項(xiàng)目8入侵檢測(cè)技術(shù)-文庫(kù)吧資料
2025-05-23 00:47本頁(yè)面
【正文】 后的行為。 （ 2）監(jiān)視特定的系統(tǒng)活動(dòng)。 ?由于基于主機(jī)的 IDS使用含有已發(fā)生事件信息，它們可以比基于網(wǎng)絡(luò)的 IDS更加準(zhǔn)確地判斷攻擊是否成功。 基于主機(jī)的入侵檢測(cè)系統(tǒng)有如下優(yōu)點(diǎn)。 ?盡管基于主機(jī)的入侵檢查系統(tǒng)不如基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)快捷，但它確實(shí)具有基于網(wǎng)絡(luò)的 IDS無(wú)法比擬的優(yōu)點(diǎn)。許多 IDS產(chǎn)品都是監(jiān)聽(tīng)端口的活動(dòng)，并在特定端口被訪問(wèn)時(shí)向管理員報(bào)警。對(duì)關(guān)鍵系統(tǒng)文件和可執(zhí)行文件的入侵檢測(cè)的一個(gè)常用方法，是通過(guò)定期檢查校驗(yàn)和來(lái)進(jìn)行的，以便發(fā)現(xiàn)意外的變化。如果匹配，系統(tǒng)就會(huì)向管理員報(bào)警并向別的目標(biāo)報(bào)告，以采取措施。 ? 通常，基于主機(jī)的 IDS可檢測(cè)系統(tǒng)、事件和 Window下的安全記錄以及 UNIX環(huán)境下的系統(tǒng)記錄。如果其中主體活動(dòng)十分可疑（特征或違反統(tǒng)計(jì)規(guī)律），入侵檢測(cè)系統(tǒng)就會(huì)采取相應(yīng)措施。 基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng)也有弱點(diǎn)： ?只檢查直接連接網(wǎng)段的通信，不能檢測(cè)在不同網(wǎng)段的網(wǎng)絡(luò)包，在交換以太網(wǎng)環(huán)境中會(huì)出現(xiàn)監(jiān)測(cè)范圍的局限； ?很難實(shí)現(xiàn)一些復(fù)雜的需要大量計(jì)算與分析時(shí)間的攻擊檢測(cè)； ?處理加密的會(huì)話過(guò)程較困難。 ?基于網(wǎng)絡(luò)的 IDS作為安全監(jiān)測(cè)資源，與主機(jī)的操作系統(tǒng)無(wú)關(guān)。 ?基于主機(jī)的 IDS無(wú)法查到從未攻擊到防火墻內(nèi)主機(jī)的未遂攻擊，而這些丟失的信息對(duì)于評(píng)估和優(yōu)化安全策略是至關(guān)重要的。 ?基于網(wǎng)絡(luò)的 IDS增加了許多有價(jià)值的數(shù)據(jù)，以判別不良意圖。 ?實(shí)時(shí) IDS可根據(jù)預(yù)定義的參數(shù)做出快速反應(yīng)，這些反應(yīng)包括將攻擊設(shè)為監(jiān)視模式以收集信息，立即中止攻擊等。 ?而基于主機(jī)的系統(tǒng)只有在可疑的登錄信息被記錄下來(lái)以后才能識(shí)別攻擊并做出反應(yīng)。 ?基于網(wǎng)絡(luò)的 IDS可以在惡意及可疑的攻擊發(fā)生的同時(shí)將其檢測(cè)出來(lái)，并做出更快的通知和響應(yīng)。 ?許多黑客都熟知審計(jì)記錄，他們知道如何操縱這些文件掩蓋他們的入侵痕跡，如何阻止需要這些信息的基于主機(jī)的 IDS去檢測(cè)入侵。所以攻擊者無(wú)法轉(zhuǎn)移證據(jù)。 （ 3）攻擊者不易轉(zhuǎn)移證據(jù)。例如，通過(guò)檢查數(shù)據(jù)包有效負(fù)載可以查到黑客軟件，而使正在尋找系統(tǒng)漏洞的攻擊者毫無(wú)察覺(jué)。這種類型的攻擊都可以在基于網(wǎng)絡(luò)的 IDS中通過(guò)實(shí)時(shí)監(jiān)測(cè)網(wǎng)絡(luò)數(shù)據(jù)包流而被發(fā)現(xiàn)?；谥鳈C(jī)的 IDS無(wú)法查看數(shù)據(jù)包的頭部，所以它無(wú)法檢測(cè)到這一類型的攻擊。 （ 2）檢測(cè)基于主機(jī)的 IDS漏掉的攻擊。所以它不要求在許多主機(jī)上裝載并管理軟件。 （ 1）擁有成本較低。