nèi)部網(wǎng)絡(luò)是可以信任的，那么只需要監(jiān)控內(nèi)部網(wǎng)絡(luò)和外部網(wǎng)絡(luò)的邊界流量。 ? (3)1DS的管理需求。 (1)明確網(wǎng)絡(luò)拓?fù)湫枨?。這種系統(tǒng)的優(yōu)點(diǎn)是可以對(duì)大型分布式網(wǎng)絡(luò)進(jìn)行檢測(cè)。代理負(fù)責(zé)對(duì)某一主機(jī)的活動(dòng)進(jìn)行監(jiān)視，如收集主機(jī)運(yùn)行時(shí)的審計(jì)數(shù)據(jù)和操作系統(tǒng)的數(shù)據(jù)信息，然后將這些數(shù)據(jù)傳送到中央監(jiān)視器。中央監(jiān)視器負(fù)責(zé)對(duì)整個(gè)監(jiān)視系統(tǒng)的管理，它應(yīng)該處于一個(gè)相對(duì)安全的地方。隨著網(wǎng)絡(luò)系統(tǒng)的復(fù)雜化和大型化，系統(tǒng)弱點(diǎn)趨于分布式，而且攻擊行為也表現(xiàn)為相互協(xié)作式特點(diǎn)，所以不同的 IDS之間需要共享信息，協(xié)同檢測(cè)。 其優(yōu)勢(shì)有： l 成本低； l
教學(xué)課件相關(guān)推薦
鄂ICP備17016276號(hào)-1