采取的措施因系統(tǒng)而異，但通常都包括通知管理員、中斷連接并且 /或?yàn)榉ㄍシ治龊妥C據(jù)收集而做的會(huì)話記錄?；诰W(wǎng)絡(luò)的 IDS通常利用一個(gè)運(yùn)行在混雜模式下的網(wǎng)絡(luò)適配器來(lái)實(shí)時(shí)監(jiān)視并分析通過(guò)網(wǎng)絡(luò)的所有數(shù)據(jù)包。另一個(gè)傳感器安裝在網(wǎng)絡(luò)內(nèi)部以探查那些已穿透防火墻的入侵以及內(nèi)部網(wǎng)絡(luò)入侵和威脅。目前，大部分入侵檢測(cè)系統(tǒng)是基于網(wǎng)絡(luò)的。對(duì)每一個(gè)數(shù)據(jù)包進(jìn)行特征分析。它對(duì)系統(tǒng)資源的要求比較高。又稱為聯(lián)機(jī)分析檢測(cè)系統(tǒng)，就是在數(shù)據(jù)產(chǎn)生或者發(fā)生改變的同時(shí)對(duì)其進(jìn)行檢查，以便發(fā)現(xiàn)攻擊行為，它是實(shí)時(shí)聯(lián)機(jī)檢測(cè)系統(tǒng)。一般而言，脫機(jī)分析也不會(huì)間隔很長(zhǎng)時(shí)間，所謂的脫機(jī)只是與聯(lián)機(jī)相對(duì)而言的。離線檢測(cè)又稱脫機(jī)分析檢測(cè)系統(tǒng)，就是在行為發(fā)生后，對(duì)產(chǎn)生的數(shù)據(jù)進(jìn)行分析，而不是在行為發(fā)生的同時(shí)進(jìn)行分析，從而檢測(cè)入侵活動(dòng)，它是非實(shí)時(shí)工作的系統(tǒng)。所以，其可伸縮性、安全性都得到提高，但維護(hù)成本也高了很多，并且增加了所監(jiān)控主機(jī)的工作負(fù)荷。分布式結(jié)構(gòu)的 IDS就是將中央檢測(cè)服務(wù)器的任務(wù)分配給多個(gè)基于主機(jī)的 IDS。并且一旦中央服務(wù)器出現(xiàn)問(wèn)題，整個(gè)系統(tǒng)就會(huì)陷入癱瘓。審計(jì)程序把當(dāng)?shù)厥占降臄?shù)據(jù)蹤跡發(fā)送給中央服務(wù)器進(jìn)行分析處理。 3. 根據(jù)體系結(jié)構(gòu)分類 ? 集中式。 ?分布式入侵檢測(cè)系統(tǒng) (混合型 )。 ?基于網(wǎng)絡(luò)的入侵檢測(cè)系統(tǒng) (NIDS)。 2. 根據(jù)數(shù)據(jù)來(lái)源分類 ?基于主機(jī)的入侵檢測(cè)系統(tǒng) (HIDS)。 ?基于誤用的入侵檢測(cè)。 入侵檢測(cè)系統(tǒng)的分類 1. 根據(jù)分析方法和檢測(cè)原理分類 ?基于異常的入侵檢測(cè)。根據(jù)告警信息做出反應(yīng)，是 IDS中的主動(dòng)武器，可做出強(qiáng)烈反應(yīng)，如切斷連接、改變文件屬性等，也可以只做出簡(jiǎn)單的報(bào)警。從事件發(fā)生器或事件分析器接收數(shù)據(jù)，一般會(huì)將數(shù)據(jù)進(jìn)行較長(zhǎng)時(shí)間的保存。 (3) 事件數(shù)據(jù)庫(kù)。 ③ 完整性分析 (往往用于事后分析 )。 ② 統(tǒng)計(jì)分析。 ① 模式匹配。接收事件信息，并對(duì)其進(jìn)行分析，判斷是否為入侵行為或異?，F(xiàn)象，最后將判斷的結(jié)果轉(zhuǎn)變?yōu)楦婢畔ⅰ? ? 入侵檢測(cè)系統(tǒng)很大程度上依賴于收集信息的可靠性和正確性，要保證用來(lái)檢測(cè)網(wǎng)絡(luò)系統(tǒng)的軟件的完整性，特別是入侵檢測(cè)系統(tǒng)軟件本身應(yīng)具有堅(jiān)固性，防止被篡改而收集到錯(cuò)誤的信息。 ③ 需要在計(jì)算機(jī)網(wǎng)絡(luò)系統(tǒng)中的若干不同的關(guān)鍵點(diǎn) (不同網(wǎng)段和不同主機(jī) )收集信息。 ① 負(fù)責(zé)原始數(shù)據(jù)采集，并將收集到的原始數(shù)據(jù)轉(zhuǎn)換為事件，向系統(tǒng)的其他部分提供此事件。
環(huán)評(píng)公示相關(guān)推薦
鄂ICP備17016276號(hào)-1